U bevindt zich hier: / Artikelen

Stablecoins in Europa: de race om digitaal geld

Stablecoins zijn niet langer alleen een cryptoverhaal. Hun wereldwijde marktkapitalisatie bedraagt inmiddels meer dan 305 miljard dollar. Bovendien waren de jaarlijkse overdrachtsvolumes in 2024 groter dan die van Visa en Mastercard samen. Daarmee zijn stablecoins doorgedrongen tot de mainstream financiële infrastructuur.[1] Als jouw financiële instelling nog geen duidelijk beeld heeft van wat dit operationeel, strategisch en compliance-technisch betekent, is het nu tijd om dat beeld te vormen.

Dit artikel behandelt wat financiële instellingen moeten begrijpen over stablecoins. Denk aan hoe stablecoins werken en waarom ze koploper zijn onder de vormen van digitaal geld. Ook komt aan bod waarom dollardominantie een geopolitieke kwestie is en niet zomaar een marktgegeven, wat banken ontdekken wanneer ze deze markt betreden, en hoe de regelgevende kaders aan beide kanten van de Atlantische Oceaan vorm krijgen. Met USDT en USDC die samen 93% van de wereldwijde stablecoinmarkt uitmaken en euro-gedenomineerde alternatieven die minder dan 0,3% vertegenwoordigen, is de dollardominantie in deze markt nauwelijks te overschatten.[2] De centrale vraag voor Europa is of een consortium van 37 banken, verenigd onder het Qivalis-initiatief, nog een geloofwaardig antwoord kan bieden, of dat wij als Europa al achter de feiten aanlopen.

De basis moet kloppen

Stablecoins zijn blockchain-gebaseerde digitale tokens die een stabiele waarde behouden ten opzichte van een referentie-activum, meestal een fiatvaluta zoals de Amerikaanse dollar of de euro. Ze combineren de programmeerbaarheid en afwikkelingssnelheid van cryptoinfrastructuur met de voorspelbaarheid van een soevereine valuta.

Om te begrijpen waar stablecoins passen, helpt het om naar het bredere landschap van digitaal geld te kijken. Er worden doorgaans drie hoofdvormen onderscheiden: cryptovaluta, Central Bank Digital Currencies (CBDC’s) en stablecoins. Van deze drie zijn stablecoins het verst ontwikkeld, zowel qua adoptie als qua regelgevende duidelijkheid. Cryptovaluta blijven sterk volatiel en speculatief. CBDC’s liggen anders: medio 2025 verkennen 137 landen, goed voor 98% van het wereldwijde bbp, deze vorm, waarvan 49 landen in een actieve pilotfase zitten. Ondanks dat wereldwijde momentum hebben stablecoins sneller terrein gewonnen en worden ze al op schaal ingezet in commerciële toepassingen waar CBDC’s nog mee experimenteren.[3]

Privaat uitgegeven, geen soeverein geld

Een onderscheid dat vaak over het hoofd wordt gezien, is dat stablecoins privaat uitgegeven instrumenten zijn, geen soeverein geld. Een stablecoin is enkel zo stabiel als de partij erachter. De waarde hangt volledig af van het reservebeheer, de governance en de regelgevende naleving van de uitgever. Er is geen centrale bank die als vangnet fungeert. Als de uitgever de reserves verkeerd beheert, te maken krijgt met een run op inwisselingen, of zijn regelgevende status verliest, kan de munt plotseling zijn vaste waarde verliezen. De ineenstorting van TerraUSD in mei 2022 illustreerde dit: ontwerpfouten en een verlies van vertrouwen vaagden binnen enkele dagen tientallen miljarden dollars aan marktwaarde weg.[4]

Dit is het eerste wat elke instelling moet begrijpen voordat ze stablecoins in haar producten of processen opneemt. Bij CBDC’s bestaat dat risico niet: het is soeverein geld, rechtstreeks uitgegeven door centrale banken, en overheden behouden volledige controle over de uitgifte. Overheden kunnen ook functies zoals bestedingsbeperkingen of gerichte distributie rechtstreeks in de munt programmeren.

Het voordeel bij grensoverschrijdende betalingen

Los van dit onderscheid met CBDC’s, ligt de kracht van stablecoins onder andere bij grensoverschrijdende betalingen: het efficiëntievoordeel is niet te negeren. Een traditionele betaling via SWIFT (Society for Worldwide Interbank Financial Telecommunication) gaat niet rechtstreeks van zender naar ontvanger. Ze doorloopt een keten van correspondentbanken, die elk tijd en kosten toevoegen. Eén betaling kan drie tot vijf partijen passeren voordat ze aankomt, met kosten tot 50 dollar en een afwikkeltijd van één tot drie werkdagen.[5] Een stablecoinbetaling schakelt die keten volledig uit. Het token gaat rechtstreeks van zender naar ontvanger op een blockchain, zonder tussenpartijen, met afwikkeling binnen vijf seconden tegen kosten van minder dan één cent.

Drie manieren waarop bedrijven stablecoins gebruiken

Een van de drie manieren waarop toonaangevende bedrijven stablecoins gebruiken, is voor grensoverschrijdende betalingen: ze zijn goedkoper en sneller dan traditionele methoden, dus de voordelen zijn duidelijk. De tweede manier is het beschermen van bedrijfskasgeld. In landen met hoge inflatie, waar de lokale munt snel waarde verliest, kunnen bedrijven in plaats daarvan stablecoins aanhouden, omdat de waarde daarvan stabiel blijft. De derde toepassing is geautomatiseerde betalingen. Omdat stablecoins op code draaien, kunnen ze betalingen automatiseren, waardoor handmatige controle en goedkeuring van elke transactie wegvalt, wat tijd bespaart en fouten vermindert.[6]

Dollardominantie is een geopolitieke kwestie, geen marktgegeven

De dollardominantie is opvallend. Het verschil tussen USDT, USDC en euro-gedenomineerde alternatieven laat al zien dat deze scheefheid geen kwestie van marktvoorkeur is. Het weerspiegelt een structureel probleem met geopolitieke gevolgen. Het dollar-stablecoinecosysteem versterkt zichzelf: hoe groter het wordt, hoe moeilijker het voor alternatieven wordt om voet aan de grond te krijgen. Netwerkeffecten in betalingen zijn krachtig en moeilijk om te keren.

De Europese Centrale Bank (ECB) is hier duidelijk over geweest. Een blogpost van juli 2025 waarschuwde dat dollardominantie bij stablecoins de Verenigde Staten strategische en economische voordelen geeft. Het land kan zo zijn schuld goedkoper financieren en tegelijk wereldwijde invloed uitoefenen. Europa blijft daarentegen achter met hogere financieringskosten, minder monetaire beleidsautonomie en geopolitieke afhankelijkheid.[7] Een ECB working paper van maart 2026 ging nog verder en waarschuwde dat wijdverbreide adoptie van dollar-gedenomineerde stablecoins in de eurozone kan leiden tot uitstroom van retaildeposito’s, de kredietverleningscapaciteit van Europese banken kan beperken en in extreme gevallen kan neerkomen op een vorm van gedeeltelijke valutasubstitutie.[8]

Voor Europese bedrijven is die afhankelijkheid al werkelijkheid. Bedrijven die zijn overgestapt op stablecoin-rails voor grensoverschrijdende betalingen, doen dit vrijwel allemaal via dollarinfrastructuur. In de praktijk betekent dit dat ze afhankelijk zijn van Amerikaanse financiële systemen, zelfs voor betalingen die niets met de Verenigde Staten te maken hebben.

Een voorbeeld: Meta’s terugkeer naar stablecoins

In 2019 kondigde Meta (destijds Facebook) Libra aan, een stablecoin gedekt door een mandje nationale valuta’s, bedoeld als wereldwijde digitale munt.[9] Overheden en centrale banken aan beide kanten van de Atlantische Oceaan verzetten zich hevig, met zorgen over monetaire soevereiniteit, privacy en systeemrisico. Het project werd geleidelijk afgeschaald, omgedoopt tot Diem, en uiteindelijk begin 2022 stopgezet toen de bijbehorende activa werden verkocht. Het compliance- en toezichtkader bood destijds simpelweg geen ruimte voor een initiatief van deze omvang.

Die omgeving is veranderd. Meta plant een comeback op het gebied van stablecoins in de tweede helft van 2026, dit keer met een fundamenteel andere aanpak.[10] In plaats van een eigen munt uit te geven, positioneert Meta zich als distributiekanaal en integreert het stablecoin-rails van derden op Facebook, Instagram en WhatsApp. Stripe, het betaalbedrijf dat veel gebruikt wordt door bedrijven voor online transacties, zou naar verluidt de waarschijnlijke infrastructuurpartner zijn.[11] CEO Patrick Collison trad in april 2025 toe tot de raad van bestuur van Meta.

Voor Europa zijn de gevolgen aanzienlijk: Meta heeft wereldwijd meer dan 3 miljard gebruikers. Als stablecoinbetalingen ingebed raken in zijn platforms, versnelt de adoptiecurve voor dollar-gekoppelde digitale betalingen in een tempo dat geen enkel Europees initiatief tot nu toe heeft geëvenaard, waardoor het venster voor euro-gedenomineerde alternatieven om te concurreren op distributie verder vernauwt. Precies die dynamiek proberen Europese banken nu voor te blijven.

Een nieuw speelveld voor financiële instellingen

De kans

Grote banken zien stablecoins zowel als risico als kans. Wie niet handelt, loopt het risico terrein te verliezen aan techbedrijven en cryptobedrijven, die betaaldiensten kunnen overnemen, met alle geld en klantgegevens van dien. Banken die wel handelen, kunnen echter hun verdienmodel vernieuwen, nieuwe inkomstenstromen aanboren en klanten diensten aanbieden die nu nog niet bestaan.

De duidelijkste kans ligt bij grensoverschrijdende betalingen. Stablecoins schakelen de correspondentbankketen uit, wat kosten en afwikkeltijden voor zakelijke klanten verlaagt. Voor banken betekent dit dat ze klanten behouden die anders naar fintech-alternatieven zouden overstappen, terwijl ze ook inkomsten genereren uit de reserves achter de stablecoinuitgifte. Het verdienmodel is eenvoudig en het concurrentievoordeel duidelijk.[12]

JPMorgan heeft al stappen gezet en breidde zijn JPM Coin-platform uit met euro-gedenomineerde betalingen, met Siemens als eerste zakelijke klant. Begin 2025 gaf de CEO van Bank of America bovendien aan dat de bank een eigen stablecoin zou lanceren. Citigroup, PayPal en andere partijen hebben in verschillende mate interesse getoond. De vraag is niet langer óf banken aan deze markt gaan deelnemen, maar of hun compliance- en operationele infrastructuur de snelheid van de uitrol kan bijbenen.[13]

Het risico

Deze kansen gaan gepaard met aanzienlijke operationele en reputatierisico’s.

Compliance

Het grootste probleem is compliance. Stablecoinbetalingen vinden dag en nacht plaats, elke dag van de week, wat de lat voor monitoring hoger legt dan veel banken gewend zijn bij andere betaalkanalen, zelfs die met realtime monitoring. Ze moeten continu toezien op verdachte activiteiten en signalen dat een uitgever in de problemen kan komen. Ook moeten ze ongebruikelijk rekeninggedrag en uitbetalingsverzoeken monitoren, op een schaal waarvoor batchgewijze controles nooit ontworpen zijn.

Het risico van regelgevend toezicht en crimineel misbruik is reëel, niet slechts een theoretische zorg. Volgens Chainalysis werd 63% van het illegale cryptotransactievolume in 2024 toegeschreven aan stablecoins, gelinkt aan witwassen, sanctieontduiking en financiële criminaliteit.[14] Al zegt dit meer over gebruikspatronen dan over het risico dat inherent is aan het instrument zelf, het geeft wel aan hoeveel toezicht elke bank die deze markt betreedt kan verwachten. Know Your Customer (KYC)-processen moeten volledig worden herzien. Zowel de Amerikaanse GENIUS Act (Guiding and Establishing National Innovation for US Stablecoins) als de Europese MiCAR-verordening (Markets in Crypto-Assets Regulation) vereisen dat KYC-verplichtingen zich uitstrekken tot blockchain-walletadressen, iets waarvoor de meeste bestaande programma’s niet zijn ontworpen. Toonaangevende complianceteams reageren hierop met een drieledige aanpak, waarbij tegelijkertijd wordt gemonitord op blockchain-, transactie- en breder ecosysteemniveau.

Naast compliance spelen drie andere risico’s een rol bij elke stablecoinstrategie: beveiliging, wie er achter de munt staat, en of de munt zijn waarde kan behouden.

Risico’s rond beveiliging, dekking en waarde

Beveiliging werd een serieuze zorg na de Bybit-hack van 2025, waarbij hackers 1,4 miljard dollar buitmaakten.[15] Dit liet duidelijk zien wat er mis kan gaan als bedrijven digitale activa niet goed beveiligen. Het tegenpartij- en uitgeversrisico is structureel: private partijen, niet centrale banken, geven stablecoins uit, dus bedrijven moeten zelf de reserves en reputatie van elke uitgever controleren. Het laatste risico is of de munt zijn waarde behoudt. De ineenstorting van TerraUSD in 2022 liet zien dat zelfs een populaire stablecoin plotseling zijn waarde kan verliezen, met paniek tot gevolg wanneer iedereen tegelijk probeert uit te stappen.

Vertrouwen en voorlichting van klanten

Er is ook een risico dat wat verder weg ligt, maar niet minder belangrijk is. De meeste retail- en zakelijke klanten begrijpen momenteel weinig van hoe stablecoins werken, wat ze dekt, of hoe ze verschillen van bekende betaalmethoden. Die kenniskloof creëert direct een vertrouwenskloof, en vertrouwen moet er zijn voordat adoptie kan plaatsvinden. Financiële instellingen die snel inzetten op uitrol zonder evenveel te investeren in klantvoorlichting, zullen waarschijnlijk merken dat hun klanten niet volgen. Dat begrip opbouwen is geen marketingkwestie, maar een essentieel onderdeel van het verantwoord introduceren van een werkelijk nieuw financieel instrument.

Het Europese antwoord: Qivalis

De afhankelijkheid van dollar-gedenomineerde stablecoins, en de druk die dit op Europese banken legt om te handelen, heeft geleid tot een concreet antwoord. Dat antwoord komt van Qivalis, een joint venture van een consortium van 37 Europese banken dat werkt aan een volledig gereguleerde, 1-op-1 gedekte eurostablecoin, met een geplande lancering in de tweede helft van 2026.[16] Tot de deelnemers behoren grote namen als BBVA, BNP Paribas, ING, UniCredit, Rabobank en CaixaBank, verspreid over vrijwel elke belangrijke Europese markt. Een volledige lijst van deelnemende banken is te vinden op de website van Qivalis.

