Voorkomen van witwassen en terrorismefinanciering: wat gaat hier structureel mis bij banken?

Wettelijk kader Wwft

Voordat ik een aantal voorbeelden behandel, sta ik eerst even stil bij het wettelijk kader van de Wwft. De Wwft kent vier kernverplichtingen, namelijk:

1. Het verrichten van een gedegen cliëntenonderzoek waarbij deze op een risicogerichte basis mag worden uitgevoerd;
2. Het melden van ongebruikelijke transacties bij de Financial Intelligence Unit Nederland (FIU);
3. Het borgen van periodieke opleidingen die medewerkers in staat stelt om het cliëntenonderzoek goed te kunnen uitvoeren;
4. Het adequaat vastleggen van de resultaten van het cliëntenonderzoek en de risicobeoordeling.

De eerste kernverplichting brengt met zich mee dat een financiële instelling een cliëntenonderzoek moet uitvoeren. Dit dient zowel vóór als tijdens het aangaan van de relatie te gebeuren om zodoende de risico’s op witwassen en terrorisme financiering te beheersen. Dit mag op een risico gerichte wijze. Dat houdt in dat voor bepaalde cliënten een minder vergaand onderzoek kan plaatsvinden terwijl voor cliënten waar de bank het risico hoger inschat, extra maatregelen getroffen dienen te worden.

Voorbeeld 1: ABN Amro

Een zeer recent voorbeeld speelt bij ABN Amro. Op 19 april werd bekend dat ABN Amro een schikking heeft getroffen met het Openbaar Ministerie ter waarde van € 480 miljoen. Naar aanleiding van een strafrechtelijk onderzoek, uitgevoerd door de Fiscale Inlichtingen en Opsporingsdienst (FIOD), zijn er over de periode 2014-2020 ernstige tekortkomingen geconstateerd. De FIOD concludeert in dit onderzoek dat de bank onvoldoende maatregelen heeft getroffen ter voorkoming van witwassen en financieren van terrorisme en schuldwitwassen.

In het feitenrelaas van het Openbaar Ministerie (OM) komt naar voren dat ABN Amro onder andere tekortschoot in de eerste kernverplichting. Bij een aantal dossiers was de identificatie en verificatie niet op orde, was het niet duidelijk wat het doel en de aard van de zakelijke relatie was en was de herkomst van het vermogen bij meerdere klantdossiers onvoldoende onderbouwd.

Los van de identificatie en verificatieplicht – deze dient sowieso plaats te vinden voordat een (zakelijke) relatie wordt aangegaan – verzuimde ABN Amro om in een aantal gevallen een verder onderzoek te doen naar de herkomst van het vermogen. Dit onderzoek had juist op risicogerichte wijze moeten plaatsvinden. Als gevolg hiervan had De Nederlandsche Bank (DNB) in 2015 al een last onder dwangsom opgelegd. DNB droeg ABN AMRO daarbij op om alle dossiers van Private Banking klanten te controleren, te herstellen en compliant te maken. In de periode erna volgde diverse herstel- en verbetertrajecten. Ook toen bleek ABN Amro tekort te schieten in haar aanpak. Dat bleek onder andere uit diverse interne audits en bevindingen die gerapporteerd zijn aan het bestuur en de Raad van Commissarissen (RvC). Deadlines werden structureel niet gehaald, de kwaliteit van de dossiers was niet op orde en het compliance-beleid was niet duidelijk genoeg.

Pas in 2019 greep het bestuur van ABN AMRO hard in. Men koos ervoor om het roer drastisch om te gooien. In plaats van de uitvoering van de herstelwerkzaamheden te beleggen in de business lines, werd het herstelprogramma centraal aangestuurd via het Detecting Financial Crime programma. Hiermee werd het losgetrokken van de business as usual. Het doel was om de tekortkomingen structureel op te lossen. Naar het oordeel van het OM had deze keuze eerder gemaakt kunnen en moeten worden.

Voorbeeld 2: Rabobank

Een vergelijkbaar voorbeeld doet zich voor bij Rabobank. Alhoewel hier geen sprake is van een boetebesluit of een schikking met het OM, kreeg de Rabobank al eerder een tik op de vingers van DNB. Eind 2019 verscheen er een artikel in het Financieele Dagblad waarin werd gemeld dat Rabobank voor 40.000 klanten opnieuw onderzoek moet doen. Dat onderzoek diende vóór april 2020 te zijn afgerond. Om deze reden legde DNB al in 2018 een last onder dwangsom op. DNB stelde dat de bank een reeks aan verbeterplannen moest doorvoeren die erop toezien dat de bank zijn verplichtingen jegens de Wwft structureel nakomt.

Rabobank ontwikkelde een vergelijkbaar centraal aangestuurd herstelprogramma om deze problemen het hoofd te bieden. Er werden forse investeringen gedaan in IT-systemen en opgeleide professionals om te voldoen aan de verplichtingen die de toezichthouder stelt.

