Wat is een bedrijfsbrede risicobeoordeling — en hoe moet een vastgoedbedrijf deze uitvoeren?

Of u nu één makelaar bent of 500 medewerkers in dienst hebt: volgens de AMLR-regels begint naleving met inzicht in de risico's van uw eigen bedrijf.

Voordat u een klant goed kunt beoordelen, moet u eerst inzicht hebben in uw eigen bedrijf.

Dat is het principe achter de bedrijfsbrede risicobeoordeling (Business-Wide Risk Assessment — BWRA).

Vanaf 2027, wanneer Verordening (EU) 2024/1624 — de nieuwe EU-antiwitwasverordening, of AMLR — van kracht wordt, wordt dit een bijzonder belangrijk onderdeel van het AML-kader voor aangewezen entiteiten, waaronder vastgoedprofessionals.

Het concept klinkt ingewikkeld.

Dat hoeft het niet te zijn.

In wezen beantwoordt een bedrijfsbrede risicobeoordeling één fundamentele vraag:

„Waar zou mijn vastgoedbedrijf in de praktijk blootgesteld kunnen zijn aan het risico van witwassen of terrorismefinanciering?”

Niet waar de vastgoedsector in het algemeen aan risico's blootstaat.

Niet wat er in een algemeen AML-sjabloon staat.

Maar:

Dat onderscheid is van fundamenteel belang.

Begin bij je eigen bedrijf — niet bij je klanten

Veel bedrijven denken instinctief dat AML begint met:

“Identificeer de klant.”

In een goed risicogebaseerd AML-kader is er een stap die daaraan voorafgaat.

Het bedrijf zelf moet inzicht hebben in zijn blootstelling aan risico’s.

Artikel 10 van de AMLR verplicht aangewezen entiteiten om de risico’s op witwassen en terrorismefinanciering waaraan zij blootstaan te identificeren en te beoordelen, evenals risico’s die verband houden met het niet naleven of omzeilen van gerichte financiële sancties.

De verordening stelt specifiek dat de maatregelen in verhouding moeten staan tot de aard van de onderneming, de risico’s en complexiteit ervan, en de omvang ervan.

Dat is van cruciaal belang voor de vastgoedsector.

Een eenmansmakelaarskantoor in een kleine lokale markt heeft immers niet hetzelfde risicoprofiel als een internationale groep die zich bezighoudt met luxe onroerend goed en in tien landen actief is.

Maar beide kunnen onder de verplichting vallen.

Het doel is dus niet: één identiek AML-systeem voor iedereen.

Het doel is: een AML-systeem dat is afgestemd op de risico’s van elk bedrijf.

Dat is precies wat de BWRA tot doel heeft vast te stellen.

De AMLA beschrijft de BWRA als een centraal onderdeel van de risicogebaseerde aanpak.

Het doel ervan is een onder de wet vallende entiteit in staat te stellen inzicht te krijgen in de risico's die voortvloeien uit onder meer:

• haar bedrijfsmodel;

• haar klanten;

• zijn producten en diensten;

• haar transacties;

• zijn distributiekanalen; en

• zijn geografische blootstelling.

Voor vastgoedbedrijven krijgen deze concepten een zeer praktische betekenis.

1. Wat voor soort vastgoedbedrijf bent u?

Begin bij de basis.

Bent u:

• een zelfstandige makelaar?

• een makelaarskantoor voor de verkoop van woningen?

• een verhuurmakelaar?

• een specialist in luxe onroerend goed?

• een makelaarskantoor voor commercieel vastgoed?

• een projectontwikkelaar?

• een internationale makelaardij?

• een franchise?

• een bemiddelaar in vastgoedbeleggingen?

• een onderneming met meerdere vestigingen?

De activiteiten van het bedrijf bepalen het soort risico waarmee het te maken krijgt.

Een makelaarskantoor dat lokaal woningen van € 200.000 verkoopt, heeft natuurlijk te maken met een andere risicokomgeving dan een makelaarskantoor dat regelmatig villa’s van € 5 miljoen voor internationale klanten afhandelt.

2. Wie zijn uw klanten?

Bekijk uw klantenbestand als geheel.

Vraag uzelf af:

• Zijn de meeste klanten particulieren?

• Hoeveel zijn er bedrijven?