De intentie is duidelijk. Europese bedrijven hebben momenteel geen toegang tot een gereguleerd, Europees uitgegeven digitaal afwikkelingsmiddel dat niet via Amerikaanse financiële infrastructuur loopt. Qivalis is bedoeld om daarin te voorzien.[17] Jan-Oliver Sell, CEO van Qivalis, heeft het probleem rechtstreeks benoemd: met alleen dollarstablecoins op schaal beschikbaar, zijn Europese bedrijven afhankelijk van door de VS gecontroleerde digitale rails voor grensoverschrijdende handel.

De regelgevende aanpak is vanaf het begin MiCAR-conform. Dat is belangrijk, omdat MiCAR het specifieke kader is dat de EU heeft gebouwd voor uitgevers van en dienstverleners in crypto-activa. Qivalis zoekt geen uitzonderingen en opereert niet in een regelgevend grijs gebied; het is juist gebouwd om binnen de regels te werken.

Het concurrentielandschap

De uitdaging die voor ligt is reëel. Netwerkeffecten in betalingen zijn sterk en veranderen langzaam. Het duidelijkste voorbeeld is EURC: Circle, een Amerikaans bedrijf, geeft momenteel de grootste in omloop zijnde euro-gedenomineerde stablecoin uit.[18] Dat is precies het probleem dat Qivalis wil oplossen: een niet-Europese uitgever beheerst zelfs vandaag de belangrijkste eurostablecoin, waardoor Europese bedrijven afhankelijk zijn van een Amerikaans bedrijf voor euro-gedenomineerd digitaal geld.

MiCAR heeft ondertussen Tethers USDT volledig uit de EU verdrongen. Met de definitieve MiCAR-nalevingsdeadline van 1 juli 2026 hebben gelicentieerde Europese exchanges USDT van hun platforms gehaald, omdat Tether nooit de vereiste vergunning heeft aangevraagd.[19] Ook voor Qivalis zal het niet eenvoudig zijn om voldoende liquiditeit te bereiken om echt bruikbaar te zijn, maar het betreedt een markt waarin regelgeving de grootste dollargebaseerde concurrent al heeft uitgesloten, en waarin het grootste eurobased alternatief nog altijd in buitenlandse handen is.

De vertrouwenskloof

Er is ook een vertrouwensdimensie die niet onderschat moet worden. Qivalis is een nieuw instrument van bedrijven die de meeste retail- en zakelijke klanten niet meteen zullen associëren met digitaal geld. Zelfs met 37 banken erachter is de bekendheid van klanten met eurostablecoins laag. Het consortium zal moeten investeren in het opbouwen van dat begrip, niet alleen in het bouwen van het product.

De omstandigheden voor het slagen van Qivalis verbeteren wel. Geopolitieke fragmentatie vergroot de Europese behoefte aan alternatieven voor dollarinfrastructuur. Regelgevende duidelijkheid onder MiCAR biedt een fundament dat eerdere pogingen tot een eurostablecoin misten. Of dat genoeg is, hangt af van uitvoering, en die uitvoering hangt weer af van de regelgevende regels waarbinnen Qivalis en elke andere stablecoinuitgever nu moet opereren.

Wat dit in de praktijk betekent

De overgang naar stablecoins is geen toekomstscenario. Het gebeurt nu, en het gaat sneller dan de meeste formele planningscycli aankunnen.

Voor banken

Voor banken is de vraag niet langer óf ze zich met stablecoininfrastructuur bezighouden, maar hoe snel en via welke route. Dat betekent beoordelen of ze stablecoins kunnen uitgeven, bewaren en omzetten naar traditionele valuta en terug, binnen de bestaande regelgevende kaders. Het betekent ook het identificeren van samenwerkingsmogelijkheden met uitgevers of infrastructuurpartijen, en het aanpassen van de compliance-architectuur voor realtime, 24/7-monitoring vóórdat implementatiebeslissingen worden genomen, niet erna.

Voor Europese bedrijven

Voor Europese bedrijven die actief zijn in stablecoins is de dubbele vergunningseis (MiCAR plus EMI) nu de basis voor compliance, geen ambitieus streefdoel. De No Action Letter van de EBA van juni 2025 en de verduidelijkingen van februari 2026 lieten geen ruimte voor twijfel. Bedrijven die EMT-betaalstromen ondersteunen zonder een vergunning als betaalinstelling of EMI te hebben verkregen, opereren buiten het kader. Het precedent van Zerohash, in mei 2026 vastgelegd door De Nederlandsche Bank, geldt als maatstaf. Elk Europees bedrijf dat wil deelnemen aan stablecoininfrastructuur, of het nu als uitgever, bewaarder of betaalverwerker is, zou het verkrijgen van beide vergunningen als directe prioriteit moeten behandelen, niet als een agendapunt voor een volgend kwartaal.

Voor complianceteams

Voor complianceteams specifiek is screening op walletniveau niet langer optioneel. Stablecoins komen onevenredig vaak voor in illegale geldstromen ten opzichte van hun marktaandeel, en dat patroon zal in heel Europa regelgevend toezicht aantrekken. Blockchain-analysetools zijn basisinfrastructuur, geen gespecialiseerde extra’s. De governancekaders voor wanneer activa te bevriezen, intern te escaleren en meldingen te doen, moeten bestaan vóórdat een probleem zich voordoet, niet pas tijdens.

De architectuur van digitaal geld wordt op dit moment gebouwd. Bedrijven die stablecoins zien als een compliance-probleem om te beheersen in plaats van infrastructuur om te begrijpen, werken al met een onvolledig beeld. De beslissingen die de komende 12 tot 18 maanden worden genomen, zullen posities bepalen die daarna moeilijk te veranderen zijn.

Conclusie

Stablecoins zijn niet langer een experiment aan de rand van de financiële wereld. Ze worden kerninfrastructuur voor grensoverschrijdende betalingen, bedrijfstreasury en, in toenemende mate, voor de platforms die miljarden mensen al dagelijks gebruiken. De dominantie van de dollar in deze markt is niet toevallig ontstaan, en zal ook niet toevallig omkeren.

Voor Europa gaat het om meer dan marktaandeel. Een digitaal financieel systeem dat vrijwel volledig op dollarrails is gebouwd, heeft reële gevolgen voor monetaire autonomie, financiële stabiliteit en strategische onafhankelijkheid. Qivalis vertegenwoordigt een geloofwaardige, gereguleerde poging om die kloof te dichten, maar het betreedt een markt die wordt gevormd door diepgewortelde netwerkeffecten, een Amerikaans bedrijf dat de grootste eurostablecoin-positie bezit, en een regelgevende omgeving die, hoewel verder ontwikkeld dan haar Amerikaanse tegenhanger, in de praktijk nog steeds haar weg zoekt.

Uitvoering, niet ambitie, zal bepalen wat er hierna gebeurt. Drie factoren zijn daarbij doorslaggevend: hoe snel Europese banken vertrouwen en liquiditeit kunnen opbouwen, hoe consistent EU-lidstaten de regels toepassen die ze zijn overeengekomen, en hoe serieus financiële bedrijven in heel Europa reageren op een verschuiving die al gaande is. Het venster om te handelen is niet onbeperkt. De bedrijven die vroeg en doelgericht in actie komen, zullen degene zijn die bepalen hoe Europees digitaal geld eruitziet. In plaats van zich aan te passen aan een markt die iemand anders al heeft gebouwd, bouwen zij die markt zelf.

Meer weten?

Is uw organisatie klaar voor de regelgeving rond stablecoins en digitaal geld in Europa?

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen

[1]European Central Bank, Financial Stability Review, November 2025 (Frankfurt: European Central Bank, November 2025), https://www.ecb.europa.eu/press/financial-stability publications/fsr/html/ecb.fsr202511~263b5810d4.en.html.

[2]Crystal Foresight Team, “USDT Maintains Dominance While USDC Faces Headwinds,” Crystal Intelligence, November 13, 2025, https://crystalintelligence.com/thought-leadership/usdt-maintains-dominance-while-usdc-faces-headwinds/.

[3]Atlantic Council. (2025). Central Bank Digital Currency (CBDC) Tracker. Atlantic Council GeoEconomics Center. https://www.atlanticcouncil.org/cbdctracker/

=”#_ftnref4″ name=”_ftn4″>[4]IBTimes, “Crypto Fraudster Do Kwon Gets 15 Years for $40 Billion Terra/Luna Collapse That Triggered 2022 Crash,” IBTimes, December 12, 2025, https://www.ibtimes.com/crypto-fraudster-do-kwon-gets-15-years-40-billion-terra-luna-collapse-that-triggered-2022-crash-3792451.

[5]TreasurUp, “Stablecoins for Banks in 2025: The Strategic Playbook for Banks,” TreasurUp, May 21, 2025, https://treasurup.com/stablecoins-for-banks-strategic-playbook-2025/.

=”#_ftnref6″ name=”_ftn6″>[6]Olivier Truquet, “Banking on Stablecoins: How Financial Firms Can Lead the Next Wave of Digital Money?,” GFT Technologies, June 29, 2025, https://www.gft.com/int/en/blog/banking-on-stablecoins-financial-firms-lead-the-wave-of-digital-money.

[7]Reuters, “Dollar Stablecoins Threaten Europe’s Monetary Autonomy, ECB Blog Argues,” Reuters, July 28, 2025, https://www.reuters.com/business/dollar-stablecoins-threaten-europes-monetary-autonomy-ecb-blog-argues-2025-07-28/.

[8]European Central Bank. (2026). Stablecoins and monetary policy transmission (Working Paper Series No. 3199). European Central Bank. https://www.ecb.europa.eu/pub/pdf/scpwps/ecb.wp3199~ad552b59ec.en.pdf

[9]ShunSpirit. (2026). Why Libra failed: Unraveling Facebook’s troubled cryptocurrency venture. ShunSpirit. https://shunspirit.com/article/why-did-libra-fail

[10]CoinDesk. (2026, February 24). Mark Zuckerberg’s Meta is planning stablecoin comeback in the second half of this year. CoinDesk. https://www.coindesk.com/business/2026/02/24/mark-zuckerberg-s-meta-is-planning-stablecoin-comeback-in-the-second-half-of-this-year

[11]crypto.news, “Meta to Plug Stripe Stablecoins into Facebook, Instagram, WhatsApp in 2026,” crypto.news, February 25, 2026, https://crypto.news/meta-to-plug-stripe-stablecoins-into-facebook-instagram-whatsapp-in-2026/.

[12] Elliptic. (2025). How stablecoins can improve cross-border payments for banks. Elliptic Blog. https://www.elliptic.co/blog/how-stablecoins-can-improve-cross-border-payments-for-banks

[13]The Block. (2025, June 20). JPMorgan expands its JPM Coin system to include euro payments. The Block. https://www.theblock.co/post/236134/jpmorgan-jpm-coin-euro

[14]Chainalysis. (2025). 2025 Crypto Crime Report. Chainalysis. https://www.chainalysis.com/crypto-crime-report/

[15]IBTimes, “Bybit Hack: How the $1.4B Exploit Happened, Funds Recovered, and Who’s Responsible,” IBTimes, accessed June 2026, https://www.ibtimes.com/bybit-hack-how-14b-exploit-happened-funds-recovered-whos-responsible-3764817.

[16]Qivalis Consortium. (2026). Qivalis – Secure. Trusted. Future-ready. Qivalis. https://qivalis.eu/ (qivalis.eu)

[17]Payment Expert, “Qivalis CEO: Euro Stablecoin Will Challenge USD Stablecoins,” Payment Expert, March 4, 2026, https://paymentexpert.com/2026/03/04/qivalis-euro-stablecoin/.

[18]CryptoBriefing, “The Largest EUR Stablecoin Is Issued by a US-Based Company, and Europe Should Be Paying Attention,” CryptoBriefing, May 2026, https://cryptobriefing.com/largest-eur-stablecoin-us-issuer-circle/.

[19]Phemex, “Why EU Exchanges Are Delisting Tether Before the July 1 MiCA Deadline,” Phemex, accessed June 2026, https://phemex.com/academy/eu-exchanges-delist-tether-mica-deadline.

Worden cryptomixers door de AMLR steeds moeilijker te negeren?

Cryptomixers, ook wel tumblers genoemd, zijn hulpmiddelen die de anonimiteit van gebruikers van cryptovaluta vergroten. Zij doen dit door crypto-assets van meerdere gebruikers te vermengen, waardoor de oorspronkelijke herkomst en bestemming van de middelen worden verhuld. Het doel is de traceerbaarheid op de blockchain te verminderen: doordat transacties worden vermengd met die van anderen, wordt het aanzienlijk moeilijker om de oorspronkelijke bron of bestemming van de crypto-assets te achterhalen.

Mixers hebben echter twee kanten. Enerzijds bieden zij meer privacy aan legitieme gebruikers, anderzijds stellen zij kwaadwillenden in staat hun financiële stromen te verhullen. Dit is met name relevant tijdens de layeringfase van witwassen. Het doel van deze tweede fase is om de criminele herkomst van gelden te verhullen door meerdere transactielagen te creëren die het volgen van geldstromen bemoeilijken. Een mixer kan hiervoor een effectief instrument zijn: in één stap worden transactiesporen die normaal gesproken zichtbaar zijn op de blockchain aanzienlijk lastiger te volgen.

Voor crypto-asset service providers (CASPs) betekent dit dat het screenen van klanten uitsluitend bij de onboarding niet langer volstaat. Wanneer een klant crypto-assets stort die via een mixer zijn geleid, of wanneer een transactie wordt verzonden naar een adres dat met een mixer in verband staat, biedt de identiteit van de klant op zichzelf onvoldoende inzicht in de herkomst of bestemming van de middelen. CASPs moeten daarom ook de transactiegeschiedenis van zowel inkomende als uitgaande crypto-assets beoordelen.

Hoe de AMLR de risico’s rond mixers beïnvloedt

De Anti-Money Laundering Regulation (AMLR), die vanaf 10 juli 2027 van toepassing is, introduceert verplichtingen die gericht zijn op het beperken van de risico’s die samenhangen met cryptomixers.

Meer in het algemeen verplicht de AMLR CASPs om gedurende de volledige zakelijke relatie doorlopende monitoring uit te voeren. Dit houdt onder meer in dat transacties voortdurend worden beoordeeld om vast te stellen of zij overeenkomen met de kennis die de CASP heeft van de klant en diens risicoprofiel.[1]Dit is bijzonder relevant voor blootstelling aan mixers, omdat deze risico’s zich vaak pas na de onboarding manifesteren.

