BWRA en SIRA: naar een samenhangend risicobeoordelingsproces
Van verplichte risicoanalyse naar sturingsinstrument
Vanaf 10 juli 2027 wordt de Europese Anti-Money Laundering Regulation (AMLR) van toepassing. Daarmee krijgen financiële instellingen te maken met de Business-Wide Risk Assessment (BWRA).
De BWRA vervangt de huidige Wwft-risicoanalyse. De bredere Systematische Integriteitsrisicoanalyse (SIRA) verdwijnt daarmee niet automatisch.
Voor de meeste instellingen hoeft de introductie van de BWRA niet te betekenen dat zij een volledig nieuwe, afzonderlijke risicoanalyse moeten hebben. Bestaande risicoanalyses kunnen vaak als basis dienen. Wel moeten zij beoordelen in hoeverre hun bestaande aanpak voldoet aan de nieuwe Europese vereisten en waar aanpassingen noodzakelijk zijn.
De uitdaging ligt daarmee niet zozeer in het ontwikkelen van een nieuwe risicoanalyse, maar in het creëren van één samenhangend risicobeoordelingsproces. Een proces waarin risico's worden geïdentificeerd, beoordeeld en beheerst en waarvan de uitkomsten daadwerkelijk worden gebruikt voor de sturing van de organisatie.
De relevante vraag is daarom niet: hoe bouwen we een nieuwe BWRA? Maar: hoe passen we ons bestaande risicobeoordelingsproces aan zodat het voldoet aan de AMLR én daadwerkelijk bijdraagt aan effectieve risicobeheersing?
SIRA, Wwft-risicoanalyse en BWRA: andere scope, dezelfde basis
De drie risicoanalyses vertrekken vanuit hetzelfde principe: identificeer en beoordeel de risico's waaraan de instelling is blootgesteld en bepaal hoe deze moeten worden beheerst.
Het verschil zit in de scope:
De SIRA is de brede Nederlandse analyse van integriteitsrisico's. De Wwft-risicoanalyse richt zich specifiek op witwassen en terrorismefinanciering. De Wwft komt te vervallen.
De BWRA wordt de Europese instellingsbrede risicoanalyse onder artikel 10 AMLR en richt zich op witwassen (money laundering, ML), terrorismefinanciering (terrorist financing, TF) en het niet-toepassen en ontduiken van gerichte financiële sancties (targeted financial sanctions, TFS).
| Onderwerp | SIRA | Huidige situatie Wwft-risicoanalyse | BWRA |
|---|---|---|---|
| Regelgevend kader | Nederlands | Nederlands | Europees |
| Scope | Brede integriteitsrisico's | Witwassen en financiering van terrorisme (ML/TF) | Witwassen, financiering van terrorisme en gerichte financiële sancties (ML/TF + TFS) |
| Methodiek | Geen verplicht model | Geen verplicht model | Geen verplicht model |
| Karakter | Risicogebaseerd | Risicogebaseerd | Risicogebaseerd |
| Governance | Volgt voornamelijk uit DNB-richtsnoeren/Good Practices | Governancevereisten aanwezig, minder expliciet uitgewerkt voor de risicoanalyse zelf | Duidelijke verantwoordelijkheden voor het bestuursorgaan, de compliancefunctie en de bedrijfsonderdelen |
Wat betekent dit in de praktijk?
De BWRA vervangt de bredere SIRA niet, ten minste niet één op één als het gaat om integriteitsrisico’s.
Maar het ligt evenmin voor de hand om drie grotendeels overlappende analyses volledig los van elkaar uit te voeren. De uitdaging is om de verschillende vereisten in één samenhangend risicobeoordelingskader onder te brengen.
Het risicoprofiel als vertrekpunt, niet bestaande scenario’s
In april 2026 publiceerde de AMLA (Authority for Anti-Money Laundering and Countering the Financing of Terrorism) concept-richtsnoeren voor de BWRA. AMLA schrijft geen verplichte risicomatrix, scoringsmethodiek of standaardtemplate voor. Wel onderscheidt zij vier minimumonderdelen:
Bedrijfsactiviteiten en risicoprofiel → inherente risico’s → effectiviteit van beheersmaatregelen → restrisico.
Deze opbouw is voor Nederlandse instellingen grotendeels herkenbaar: ook binnen bestaande SIRA's en Wwft-risicoanalyses worden inherente risico’s, opzet/bestaan en werking van beheersmaatregelen en het restrisico achtereenvolgens beoordeeld.