• Heeft u vaak te maken met buitenlandse kopers?

• Werkt u samen met investeringsmaatschappijen?

• Heeft u te maken met trusts?

• Maken klanten regelmatig gebruik van holdings?

• Heeft u te maken met professionele beleggers?

• Behoren politiek prominente personen af en toe tot uw klantenkring?

• Werkt u met klanten uit rechtsgebieden die gepaard gaan met een hoger AML-risico?

Het is niet de bedoeling om bepaalde klanten als verdacht te bestempelen.

Het doel is om inzicht te krijgen in de soorten klanten waarmee uw bedrijf doorgaans te maken heeft.

3. Waar komen uw klanten en transacties vandaan?

Geografie is van belang.

Een makelaarskantoor moet weten:

• waar zijn klanten wonen;

• waar de rechtspersonen zijn gevestigd;

• waar de uiteindelijke begunstigden zich bevinden;

• waar de transactiegelden vandaan komen;

• welke landen regelmatig bij zijn transacties voorkomen;

• en of er regelmatig rechtsgebieden met een hoger risico voorkomen.

Een lokaal makelaarskantoor waarvan de klanten, vastgoedobjecten en financiering overwegend binnenlands zijn, kan één soort geografische blootstelling hebben.

Een instelling die gespecialiseerd is in internationaal vastgoed voor beleggingsdoeleinden kan een heel andere blootstelling hebben.

Geen van beide voldoet automatisch aan de regels of is in strijd daarmee.

Ze hebben simpelweg verschillende risico’s die om verschillende controles vragen.

4. Met welke soorten vastgoed houdt u zich bezig?

Ook de kenmerken van de vastgoedmarkt zijn van belang.

Overweeg het volgende:

• woningen;

• commercieel vastgoed;

• luxe onroerend goed;

• grond;

• nieuwbouwprojecten;

• vastgoedbeleggingen;

• hoogwaardige huurwoningen;

• transacties op basis van bouwplannen;

• en andere vastgoedcategorieën.

Houd ook rekening met typische waarden.

Een makelaarskantoor met een gemiddelde transactiewaarde van € 175.000 loopt mogelijk andere risico's dan een bedrijf met een gemiddelde transactiewaarde van € 4 miljoen.

Het doel van de BWRA is om deze verschillen te erkennen in plaats van te doen alsof alle vastgoedbedrijven identiek zijn.

5. Met welke soorten transacties krijgt u te maken?

Ga nu van het onroerend goed over naar de transactie zelf.

Vraag:

• Zijn transacties doorgaans eenvoudig?

• Komen er vaak zakelijke kopers voor?

• Heeft u regelmatig te maken met complexe eigendomsstructuren?

• Wisselen klanten vaak van aankoopentiteit?

• Komen betalingen via derden vaak voor?

• Zijn transacties vaak grensoverschrijdend?

• Worden er ongebruikelijke financieringsstructuren gebruikt?

• Kopen klanten regelmatig zonder hypothecaire financiering?

• Hoe vaak ziet u transacties waarbij meerdere rechtsgebieden betrokken zijn?

• Vinden er overdrachten, doorverkopen of snelle eigendomsoverdrachten plaats?

Dit is een van de redenen waarom 'Know Your Transaction' (KYT) zo belangrijk is bij AML in de vastgoedsector.

De aard van de transactie kan u informatie verschaffen die u niet kunt afleiden uit de identificatie van de klant alleen.

6. Hoe worden onroerende goederen betaald?

Inzicht in de financiering van transacties is een andere belangrijke risicodimensie.

Bedenk waarmee uw makelaarskantoor doorgaans te maken heeft.

• Via een bank?

• Particuliere financiering?

• Bedrijfsmiddelen?

• Internationale overschrijvingen?

• Middelen van derden?

• Complexe financieringsstructuren?

• Transacties waarbij meerdere rekeningen of rechtsgebieden betrokken zijn?

Ook hier geldt: geen van deze zaken duidt automatisch op witwassen.

Het doel is om inzicht te krijgen in de kenmerken van het bedrijf, zodat de instantie weet wanneer iets afwijkt van het normale patroon.

7. Hoe gaat u om met klanten?

AMLR heeft ook betrekking op distributiekanalen.

