Risicoprofilering in de praktijk: hoe voorkom je discriminatie en andere onbedoelde effecten bij de uitvoering van Wwft en Sanctiewet?

Hoe zorg je ervoor dat de bestrijding van witwassen en sanctieovertredingen niet leidt tot onbedoelde effecten voor klanten?

De bestrijding van witwassen, terrorismefinanciering en sanctieovertredingen is de afgelopen jaren steeds verder geïntensiveerd. Organisaties die Wwft- en Sanctiewetverplichtingen uitvoeren, maken daarbij gebruik van risicoprofilering om risico's te signaleren, prioriteiten te stellen en gericht controles uit te voeren.

Dat is logisch. Niet iedere klant, transactie of situatie kan voortdurend worden onderzocht.

Tegelijkertijd groeit de aandacht voor een andere vraag: hoe zorg je ervoor dat risicoprofilering niet leidt tot discriminatie en andere onbedoelde effecten voor klanten?

Waarom krijgt dit onderwerp steeds meer aandacht?

De afgelopen jaren zijn verschillende onderzoeken, publicaties en handreikingen verschenen over de toepassing van risicoprofilering. Daarbij is steeds nadrukkelijker aandacht ontstaan voor discriminatie.

Wat begon met signalen vanuit de praktijk, heeft zich ontwikkeld tot een breder maatschappelijk en juridisch vraagstuk. Toezichthouders, brancheorganisaties, het College voor de Rechten van de Mens en organisaties zelf kijken steeds vaker naar de manier waarop risicoprofilering wordt ingericht en toegepast.

De discussie verschuift daarmee van de vraag óf risico's voldoende worden gesignaleerd naar de vraag hoe dit zorgvuldig gebeurt.

Ook de komende jaren zal dit onderwerp hoog op de agenda blijven staan. Vanaf 10 juli 2027 worden belangrijke onderdelen van het nieuwe Europese anti-witwaspakket van toepassing, waaronder de AML-verordening en de zesde anti-witwasrichtlijn (AMLD6). Toezicht op de naleving verschuift daarmee deels naar een nieuwe Europese toezichthouder: de AMLA.

Waar gaat het mis?

Risicoprofilering wordt gebruikt om gerichter te controleren en op te sporen. Daarbij worden risicocriteria gebruikt waarvan wordt verwacht dat zij samenhangen met de overtreding van een norm.

Dat uitgangspunt is logisch. Niet iedere klant, transactie of situatie kan voortdurend worden onderzocht. Daarom worden keuzes gemaakt. Juist daar ontstaat een belangrijk aandachtspunt. De gebruikte criteria bepalen namelijk wie vaker, intensiever of juist minder vaak wordt gecontroleerd. De aandacht verschuift daarmee naar de vraag hoe risico's worden geïdentificeerd en welke criteria daarbij worden gebruikt.

De praktijk laat bovendien zien dat risicoprofilering, hoe noodzakelijk ook, onbedoeld klanten kan raken die niets verkeerd doen.

Risicoprofilering wordt onder meer toegepast bij cliëntonderzoek, transactiemonitoring, sanctiescreening, fraudedetectie en aanvullende onderzoeken bij verhoogde risico's.

Een belangrijk uitgangspunt daarbij is dat organisaties kijken naar gedrag, transacties en concrete omstandigheden en niet naar persoonlijke kenmerken.

Waarom is dit lastig in de praktijk?

Bij de uitvoering van Wwft- en Sanctiewetverplichtingen zijn verschillende partijen betrokken die ieder beschikken over een deel van de informatie en verantwoordelijkheden. Denk bijvoorbeeld aan organisaties die signalen genereren en meldingen doen, de FIU, opsporingsinstanties, toezichthouders en de overheid.

Uit de praktijk blijkt dat terugkoppeling over de bruikbaarheid en effectiviteit van signaleringen en meldingen beperkt is. Daardoor ontstaat niet altijd volledig inzicht in welke criteria daadwerkelijk bijdragen aan het beoogde doel en welke criteria mogelijk moeten worden aangepast.

Daarnaast ontstaat spanning tussen wettelijke verplichtingen en de wens om discriminatie zoveel mogelijk te voorkomen.

Dat zien we bijvoorbeeld terug bij de discussie over gegevens als nationaliteit en geboorteplaats. Het registreren van gegevens is namelijk iets anders dan het gebruiken van gegevens voor risicoprofilering.

De discriminatietoets

Om te beoordelen of risicoprofilering tot discriminatie leidt, worden twee vragen gesteld:

1. Is er sprake van onderscheid?

2. Is dat onderscheid objectief gerechtvaardigd?

   
   

Die tweede vraag vormt de basis voor de verdere afwegingen rondom legitimiteit, subsidiariteit en proportionaliteit.

Maakt een risicoprofiel onderscheid?

Ja, eigenlijk wel.

Risicoprofilering maakt per definitie onderscheid tussen mensen, omdat niet iedereen op dezelfde manier wordt gecontroleerd.

Daarmee ontstaat direct de vraag welke criteria worden gebruikt om risico's te signaleren. Er wordt onderscheid gemaakt tussen direct en indirect onderscheid.

Bij direct onderscheid worden expliciete kenmerken gebruikt:

• Ras: nooit toegestaan als profielfactor.

• Nationaliteit: alleen toegestaan bij een wettelijke grondslag én wanneer het staatsburgerschap inhoudelijk relevant is voor de betreffende controle.