Het vertrekpunt moet daarbij de bedrijfsactiviteiten zijn en de kwetsbaarheden die daaruit voortvloeien, waaronder risico’s verbonden aan klanten, producten en diensten, transacties, distributiekanalen en geografische locaties. Ook DNB kiest met de Good Practices SIRA 2025 nadrukkelijk voor meer methodologische vrijheid. Het organisatierisicoprofiel moet het vertrekpunt zijn en scenario's moeten instellingsspecifiek zijn.
In onze adviespraktijk zien we dat hier nog veel winst te behalen is. Een bestaande set scenario's is nog te vaak leidend, in plaats van het daadwerkelijke risicoprofiel van de instelling. Relevante ontwikkelingen worden hierdoor onvoldoende meegenomen, terwijl de risicoanalyse tegelijkertijd onnodig omvangrijk en moeilijk beheersbaar wordt.
Wanneer een instelling bijvoorbeeld een nieuw product introduceert, maar uitsluitend de bestaande risicoscenario's opnieuw beoordeelt, kunnen de specifieke risico's van dat nieuwe product buiten beeld blijven.
Het uitgangspunt moet daarom steeds zijn dat de risicoanalyse aansluit op het actuele bedrijfsmodel en de daadwerkelijke risicoblootstelling van de instelling.
Meer nadruk op onderbouwing en effectiviteit van beheersmaatregelen
Een belangrijk onderdeel van de concept-richtsnoeren van AMLA betreft de beoordeling van de kwaliteit en effectiviteit van beheersmaatregelen. Het is niet voldoende om tegenover een geïdentificeerd risico een lijst met beheersmaatregelen te plaatsen.
Duidelijk moet zijn welke maatregelen welke risico’s beperken en in hoeverre, op welke punten, deze maatregelen daadwerkelijk effectief zijn.
AMLA onderscheidt daarbij twee dimensies:
- Effectiviteit van de opzet (design effectiveness): is de beheersmaatregel passend ontworpen om het geïdentificeerde risico te beheersen?
- Effectiviteit van de implementatie en werking (implementation effectiveness): is de beheersmaatregel daadwerkelijk geïmplementeerd en functioneert deze in de praktijk?
Dit vraagt om een aantoonbare onderbouwing, bijvoorbeeld vanuit compliancemonitoring, toetsing van beheersmaatregelen, interne audits en bevindingen van toezichthouders.
Op basis daarvan kan worden vastgesteld welk restrisico resteert.
Ook de beoordeling van inherente risico’s moet voldoende worden onderbouwd met relevante feiten en gegevens.
Een conclusie als “het geografische risico is laag” moet bijvoorbeeld worden verklaard vanuit de samenstelling van de klantenportefeuille, de geografische blootstelling, transactiedata en relevante externe bronnen.
Dat betekent overigens niet dat de risicoanalyse volledig kwantitatief moet zijn.
Het gaat erom dat de instelling kan uitleggen waarom de gekozen methode en uitkomst passen bij haar risico's.
Governance en sturing effectiever beleggen
Onder de AMLR worden de verantwoordelijkheden rond de governance explicieter.
Deze kan afwijken van bestaande SIRA-processen, waarin de eerste lijn vaak een prominente rol speelt bij het uitvoeren van de risicoanalyse en compliance vooral een toetsende of kritisch beoordelende rol vervult.
Onder de AMLR worden de verantwoordelijkheden rond de BWRA explicieter belegd. Artikel 10 AMLR bepaalt dat de BWRA wordt opgesteld door de compliance officer en wordt goedgekeurd door het bestuursorgaan in zijn bestuursfunctie.
Dat betekent echter niet dat de compliancefunctie de analyse in isolement uitvoert.
Voor een effectieve BWRA blijft actieve betrokkenheid van de business essentieel. De identificatie en beoordeling van risico's kunnen immers alleen plaatsvinden op basis van kennis van de business.
De AMLR verschuift daarmee vooral het formele eigenaarschap van de BWRA naar de compliancefunctie, terwijl de business verantwoordelijk blijft voor het identificeren, begrijpen en beheersen van de risico's die voortvloeien uit haar activiteiten.
Instellingen zullen daarom opnieuw moeten kijken naar eigenaarschap, verantwoordelijkheden, inbreng vanuit de verschillende lijnen, onafhankelijke toetsing en besluitvorming.
De uitdaging daarbij is om de governance te versterken zonder de betrokkenheid van de business bij de risicoanalyse te verliezen.