Voor een vastgoedbedrijf kan dit het volgende omvatten:

• persoonlijk contact;

• onboarding op afstand;

• e-mail;

• online platforms;

• internationale doorverwijzingen;

• makelaars of tussenpersonen;

• vastgoedtransacties op afstand;

• digitale identificatiemethoden.

Een klant die het makelaarskantoor persoonlijk bezoekt en documentatie overlegt, kan andere verificatieoverwegingen met zich meebrengen dan een buitenlandse klant die de volledige transactie op afstand afhandelt.

De BWRA dient deze verschillen te onderkennen.

8. Over welke controlemaatregelen beschikt u al?

Het identificeren van risico's is slechts de helft van het werk.

De volgende vraag is:

“Wat doen we om het risico te beheersen?”

Uw bedrijf beschikt bijvoorbeeld wellicht over:

• procedures voor klantidentificatie;

• controles op de uiteindelijke begunstigden;

• PEP-screening;

• sanctiescreening;

• risicoscores voor klanten;

• procedures voor de herkomst van middelen;

• versterkte zorgvuldigheidscontrole;

• transactiebeoordeling;

• goedkeuring door het management voor gevallen met een hoger risico;

• AML-training;

• doorlopende monitoring;

• procedures voor het bewaren van documenten;

• interne rapportageprocedures.

Dit zijn uw risicobeperkende maatregelen.

De BWRA moet daarom het volgende met elkaar verbinden:

Bijvoorbeeld:

Risico

Groot aandeel internationale zakelijke kopers.

Beheersmaatregelen

Verificatie van de onderneming + identificatie van de uiteindelijke begunstigde + geografische risicobeoordeling + PEP-/sanctiescreening + passende controles van de herkomst van de middelen.

Dat is een risicogebaseerde AML-aanpak. Inherent risico en restrisico

Er is nog een ander nuttig onderscheid.

Het risico dat bestaat voordat uw controles worden toegepast.

Bijvoorbeeld:

• Uw bedrijf is actief in de internationale luxe vastgoedsector en verwerkt regelmatig transacties met hoge waarden waarbij zakelijke kopers betrokken zijn.

• Dat creëert een inherent risico.

• Vervolgens past u controlemaatregelen toe.

• CDD.

• Verificatie van de uiteindelijke begunstigde (UBO).

• Screening van politiek prominente personen (PEP).

• Sanctiecontroles.

• Risicobeoordeling.

• Procedures voor de herkomst van middelen.

• KYT.

• Versterkte due diligence waar nodig.

• Monitoring.

De vraag is dan:

"Welk risico blijft er over na die controles?"

Dat is uw restrisico.

Dit is van belang omdat een BWRA niet louter een lange lijst met risico’s mag opleveren.

Het moet het bedrijf helpen begrijpen:

Dat is een goed functionerend risicobeheerproces.

Hier komt het evenredigheidsbeginsel van de AMLR nadrukkelijk om de hoek kijken.

De verordening schrijft uitdrukkelijk voor dat maatregelen in verhouding moeten staan tot:

• de aard van de bedrijfsactiviteiten;

• het risico ervan;

• de complexiteit ervan; en

• de omvang ervan.

Het werk van de AMLA in 2026 met betrekking tot de BWRA versterkt dit beginsel.

De ontwerprichtlijnen zijn bedoeld om gemeenschappelijke minimumvereisten vast te stellen en er tegelijkertijd voor te zorgen dat bedrijven zelf de verantwoordelijkheid nemen voor hun eigen beoordeling en deze afstemmen op hun individuele kenmerken, risico's en complexiteit.

Laten we twee voorbeelden bekijken:

Stel je een onafhankelijke makelaar voor met:

• één eigenaar;

• geen werknemers;

• voornamelijk lokale woningtransacties;

• voornamelijk particuliere kopers en verkopers;

• gemiddelde transactiewaarden rond de € 250.000;

• zeer beperkte bedrijfsactiviteiten;

• weinig contact met internationale klanten.

De BWRA zou relatief eenvoudig kunnen zijn. Deze moet wel zinvol zijn en gedocumenteerd worden. Maar er is geen reden om de beoordeling onnodig ingewikkeld te maken.

Stel je een ander bedrijf voor met:

• 20 kantoren;

• 250 medewerkers en makelaars;

• luxe vastgoed;

• internationale kopers;

• aanzienlijke bedrijfsdeelnemingen;

• veelvuldige grensoverschrijdende transacties;

• vermogende klanten;

• meerdere landen;

• complexe financieringsregelingen.

