Wat verandert er op 10 juli 2027: de AMLR in tien verplichtingen

Op 10 juli 2027 wordt Verordening (EU) 2024/1624, de antiwitwasverordening (AMLR), in elke lidstaat van toepassing. Anders dan de richtlijnen die zij vervangt, hoeft zij niet te worden omgezet: dezelfde tekst bindt een bank in Lissabon, een trustkantoor in Amsterdam en een aanbieder van cryptoactivadiensten in Vilnius. Het nationale recht verdwijnt niet, maar krimpt tot wat de zesde antiwitwasrichtlijn (AMLD6) aan de lidstaten overlaat: toezicht, de Financial Intelligence Unit, registers en sancties.

De meeste gedetailleerde regels worden nog geschreven. AMLA, de nieuwe Autoriteit voor de bestrijding van witwassen, werkt aan de Regulatory Technical Standards (RTS), Implementing Technical Standards (ITS) en richtsnoeren die de AMLR invullen, en verschillende daarvan zijn in consultatie of net uit consultatie. Dat is geen reden om te wachten: de verplichtingen hieronder volgen uit de niveau 1-tekst zelf. Dit zijn de tien die voor een meldingsplichtige entiteit het meest veranderen, met het artikel om te lezen en een eerste stap om te zetten.

1. Een compliance manager op bestuursniveau (artikel 11)

De AMLR vereist twee rollen. Een compliance manager is een lid van het leidinggevend orgaan dat verantwoordelijk is voor de uitvoering van de AMLR; een compliance officer leidt het dagelijkse programma en rapporteert ten minste eenmaal per jaar aan het leidinggevend orgaan. Veel ondernemingen hebben de tweede rol en niet de eerste. De compliance manager moet identificeerbaar zijn, moet het mandaat hebben om te handelen, en toezichthouders zullen zoeken naar bewijs dat het leidinggevend orgaan de rapporten daadwerkelijk ontvangt en bespreekt.

Eerste stap: benoem de compliance manager in de governancedocumenten en zet een jaarlijks AML-rapport op de bestuursagenda.

2. Een bedrijfsbrede risicobeoordeling die leeft (artikel 10)

De bedrijfsbrede risicobeoordeling is niet langer een document dat u eenmaal per jaar ververst. Zij moet gedocumenteerd zijn, actueel worden gehouden, in verhouding staan tot de onderneming en beschikbaar zijn voor de toezichthouder, en zij stuurt de gedragslijnen, procedures en controles van artikel 9. AMLA consulteerde tot 15 juli 2026 richtsnoeren over hoe dit te doen en is van plan ze in het vierde kwartaal van 2026 te publiceren; de richting is een risicobeoordeling die verandert wanneer de onderneming verandert: een nieuw product, een nieuw land, een nieuw distributiekanaal.

Eerste stap: koppel elk product, elk type cliënt, elk land en elk kanaal aan de huidige beoordeling en noteer waar zij niets zegt.

3. Cliëntenonderzoek met een vaste gegevensset (artikelen 19 tot en met 22)

De AMLR schrijft voor welke identiteitsgegevens voor natuurlijke en rechtspersonen moeten worden verzameld en hoe zij mogen worden geverifieerd, ook via elektronische identificatie en, te zijner tijd, de Europese portemonnee voor digitale identiteit. Occasionele transacties leiden boven vaste drempels tot cliëntenonderzoek. De RTS over cliëntenonderzoek op grond van artikel 28 zal de bronnen en de vereenvoudigde en verscherpte maatregelen specificeren; de EBA consulteerde in 2025 een eerste ontwerp, AMLA consulteerde haar eigen ontwerp opnieuw tot 8 mei 2026 en legt daar nu de laatste hand aan.

Eerste stap: vergelijk de velden in uw onboardingformulieren en kernsystemen met de lijst van artikel 22.

4. Eén drempel voor uiteindelijk begunstigden (artikelen 51 tot en met 56)

Eigendom van 25% of meer van de aandelen of stemrechten maakt een natuurlijke persoon tot uiteindelijk begunstigde, en zeggenschap via andere middelen ook. Meerlagige structuren moeten laag voor laag worden doorlopen; waar na alle redelijke middelen geen uiteindelijk begunstigde kan worden gevonden, wordt het hoger leidinggevend personeel geregistreerd, met de reden. Artikel 24 voegt de plicht toe om het register te raadplegen en discrepanties te melden.

Eerste stap: zoek de cliënten waarbij uw huidige drempel of methode afwijkt en plan een herverificatiegolf.

5. Verscherpt cliëntenonderzoek bij groot privévermogen (artikel 34)

Cliënten, of uiteindelijk begunstigden, met een vermogen van ten minste 50 miljoen euro of beheerd vermogen van ten minste 5 miljoen euro brengen verscherpte maatregelen mee: bron van het vermogen, goedkeuring door het hoger leidinggevend personeel en nauwer toezicht. Correspondentrelaties met aanbieders van cryptoactivadiensten (artikel 37), transacties met zelfgehoste adressen (artikel 38) en de door de Commissie aangewezen derde landen met een hoog risico (artikel 29) kennen eveneens specifieke verscherpte maatregelen.