Voorbeeld 3: ING

Verschillende klanten van ING werden verdacht van het plegen van strafbare feiten. Later bleek dat het nalatig handelen van ING ten aanzien van deze klanten niet incidenteel was, maar het gevolg van structurele tekortkomingen bij deze grootbank. Ook ING is door de jaren heen (2005-2016) diverse malen gewezen op hun tekortkomingen. In 2015 legde DNB een last onder dwangsom op. ING zette een herstelplan op voor de eerder geconstateerde tekortkomingen.

Wat gaat er structureel mis?

Als je de bovenstaande voorbeelden leest, waaronder de waarschuwingssignalen van toezichthouders en overheid, dan denk je misschien: wat gaat er structureel mis bij deze banken? Hoe kan het dat pas na meerdere waarschuwingen en (vaak) een formele aanzegging vanuit de toezichthouder actie wordt ondernomen? Vanuit mijn eigen waarneming en praktijkervaring benoem ik vier verbeterpunten die hier aan ten grondslag kunnen liggen.

1. Onvoldoende prioriteit voor compliance & risk
Op de eerste plaats ligt de focus vaak onvoldoende op het voldoen aan wet- en regelgeving. De winstgevendheid van de organisatie en het behalen van de commerciële doelstellingen krijgt voornamelijk prioriteit. Het verdienmodel van de traditionele banken staat de laatste jaren onder druk. Dat komt door een teruglopende marge op de rente-inkomsten, hoge (personeel)kosten en benodigde investeringen in Operational Excellence. Daarmee wordt de business boven compliance gesteld en treffen banken onvoldoende maatregelen om compliant te zijn aan de Wwft verplichtingen.

2. Regie ontbreekt op klantproces
Op de tweede plaats zijn banken ingericht als silo’s. Daar bedoel ik mee dat verschillende bedrijfsonderdelen binnen de bank verantwoordelijk zijn voor een deel van het klantproces en de producten en diensten die de klant afneemt. Het gevolg hiervan is dat de regie op de totale keten van bijvoorbeeld het onboarding proces ontbreekt. Dit wordt namelijk uitgevoerd binnen de verschillende onderdelen van de bank. Communicatie tussen de verschillende afdelingen is onvoldoende en processen sluiten onvoldoende op elkaar aan. Hierdoor weet de ene afdeling niet exact wat de andere afdeling doet (of heeft gedaan). Overzichtelijke managementinformatie ontbreekt om adequaat te kunnen sturen.

3. Een versnipperd IT-landschap
Op de derde plaats hebben banken te maken met een enorm versnipperd IT-landschap. Vaak wordt er in meer dan tien verschillende systemen klantdata vastgelegd. De gegevens die beschikbaar zijn, worden in sommige gevallen niet op tijd met elkaar in verband gebracht. Zeker vanuit het perspectief van de Wwft, waarbij een integrale kijk op de klant een vereiste is om integriteitsrisico’s vast te stellen en te mitigeren, vormt dit een belangrijk obstakel.

4. Een gezamenlijke aanpak ontbreekt
Laatste, en zeker niet onbelangrijk, is het ontbreken van een structurele en gezamenlijke aanpak van het probleem met witwassen en terrorismefinanciering tussen banken. Geldstromen die vanuit de klant tussen verschillende banken lopen, zijn lastig te traceren. Iedere bank afzonderlijk kan slechts een deel van de puzzel leggen, waardoor belangrijke signalen worden gemist. Ook het structureel delen van kennis en ervaring tussen banken in de aanpak van witwassen en terrorismefinanciering ontbreekt. Simpele zaken zoals het delen van best practices of guidances worden niet of nauwelijks gedaan. Inmiddels ontstaan wel de eerste initiatieven, zoals Transactie Monitoring Nederland (TMNL). Dit is een initiatief waarbij TMNL transacties gaat monitoren die plaatsvinden tussen een aantal banken.

Conclusie: KYC/CDD moet in het DNA

Om de problemen aan te pakken, startten de banken diverse herstelprojecten op. Met deze herstelprojecten zijn ook duizenden analisten aan het werk gegaan om zo snel en goed mogelijk het hersteltraject uit te voeren. Ik wil niet betogen dat het klantonderzoek achterwege kan blijven. Integendeel. De voorbeelden laten zien dat banken onvoldoende maatregelen treffen om het risico van witwassen en terrorismefinanciering tegen te gaan. Wat ik wél wil betogen, is dat herstelprojecten geen projecten op zichzelf moeten zijn. De aanpak van witwassen en terrorismefinanciering moet onderdeel zijn van het DNA van de bank. Het moet een integraal onderdeel zijn van het beleid en de processen bij de banken, zodat KYC business as usual gaat worden en niet als een pleister op de wond wordt geplakt. Als KYC/CDD-professional speel jij hier een sleutelrol in.

Bronnen:

• Onderzoek Guardian, het gezamenlijke strafrechtelijk onderzoek van het Openbaar Ministerie en het FIOD naar ABN AMRO bank N.V.
• https://www.businessinsider.nl/rabobank-krijgt-tik-op-de-vingers-van-dnb-40-000-nederlandse-klanten-moeten-opnieuw-worden-doorgelicht-op-witwassen/
• Onderzoek Houston, het strafrechtelijk onderzoek naar ING bank