De BWRA zal uiteraard aanzienlijk geavanceerder moeten zijn.

• Meer risico’s.

• Meer segmentatie.

• Meer controles.

• Meer governance.

• Mogelijk verschillende risicobeoordelingen per bedrijfsonderdeel of geografisch gebied.

• Dezelfde verplichting. Een andere uitvoering.

Dat is evenredigheid.

Het betekent niet: “Kleine bedrijven hebben geen AML nodig.”

Het betekent: het AML-kader moet aansluiten bij de daadwerkelijke bedrijfsvoering.

De bedrijfsbrede risicobeoordeling kan niet zomaar van een andere instantie worden overgenomen

Dit is nog een belangrijk punt.

Stel je twee instanties voor die in dezelfde straat gevestigd zijn.

Ze lijken misschien bijna identiek.

Maar:

Bureau A richt zich voornamelijk op lokale verkopers van woningen.

Makelaarskantoor B is gespecialiseerd in buitenlandse vastgoedbeleggers die via bedrijfsstructuren kopen.

Hun AML-risico’s zijn verschillend.

Daarom moeten hun BWRA's ook verschillend zijn.

Een algemeen document dat van het internet is gedownload, kan niet automatisch het risicoprofiel van beide bedrijven beschrijven.

De huidige aanpak van de AMLA benadrukt expliciet dat de aangewezen entiteiten zelf de verantwoordelijkheid moeten nemen voor hun BWRA.

Dat is logisch.

Niemand begrijpt de activiteiten van een vastgoedbedrijf beter dan het bedrijf zelf.

En de BWRA kan niet zomaar eenmalig worden opgesteld

AMLR vereist dat de bedrijfsbrede risicobeoordeling:

• gedocumenteerd;

• actueel te houden; en

• regelmatig moet worden geëvalueerd.

Een herziening is ook vereist wanneer interne of externe gebeurtenissen het risicoprofiel van de onderneming wezenlijk beïnvloeden.

Stel je een makelaarskantoor voor dat zich van oudsher alleen bezighield met lokale woningtransacties.

Vervolgens besluit het de luxemarkt te betreden.

• Of het begint klanten uit verschillende nieuwe landen aan te trekken.

• Of een online verkoopmodel op afstand lanceert.

• Of begint met het afhandelen van investeringstransacties via bedrijfsstructuren.

Het risicoprofiel is veranderd.

Daarom moet de BWRA ook worden aangepast.

AMLR gaat nog een stap verder.

Alvorens nieuwe producten, diensten, bedrijfspraktijken of distributiekanalen te lanceren — of nieuwe klantsegmenten of geografische gebieden te betreden — moeten de relevante AML-risico’s worden geïdentificeerd en beoordeeld.

Met andere woorden:

• Risicobeoordeling moet onderdeel worden van de bedrijfsplanning.

• Niet alleen een administratieve compliance-verplichting.

Hoe moet een vastgoedbedrijf zijn BWRA dan concreet opstellen?

Een praktisch proces kan er als volgt uitzien:

STAP 1 — Beschrijf uw bedrijf

• Wat doet u?

• Waar?

• Voor wie?

• Met welke transactiewaarden?

STAP 2 — Breng je risicogebieden in kaart

Kijk naar:

• Klanten

• Regio's

• Diensten

• Vastgoed

• Transacties

• Verkoopkanalen

• Betalings- en financieringspatronen

• Blootstelling aan sancties

STAP 3 — Identificeer de individuele risicofactoren

Welke kenmerken verhogen of verlagen het risico?

STAP 4 — Bepaal uw inherent risico

Beoordeel de blootstelling vóór de inbouw van controles.

Bijvoorbeeld:

• LAAG

• GEMIDDELD

• HOOG

of een andere gedocumenteerde methodiek die geschikt is voor het bedrijf.

STAP 5 — Bepaal uw beheersmaatregelen

Welke procedures beperken die risico's momenteel?

STAP 6 — Beoordeel of die controles toereikend zijn

Het feit dat een controle op papier bestaat, betekent niet noodzakelijkerwijs dat deze effectief is.