Verbod op anonieme accounts

Mixers kunnen worden gebruikt om de herkomst of bestemming van crypto-assets te verhullen en zo pogingen om transactiestromen te volgen te frustreren, bijvoorbeeld totdat de activa kunnen worden overgedragen, ingewisseld of omgezet in fiatgeld. Een anoniem crypto-account bij een CASP kan dit proces verder faciliteren doordat toegang wordt verkregen tot het gereguleerde financiële stelsel zonder dat de rekeninghouder duidelijk identificeerbaar is.

De AMLR beperkt dit risico door CASPs te verbieden anonieme accounts of andere accounts aan te houden die de anonimiteit van de rekeninghouder of het verhullen van transacties mogelijk maken.[2]

Zelfgehoste wallets en mixer-risico’s

Transacties van of naar zelfgehoste wallets (self-hosted addresses) kunnen eveneens risico’s met zich meebrengen. Standaard KYC-onderzoek biedt immers onvoldoende inzicht in de transactiegeschiedenis van de betrokken crypto-assets.

Daarom verplicht de AMLR CASPs om de risico’s op witwassen en terrorismefinanciering bij dergelijke transacties te identificeren en te beoordelen, en passende interne beleidsmaatregelen, procedures en controles in te richten.[3]

Wanneer blockchainmonitoring of andere risico-indicatoren wijzen op blootstelling aan mixers, kan van CASPs worden verwacht dat zij proportionele risicobeperkende maatregelen treffen, zoals:

  • aanvullende informatie opvragen over de herkomst en bestemming van de crypto-assets;
  • verscherpt doorlopend toezicht toepassen.

Klantonderzoek en herkomst van middelen

Blootstelling aan mixers roept niet alleen vragen op over de manier waarop crypto-assets zich verplaatsen, maar ook over hun herkomst en doel.

Als onderdeel van het cliëntenonderzoek (Customer Due Diligence) moeten CASPs de aard en het beoogde doel van de zakelijke relatie of incidentele transactie begrijpen en, waar nodig, aanvullende informatie verkrijgen. Wanneer middelen via een mixer lijken te zijn verlopen, kan het noodzakelijk zijn dat de CASP nadere toelichting en documentatie opvraagt over de herkomst of bestemming van de middelen voordat de transactie wordt uitgevoerd.[4]

Verscherpt cliëntenonderzoek

Wanneer blootstelling aan mixers of andere verdachte indicatoren wijzen op een verhoogd risico, kunnen CASPs verplicht zijn Enhanced Due Diligence (EDD) toe te passen.

Dit omvat onder meer onderzoek naar:

  • de herkomst en bestemming van de middelen;
  • het doel van transacties die complex zijn;
  • ongebruikelijk groot zijn;
  • volgens een ongebruikelijk patroon plaatsvinden; of
  • geen duidelijke economische of rechtmatige reden lijken te hebben.[5]

In de praktijk betekent dit dat middelen die via een mixer zijn gegaan een hogere risico-indicator kunnen vormen. Afhankelijk van de omstandigheden kan dit leiden tot verscherpt cliëntenonderzoek en mogelijk zelfs tot het indienen van een melding van een ongebruikelijke of verdachte transactie.

Risicogebaseerde monitoring moet bovendien zowel inkomende als uitgaande transacties omvatten. In de praktijk wordt de nadruk soms vooral gelegd op uitgaande transacties, terwijl ook de herkomst van inkomende crypto-assets moet worden beoordeeld wanneer dat relevant is. Inkomende stortingen behoren daarom eveneens onderdeel uit te maken van het transactiemonitoringsraamwerk van de CASP.

Praktische gevolgen voor CASPs

De AMLR zal in de praktijk aanzienlijke operationele gevolgen hebben voor CASPs. Belangrijke aandachtspunten zijn onder meer:

  • Blockchainanalyse: Blockchainanalysetools kunnen helpen bij het in kaart brengen van transactieketens en het identificeren van blootstelling aan mixers en andere risicofactoren.
  • Risicoscores: Risicogebaseerde regels en scoringsmechanismen helpen CASPs om meldingen te prioriteren en passende vervolgacties te bepalen.
  • Klantprofilering en doorlopende monitoring: CASPs moeten een verwacht transactieprofiel van de klant opstellen, inclusief relevant gebruik van zelfgehoste wallets, en latere transacties monitoren op afwijkingen of blootstelling aan mixers.
  • Escalatieprocedures voor verdachte activiteiten: Er moeten duidelijke interne procedures bestaan voor het melden, onderzoeken en opvolgen van verdachte transacties.
  • Training van medewerkers: Compliance- en operationele medewerkers moeten in staat zijn mixers en bijbehorende transactiepatronen te herkennen als onderdeel van de interne beheersmaatregelen.
  • Betere documentatie: Risicobeoordelingen, monitoringsactiviteiten en genomen beslissingen moeten aantoonbaar worden vastgelegd.
  • Hogere compliancekosten: De benodigde technologie, personele capaciteit en procesaanpassingen zullen naar verwachting leiden tot hogere compliancekosten voor CASPs.

Conclusion

Cryptomixers illustreren waarom de AMLR van CASPs verlangt dat zij verder kijken dan uitsluitend de onboarding van klanten. De Verordening bevat geen algemeen verbod op het gebruik van mixers, en blootstelling aan een mixer maakt een transactie niet automatisch verdacht.

Wel verplicht de AMLR CASPs om gedurende de gehele zakelijke relatie de risico’s van cryptotransacties te beoordelen en, waar relevante risico-indicatoren zich voordoen, passende en proportionele maatregelen te nemen.

De belangrijkste vraag is daarom niet of CASPs blootstelling aan mixers volledig kunnen uitsluiten, maar of zij deze kunnen identificeren, beoordelen, documenteren en waar nodig escaleren.

Daarvoor is meer nodig dan alleen blockchainanalyse. Klantrisicoprofielen, transactiemonitoring, interne procedures, rapportagelijnen en de kennis van medewerkers moeten samen één samenhangend compliancekader vormen.

Compliance Champs ondersteunt CASPs bij het vertalen van wettelijke verplichtingen naar praktische en proportionele beheersmaatregelen. Met risicoanalyses, beoordelingen van beleid en procedures, compliance monitoring, rapportages, trainingen en implementatieondersteuning helpen wij organisaties hiaten te identificeren en hun AML-framework te versterken.

 

Is uw huidige AML-framework klaar is voor de AMLR?

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

[1] Article 26, Regulation (EU) 2024/1624

[2]  Article 79, Regulation (EU) 2024/1624 

[3] Article 40, Regulation (EU) 2024/1624 

[4] Article 20 and 25, Regulation (EU) 2024/1624 

[5] Article 34, Regulation (EU) 2024/1624 

EU Pay Transparency Directive

De EU Pay Transparency Directive komt eraan, en voor veel organisaties is het werk dat hierbij komt kijken groter dan het op het eerste gezicht lijkt.

Richtlijn (EU) 2023/970 introduceert bindende verplichtingen die verder gaan dan het publiceren van salarisranges. Denk aan gender-neutrale functiewaarderingen, schriftelijke beloningscriteria, het recht van werknemers op vergelijkende beloningsinformatie, en verplichte rapportage over de loonkloof tussen mannen en vrouwen.

Precies daarom hebben wij bij Compliance Champs een nieuwe compliance-dienst ontwikkeld.

Wij begeleiden organisaties in elke stap: van een eerste training en compliance gap-assessment, via functiewaardering en beleid en procedures, tot de inrichting van rapportages en doorlopende ondersteuning. Of je nu bij nul begint of specifieke gaps wilt dichten, wij helpen je een programma te bouwen dat praktisch, gedocumenteerd en audit-ready is.

We hebben een one-pager samengesteld die precies uiteenzet wat de richtlijn vereist en hoe onze diensten hierop aansluiten.

Download hem hier

 

Lees hier meer updates.

 

Compliance audits: van incident naar systeem 

Dit is het laatste artikel in de reeks ‘Het landschap van compliance onderzoeken’. In de eerdere artikelen in deze reeks stonden de individuele dossiers en relaties centraal. Integriteitsonderzoeken, due diligence, IDD en AML/KYC gingen telkens over specifieke partijen, transacties of klantrelaties. De kernvraag was tastbaar: wat is hier gebeurd, met déze klant, déze deal of dít signaal? 

Bij compliance audits verschuift het perspectief radicaal. Niet de losse zaak staat centraal, maar het raderwerk eromheen: het beleid, de processen, de controles, de cultuur en de rapportagelijnen. De vraag is niet langer “is dit specifieke dossier op orde?”, maar “werkt ons compliance-raamwerk als geheel zoals bedoeld, en waar zitten de blinde vlekken?”. 

Waar de focus in deze reeks ligt op het brede landschap van onderzoeken binnen één organisatie, zoomt de parallelle serie AML/CFT internal audits – De onzichtbare strijd juist in op de specifieke dynamiek van AML/CFT-audits zelf. Daarin bespreken we waarom zoveel audits verworden tot een papieren werkelijkheid, en wat er nodig is om tot echt risicogedreven toetsing te komen. 

1. Wat verstaan we onder een compliance audit?

Het begrip ‘compliance audit’ is rekbaar. In de praktijk varieert de reikwijdte van een gerichte flitstoets op één thema (zoals sanctiescreening of belangenverstrengeling) tot een omvangrijk onderzoek naar het complete compliance managementsysteem. 

Een gedegen audit ontleedt de organisatie op drie niveaus: 

  • Opzet: Zijn het beleid, de procedures, de rollen en de systemen in theorie zó ingericht dat naleving überhaupt mogelijk is? 
  • Bestaan: Zijn die elementen ook daadwerkelijk geïmplementeerd, of leven ze uitsluitend op papier? 
  • Werking: Functioneren de controles in de weerbarstige praktijk zoals bedoeld, en worden afwijkingen tijdig opgemerkt en gecorrigeerd? 

Waar een forensisch onderzoek hoofdzakelijk achteromkijkt (“wat ging er mis?”), kijkt een compliance audit juist vooruit: “als we op deze voet doorgaan, waar gaan de volgende incidenten vallen?”. In de AML/CFT-auditreeks komt dit scherp terug als het verschil tussen afvinklijstjes en audits die daadwerkelijk de verborgen risico’s blootleggen.

2. De audit als spiegel van het systeem

Integriteits- en compliance-issues staan zelden op zichzelf. Een incident, een rode vlag in IDD, een klant met een verhoogd sanctierisico of een moeizaam KYC-dossier is vrijwel altijd het symptoom van een dieperliggend systeemprobleem. Denk aan: 

  • Een onduidelijke of niet-gedragen risk appetite. 
  • Beleid dat achter een bureau is bedacht en totaal niet aansluit bij de praktijk. 
  • Gebrekkige data of haperende tooling. 
  • Vage grenzen tussen de business, legal, compliance en audit. 
  • Een cultuur waarin kritische vragen worden gezien als lastig of vertragend. 

Compliance audits brengen deze patronen genadeloos in beeld. Ze laten zien waarom dezelfde type fouten of omissies telkens terugkeren in verschillende dossiers, teams of landen. Daarmee vormt de audit het logische sluitstuk van deze reeks: het verlegt de aandacht definitief van het incident naar het systeem.

3. Drie smaakjes in de praktijk

Hoewel de praktijk vloeibaar is, onderscheiden we conceptueel drie typen compliance audits. 

3.1 Themagebonden audits 

Deze audits bijten zich vast in één specifiek onderwerp. Bekende voorbeelden zijn: 

  • Sancties en exportcontrole 
  • Belangenverstrengeling en nevenfuncties 
  • Klokkenluidersregelingen en speak-up 
  • Gifts & hospitality 
  • Third-party due diligence 
  • Dataprivacy en informatiebeveiliging 

Hierbij toets je of de processen en dossiervorming rond dat thema standhouden tegenover interne en externe normen—en of de waan van de dag de praktijk niet stiekem heeft ingehaald. 

Bij zwaardere onderwerpen zoals sancties en transactiemonitoring schuurt zo’n thema-audit dicht aan tegen de reguliere monitoring. In de serie AML/CFT Internal audits – De onzichtbare strijd zoomen we in op de specifieke valkuilen hiervan: de verleiding van het checklist-denken, blinde vlekken in data en de subtiele druk om scherpe bevindingen af te zwakken. 

3.2 Proces- en ketenaudits 

Hier staat niet de norm, maar de stroom centraal. We kijken naar de end-to-end keten, zoals: 

  • Het volledige klantacceptatie- en KYC-proces. 
  • De inkoop- en leveranciersketen. 
  • M&A- en integratietrajecten. 
  • Trade- en exportprocessen. 

De centrale vraag: waar in de keten hopen de risico’s zich op, waar leunen we te zwaar op één kwetsbaar controlepunt, en waar ontbreekt een duidelijke eigenaar? Vaak zie je hier de fouten uit individuele dossiers in het groot terug: structurele achterstanden, slordige dossiervorming of cruciale controles die onder tijdsdruk simpelweg worden overgeslagen. 

3.3 Framework- of systeemaudits 

Dit is de helikopterview. Deze audits nemen het complete compliance-raamwerk onder de loep: 

  • De governance rond integriteit en compliance. 
  • De feitelijke inrichting en effectiviteit van de three lines of defence. 
  • De methodiek achter risico-identificatie en -monitoring. 
  • Training, awareness en de algehele compliancecultuur. 
  • De escalatie en rapportage naar het bestuur, het auditcommittee en de toezichthouder. 

Dit type audit sluit aan bij externe standaarden (zoals internationale guidance voor effective compliance programs of corporate governance codes). Hier wordt vastgesteld of de basis van de organisatie zó staat dat de andere onderzoeken uit deze reeks überhaupt hun werk wel kunnen doen.

4. Van bevinding naar verbeterplan

Een open deur, maar de praktijk is weerbarstig: een compliance audit is pas waardevol als bevindingen leiden tot echte verandering. Te vaak resulteert een audit in een dik pak papier dat direct in een la verdwijnt: een waslijst aan observaties, maar geen vlijmscherp actieplan. 

Een effectief auditrapport hanteert een strakke driedeling: 

  1. Bevinding: Wat is er feitelijk en objectief geconstateerd? 
  2. Risico: Wat kan er concreet misgaan als we dit zo laten? 
  3. Aanbeveling: Wat is er nodig om het gat structureel te dichten? 

Het rapport moet bovendien een realistische inschatting geven van impact en haalbaarheid. Het doel is dat bestuurders en lijnmanagers direct begrijpen wat er op hun bord ligt. Het mag geen technisch compliance-feestje worden. In de AML/CFT-reeks behandelen we dit onder de noemer “van rapport naar actie”: hoe krijg je het management écht in beweging? Gelijk hebben op papier is leuk, verandering realiseren in de organisatie is waar het om gaat.

5. De rolverdeling: het speelveld tussen compliance en audit

Net als bij de andere onderzoeken in deze reeks, kent een compliance audit meerdere hoofdrolspelers. Dit vereist een strakke regie. 