Van periodiek document naar actief stuurmiddel
Maar misschien is een belangrijkere vraag: hoe goed werkt de huidige SIRA eigenlijk?
In onze adviespraktijk zien we dat de SIRA nog te vaak een relatief op zichzelf staand document of periodiek project is. Scenario's worden beoordeeld, scores vastgesteld, het document wordt goedgekeurd en een jaar later begint een nieuwe cyclus.
DNB benadrukt met de Good Practices SIRA 2025 juist het tegenovergestelde: een dynamisch proces waarin risico's worden geactualiseerd, beheersmaatregelen worden getoetst en de uitkomsten daadwerkelijk voor sturing worden gebruikt.
Ook de AMLR lijkt die richting op te wijzen.
Artikel 10 AMLR schrijft voor dat de BWRA moet worden gedocumenteerd, actueel gehouden en regelmatig herzien, maar verbindt daaraan geen vaste jaarlijkse frequentie. Daarnaast moet de BWRA worden herzien wanneer interne of externe gebeurtenissen de risico's van de instelling wezenlijk beïnvloeden.
De nadruk ligt daarmee niet op een vooraf vastgestelde kalendercyclus, maar op actualiteit en relevantie van de analyse.
Een volwassen risicobeoordelingsproces kent daarom een continue wisselwerking: bedrijfsactiviteiten en risicoblootstelling → risicoanalyse → risicobereidheid → beleid en beheersmaatregelen → cliëntenonderzoek en monitoring → toetsing en assurance → managementinformatie → verbetermaatregelen → actualisatie van de risicoanalyse.
Dan ontstaat geen jaarlijks document, maar een doorlopende cyclus van risicobeheersing.
Vanuit dat perspectief is de vraag niet zozeer hoe vaak een BWRA of SIRA moet worden uitgevoerd, maar hoe een instelling ervoor zorgt dat nieuwe risico's, incidenten, bevindingen uit monitoring, wijzigingen in de bedrijfsvoering en externe ontwikkelingen tijdig worden vertaald naar een actuele risicoanalyse.
Dat is uiteindelijk de benadering die zowel de AMLR als de DNB Good Practices lijken te stimuleren.
Wat kunnen instellingen nu al doen?
Voor een instelling met een volwassen SIRA en Wwft-risicoanalyse hoeft de BWRA geen volledige herbouw te betekenen.
Maar het is ook geen kwestie van een nieuw etiket.
Een praktische eerste stap is een gereedheidstoets aan de hand van een beperkt aantal vragen:
Scope: Is de scope van ML, TF en TFS volledig afgedekt?
Risicoprofiel: Volgt de risicoanalyse aantoonbaar uit het bedrijfsmodel, relevante ontwikkelingen en de daadwerkelijke kwetsbaarheden?
Methodologie: Is de methodiek passend, proportioneel en uitlegbaar?
Risicobepaling: Zijn risico-inschattingen voldoende onderbouwd met data en informatie?
Effectiviteit van de beheersmaatregelen: Zijn beheersmaatregelen aantoonbaar gekoppeld aan risico's en worden opzet en werking beoordeeld?
Governance: Sluiten governance en verantwoordelijkheden aan op de AMLR?
Praktische toepassing: Werken de uitkomsten daadwerkelijk door in beleid, CDD- en monitoringactiviteiten, risicobereidheid en managementinformatie?
Conclusie: één samenhangend risicobeeld
De invoering van de BWRA hoeft voor instellingen met een volwassen risicobeoordelingsproces niet te betekenen dat zij hun aanpak volledig moeten herzien. De AMLR vraagt wel om kritisch te kijken naar de reikwijdte van bestaande analyses, de onderbouwing van risico’s, de effectiviteit van beheersmaatregelen, de governance en de manier waarop de uitkomsten daadwerkelijk worden gebruikt.
De BWRA vervangt de Wwft-risicoanalyse. De SIRA blijft relevant voor bredere integriteitsrisico’s. De uitdaging richting 10 juli 2027 is daarom niet om een extra document op te stellen, maar om één samenhangend risicobeoordelingsproces te ontwikkelen waarin de verschillende vereisten logisch op elkaar aansluiten.
Instellingen doen er goed aan nu al te beoordelen in hoeverre hun bestaande aanpak aansluit op de nieuwe vereisten en waar aanpassingen nodig zijn. Uiteindelijk gaat het niet om de risicoanalyse als document, maar om de vraag of een instelling haar risico’s kent, beheerst en aantoonbaar stuurt op de beheersing ervan.