Eerste stap: markeer de cliënten die aan de vermogens- en activadrempels voldoen; private-banking- en vermogensafdelingen kennen hen doorgaans, maar taggen hen zelden.

6. Politiek prominente personen tot twaalf maanden na het ambt (artikelen 42 tot en met 45)

De AMLR definieert de prominente publieke functies, verplicht lidstaten en EU-instellingen om daarvan lijsten te publiceren, en houdt risicogebaseerde maatregelen in stand gedurende ten minste twaalf maanden nadat een persoon het ambt heeft verlaten. Familieleden en bekende naaste geassocieerden vallen er net als voorheen onder.

Eerste stap: ga na of uw PEP-screening een in tijd begrensde beëindiging van de PEP-status kan toepassen in plaats van een handmatige beslissing.

7. Sanctiescreening als onderdeel van het cliëntenonderzoek (artikel 27)

Het verifiëren of een cliënt of uiteindelijk begunstigde onderworpen is aan gerichte financiële sancties van de EU wordt een uitdrukkelijke cliëntenonderzoeksmaatregel, bij onboarding en wanneer de lijsten wijzigen. Voor de meeste financiële instellingen is dit bestaande praktijk; voor professionele dienstverleners en handelaren in goederen is het vaak nieuw.

Eerste stap: bevestig dat de screening ook de uiteindelijk begunstigden omvat en niet alleen de contractspartij.

8. Melden bij vermoeden, op een gemeenschappelijk sjabloon (artikel 69 en de ITS)

Meldingsplichtige entiteiten melden aan de FIU wanneer zij weten, vermoeden of redelijke gronden hebben om te vermoeden dat er sprake is van witwassen of terrorismefinanciering. Voor Nederlandse instellingen vervangt dit het indicatorgestuurde model van de ongebruikelijke transactie uit de Wwft. De ITS over het meldsjabloon zal het formaat standaardiseren; transactiemonitoringscenario's die op indicatoren zijn gekalibreerd, zullen opnieuw moeten worden gekalibreerd op vermoeden.

Eerste stap: maak een lijst van de scenario's en typologieën achter uw huidige meldingen en vraag u af welke daarvan een vermoeden beschrijven.

9. Uitbesteding en gebruikmaking van derden met harde grenzen (artikelen 18, 48 en 49)

Taken mogen worden uitbesteed, maar de bedrijfsbrede risicobeoordeling, de compliancefuncties en beslissingen over verdachte transacties niet. Gebruikmaking van het cliëntenonderzoek van een andere meldingsplichtige entiteit blijft mogelijk, waarbij de entiteit die daarop vertrouwt volledig verantwoordelijk blijft. AMLA-richtsnoeren over beide worden uiterlijk 10 juli 2027 verwacht en zijn nog niet geconsulteerd.

Eerste stap: inventariseer elke AML-taak die door een groepsentiteit of een leverancier wordt uitgevoerd en markeer de taken die de AMLR in eigen huis houdt.

10. Contant geld, bewaring en groepsbrede regels (artikelen 16, 17 en de contantenlimiet)

Contante betalingen boven 10.000 euro zijn verboden voor handelaren in goederen en diensten, waarbij lidstaten vrij zijn een lagere limiet vast te stellen. Gegevens moeten vijf jaar worden bewaard en daarna worden verwijderd, in evenwicht met de gegevensbeschermingsregels die op KYC-gegevens van toepassing zijn. Moederondernemingen moeten groepsbrede gedragslijnen uitrollen, met inbegrip van informatie-uitwisseling binnen de groep en aanvullende maatregelen waar een derde land die niet toestaat.

Eerste stap: als u goederen tegen contante betaling verkoopt, beslis nu hoe u contant geld boven de limiet zult weigeren; als u een groep bent, beslis welke groepsgedragslijnen voor elke entiteit verplicht worden.

Wat nu te doen

• Lees de niveau 1-tekst voor uw type entiteit; de bovenstaande artikelen zijn rechtstreeks van toepassing en zullen in de RTS en richtsnoeren niet veranderen.
• Voer een gap-analyse uit aan de hand van een raamwerk, blok voor blok, in plaats van aan de hand van een lijst met artikelen; het dashboard van AMLR Monitor koppelt elk instrument aan het complianceraamwerk, precies voor dit doel.
• Volg de consultaties. De RTS over cliëntenonderzoek (consultatie gesloten), de RTS over de methodologie voor risicobeoordeling voor de niet-financiële sector (open tot 27 september 2026) en de richtsnoeren over risicofactoren (consultatie gepland voor het derde kwartaal van 2026) zullen de details bepalen die het meest tellen; reageren op een consultatie is de laatste kans om ze te beïnvloeden.
• Plan terug vanaf 10 juli 2027. Wijzigingen in het datamodel, herverificatiegolven en herkalibratie van scenario's kosten kwartalen, geen weken.

AMLR Monitor volgt de status van elk hier genoemd instrument, met bronlinks en verwachte data, en de werkruimte zet het raamwerk om in een readiness tracker voor uw organisatie.