  • Compliance is de eigenaar van het framework en de inhoudelijke normstelling. Vanuit die rol voert compliance vaak zelf reviews of thema-assessments uit, of bereidt de gebieden voor waar internal audit later dieper op inhaalt. 
  • Internal Audit behoudt de onafhankelijke blik op de opzet en werking van de controls, vaak met compliance als inhoudelijke sparringpartner. 
  • Externe specialisten schuiven aan wanneer specifieke dieptekennis nodig is (denk aan complexe sanctiewetgeving, FCPA/UKBA of IT-security), of wanneer maximale onafhankelijkheid vereist is richting de toezichthouder of de Raad van Commissarissen. 

Niets is zo funest voor de effectiviteit—en de onderlinge sfeer—als audit en compliance die onbedoeld in hetzelfde vijvertje vissen of elkaars werk dupliceren. Heldere afbakening vooraf is geen luxe, maar bittere noodzaak. In de AML/CFT-artikelen dagen we dit nog scherper uit bij de “mythe van onafhankelijkheid”: hoe interne politiek en druk van bovenaf de uitkomst van audits kunnen kleuren, en hoe je daar als auditor tegenwicht aan biedt.

 

6. Leren van de praktijk: de root-cause-benadering

Incidenten, integriteitsmeldingen, due-diligencebevindingen en KYC-issues zijn stuk voor stuk vensters die kijken op onderliggende risico’s. Een volwassen compliance audit benut die data systematisch door middel van: 

  • Casuïstiek-analyse: Welke typen incidenten poppen herhaaldelijk op, en wat zegt dat over de gaten in ons beleid? 
  • Trendanalyses: Welke patronen worden zichtbaar als we kijken naar data over verschillende landen, businesslines of productgroepen heen? 
  • Root-cause-onderzoek: Als op drie verschillende afdelingen dezelfde fout wordt gemaakt, wat is dan de gemeenschappelijke oorzaak? 

De organisatie leert hierdoor om te stoppen met dweilen, en de kraan daadwerkelijk dicht te draaien. De AML/CFT-auditreeks bouwt hierop voort door specifiek te kijken naar de blind spots in data en cultuur die maken dat rode vlaggen in de praktijk tóch worden gemist of genegeerd.

7. Compliance audits en de grens van het redelijke

Bij compliance audits rijst vroeg of laat de onvermijdelijke vraag: “wanneer is het genoeg?”. Een auditor kan altijd méér vinden: nog een extra controle, een aangescherpte policy, een extra rapportagelaag. Zonder een helder gekaderde risk appetite loop je het risico op een topzwaar compliance-apparaat dat de organisatie volledig verlamt. 

Een volwassen auditaanpak durft keuzes te maken: 

  • Het spiegelt bevindingen direct aan de vastgestelde risk appetite. 
  • Het benoemt niet alleen waar de praktijk afwijkt van het handboek, maar relativeert ook waar de risico’s verwaarloosbaar zijn. 
  • Het faciliteert het gezonde gesprek tussen bestuur, business en compliance over de balans tussen veiligheid, werkbaarheid en kosten. 

Deze discussie zie je één-op-één terug in de AML/CFT-audits: strenger monitoren en méér alerts genereren lijkt op papier altijd beter, totdat het systeem verstopt raakt en de échte risico’s door de ruis worden opgeslokt.

8. Slotakkoord: de cirkel is rond

Met de compliance audit is de cirkel van deze reeks rond. Waar we begonnen in de haarvaten van de organisatie—bij het concrete incident, het stroeve KYC-dossier of de integriteitsmelding—eindigen we bij het zenuwstelsel. 

De dynamiek is helder: incidenten leggen de acute wonden bloot, due diligence en KYC houden de achterdeur dicht, maar de compliance audit controleert of het fundament van het hele huis wel bestand is tegen de storm. Het verlegt de focus definitief van brandjes blussen naar structurele brandveiligheid. De ultieme vraag voor het bestuur is immers niet of er vandaag toevallig aan de regels is voldaan, maar of de organisatie zó is ingericht dat ze dat morgen en over een jaar ook nog kan. 

 

Uitnodiging tot consultatie

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website.  

 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

 

AMLA Update

Wat recente AMLA-ontwikkelingen betekenen voor organisaties

Sinds eind maart is AMLA doorgegaan met het uitbreiden van haar consultatieactiviteiten en het leggen van de basis voor haar toekomstige toezichthoudende rol. Hoewel veel organisaties zich richten op de aankomende deadlines van de AML-verordening, geeft het recente werk van AMLA een vroege indicatie van toekomstige toezichtsverwachtingen.

 

Focus op governance en risicobeoordelingen

De afgelopen maanden heeft AMLA geconsulteerd over groepsbrede AML/CFT-beleid, procedures en controles, evenals bedrijfsbrede risicobeoordelingen. Beide onderwerpen vormen fundamentele bouwstenen van het toekomstige EU AML-kader.

De boodschap is duidelijk: AMLA verwacht dat organisaties een goed gedocumenteerde en risicogebaseerde aanpak van AML/CFT-naleving aantonen, ondersteund door effectieve governance regelingen en consistente implementatie binnen de gehele organisatie.

Voor grensoverschrijdende organisaties nemen de verwachtingen toe rond geharmoniseerde AML/CFT-kaders en effectief toezicht op groepsniveau.

 

Toezichtsamenwerking wordt steeds belangrijker

AMLA heeft ook geconsulteerd over normen die de samenwerking regelen tussen toezichthouders van de thuisstaat en de gaststaat voor grensoverschrijdende groepen. Hoewel deze voorstellen in de eerste plaats gericht zijn op toezichthoudende autoriteiten, signaleren zij een bredere beweging naar meer consistentie en coördinatie binnen de Europese Unie.

Voor organisaties kan dit betekenen: consistenter toezicht, meer informatie-uitwisseling en intensievere controle op grensoverschrijdende activiteiten.

 

Voorbereiding op de toekomstige toezichthoudende rol van AMLA

AMLA heeft ook een rapportagepakket gepubliceerd ter ondersteuning van de toekomstige identificatie van entiteiten die onder direct toezicht vallen.

Hoewel direct toezicht pas in 2028 wordt verwacht, bereidt AMLA haar toezichtsmodel nu al voor. Dit laat zien dat de aandacht van de Autoriteit steeds meer verschuift van institutionele opbouw naar operationele gereedheid.

 

Wat organisaties nu kunnen overwegen

Hoewel veel organisaties begrijpelijkerwijs gefocust zijn op de aankomende implementatiedeadlines van de AML-verordening, biedt het recente werk van AMLA een vroege indicatie van toekomstige toezichtsverwachtingen.

Naar onze mening dienen organisaties bijzondere aandacht te besteden aan de volgende gebieden:

  • Het beoordelen van de kwaliteit en documentatie van bedrijfsbrede risicobeoordelingen.
  • Nagaan of groepsbrede AML/CFT-beleid en -controles consistent worden toegepast binnen juridische entiteiten en rechtsgebieden.
  • Het evalueren van governance structuren en toezichtsregelingen om duidelijke verantwoordelijkheid voor AML/CFT-risico’s te waarborgen.
  • Het monitoren van AMLA-consultaties en technische normen om toekomstige implementatievereisten in een vroeg stadium te identificeren.

Het opkomende thema in de recente publicaties van AMLA is consistentie. Het recente werk van AMLA weerspiegelt een duidelijke focus op consistentie. Het doel is een meer geharmoniseerd AML/CFT-kader binnen de EU.

Naarmate AMLA gedurende 2026 verdere normen publiceert, zullen organisaties die hun gereedheid nu beoordelen beter voorbereid zijn op regelgevingsveranderingen.

Compliance Champs blijft de AMLA-ontwikkelingen volgen en deelt praktische inzichten over hoe organisaties zich kunnen voorbereiden op het toekomstige EU AML/CFT-kader.

 

Uitnodiging tot consult

Als dit artikel vragen of onderwerpen heeft opgeroepen die u verder wilt bespreken, nodigen wij u uit contact met ons op te nemen. Als u een specifieke casus wilt verkennen, plannen wij graag een informeel kennismakingsgesprek in. Onze contactgegevens vindt u hier.

Lees meer updates en artikelen hier.

 

Iedereen wil compliance… totdat het schuurt met de business

Vrijwel iedere organisatie zegt hetzelfde: 

“Compliance is belangrijk.”
“We nemen AML/CFT serieus.”
“We willen risico’s beheersen.” 

Er wordt geïnvesteerd in beleid, monitoringtools, awareness trainingen en periodieke audits. Op papier ziet het er vaak goed uit: processen bestaan, controles zijn ingericht en rapportages worden netjes besproken in governance-overleggen. Toch zien we in de praktijk nog steeds dezelfde problemen terugkomen. Grote dossiers waarin witwasrisico’s jarenlang onopgemerkt blijven, transacties die nooit kritisch zijn bekeken of organisaties die compleet verrast zijn wanneer een toezichthouder concludeert dat de beheersing ernstig tekortschiet.

Dat gebeurt zelden, omdat niemand wist wat de regels waren. Veel vaker ontstaat het probleem door iets anders: de spanning tussen Internal Audit en de business. 

Die spanning is meestal niet openlijk zichtbaar. Niemand zegt letterlijk dat risico’s niet belangrijk zijn of dat compliance in de weg zit. Maar zodra auditbevindingen raken aan commerciële doelstellingen, klantrelaties, capaciteit of omzet, verandert de dynamiek vaak snel. Bevindingen worden genuanceerd, prioriteiten verschuiven en discussies gaan ineens minder over risico’s en meer over haalbaarheid, timing of “de realiteit van de business”.

En precies daar ontstaat een kwetsbaarheid die veel organisaties onderschatten. 

Wanneer Internal Audit en de business tegenover elkaar komen te staan, verdwijnen risico’s niet. Ze worden alleen minder zichtbaar. Dat geldt overigens niet alleen voor interne auditafdelingen. Ook bij externe internal audit zie je regelmatig dezelfde dynamiek ontstaan, waarbij onafhankelijkheid onder druk komt te staan zodra conclusies commercieel of bestuurlijk ongemakkelijk worden.

 

In dit artikel kijken we naar die spanning, waarom die zo hardnekkig is en hoe organisaties kunnen voorkomen dat audit verwordt tot een proces waar iedereen aan meewerkt, maar waar uiteindelijk niemand echt naar luistert. 

De kern van het probleem: Audit en business praten vaak een andere taal 

Op papier hebben Internal Audit en de business hetzelfde doel: een (commercieel) gezonde, veilige en duurzame organisatie. In de praktijk worden beide functies echter vaak afgerekend op totaal verschillende belangen. 

Internal Audit wordt geacht risico’s zichtbaar te maken, processen kritisch te toetsen en onafhankelijk te beoordelen of beheersmaatregelen daadwerkelijk effectief zijn. De business wordt daarentegen vooral gestuurd op groei, klanttevredenheid, snelheid en commerciële resultaten. Zolang die belangen in balans blijven, vullen audit en business elkaar goed aan. Het probleem ontstaat wanneer risicobeheersing direct botst met commerciële realiteit. 

Een auditbevinding betekent namelijk zelden alleen een theoretisch risico. In de praktijk betekent het vaak extra werk, strengere controles, vertraging in onboarding, discussies met klanten of hogere operationele kosten. En precies daarom ontstaat weerstand. 

Die weerstand is niet altijd bewust. Sterker nog: veel business managers zijn ervan overtuigd dat zij risico’s serieus nemen. Alleen voelen zij tegelijkertijd de druk om processen werkbaar te houden, targets te halen en concurrentie voor te blijven. Daardoor ontstaat langzaam een situatie waarin risico’s niet actief worden genegeerd, maar wel structureel worden afgezwakt of gerelativeerd. 

Dat zie je meestal terug in drie terugkerende spanningen. 

 

Drie spanningsvelden tussen Internal Audit en de business 

De kloof tussen theorie en praktijk 

Eén van de grootste frustraties vanuit de business is het gevoel dat audit onvoldoende begrijpt hoe processen in de praktijk werken. Auditors kijken naar dossiers, procedures en regelgeving, terwijl commerciële teams dagelijks te maken hebben met klantdruk, deadlines, omzetdoelstellingen en operationele beperkingen. Daardoor worden auditbevindingen regelmatig ervaren als theoretisch of moeilijk uitvoerbaar. 

Die frustratie is soms begrijpelijk. Een auditadvies kan op papier volledig logisch zijn, maar in de praktijk leiden tot langere onboardingtrajecten, meer escalaties of extra werkdruk voor operationele teams. Het risico ontstaat echter wanneer uitvoerbaarheid structureel belangrijker wordt gemaakt dan risicobeheersing. 

Dan zie je dat organisaties bewust of onbewust concessies gaan doen. Bevindingen worden “geherprioriteerd”, deadlines worden vooruitgeschoven of tekortkomingen worden genuanceerd met argumenten als: “anders verliezen we klanten” of “dit is operationeel niet haalbaar”. Op korte termijn voelt dat pragmatisch, maar op langere termijn creëert het precies de omstandigheden waarin risico’s kunnen groeien zonder dat iemand echt ingrijpt. 

 

Audit als politie in plaats van partner 

Een tweede spanningsveld ontstaat wanneer audit vooral wordt gezien als een functie die fouten komt aanwijzen. Veel organisaties zeggen wel dat audit een “business partner” is, maar in de praktijk ervaren medewerkers audit nog vaak als controleur, politieagent of vinkjesmachine. 

Dat beeld ontstaat vooral wanneer audits sterk gericht zijn op afwijkingen, tekortkomingen en rapportages, zonder voldoende aandacht voor de onderliggende oorzaken van gedrag of procesproblemen. Medewerkers voelen zich daardoor eerder beoordeeld dan geholpen. 

Het gevolg daarvan zie je vaak subtiel terug in gedrag. Twijfels worden minder snel uitgesproken, escalaties blijven uit en risico’s worden intern opgelost in plaats van formeel gemeld. Niet omdat medewerkers bewust risico’s willen verbergen, maar omdat mensen van nature defensiever worden in een omgeving waar fouten vooral negatieve consequenties lijken te hebben. 

Binnen AML/CFT is dat een serieus probleem. Veel grote incidenten ontstaan namelijk niet doordat signalen volledig ontbreken, maar doordat medewerkers twijfels niet meer durven uitspreken of afwijkingen langzaam normaal gaan vinden. Wanneer audit uitsluitend wordt geassocieerd met controle en afrekening, verdwijnt precies die openheid die nodig is om risico’s tijdig zichtbaar te maken. 

 

Overmoed en het idee dat “het hier wel meevalt” 

Het derde spanningsveld is misschien wel het meest verraderlijk: organisatorische overmoed. Veel organisaties die later geconfronteerd worden met ernstige AML/CFT-tekortkomingen, waren er jarenlang van overtuigd dat hun beheersing eigenlijk goed op orde was. 

