Wwft-risicoanalyse opstellen

Baken de instelling en dienstverlening af

Onderzoek eerst welke rechtspersoon en welke activiteiten binnen de toepasselijke Wwft-reikwijdte vallen. Niet iedere onderneming of iedere dienstverlening van een professional valt automatisch onder dezelfde verplichtingen. Een organisatie kan verschillende activiteiten combineren waarvoor een andere beoordeling nodig is. Beschrijf daarom het klantenbestand, de aangeboden diensten, betrokken landen en de manier waarop opdrachten binnenkomen. De analyse moet de werkelijke praktijk omvatten en tegelijk duidelijk maken wat buiten het bereik valt.

Verzamel gegevens uit bestaande dossiers, eerdere incidenten en de dagelijkse uitvoering. Interview medewerkers die klanten accepteren, transacties verwerken of uitzonderingen beoordelen. Zij kunnen vaak aangeven waar informatie ontbreekt of waar commerciële druk ontstaat. Een analyse die alleen door het management wordt ingevuld kan zulke praktische kwetsbaarheden missen. Leg ook vast op welke periode de gebruikte gegevens betrekking hebben, zodat latere veranderingen herkenbaar zijn.

Scores moeten een inhoudelijke uitleg houden

Een kleur of cijfer kan helpen prioriteren, maar verklaart op zichzelf niet waarom een risico belangrijk is. Leg daarom vast hoe waarschijnlijkheid en gevolgen worden beoordeeld en op welke informatie dat steunt. Vermijd schijnprecisie wanneer gegevens beperkt zijn. Een verschil tussen score zeven en acht is weinig zinvol als niemand kan uitleggen welk feit de keuze veroorzaakt. Gebruik een schaal die medewerkers consequent kunnen toepassen op herkenbare situaties.

Yudey kan de scenario’s, beoordelingscriteria en maatregelen in een samenhangend document verwerken. Daarbij wordt onderscheid gemaakt tussen beleid dat op papier bestaat en controles die aantoonbaar worden uitgevoerd. Een automatische screening is bijvoorbeeld pas een beheersmaatregel als de dekking, signalen en opvolging passen bij het risico. De analyse is geen certificaat dat de organisatie aan alle verplichtingen voldoet en vervangt geen zelfstandige beoordeling door de toezichthouder.

Van analyse naar een uitvoerbaar verbeterregister

Iedere prioritaire actie krijgt een eigenaar, resultaat en termijn. Een actie als beter cliëntenonderzoek wordt vertaald naar een concrete controle of documenteis die bij het scenario past. Bepaal tevens wie beoordeelt of de maatregel na invoering werkt. Een nieuw formulier kan bijvoorbeeld bestaan zonder dat medewerkers de antwoorden gebruiken. Een korte dossiersteekproef kan dan inzicht geven in de feitelijke werking en aanleiding bieden voor gerichte training.

Voor de opdracht zijn het dienstenoverzicht, bestaande procedures en relevante praktijkgegevens nodig. De prijs volgt uit omvang en complexiteit van de organisatie en het aantal te onderzoeken processen. De overeengekomen werkzaamheden worden volledig vooraf betaald; aanvullende technische of sectorspecifieke expertise wordt apart afgesproken. Bij oplevering ontvangt u de analyse en een actielijst voor besluitvorming. Een volgende actualisering wordt gekoppeld aan relevante veranderingen, zoals een nieuwe dienst, klantgroep of distributiewijze, zodat het document bij de onderneming blijft aansluiten.

Koppel maatregelen aan de werkelijke capaciteit

Een controle die dagelijks zou moeten plaatsvinden maar nergens is belegd, beperkt het risico alleen op papier. Bespreek daarom per maatregel wie haar uitvoert, welke informatie nodig is en hoe uitval wordt opgevangen. Vergelijk deze afspraken met de beschikbare bezetting. Wanneer een maatregel niet uitvoerbaar blijkt, moet de organisatie een andere oplossing kiezen of het resterende risico opnieuw beoordelen.