Daarnaast kan sprake zijn van indirect onderscheid. Daarbij wordt een ogenschijnlijk neutraal criterium gebruikt dat in de praktijk bepaalde groepen onevenredig kan raken.

Denk bijvoorbeeld aan contant betaalgedrag. Op zichzelf is dit een neutraal criterium. Wanneer bepaalde groepen daar vaker gebruik van maken, kan dit ertoe leiden dat zij ook vaker onderwerp worden van controle of nader onderzoek.

Het criterium zelf hoeft dus niet onjuist te zijn, maar vraagt wel om een zorgvuldige afweging en een goede onderbouwing.

Juist deze indirecte effecten maken risicoprofilering complex. Daarom is het niet alleen belangrijk welke criteria worden gebruikt, maar ook wat de effecten daarvan in de praktijk zijn.

Wanneer is onderscheid gerechtvaardigd?

Dat een risicoprofiel onderscheid maakt, betekent niet automatisch dat het gebruik ervan onjuist is. Organisaties hebben immers een wettelijke taak om witwassen, terrorismefinanciering en sanctieovertredingen tegen te gaan. Wel moeten organisaties kunnen uitleggen waarom bepaalde criteria worden gebruikt.

Daarbij spelen drie afwegingen een belangrijke rol:

• Legitiem doel: draagt het criterium aantoonbaar bij aan het doel waarvoor het wordt ingezet?

• Subsidiariteit: kan hetzelfde doel ook op een minder belastende manier worden bereikt?

• Proportionaliteit: staan de voordelen van een criterium in verhouding tot de mogelijke nadelige gevolgen voor betrokkenen?

De kernvraag is uiteindelijk:

Waarom gebruiken we dit criterium en kunnen we uitleggen waarom dit werkt?

Wie is verantwoordelijk?

Een belangrijk uitgangspunt is dat de verantwoordelijkheid uiteindelijk bij de gebruiker van het risicoprofiel blijft liggen. Organisaties kunnen zich niet verschuilen achter wetgeving, toezichthouders, softwareleveranciers, databronnen of algoritmen.

De vragen die organisaties zichzelf steeds vaker moeten stellen, verschuiven langzaam.

Vraag van gisteren	Vraag van vandaag
Voldoen we aan de Wwft?	Kunnen we aantonen dat onze risicocriteria effectief zijn?
Hebben we voldoende meldingen?	Zijn onze meldingen daadwerkelijk nuttig?
Hebben we een model?	Benadelen we bepaalde groepen onbedoeld?
Is de techniek ingericht?	Is de governance rondom de techniek ingericht?

Bouwstenen voor het voorkomen van discriminatie

Het voorkomen van discriminatie beperkt zich niet tot één afdeling of één proces. Een brede aanpak is nodig.

Daarbij komen verschillende onderdelen samen, zoals organisatie, risicoanalyse, communicatie, klachtbehandeling, training en periodieke evaluatie.

Ook communicatie speelt een belangrijke rol. Brieven, verzoeken om aanvullende informatie en klantinteracties kunnen onbedoeld bijdragen aan een gevoel van uitsluiting of ongelijkheid.

Daarnaast kunnen klachten waardevolle informatie opleveren. Ze zijn niet alleen een signaal dat er iets is misgegaan, maar helpen ook om patronen te herkennen en processen te verbeteren.

Een risicoanalyse, beleid of procedure heeft weinig waarde als medewerkers niet worden ondersteund bij de toepassing ervan in de dagelijkse praktijk.

Daarom vraagt dit onderwerp om een andere manier van leren. Generieke trainingen en standaard e-learnings alleen zijn vaak onvoldoende. De uitdaging zit juist in het bespreken van concrete dilemma's en praktijkvoorbeelden, zodat bewustwording wordt vertaald naar dagelijkse besluitvorming.

Wat betekent dit voor organisaties?

Dit vraagstuk raakt meer dan alleen een Wwft- of sanctiefunctie. Het raakt de inrichting van processen binnen de hele organisatie.

Daarbij wordt het voorkomen van discriminatie steeds meer gezien als een integraal onderdeel van de inrichting, uitvoering en evaluatie van risicoprofilering.

Dat leidt tot een aantal praktische vragen die organisaties zichzelf kunnen stellen:

• Welke risicocriteria gebruiken wij eigenlijk?

• Kunnen we uitleggen waarom deze criteria effectief zijn?

• Weten we welke effecten deze criteria hebben op verschillende groepen klanten?

• Is duidelijk wie verantwoordelijk is voor de periodieke evaluatie van deze criteria?

• Ondersteunen we medewerkers voldoende bij de toepassing van deze afwegingen in de dagelijkse praktijk?

• Gebruiken we klachten en praktijkervaringen om onze processen te verbeteren?

De uitdaging voor organisaties ligt de komende jaren niet alleen in het bijhouden van nieuwe wetgeving, maar vooral ook in de voortdurende vertaalslag van bestaande én nieuwe wettelijke verplichtingen naar werkbare processen, duidelijke verantwoordelijkheden en een zorgvuldige uitvoering in de dagelijkse praktijk.

Precies die vertaalslag – van wetgeving naar dagelijkse uitvoering – staat centraal binnen DUFINCO.

Wilt u weten wat deze ontwikkelingen betekenen voor uw organisatie? Neem dan contact op via info@dufinco.nl of bel +31 (0)6 512 47 217