Dat gevoel ontstaat vooral bij organisaties die nog nooit een grote boete hebben gehad, jarenlang dezelfde processen gebruiken of vertrouwen op bestaande monitoringtools en ervaren medewerkers. Langzaam ontstaat dan de overtuiging dat de organisatie haar risico’s wel begrijpt en dat grote incidenten vooral iets zijn dat bij andere partijen gebeurt. 

Precies daar schuilt het gevaar.

Want risico’s ontwikkelen zich meestal geleidelijk. Tijdelijke workarounds worden structureel, alerts worden routine, uitzonderingen worden normaal en systemen raken langzaam achterhaald. Omdat incidenten uitblijven, voelt het alsof de beheersing blijkbaar effectief is. Totdat een toezichthouder, opsporingsdienst of intern onderzoek laat zien dat bepaalde signalen jarenlang zijn gemist. 

Achteraf blijkt dan vaak dat de organisatie de signalen wél had kunnen zien. Auditbevindingen waren eerder benoemd, medewerkers hadden twijfels uitgesproken of systemen functioneerden al langer onvoldoende. Alleen voelde niemand voldoende urgentie om echt kritisch naar de situatie te kijken. 

En juist daarom is overmoed binnen AML/CFT zo gevaarlijk: het zorgt ervoor dat organisaties risico’s niet actief negeren, maar simpelweg steeds minder serieus nemen. 

 

Hoe voorkom je dat audit en business tegenover elkaar blijven staan? 

De oplossing ligt niet in minder audit of minder kritische bevindingen. Het probleem verdwijnt namelijk niet door risico’s zachter te formuleren. Organisaties worden juist sterker wanneer audit en business elkaar beter begrijpen, zonder hun eigen rol uit het oog te verliezen.

Dat begint bij auditors die voldoende gevoel hebben voor de praktijk van de business. Een audit die geen rekening houdt met operationele realiteit verliest snel geloofwaardigheid, hoe inhoudelijk sterk de bevindingen ook zijn. Tegelijkertijd moet de business accepteren dat risicobeheersing soms ongemakkelijk, tijdrovend of commercieel onhandig is. 

 

Externe Internal Auditor: onafhankelijkheid blijft ingewikkeld 

Sommige organisaties gebruiken externe partijen voor de internal audit functie. Dan worden deze spanningsvelden vaak nog complexer. Een externe partij moet immers (ook) onafhankelijk opereren, terwijl diezelfde partij tegelijkertijd afhankelijk blijft van de opdrachtgever voor budget, verlenging van opdrachten en de commerciële relatie. 

Dat betekent niet dat externe auditors bewust milder rapporteren, maar het creëert wel een spanningsveld dat in de praktijk moeilijk volledig te negeren is. Zeker wanneer organisaties gevoelig zijn voor kritische conclusies, ontstaat soms druk om formuleringen af te zwakken, bevindingen anders te prioriteren of audits meer te richten op “veilige” onderwerpen. 

Ook zie je regelmatig dat organisaties op zoek gaan naar auditors die beter aansluiten bij hun verwachtingen of cultuur. Dat hoeft niet problematisch te zijn, maar het kan wel leiden tot situaties waarin onafhankelijkheid langzaam verschuift van kritisch toetsen naar relationeel managen. 

Daarnaast helpt het wanneer auditgesprekken minder draaien om schuld en meer om onderliggende oorzaken. Niet alleen de vraag “wat ging fout?”, maar vooral “waarom ontstaat dit gedrag?” en “welke prikkels sturen deze keuzes?” levert vaak veel waardevollere inzichten op. 

Tot slot vraagt effectieve samenwerking om een cultuur waarin medewerkers veilig twijfels kunnen uitspreken. De gevaarlijkste organisaties zijn meestal niet de organisaties waar fouten worden gemaakt, maar de organisaties waar niemand fouten durft te benoemen. 

 

Conclusie: de echte strijd gaat niet tussen audit en business 

De echte strijd gaat uiteindelijk niet tussen Internal Audit en de business. Die strijd gaat tussen korte termijn en lange termijn, tussen commerciële druk en risicobewustzijn, en tussen comfort en confrontatie. 

Juist daarom heeft audit een lastige, maar belangrijke rol. Niet als politieagent of vinkjesmachine, maar als functie die zichtbaar maakt waar organisaties kwetsbaar worden — juist op de momenten dat commerciële belangen, tijdsdruk of bestuurlijke gevoeligheden het grootst zijn. 

Want uiteindelijk ontstaan de grootste problemen meestal niet doordat organisaties geen regels hebben. Ze ontstaan wanneer organisaties zichzelf langzaam gaan overtuigen dat de risico’s waarschijnlijk wel meevallen. 

En precies daar moet een goede audit doorheen prikken. 

 

Uitnodiging tot consultatie

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website.  

 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

Compliance Champs - Case Sourcing

Crypto en sancties in 2026: wanneer geopolitiek on-chain gaat

Sanctie-ontwijking is allang geen niche compliance-onderwerp meer. Wie het binnen de eigen organisatie nog zo behandelt, loopt achter op de feiten.

De cijfers uit 2025 laten daar weinig ruimte voor twijfel over. De waarde ontvangen door gesanctioneerde entiteiten steeg met 694%. Het illegale on-chain transactievolume bereikte daarmee een record van 154 miljard dollar. [1]  In ons werk met compliance-teams bij financiële instellingen en cryptodienstverleners zien we steeds hetzelfde patroon. Het grootste tekort zit niet in bewustwording van crypto-risico’s in abstracte zin. Het zit in het begrijpen van hoe die risico’s er in de praktijk uitzien — en wat je er vervolgens mee doet.

Iran: het meest urgente compliance-risico op dit moment

Van alle actuele sanctie- en crypto-vraagstukken vraagt Iran de meest directe aandacht.

De Islamitische Revolutionaire Garde (IRGC) en haar proxienetwerken waren in het vierde kwartaal van 2025 goed voor meer dan 50% van de waarde ontvangen door Iraanse crypto-adressen. Over het gehele jaar ging het om meer dan 3 miljard dollar. [2] Dit is geen opportunistisch misbruik door kwaadwillenden die een maas in de wet vinden. Het gaat om door de staat aangestuurde financiële infrastructuur. De schaal en verfijning van de ontwijking zullen dan ook alleen maar toenemen.

De handhavingsreactie van OFAC weerspiegelt die verschuiving. In januari 2026 sanctioneerde het Amerikaanse ministerie van Financiën twee cryptobeurzen — Zedcex en Zedxion — wegens het faciliteren van transacties gekoppeld aan de Iraanse financiële sector en aan IRGC-gelieerde partijen. Cruciaal daarbij: de aanwijzing omvatte specifieke USDT-wallets op het Tron-netwerk. Sanctiehandhaving richt zich nu expliciet op on-chain identificatoren, naast de traditionele juridische entiteiten. [3]  De consequentie voor compliance-professionals is direct: screening op naam alleen is niet langer toereikend. Screening op walletniveau is inmiddels een verwachte beheersmaatregel.

De urgentie werd verder aangescherpt in februari 2026. Amerikaanse en Israëlische luchtaanvallen op Iraanse doelen werden binnen enkele minuten gevolgd door een stijging van 700% in uitstroom vanuit Iraanse crypto. Binnen 48 uur bewoog er 10,3 miljoen dollar. [4] Wat dat operationeel betekent: crypto functioneert als een financieel crisisbeheerinstrument in real time. Sneller dan de meeste compliance-teams kunnen reageren.

De situatie rondom Binance voegt daar een extra dimensie aan toe. Begin 2026 berichtte The Wall Street Journal dat ’s werelds grootste cryptobeurs meer dan 1 miljard dollar aan transacties had verwerkt gekoppeld aan gesanctioneerde Iraanse entiteiten. Binance betwist dit. Maar ongeacht de uitkomst illustreert de zaak hoe snel blootstelling aan Iran-gerelateerde risico’s kan omslaan in reputatie- en regelgevingsschade.

Rusland: van ontwijking naar financiële infrastructuur

Iran laat zien hoe crypto sanctiedruk in real time kan absorberen. Rusland laat iets structureels zien — en in sommige opzichten iets dat op de lange termijn grotere compliance-risico’s met zich meebrengt.

Rusland ontwijkt sancties niet alleen via crypto. Het bouwt parallelle financiële infrastructuur die is ontworpen om buiten de westerse financiële rails te opereren. [5] Het meest sprekende voorbeeld is de A7A5 stablecoin: een roebel-gekoppeld token, verwerkt via een eigen gedecentraliseerde beurs. A7A5 verwerkte in minder dan een jaar 93,3 miljard dollar. Dat is geen omweg., dat is een alternatief systeem.

Tegelijkertijd maakt Rusland gebruik van zijn gesubsidieerde energiesector. Daarmee controleert het circa 16% van de wereldwijde Bitcoin-hashrate. Effectief wordt zo nieuwe, “schone” Bitcoin gemijnd — zonder enige on-chain link naar een gesanctioneerde entiteit of jurisdictie. [6] Dit is cryptomining als strategische economische omzeiling, geen retailactiviteit.

De regelgevingsreactie: het dichten van de gaten

Toezichthouders reageren niet alleen — ze versnellen. De ontwikkelingen van de afgelopen weken alleen al illustreren hoe snel dit terrein beweegt.

In de EU breiden MiCAR en de herziene Verordening betreffende geldovermakingen (de Crypto Travel Rule) het toezichtkader voor cryptodienstverleners aanzienlijk uit. Maar slechts enkele weken geleden nam de EU haar twintigste sanctiepakket tegen Rusland aan. [7] Daarin zit een vergaand verbod op alle cryptotransacties met Russische en Wit-Russische aanbieders. De digitale roebel en RUBx zijn toegevoegd aan de EU-lijst van verboden crypto-assets. Het verbod op de digitale roebel is expliciet bedoeld om een ontwijkingskanaal te sluiten — vóór de geplande lancering van Ruslands CBDC in september 2026.

Die zouden digitale-activabedrijven verplichten om sanctiehandhaving rechtstreeks in hun code te verankeren. Compliance wordt daarmee automatisch en continu. [8] Als deze voorstellen worden aangenomen, betekent dat een fundamentele verschuiving in de inrichting van sanctiecompliance in de sector.

De boodschap is aan beide zijden van de Atlantische Oceaan consistent: de regelgevingsperimeter rond crypto sluit zich. En de verwachting dat compliance-teams dit domein begrijpen, neemt navenant toe.

Wat dit in de praktijk betekent

Vanuit compliance-perspectief zijn er een aantal zaken die structureel worden onderschat.

Screening op walletniveau wordt in te veel programma’s nog behandeld als een optie. Maar dat is het niet meer. Stablecoins — en dan met name USDT op het Tron-netwerk — komen disproportioneel voor in gesanctioneerde en illegale geldstromen. Ze verdienen dan ook verhoogde aandacht. Blockchain-analysetools zoals Chainalysis, TRM Labs en Elliptic zijn geen specialistische toevoegingen meer. Ze zijn basale infrastructuur voor elke instelling met crypto-blootstelling.

Belangrijk daarbij: crypto-sanctierisico is niet uitsluitend een vraagstuk voor cryptodienstverleners. Banken zonder crypto-producten zijn evengoed blootgesteld. Dat geldt via betalingsstromen, PSP-relaties en klanten wier activiteiten raakvlakken hebben met crypto-infrastructuur.

Ten slotte geldt: governance- en escalatieprocedures moeten er zijn vóórdat een issue zich voordoet, niet tijdens. Weten wanneer assets bevroren moeten worden, wanneer meldingen bij toezichthouders vereist zijn en wanneer intern geëscaleerd moet worden — dat is minstens zo belangrijk als detectie zelf.

Vergroot uw kennis met Compliance Champs

De risico’s die in dit artikel aan bod komen, zijn niet langer theoretisch. Ze duiken nu op in transaction monitoring-wachtrijen, klantreviews en toezichtonderzoeken. Voor compliance-teams die op zoek zijn naar praktische, gestructureerde handvatten over hoe crypto-sanctieblootstelling zich in het dagelijkse werk manifesteert, heeft Compliance Champs een dedicated e-learningcursus ontwikkeld: Crypto & Sanctions Awareness.

 

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

 

Bekijk onze cursus ‘Crypto & Sanctions Awareness’.

 

[1] Chainalysis. (2026, March 5). Crypto crime in 2025 was primarily driven by 694% surge in state-driven sanctions evasion volume. Chainalysis Blog. https://www.chainalysis.com/blog/crypto-sanctions-2026.

[2] Ibid.

[3] Elliptic. (2026). OFAC sanctions exchanges Zedcex and Zedxion for assisting in Iranian sanctions evasion and IRGC operations. Elliptic Blog. https://www.elliptic.co/blog/ofac-sanctions-exchanges-zedcex-and-zedxion-for-assisting-in-iranian-sanctions-evasion.

evasion-and-irgc-operations.

[4] Elliptic. (2026). Iranian crypto asset outflows surge 700% following airstrikes. Elliptic Blog. https://www.elliptic.co/blog/iranian-cryptoasset-outflows-surge-700-percent-following-attacks

[5] Chainalysis. (2026, March 5). Crypto crime in 2025 was primarily driven by 694% surge in state-driven sanctions evasion volume. Chainalysis Blog. https://www.chainalysis.com/blog/crypto-sanctions-2026.

[6] Elliptic. (2026). Russia-linked cryptocurrency services and sanctions evasion. Elliptic Blog. https://www.elliptic.co/blog/russia-linked-cryptocurrency-services-and-sanctions-evasion.

[7] TRM Labs. (2026, April 23). EU Adopts 20th sanctions package on Russia. TRM Labs Blog. https://www.trmlabs.com/resources/blog/eu-adopts-20th-sanctions-package-on-russia—-including-a-sweeping-ban-on-all-crypto-asset-transactions-with-russian-and-belarusian-providers

[8] PYMTNS. (2026, April 22). Treasury calls for programmable financial enforcement across crypto. PYMNTS.com. https://www.pymnts.com/cryptocurrency/2026/treasury-calls-for-programmable-financial-enforcement-across-crypto/.

AML- en KYC-onderzoeken: van klantacceptatie naar doorlopende waakzaamheid

Introductie

Waar eerdere artikelen in deze reeks vooral zagen op onderzoeken naar incidenten, meldingen of specifieke transacties, ligt bij AML- en KYC-onderzoeken de nadruk op de voorkant van de relatie. Het doel is niet primair om achteraf vast te stellen wat er is misgegaan, maar om vooraf en tijdens de relatie te beoordelen met wie zaken worden gedaan, welk risico daarbij hoort en of dienstverlening kan worden misbruikt voor witwassen, terrorismefinanciering of sanctie-omzeiling. In een wereld waarin gewapende conflicten en geopolitieke spanningen directe doorwerking hebben op handelsstromen, betaalverkeer en eigendomsstructuren, is dat relevanter dan ooit. 

