Op grond van art. 2b Wwft zijn aanbieders van cryptodiensten verplicht om een integriteitsrisicoanalyse op te stellen en actueel te houden. In de integriteitsrisicoanalyse worden de risico’s op witwassen en financieren van terrorisme vastgesteld, waarbij in ieder geval rekening wordt gehouden met risicofactoren die verband houden met het type cliënt, product, dienst, transactie en leveringskanaal en met landen of geografische gebieden. De integriteitsrisicoanalyse vormt de basis van een integriteitsbeleid.
Voordat u maatregelen en procedures invoert of herziet, moet u eerst gedegen onderzoek doen naar de aard (verschijningsvormen, scenario’s van financieel economische criminaliteit) en omvang van de risico’s. Dit proces kent twee fasen:
Daarna komt het op maat inrichten van het beheersingskader: het beleid, de maatregelen en de procedures. De integriteitsrisicoanalyse vormt de basis voor het bepalen van adequate risicomitigatie maatregelen. Hierbij wordt ook aangegeven in hoeverre de maatregelen de geïdentificeerde risico’s mitigeren. De uitkomst van dit proces is het nettorisico; de omvang van het risico dat overblijft als alle procedures en maatregelen adequaat hun werk doen. De vraag is in hoeverre dit nettorisico voor u acceptabel is en past binnen uw risk appetite.
Ook de risico’s die worden genoemd in het kader van de integere en beheerste bedrijfsvoering, worden meegenomen in de integriteitsrisicoanalyse. Te denken valt bijvoorbeeld aan het uitbesteden van bepaalde bedrijfsonderdelen. Ook maken instellingen aan de hand van de integriteitsrisicoanalyse afwegingen in het kader van art. 2d Wwft (het beschikken over een onafhankelijke compliance- en auditfunctie).
De inventarisatie, analyse en de (toetsing van de effectiviteit van de) beheersing wordt periodiek doorlopen. Risico’s zijn immers niet statisch. Zowel interne als externe factoren kunnen ervoor zorgen dat risico’s voor een instelling veranderen. Ook tussentijdse gebeurtenissen kunnen leiden tot een noodzaak om de analyse bij te werken. In het toezicht zal dan ook worden gelet op de actualiteit van de risicoanalyse.
Voor instellingen die onder de Wft vallen, geldt een vergelijkbare verplichting tot het opstellen van een systematische integriteitsrisicoanalyse. Hierover publiceerde DNB in 2015 guidance. Wij raden u aan deze guidance te raadplegen bij het opstellen van de Integriteitsrisicoanalyse.
Nieuwsbericht toezicht
Op 10 februari hebben wij gereageerd op een brief van de Verenigde Bitcoinbedrijven Nederland (VBNL). In die brief had de VBNL een aantal vragen over ons toezicht, met name over ons toezicht op de naleving van sanctiewetgeving.
Lees meer