Vraag uzelf af:

• Wordt de controle daadwerkelijk uitgevoerd?

• Wordt het gedocumenteerd?

• Begrijpt iedereen het?

• Kan naleving ervan worden aangetoond?

STAP 7 — Bepaal het restrisico

Welk risico blijft er over na toepassing van die maatregelen?

STAP 8 — Identificeer hiaten

Waar heeft het bedrijf behoefte aan:

• betere procedures?

• betere documentatie?

• aanvullende screening?

• aanvullende training?

• een grondigere beoordeling van transacties?

• meer toezicht door het management?

STAP 9 — Stel een actieplan op

De BWRA moet tot actie leiden.

Het gaat niet alleen om het opstellen van een document.

STAP 10 — Evalueer het

Werk de beoordeling bij naarmate de bedrijfs- of risicomomgeving verandert.

Dit klinkt logisch. Het goed uitvoeren is echter moeilijker.

En dit is precies waar veel kleinere vastgoedbedrijven problemen ondervinden.

Een grote organisatie beschikt wellicht over:

• een compliance-afdeling;

• risicospecialisten;

• juridische adviseurs;

• AML-medewerkers;

• interne audit;

• speciale software.

Een makelaarskantoor met twee medewerkers beschikt doorgaans niet over deze zaken.

Toch moet het een verdedigbaar antwoord kunnen geven op de vraag:

• Wat zijn onze AML-risico’s?

• Hoe hebben we die vastgesteld?

• Welke maatregelen pakken deze aan?

• En kunnen we dat aantonen?

Daarom begeleidt Immosurance de vastgoedsector stap voor stap door de bedrijfsbrede risicobeoordeling.

In plaats van van een makelaar te verwachten dat hij artikel 10 van de AMLR interpreteert en vanuit het niets een risicomethodiek opzet, structureert Immosurance het proces rond de realiteit van een vastgoedbedrijf.

Het bedrijf wordt door de relevante risicogebieden geleid.

Waar moet uw AML-kader worden versterkt?

Het resultaat is niet zomaar weer een complianceformulier.

Het vormt de basis van het AML-kader van het bedrijf.

En al het andere moet daaruit voortvloeien

Dit is misschien wel het belangrijkste punt.

De bedrijfsbrede risicobeoordeling mag niet los staan van de rest van de AML-compliance.

Het moet bepalen hoe het bedrijf het volgende opstelt:

• zijn interne AML-beleid;

• zijn procedures voor klantonderzoek;

• zijn risicobeoordeling van klanten;

• zijn verscherpte due diligence;

• zijn controles op politiek prominente personen (PEP's) en sancties;

• zijn 'Know Your Transaction'-processen;

• haar monitoring;

• haar opleidingen;

• en zijn interne controles.

Beschouw de BWRA als de eerste laag:

Daarom is de BWRA zo belangrijk.

Het verandert AML van een verzameling algemene verplichtingen in een nalevingskader dat daadwerkelijk aansluit bij de bedrijfsvoering.

Of het nu gaat om één makelaar of 500 — begin op dezelfde manier

De beoordeling voor een eenmansmakelaarskantoor is wellicht veel eenvoudiger dan die voor een multinationale vastgoedgroep.

En dat is precies zoals het hoort. Maar beide moeten dezelfde fundamentele vraag kunnen beantwoorden:

„Begrijpen we de witwasrisico’s die voortvloeien uit de activiteiten die we daadwerkelijk uitoefenen?”

Als het antwoord ja is, kan de AML-compliance rond die risico’s worden opgebouwd.

Als het antwoord ‘nee’ is, kan het uitvoeren van individuele KYC-controles het onderliggende probleem niet oplossen.

Want voordat u uw klant goed kunt kennen (Know Your Customer), moet u eerst UW BEDRIJF KENNEN.

Immosurance begeleidt je hierin – stap voor stap.

Van inzicht in uw bedrijfsrisico’s tot het opzetten van een gestructureerd, aantoonbaar AML-kader dat specifiek is ontworpen voor de vastgoedsector.

Immosurance — compliance op maat voor de vastgoedsector.

#AMLR #AMLA #AML #BusinessWideRiskAssessment #BWRA #Vastgoed #VastgoedCompliance #AntiWitwassen #KYB #KYC #KYT #CDD #Compliance #RegTech #Immosurance