Dat maakt AML- en KYC-onderzoeken wezenlijk anders dan veel andere compliance-onderzoeken. Ze zijn niet eenmalig, maar doorlopend van aard. Het cliëntenonderzoek begint bij onboarding, maar houdt daar niet op. De relatie, de transacties en het risicoprofiel moeten gedurende de hele klantcyclus worden gevolgd en, waar nodig, opnieuw worden beoordeeld.  

Waarom AML- en KYC-onderzoeken meer zijn dan onboarding

In de praktijk wordt KYC nog vaak gezien als een verplicht onderdeel van de klantacceptatie: identiteitsdocument opvragen, UBO vaststellen, sanctielijsten controleren en vervolgens het dossier sluiten. Die benadering doet geen recht aan de systematiek van de Wwft. De wet verlangt van Wwft-plichtige instellingen een risico gebaseerde aanpak, waarbij niet alleen wordt gekeken wie de klant is, maar ook naar het doel van de relatie, de aard van de dienstverlening, de herkomst van middelen en het verwachte transactieprofiel. 

Daarmee verschuift de kern van het onderzoek. De vraag is niet alleen: “Wie is deze klant?”, maar vooral: “Past deze klant, met deze structuur, activiteiten en geldstromen, binnen het integriteits- en risicokader van de instelling?”. Dat vraagt om analyse, duiding en periodieke herijking, niet alleen om documentverzameling. 

De basis: Wwft, CDD en KYC

AML is het bredere anti-witwaskader, KYC is daarbinnen het proces van “ken uw klant”, en CDD, customer due diligence, is het cliëntenonderzoek waarmee dat in de praktijk wordt ingevuld. In Nederland is dit juridisch verankerd in de Nederlandse anti-witwaswetgeving. Die verplicht Wwft-plichtige ondernemingen onder meer om cliënten te identificeren en verifiëren, uiteindelijk belanghebbenden vast te stellen, het doel en de beoogde aard van de relatie te begrijpen, transacties te monitoren en ongebruikelijke transacties te melden. 

Op papier klinkt dat overzichtelijk. In de praktijk begint het echte onderzoek vaak pas wanneer de structuur achter de klant complexer blijkt dan op het eerste gezicht zichtbaar is. Achter een vennootschap kunnen buitenlandse holdings, stichtingen, nominee-constructies, trusts of UBO’s schuilgaan die slechts indirect zichtbaar zijn. Juist in dat soort dossiers wordt duidelijk dat AML/KYC niet alleen een administratief proces is, maar ook een onderzoeksmatige discipline. 

KYC ook buiten de Wwft: de verlegde compliance-druk van banken

Het belang van KYC wordt niet altijd volledig herkend door niet-Wwft-plichtige ondernemingen. In internationale handel leeft soms nog een ander beeld. KYC wordt daar vaak gezien als een onderwerp voor banken en betaaldienstverleners. Ook andere gereguleerde instellingen worden ermee geassocieerd. Formeel klopt dat onderscheid. In de praktijk werkt het inmiddels anders. Banken leggen een deel van hun compliance-druk neer bij klanten. Dat doen zij omdat zij worden afgerekend op portefeuillerisico’s.

Daardoor krijgen ook niet-gereguleerde ondernemingen steeds vaker aanvullende vragen. Die vragen gaan bijvoorbeeld over klantenbestanden en handelsstromen. Ook UBO-structuren en herkomst van gelden komen aan bod. Betrokken landen en interne beheersing spelen eveneens een rol. Vooral internationaal opererende handelsbedrijven krijgen hiermee te maken. Dat geldt ook voor import-exportstructuren en complexe supply chains. Banken kunnen aanvullende informatie verlangen. Soms verwachten zij een basaal compliance- of KYC-framework.

Vaak wordt dat belang pas gevoeld wanneer de bank vragen stelt. Dan blijkt de bestaande informatievoorziening onvoldoende. KYC verschuift dan van een abstract compliance-onderwerp naar een operationele kwestie. De bank kan aanvullende eisen stellen. Ook kan zij aandringen op implementatie van een compliance-framework. Daarnaast kunnen transacties scherper worden gemonitord. In het uiterste geval komt de klantrelatie onder druk te staan. Denk aan de-risking of offboarding. Juist daarom is vroegtijdige voorbereiding verstandig. Niet-Wwft-plichtige ondernemingen doen er goed aan vooruit te denken. Zij moeten nadenken over klant- en handelsrisico’s. Ook beoordeling en documentatie van counterparties zijn belangrijk.

Bronnenkeuze: data providers versus lokale registers

Een belangrijk, maar vaak onderbelicht onderdeel van AML- en KYC-onderzoeken is de vraag uit welke bron klantinformatie afkomstig is. In de praktijk wordt veel gewerkt met internationale commerciële databronnen, zoals Dun & Bradstreet of Bureau van Dijk/Moody’s, omdat zij snel, schaalbaar en gebruiksvriendelijk informatie ontsluiten over ondernemingen, aandeelhoudersstructuren en groepsrelaties. Zeker in internationale dossiers zijn dat waardevolle hulpmiddelen, omdat zij data uit veel jurisdicties op één plek samenbrengen.

Tegelijkertijd zit daar een belangrijk aandachtspunt. Zulke databronnen zijn in veel gevallen afgeleid van onderliggende primaire bronnen, zoals lokale handelsregisters, publicatieregisters of andere officiële registraties. Dat betekent dat er vertraging kan zitten tussen een wijziging in het lokale register en de verwerking daarvan in een commerciële database. Juist bij wijzigingen in bestuur, aandeelhouderschap, statutaire zetel of uiteindelijk belanghebbenden kan dat verschil relevant zijn.

Voor instellingen met een hogere risk appetite, of in laag-risico en grootschalige klantacceptatieprocessen, waarin veel nieuwe klanten worden on-board, kan het werken met een data provider een verdedigbare keuze zijn, zeker als snelheid, schaalbaarheid en operationele uitvoerbaarheid zwaar wegen. Maar naarmate het risico toeneemt, ligt het meer voor de hand om terug te gaan naar de primaire bron: het lokale handelsregister of een ander officieel register in de betreffende jurisdictie. Daar zit vaak de meest actuele en juridisch meest directe informatie, ook al is die minder gebruiksvriendelijk ontsloten.

De kernvraag is dus niet of data providers “goed” of “slecht” zijn, maar of de gekozen bron past bij het risicoprofiel van de klant en de risk appetite van de instelling. In low-risk processen kan een betrouwbare data provider proportioneel zijn. In complexe, internationale of high-risk dossiers is het vaak verstandig – en soms noodzakelijk – om gegevens uit commerciële bronnen te verifiëren aan de hand van lokale registers of andere primaire documentatie.

 

Van identificatie naar risicobeoordeling

Een goed AML- of KYC-onderzoek bestaat niet uit één handeling, maar uit een opeenvolging van stappen. Eerst wordt de klant geïdentificeerd en geverifieerd. Daarna wordt gekeken wie namens de klant optreedt, wie de uiteindelijk belanghebbenden zijn, of er sprake is van PEP’s, sanctierisico’s of verhoogde geografische risico’s, en wat het verwachte gebruik van de dienstverlening zal zijn. 

Dat mondt uit in een risico-inschatting. Niet elke klant vraagt hetzelfde niveau van onderzoek. Een lokale onderneming met een eenvoudige structuur en voorspelbare activiteiten vraagt iets anders dan een internationaal actieve groep met meerdere lagen, geldstromen via verschillende landen en nauwe contacten met hoog-risicojurisdicties. Juist daarom werkt AML/KYC risico gebaseerd: hoe hoger het risico, hoe dieper het onderzoek en hoe zwaarder de motivering moet zijn. 

In de praktijk stopt de vraag van cliënten of interne stakeholders daar vaak niet. Zij willen niet alleen weten of een partij als groen, oranje of rood moet worden gekwalificeerd, maar vooral wat dat vervolgens betekent voor de zakelijke beslissing. Met andere woorden: kunnen of moeten we op basis van deze bevindingen wel of geen zaken doen? Dat is een begrijpelijke vraag, maar geen puur technische exercitie. Een risicokwalificatie is geen automatische go/no-go-knop; zij vormt de basis voor een bredere afweging waarin compliance, business, legal en soms ook het bestuur moeten bepalen of een risico acceptabel is, onder welke voorwaarden, en welke mitigerende maatregelen nodig zijn. 

Juist bij oranje en rode bevindingen ligt daar vaak de echte meerwaarde van een goed KYC-onderzoek. Niet alleen het signaleren van een verhoogd risico, maar ook het helpen duiden van de consequenties. Soms leidt dat tot aanvullende documentatie, een verdiepend onderzoek, strengere monitoring of specifieke contractuele voorwaarden. In andere gevallen is de conclusie dat de relatie niet past binnen de risk appetite van de onderneming of dat de bankrelatie, vergunning(en) of reputatie te veel onder druk komt te staan om verantwoord door te gaan. 

Doorlopende monitoring en transacties

Een van de grootste misverstanden is dat KYC stopt na klantacceptatie. In werkelijkheid begint daar pas de volgende fase. De Wwft verplicht instellingen om zakelijke relaties continu te monitoren. Ook transacties moeten worden getoetst aan het klantprofiel uit de onboarding. Verandert een klant plotseling van handelslanden of transactiestructuur? Dan moet herbeoordeling volgen. Hetzelfde geldt bij opvallende stijgingen in volumes.

Binnen AML- en KYC-onderzoeken krijgt sanctiescreening steeds meer aandacht. Gewapende conflicten en geopolitieke spanningen spelen daarbij een belangrijke rol. Sanctieregimes veranderen sneller dan voorheen. Ook worden sanctielijsten vaker aangepast. Daarnaast groeit de aandacht voor omzeilingsconstructies via derde landen. Dat geldt ook voor tussenpersonen en complexe handelsketens. Een eenmalige screening bij onboarding is daarom niet meer voldoende.

Vooral internationale klanten vragen om voortdurende alertheid. Dat geldt ook voor handelsstromen en betalingen via risicovolle jurisdicties. Veranderingen in partijen of landen kunnen risico’s verhogen. Hetzelfde geldt voor gewijzigde goederenstromen of UBO’s. Zulke wijzigingen beïnvloeden direct het risicoprofiel.

Sanctiescreening gaat daarom verder dan namen controleren op lijsten. Ook transacties en structuren kunnen risico’s signaleren. Dat geldt vooral bij mogelijke sanctie-omzeiling. Deze risico’s spelen sterk binnen internationale handel en logistiek. Ook grondstoffenhandel en complexe supply chains vragen extra aandacht. De gevolgen voor klant- en transactierisico’s kunnen groot zijn.

AML- en KYC-onderzoeken zijn daardoor sterk dynamisch. Nieuwe bestuurders kunnen aanleiding geven voor herbeoordeling. Dat geldt ook voor gewijzigde aandeelhoudersstructuren of veranderende UBO’s. Sanctiewijzigingen en negatieve media spelen eveneens een rol. Een klant met een laag risicoprofiel kan later sterk veranderen.

Hier raken cliëntenonderzoek en transactiemonitoring elkaar. Soms ontstaat daarbij ook een meldplicht. Afwijkingen moeten verklaarbaar zijn. Ongebruikelijke transacties vragen om extra onderzoek. Het onderzoek verschuift dan naar een verdiepend integriteits- of AML-onderzoek.

Veelvoorkomende knelpunten in de praktijk

In veel organisaties zit de spanning niet in de regels zelf, maar in de uitvoering. Dossiers zijn onvolledig, informatie uit verschillende systemen sluit niet op elkaar aan, commerciële druk botst met compliance-eisen en periodieke reviews worden vooruitgeschoven. Daarnaast ervaren klanten vragen over herkomst van vermogen, eigendomsstructuren of buitenlandse entiteiten regelmatig als belastend of onbegrijpelijk, zeker wanneer aanvullende informatie op meerdere momenten wordt opgevraagd. 

Een ander knelpunt is dat KYC soms te veel als administratief proces wordt ingericht. Daardoor verschraalt het onderzoek tot documentverzameling, terwijl juist de analyse centraal zou moeten staan. Een dossier is pas sterk als niet alleen alle stukken aanwezig zijn, maar ook duidelijk is waarom een klant wel of niet acceptabel wordt geacht en hoe dat besluit zich verhoudt tot het vastgestelde risico. 

Ook brongebruik speelt hier een rol. Wie blind vaart op één databron of screeningstool, loopt het risico dat verouderde of onvolledige informatie wordt overgenomen in het dossier. Zeker bij internationale klanten kan het verschil tussen een data provider en een lokaal register bepalend zijn voor de vraag of een dossier nog actueel genoeg is om op te vertrouwen. 

De rol van compliance, business en externe partijen

AML- en KYC-onderzoeken zijn niet exclusief van compliance. De business kent de klant, sales of relatiemanagers signaleren afwijkingen in de praktijk, compliance stelt de kaders en second line controls, en operations of onboarding-teams verwerken en verifiëren gegevens. In complexe dossiers worden daarnaast vaak externe databronnen, screeningtools of gespecialiseerde onderzoeks- en legal partijen ingezet, bijvoorbeeld bij internationale structuren, sanctierisico’s of escalaties rond account closures.

Juist omdat AML/KYC doorloopt gedurende de hele relatie, is samenwerking cruciaal. Een goed dossier ontstaat niet door één goede onboarding, maar door consistente vastlegging, periodieke herijking en tijdige escalatie zodra signalen niet meer passen bij het klantprofiel. Dat geldt niet alleen voor Wwft-plichtige instellingen, maar in toenemende mate ook voor ondernemingen die via hun bank, financiers of handelspartners worden geconfronteerd met indirecte compliance-eisen.

Afronding en vooruitblik: van klantonderzoek naar compliance audits

AML- en KYC-onderzoeken vormen in zekere zin de dagelijkse praktijkvariant van wat in eerdere artikelen terugkwam bij due diligence en integriteitsonderzoeken. Ook hier draait het om de vraag met wie zaken worden gedaan, welke risico’s daarbij horen en hoe wordt voorkomen dat een organisatie onbewust onderdeel wordt van een groter integriteitsprobleem.

Waar due diligence vaak ziet op een eenmalig beslismoment, gaat AML/KYC over continue alertheid. Daarmee vormt dit type onderzoek een brug tussen preventie en detectie: van klantacceptatie naar transactiemonitoring, van dossieropbouw naar mogelijke melding, en soms uiteindelijk naar verdiepend intern onderzoek.

In het volgende en laatste artikel in deze reeks verschuift de focus naar compliance audits. Waar AML- en KYC-onderzoeken zich richten op individuele klanten, dossiers en transacties, kijken compliance audits juist breder naar de opzet, werking en effectiviteit van het compliance-framework als geheel. Daarmee vormt dat slotartikel het logische sluitstuk van deze reeks: van incident en dossier, naar systeem en beheersing.

 

Uitnodiging tot consultatie

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website.  

 

Vooruitblik naar het volgende artikel

In het volgende artikel duiken we in de ongemakkelijke waarheid: Internal Audit vs. de Business. Waarom auditteams vaak als “remmende factor” worden gezien – en hoe je dat omdraait.  

 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

Skyline Rotterdam

De drie grootste blinde vlekken in AML/CFT-audits (en hoe ze je organisatie kunnen ruïneren)

Introductie: Waarom je AML/CFT audit tekort kan schieten

De AML/CFT-audit is succesvol afgerond en de uitkomst in het rapport ziet er goed uit. Ook compliance heeft zijn reviews gedaan voor het jaar en we vinden met zijn alle dat we in control zijn. En toch… blijken een aantal klanten onderdeel van een witwasnetwerk van een paar honderd miljoen euro, miste jouw monitoringtool transacties die wel door de concurrent werden opgemerkt, en heeft een medewerker jarenlang PEP transacties goedgekeurd zonder verscherpte controle handelingen. 

Hoe kan dat? 

AML/CFT audits zijn in de praktijk vaak kwetsbaar voor een aantal fundamentele blinde vlekken: de cultuur binnen de organisatie, menselijk gedrag onder druk, en de manier waarop data wordt gebruikt en geïnterpreteerd. 

In dit artikel ontrafelen we:
Blinde vlek 1: Cultuur: Waarom een “compliance-vinkjescultuur” échte risico’s maskeert.
Blinde vlek 2: Mensen: De psychologie achter het negeren van rode vlaggen.
Blinde vlek 3: Data: Waarom je monitoringtools meer missen dan ze vinden. 

Blinde vlek 1: De “Compliance-Vinkjescultuur” – Waarom je organisatie denkt dat ze compliant is, terwijl ze dat niet is 

In veel organisaties is AML/CFT-compliance langzaam verschoven van een risico gedreven discipline naar een administratief proces. Wat ooit bedoeld was om risico’s zichtbaar en beheersbaar te maken, is in de praktijk vaak gereduceerd tot het volgen van stappen en het afvinken van checklists. Medewerkers doen wat er van hen gevraagd wordt, maar staan zelden stil bij de vraag wat het daadwerkelijk betekent, voor risico’s, voor de organisatie, of voor de effectiviteit van het geheel. Het gevolg? 

  • Rapporten vol bevestigingen dat processen bestaan en zijn geïmplementeerd, maar nauwelijks duidelijk bewijs dat ze effectief werken. 
  • Audits die zich richten op “makkelijke” onderdelen (bijvoorbeeld klantacceptatie en policy checks), terwijl complexe risico’s (bijvoorbeeld transactiemonitoring en cultuur) worden genegeerd. 
  • Een valse zekerheid: “We zijn compliant, want we volgen de regels.” 

Voorbeeld uit de praktijk: 
De Volksbank kreeg in 2025 een boete van €20 miljoen van de DNB, omdat hun compliance-systeem niet up-to-date was en risico’s niet effectief werden gemitigeerd. Het probleem? De bank had wel processen, maar die werden niet kritisch beoordeeld op effectiviteit. Medewerkers volgden de regels, maar begrepen niet waarom – en dus misten ze signalen die op mogelijk witwassen duidden. 

Waarom is dit een blinde vlek? 

Cultuur bepaalt de mate en diepgang van compliance

In organisaties waar compliance wordt gezien als een verplichting, ontstaat al snel een minimale invulling: “doen wat nodig is om door de controle te komen.” Medewerkers volgen processen, maar voelen zich niet verantwoordelijk voor het onderliggende doel. Het signaleren van risico’s vraagt echter nieuwsgierigheid, eigenaarschap en vaak ook lef. Als die elementen ontbreken, blijven afwijkingen onopgemerkt — niet omdat ze er niet zijn, maar omdat niemand actief op zoek is of de vinger op de zere plek te leggen en zich uit te spreken. 

Geen eigen verantwoordelijkheid

Wanneer compliance wordt gepositioneerd als een aparte afdeling, ontstaat een impliciete scheiding: “zij gaan over de regels, wij over de business.” In theorie blijft iedereen verantwoordelijk, maar in de praktijk verwatert dat. Risicobeheersing wordt iets wat je kunt doorverwijzen, in plaats van iets wat integraal onderdeel is van dagelijks handelen. Het gevolg is dat signalen blijven hangen tussen teams, of simpelweg niet worden opgepakt omdat niemand zich echt eigenaar voelt. 

Angst voor conflict

Kritische vragen stellen over klanten, transacties of interne processen vraagt ruimte en veiligheid. In veel organisaties wordt die ruimte door medewerkers beperkt gevoeld. Medewerkers die doorvragen, worden soms gezien als lastig, vertragend of “niet commercieel genoeg”. Zeker in omgevingen met hoge werkdruk of sterke focus op targets kan dat effect worden versterkt. De rationele keuze wordt dan om binnen de lijntjes te blijven en geen discussie aan te gaan, ook als er twijfel is. 

Hoe pak je dit aan? 

✔ Maak compliance ieders verantwoordelijkheid: Leg uit waarom regels bestaan en waarom ze belangrijk zijn voor de organisatie (bijv. “Dit voorkomt dat we gebruikt worden voor witwassen”) en wat ieders rol daarin zou moeten zijn. Kijk bij je volgende audit is naar het verantwoordelijkheidsgevoel bij de verschillende teams.
✔ Maak een compliance KPI: Stimuleer medewerkers om rode vlaggen te melden, ook als dat ongemakkelijk is. Om die vlaggen te kunnen herkennen zijn compliance trainingen cruciaal. Duik als auditor ook is in hoe compliance wordt gestimuleerd.
✔ Test de cultuur: Voer anonieme werknemerstevredenheidsonderzoek uit: Durven medewerkers kritiek te uiten? Voelen ze zich veilig om afwijkingen te melden?
✔ Laat (hoger) management de toon zetten: Als het management compliance negeert, zal de rest dat ook doen. Durf als auditor ook te benoemen wat de impact kan zijn van de toon van het management. 

 

Blinde vlek 2: Menselijk Gedrag – De psychologie achter het negeren van rode vlaggen 

We zijn niet rationeel – ook niet in compliance. Zelfs als systemen en processen perfect zouden zijn, mensen maken nu eenmaal fouten. En die fouten worden vaak veroorzaakt door psychologische valkuilen: 

 

Psychologische bias

Hoe het werkt

Voorbeeld
Confirmation bias  We zoeken naar informatie die onze overtuiging bevestigt.  Een auditor ziet dat een klant “op papier” in orde is en negeert signalen die anders zijn. 
Overconfidence bias  We overschatten onze eigen vermogen om risico’s te herkennen.  “Wij kennen onze klanten, dus wij weten welke transacties veilig zijn.” 
Groupthink  Groepsdruk zorgt ervoor dat afwijkende meningen worden onderdrukt.  Een team negeert een rode vlag omdat “Iedereen het erover eens is dat dit geen risico is”. 
Alert fatigue  Te veel valse alarmmeldingen leiden tot negeren van alle signalen.  Medewerkers klikken automatisch “veilig” aan, omdat 99% van de meldingen niets blijkt. 
Authority bias  We vertrouwen blind op gezag (bijv. senior management).  Een medewerker twijfelt aan een transactie, maar doet niets omdat de manager zegt: “Dit is in orde.” 

 

Deze kwetsbaarheid (‘de biases’) zit niet in systemen of procedures, maar in menselijk gedrag. En juist daarom is het zo hardnekkig: 

Mensen zijn geen machines

Zelfs de meest ervaren auditors en compliance officers maken continu inschattingen op basis van onvolledige informatie. Daarbij spelen onbewuste aannames en cognitieve biases een grotere rol dan vaak wordt erkend. Denk aan confirmation bias (we zoeken bevestiging van wat we al denken te weten) maar bijvoorbeeld ook ‘normalisation of deviance’ (afwijkingen die vaak genoeg voorkomen, gaan als “normaal” voelen). In een auditcontext betekent dit dat signalen die niet direct in het verwachte patroon passen, sneller worden weg gefilterd of gerationaliseerd. 

Cultuur versterkt biases

Die natuurlijke neiging wordt versterkt door de omgeving waarin mensen werken. Cultuur, de eerst benoemde blinde vlek, is daarin bepalend. In organisaties waar fouten primair worden gezien als iets dat bestraft moet worden, ontstaat terughoudendheid. Medewerkers worden voorzichtiger met het stellen van kritische vragen of het escaleren van twijfelgevallen. Niet omdat ze de risico’s niet zien, maar omdat de persoonlijke of organisatorische kosten van “lastig doen” als hoger worden ervaren dan de potentiële opbrengst. Het gevolg is dat risico’s wel worden opgemerkt, maar niet altijd worden uitgesproken. 

Druk om resultaten te boeken

Daar komt nog bij dat prikkels binnen organisaties niet altijd in lijn zijn met risicobeheersing. Wanneer snelheid, commerciële targets of klanttevredenheid zwaarder wegen in beoordeling en beloning, ontstaat er spanning. Medewerkers die worden afgerekend op doorlooptijden of volumes, zullen – bewust of onbewust – geneigd zijn om minder strikt te zijn in hun beoordeling. Niet per se uit onwil, maar omdat het systeem hen die richting op duwt. Hier zou een compliance KPI ook goed van pas kunnen komen om de boel te balanceren. 

In combinatie zorgen deze factoren voor een omgeving waarin risico’s niet altijd verdwijnen, maar wel minder zichtbaar worden. En dat maakt dit tot een van de meest verraderlijke blinde vlekken: iedereen doet zijn werk, en toch ontstaat er een structurele onderschatting van wat er werkelijk speelt. 

Hoe je dit oplost: 

✔ Train op gedrag, niet alleen op regels: Leer medewerkers kritisch na te denken en aannames uit te dagen. Controleer bij een audit de trainingsmaterialen op dit thema.
✔ Gebruik “red teaming”: Laat een team opzettelijk proberen om je systemen te omzeilen. Wat lukt er? Waar lopen ze tegen aan? Kijk als auditor hoe een organisatie zich kan wapenen tegen biases.
✔ Beloon het melden van fouten: Creëer een cultuur waar fouten melden wordt beloond, niet bestraft. Altijd goed om dit te pijlen in interviews en ‘walkthroughs’.
✔ Automatiseer waar mogelijk: Vervang menselijk oordeel door objectieve criteria waar dat kan (bijv. “Als transactie X, Y en Z kenmerken heeft, dan altijd escaleren”).
✔ Meet de kwaliteit van beslissingen: Analyseer achteraf hoe vaak menselijke beoordelingen fout waren en leer ervan. 

Vraag aan jou:

Welke psychologische valkuilen herken je in je eigen team? En hoe zorg je dat medewerkers durven te twijfelen? 

Blinde vlek 3: Data – Waarom je monitoringtools meer missen dan ze vinden 

Organisaties vertrouwen op geavanceerde monitoringtools om verdachte transacties op te sporen. Maar wat als die tools niet zijn afgestemd op de échte risico’s van je organisatie? Of als de data die je het systeem voert onvolledig of verouderd is, of zelfs verkeerd geïnterpreteerd wordt? 

Voorbeelden uit de praktijk: 

  • Bunq (Nederlandse neobank) kreeg in 2025 een boete van €2,6 miljoen van de DNB, omdat hun AML-controles herhaaldelijk tekortschoten. Eén van de problemen: de monitoringtools misten patronen die wel verdacht waren, omdat ze niet waren afgestemd op de specifieke risico’s van een fintech. 
  • De Volksbank kon klantactiviteiten niet goed monitoren tussen 2020 en 2023, omdat hun systemen niet meegingen met nieuwe witwasmethodes (bijvoorbeeld structurering via kleine bedragen). 

Op papier lijkt data gedreven monitoring één van de sterkste verdedigingslinies binnen AML/CFT. In de praktijk zit juist hier een fundamentele kwetsbaarheid. Niet omdat er te weinig data is, maar omdat de manier waarop we die data gebruiken beperkingen heeft die vaak worden onderschat: 

 

False Negatives

Een eerste probleem zit in wat níet wordt gezien: de zogenaamde false negatives. Monitoringtools zijn per definitie gebaseerd op modellen, scenario’s en historische patronen. Ze herkennen wat eerder al als risico is geïdentificeerd. Maar witwassen en fraude ontwikkelen zich continu. Nieuwe methoden passen vaak nét buiten de bestaande parameters en blijven daardoor onzichtbaar. Het systeem geeft dan geen signaal, terwijl er wel degelijk iets speelt. En omdat “geen alert” vaak wordt geïnterpreteerd als “geen risico”, ontstaat een gevaarlijke vorm van schijnzekerheid. 

False Positives

Aan de andere kant is er het tegenovergestelde probleem: false positives. Veel systemen genereren grote hoeveelheden alerts, waarvan een aanzienlijk deel uiteindelijk niet relevant blijkt. Dat leidt tot een operationele realiteit waarin medewerkers dagelijks enorme volumes moeten beoordelen. Na verloop van tijd treedt onvermijdelijk ‘alertmoeheid’ op. Signalen die aanvankelijk met aandacht worden onderzocht, worden steeds sneller afgedaan als “waarschijnlijk weer niets”. Niet uit onwil, maar uit efficiëntie. Het risico is duidelijk: juist het ene échte signaal kan verdwijnen in de massa. 

Data Silos

Daarbovenop komt dat data zelden één samenhangend geheel vormt. In veel organisaties is informatie verspreid over verschillende systemen: klantdata in het ene platform, transactiegegevens in een ander, risicobeoordelingen weer ergens anders. Deze silo’s maken het moeilijk om verbanden te leggen. Een transactie kan op zichzelf onschuldig lijken, net als een klantprofiel. Maar in combinatie, over tijd en systemen heen, kan er wel degelijk een patroon zichtbaar zijn. Als die puzzelstukken niet bij elkaar komen, blijft het grotere geheel verborgen. 

Hoe pak je dit aan? 

✔ Valideer je data: Zorg dat je monitoringtools daadwerkelijk de risico’s detecteren die relevant zijn voor jouw organisatie. Test regelmatig met realistische scenario’s. Ga bij een audit ook dieper in op hoe de ‘rules’ (de daarbij horende scenario’s) tot stand zijn gekomen.
✔ Combineer mens en machine: AI en data-analyse zijn krachtig, maar menselijk oordeel is nodig om context toe te voegen (bijvoorbeeld “Deze bestuurder is een PEP, maar zijn assets hebben niks te maken met de klantorganisatie”).
✔ Monitor de effectiviteit: Meet hoeveel echte risico’s je tool vindt en hoeveel het mist. Duik als auditor ook is in de statistieken van de monitoring tool.
✔ Integreer data: Zorg dat klantdata, transactiedata en risicodata met elkaar verbonden zijn, zodat patronen zichtbaar kunnen worden. Neem in je audit ook de data typen mee. 

 

Conclusie: Van blinde vlekken naar scherp zicht 

De drie blinde vlekken – cultuur, menselijk gedrag en data – staan niet los van elkaar. Ze versterken elkaar. Een organisatie met een vinkjescultuur zal minder kritisch kijken naar de effectiviteit van haar monitoring. Mensen die onder druk staan of gestuurd worden op snelheid, zullen sneller vertrouwen op systemen zonder die te bevragen. En systemen die niet effectief werken, maar wel worden gebruikt, voeden vervolgens weer de overtuiging dat “alles onder controle is”. Zo ontstaat een gesloten cirkel van schijnzekerheid. 

De pijnlijke realiteit is dat veel audits deze dynamiek niet doorbreken. Ze bevestigen dat processen bestaan, dat controles zijn uitgevoerd, en dat rapportages kloppen. Maar ze stellen zelden die scherpe vraag: Werkt dit systeem ook als het er echt toe doet? 

Een effectieve AML/CFT-audit kijkt daarom niet alleen naar wat er is ingericht, maar vooral naar hoe het in de praktijk functioneert — onder druk, bij twijfel, en op de momenten dat het spannend wordt. Dat vraagt iets anders van auditors: 

  • Niet alleen toetsen, maar doorvragen  
  • Niet alleen controleren, maar begrijpen  
  • Niet alleen rapporteren, maar ook confronteren  

Want uiteindelijk zit het verschil niet in nóg betere policies of nóg meer data. Het zit in de bereidheid om te zien wat je liever niet ziet. De vraag is dus niet of jouw organisatie blinde vlekken heeft. De vraag is: durf je ze echt zichtbaar te maken? 

Als je deze blinde vlekken negeert, blijf je reactief in plaats van proactief. Je organisatie is dan niet slecht beschermd – maar wel kwetsbaar op plekken waar je het niet verwacht. De 20% die écht impact maakt, begrijpt dat een goede AML/CFT-audit niet draait om het afvinken van regels, maar om het blootleggen van kwetsbaarheden voordat er misbruik van kan worden gemaakt. 

 

Uitnodiging tot consultatie

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website.  

 

Vooruitblik naar het volgende artikel

In het volgende artikel duiken we in de ongemakkelijke waarheid: Internal Audit vs. de Business. Waarom auditteams vaak als “remmende factor” worden gezien – en hoe je dat omdraait.  

 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

Due diligence en reputatieonderzoek: integriteit toetsen vóór je ‘ja’ zegt

Bij fusies, overnames, grote klantrelaties en investeringen, in binnen en buitenland, ligt de nadruk traditioneel op financiële en juridische due diligence. Balansen worden doorgelicht, contracten nagekeken en fiscale structuren geanalyseerd. Toch blijkt in de praktijk vaak dat niet de cijfers, maar juist integriteitskwesties, sanctierisico’s en reputatieschade de echte dealbreakers zijn. 

In dit artikel staat daarom Integrity Due Diligence (IDD) centraal – in de internationale praktijk ook wel reputational due diligence genoemd. IDD is geen vervanging van legal, tax en financial DD, maar een aanvullende laag die antwoord geeft op een andere vraag: “willen we met deze partij geassocieerd worden?”. 

 

Waarom financiële en juridische DD niet genoeg zijn 

Financial, tax en legal DD zijn onmisbaar. Ze brengen in kaart of cijfers kloppen, welke contractuele verplichtingen bestaan en welke harde claims, zekerheden en fiscale risico’s er spelen. Toezichthouders en wetgevers verwachten bovendien dat organisaties hun huis financieel en juridisch op orde hebben. 

Tegelijkertijd verschuift de lat. Sanctieregimes worden strenger, Wwft/Wft‑verwachtingen worden concreter ingevuld, en zowel media als NGO’s en toezichthouders kijken scherper naar ESG, mensenrechten en ketenverantwoordelijkheid. Bestuurders krijgen daarbij steeds vaker te horen dat zij “hadden kunnen weten” dat een overnamekandidaat of belangrijke partner integriteitsproblemen had.  

Daar komt bij dat reputatieschade moeilijk te herstellen is. Het traditionele idee dat legal, tax en financial samen “de due diligence” vormen, en dat integriteitsonderzoek slechts een optionele aanvulling is, sluit daardoor steeds minder aan bij de praktijk. 

In transacties zien we bovendien vaak dat er één totaalbudget voor due diligence wordt afgesproken. Dat bedrag gaat doorgaans eerste op aan de standaardonderdelen. Alles wat daarbuiten valt wordt dan al snel als nice‑to‑have weggezet en valt als eerste af als er moet worden geschrapt. Precies daar ontstaan de blinde vlekken. 

 

De basis: standaard DD, met IDD als aanvullende laag 

Tegenwoordig bestaat due diligence allang niet meer alleen uit het klassieke rijtje financial, tax en legal. Die vormen blijven de basis – zonder goed inzicht in cijfers, fiscale positie en contractuele verplichtingen kun je geen verantwoorde deal sluiten – maar daarbovenop is een hele generatie “aanvullende” DD‑sporen ontstaan. Cyber‑ en IT‑DD, technische DD, commerciële en ESG‑DD en meer sectorspecifieke varianten zoals environmental‑ of regulatory‑DD worden steeds vaker als aparte werkstroom opgezet. 

In dit artikel zoomen we in op één van die aanvullende sporen: Integrity Due Diligence (IDD), in de internationale praktijk ook wel reputational due diligence of investigative due diligence genoemd. IDD is geen concurrerend alternatief voor financial, tax en legal DD, maar een bewuste verbreding. Waar het gebruikelijke onderzoek zich vooral richt op de formele kant van de onderneming – cijfers, structuren, contracten – kijkt IDD juist naar gedrag, integriteit en reputatie van de organisatie én de mensen eromheen. 

Daarbij komen open bronnenonderzoek, achtergrondchecks en reputatieanalyse samen: registers, sanctielijsten, rechtspraak, toezichthoudersites, media, NGO‑rapporten en social media worden gecombineerd met het track record van bestuurders, UBO’s en sleutelpersonen. Het resultaat is één samenhangend beeld dat niet alleen laat zien of de onderneming formeel klopt, maar vooral ook of je er als koper, investeerder of financier daadwerkelijk naast wílt staan. 

 

Kruisbestuiving tussen legal, tax, financial en IDD 

Op papier vullen legal, tax, financial DD en IDD elkaar mooi aan. Legal en tax/Financial‑teams werken in de dataroom en via Q&A‑rondes, IDD‑onderzoekers gebruiken vooral open bronnen en externe signalen. In de praktijk lopen die sporen echter vaak te veel naast elkaar, waardoor belangrijke feiten niet worden gespiegeld. 

Een illustratief voorbeeld uit onze praktijk: een standaardvraag is of bestuurders of aandeelhouders ooit betrokken zijn geweest bij een faillissement. In een legal Q&A werd die vraag ontkennend beantwoord. Vanuit het IDD‑onderzoek, dat onder meer het handelsregister, faillissementsregister en media doorzocht, bleek dat een van de betrokkenen eerder wel degelijk bestuurder was geweest van een failliete vennootschap. Dat stond gewoon in openbare bronnen. Pas door de antwoorden uit de legal‑Q&A naast de OSINT‑bevindingen uit de IDD te leggen, viel die discrepantie op. 

Dezelfde kruisbestuiving is mogelijk met financial en tax DD. Openbare jaarrekeningen en geconsolideerde rapportages geven een grove toets op omzet, winst, solvabiliteit en trends, die te vergelijken zijn met de cijfers in de dataroom. Faillissementsverslagen, rechtspraak en registers tonen eerdere faillissementen, bestuurdersaansprakelijkheid en beslagleggingen die zowel juridisch als financieel relevant zijn. Fiscale geschillen en boetes worden zichtbaar in rechtspraak, jaarrekeningen en nieuws‑ of vakmedia en kunnen naast de uitkomsten van tax DD worden gelegd. En zekerheden en (her)financieringen laten zich deels herleiden uit pand‑ en hypotheekregisters en persberichten. 

Niemand verwacht dat je met open bronnen een volledige financial of tax DD “namaakt”. Het punt is juist dat je ziet of het interne beeld ongeveer aansluit bij het openbare spoor en waar eventuele witte vlekken of spanningen zitten. Daarvoor is een bewuste informatiebrug nodig: gerichte toegang tot relevante Q&A‑onderwerpen voor het IDD‑team en systematische terugkoppeling van IDD‑bevindingen richting legal, tax en financial. 

 

Verdiepende anticorruptie‑DD: meer dan FCPA alleen 

Bij internationaal opererende groepen met veel overheidscontacten of activiteiten in hoog‑risicolanden is een generiek IDD‑onderzoek soms niet voldoende. In die situaties wordt het IDD vaak aangevuld met een expliciet anticorruptie spoor, waarin wordt gekeken of de praktijk van betalingen, tussenpersonen en besluitvorming aansluit bij de eisen van moderne anti‑omkopingswetgeving. 

De FCPA (de Amerikaanse Foreign Corrupt Practices Act) is daarin een bekende referentie, maar zeker niet de enige. Ook de UK Bribery Act, de Franse Sapin II‑wet en de Braziliaanse Clean Company Act leggen ondernemingen stevige normen op rond (buitenlandse) omkoping, anti-witwassen en interne beheersing, en verwachten aantoonbare due diligence op derde partijen. Autoriteiten publiceren bovendien uitgebreide guidance over wat zij onder een effectief anticorruptieprogramma verstaan. 

In de praktijk vertaalt zich dat naar een verdiepend DD‑spoor binnen IDD: gericht kijken naar high‑risk betalingen, de rol van agents en consultants, contractvoorwaarden, approvals en monitoring in landen en sectoren met verhoogd risico. Het doel is niet om alle wetgeving uitputtend te toetsen, maar om te beoordelen of het integriteits‑ en controleniveau past bij de jurisdicties waarin de partij actief is én bij de risk appetite van koper of financier. 

 

Het IDD‑rapport als dossier dat “meegroeit” 

Een mooi bijeffect van een goed IDD‑onderzoek is dat het rapport niet slechts éénmalig waarde heeft. Steeds vaker zien we dat zo’n rapport in de volledige levenscyclus van een deal terugkomt. 

In de eerste fase ondersteunt het de go/no‑go‑beslissing: wil je deze partij wel in je portfolio, in jouw merkarchitectuur of in jouw financieringsboek? Later blijkt hetzelfde rapport bruikbaar richting banken voor (her)financiering, richting andere gereguleerde partijen in de keten die hun eigen integriteitschecks moeten doen, en richting subsidieverstrekkers of fondsen die aan hun stakeholders willen laten zien dat er zorgvuldig naar integriteits‑ en sanctierisico’s is gekeken. 

Een casus uit onze praktijk illustreert dat heel mooi. In een traject rond een nieuw datacenter is een uitgebreide screening gedaan op een partij die de grootste klant in het datacenter zou worden. De directe aanleiding was de vraag of men die klantrelatie wel wilde aangaan, maar de investeerder keek nadrukkelijk verder: het vastgoed en de klantenportefeuille konden in de toekomst worden doorverkocht. Een gedegen IDD‑rapport moest dan kunnen dienen als bewijs richting toekomstige financiers en kopers dat er vooraf serieus naar integriteits‑, sanctie‑ en reputatierisico’s is gekeken en dat men bewust bepaalde risico’s heeft geaccepteerd of gemitigeerd. IDD wordt zo een terugkerend bouwblok in de documentatie‑keten van de asset. 

 

Rode vlaggen en de vertaalslag naar risico 

Het IDD levert vaak een mix op van harde feiten, beschuldigingen, oude kwesties en ruis. Niet elk negatief bericht is een dealbreaker. De kunst is om te bepalen wanneer er daadwerkelijk sprake is van een rode vlag. 

Patronen van terugkerende corruptie‑, omkopings‑ of fraudezaken, betrokkenheid bij sanctie‑omzeiling via dubieuze tussenpersonen en ondoorzichtige off‑shores of herhaaldelijk toezichtsingrijpen door autoriteiten wijzen op structurele integriteitsproblemen. Ook langdurige controverses rond mensenrechten, milieu of arbeidsomstandigheden in de keten vallen in die categorie. 

De volgende stap is steeds dezelfde: de vertaalslag van feit naar risico. Hoe oud is de kwestie en hoe is deze afgewikkeld? Ging het om een incident of zie je een patroon? Zijn er sindsdien aantoonbare verbetermaatregelen genomen? En wat betekent dit concreet voor strategie, vergunningen, financiers en stakeholders? Die analyse bepaalt of je door wilt, onder welke voorwaarden en met welke aanvullende waarborgen. 

 

Wie doet wat: bestuur, compliance en onderzoekers 

Een goede IDD komt alleen van de grond als rollen en verantwoordelijkheden helder zijn. Bestuur, investment‑ en M&A‑teams bepalen de risk appetite en maken uiteindelijk de go/no‑go‑beslissing. Compliance en legal vertalen die appetite naar concrete onderzoeksvragen, beoordelingskaders en rapportageformaten. Externe onderzoeks‑ en forensische partijen voeren vervolgens het diepgravende OSINT‑, integriteits‑ en reputatieonderzoek uit, en waar nodig (bijvoorbeeld) een verdiepend anti-corruptiespoor dat aansluit op FCPA, UKBA, Sapin II of vergelijkbare wetgeving. Financiers en subsidieverstrekkers verwachten ten slotte dat grote transacties en projecten aantoonbaar zijn getoetst op integriteit, sancties, ESG en governance, en baseren daar hun eigen krediet‑ en subsidiebesluiten op. 

 

Afronding en vooruitblik: van deal‑DD naar KYC 

IDD’s zijn de voorkant van hetzelfde speelveld waar integriteitsonderzoeken, klokkenluidersdossiers en arbeidsrechtelijke trajecten de achterkant van vormen. Wat je niet of onvoldoende onderzoekt vóór je ‘ja’ zegt, loop je grote kans later terug te krijgen als incident, onderzoek of crisis. 

In het volgende artikel in deze reeks verschuift de focus van eenmalige deal‑DD naar de dagelijkse praktijk: KYC‑screenings en klantonderzoek (CDD). Daarin gaat het om de vraag hoe je de principes uit integriteits‑ en reputational DD vertaalt naar doorlopend klantonderzoek, UBO‑vaststelling, sanctie‑ en PEP‑screening en monitoring gedurende de hele klantrelatie. 

 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.