Wat betreft het bestrijden van Wwft-risico’s zijn vergunninghoudende beheerders onderworpen aan de algemene Wft-verplichtingen die gesteld zijn aan (integriteits)risicobeheer in het algemeen. Daarnaast is het bestrijden van Wwft-risico’s (en het in dat licht vervullen van een poortwachtersrol) in een aparte wet geadresseerd: de Wwft. De Wwft is ook van toepassing op zogenoemde AIFMD light beheerders.

De Wwft beoogt het voorkomen van witwassen en terrorismefinanciering. Heel in het kort kent de Wwft daartoe voor beheerders eigenlijk twee hoofdverplichtingen: een beheerder dient cliëntenonderzoek te verrichten (‘cliëntenonderzoek plicht’) en dient voorgenomen of verrichte ongebruikelijke transacties bij de ‘Financial Intelligence Unit – Nederland’ (‘FIU’) te melden (‘meldplicht ongebruikelijke transacties’). In het verlengde van die twee hoofdverplichtingen liggen diverse andere verplichtingen: de governance en bedrijfsvoering van de beheerder zo inrichten dat Wwft-risico’s voorkomen en beheerst kunnen worden (‘plicht tot adequate inrichting ondernemingsorganisatie’), het ervoor zorgdragen dat het bestuur en werknemers van de beheerder doorlopend over de kennis en vaardigheden beschikken om de Wwft na te leven (‘opleidingsplicht’), het verplicht bewaren van de stukken die tezamen het cliëntenonderzoek vormen (‘bewaarplicht cliëntenonderzoek’) en het verplicht bewaren van gegevens inzake (gemelde ongebruikelijke) transacties (‘bewaarplicht ongebruikelijke transacties’).

De verschillende verplichtingen zijn communicerende vaten. Allereerst dient een beheerder er op ondernemingsniveau voor te zorgen dat de organisatie van de beheerder qua governance en bedrijfsinrichting zodanig is dat deze een adequate basis vormt voor het naleven van de andere (meer inhoudelijke) Wwft-verplichtingen. De Wwft schrijft in dit kader bijvoorbeeld voor dat de beheerder (periodiek) een ondernemingsbrede Wwft-risicoanalyse dient uit te voeren, waaruit volgt waar ondernemingsbreed (kijkend naar de gehele organisatie) precies welke Wwft-risico’s liggen. Vervolgens dient de beheerder dan beheersingsmaatregelen (denk aan ingestelde procedures, ingestelde gedragslijnen en/of genomen maatregelen) te treffen die de geïdentificeerde Wwft-risico’s beperken en effectief beheersen. Een van die beheersingsmaatregelen dient in ieder geval te zijn dat de beheerder er doorlopend voor zorgt dat op alle niveaus binnen de organisatie voldoende (actuele) Wwft-kennis en -vaardigheden aanwezig zijn (lees: ‘de opleidingsplicht’). Verder dient de beheerder ervoor te zorgen dat de onderneming beschikt over een compliance-functie en audit-functie die in het bijzonder toezien op de naleving van de Wwft-regels en de daartoe genomen beheersingsmaatregelen periodiek toetsen (noot: afhankelijk van de aard en omvang van de beheerder dienen deze functies meer of minder gewichtig te worden vormgegeven). Tot slot maakt de Wwft duidelijk dat de naleving van de Wwft vooral (ook) een bestuursverantwoordelijkheid en -taak is. Zo schrijft de Wwft voor dat alle bestuurders van de beheerder de met het oog op de Wwft gekozen organisatie inrichting en beheersingsmaatregelen dienen goed te keuren. Binnen het bestuur dienst daarnaast één bestuurder specifiek aangewezen te worden als verantwoordelijk voor de naleving van de Wwft.     

Het adequaat inrichten van de organisatie en de bedrijfsvoering en het treffen van passende beheersingsmaatregelen (waaronder het doorlopend ervoor zorgen dat de werknemers en het bestuur over voldoende Wwft-kennis beschikken), vormt de basis voor het naleven van de hoofdverplichting van het verrichten van cliëntenonderzoek. Het cliëntenonderzoek houdt kort gezegd in (i) dat de identiteit van een cliënt dient te worden vastgesteld en geverifieerd, (ii) dat eventuele UBO’s achter een cliënt dienen te worden vastgesteld en geverifieerd, (iii) dat ten aanzien van een zakelijke relatie het doel en de aard dienen te worden vastgesteld, (iv) dat er mede op basis daarvan een cliëntenprofiel en een transactieprofiel voor een cliënt dienen te worden opgesteld en (v) er een ‘stromannen’-check dient plaats te vinden. Beheerders dienen zich daarbij te realiseren dat het begrip ‘cliënt’ in de Wwft vrij ruim gedefinieerd is en de AFM aan die definitie een nog ruimere uitleg heeft gegeven (zo heeft de AFM bijvoorbeeld duidelijk gemaakt dat ook partijen aan wie de beheerder bepaalde beheertaken heeft uitbesteed als ‘cliënt’ kwalificeren en voorts bijvoorbeeld ook verkopers van activa (denk aan vastgoed of een start-up) waarin door een door de beheerder beheerd fonds belegd wordt als cliënt kunnen kwalificeren). Het cliëntenonderzoek vangt aan met het toekennen van een risicoscore aan de betreffende ‘cliënt’; de toegekende score bepaalt vervolgens de diepte (in verschillende opzichten) van het uit te voeren cliëntenonderzoek en kan bijvoorbeeld ook bepalen met welke frequentie de toegekende risicoscore geëvalueerd dient te worden. De Wwft kent daarnaast diverse bepalingen die inkaderen wanneer het cliëntenonderzoek uitgevoerd dient te worden (in beginsel voordat de relatie/transactie wordt aangegaan/uitgevoerd, maar hierop zijn een beperkt aantal uitzonderingen) en door wie het cliëntenonderzoek uitgevoerd dient te worden (er zijn begrensde mogelijkheden tot uitbesteding).

Het uitgevoerde cliëntenonderzoek leidt dus (mede) tot een opgesteld cliëntenprofiel en transactieprofiel. De beheerder dient doorlopend te monitoren of de cliënt zich conform het initieel opgemaakte cliëntenprofiel en transactieprofiel gedraagt en blijft gedragen (ook wel aangeduid als ‘de monitoringsplicht’). Dat brengt ons bij de andere hoofdverplichting van de Wwft: de beheerder dient voorgenomen of verrichte ongebruikelijke transacties bij de FIU te melden (‘de meldplicht ongebruikelijke transacties’). Beheerders dienen zich daarbij te realiseren dat het begrip ‘transactie’ in de Wwft ruim is gedefinieerd: hieronder valt iedere handeling of samenstel van handelingen van een cliënt. Denk bijvoorbeeld aan het door (potentiële) deelnemers wijzigen van bepaalde contactgegevens, de bankrekeninggegevens, vertegenwoordigingsgegevens, door (potentiële) deelnemers kenbaar gemaakte in- en/of uitstap beslissingen, etc. Er is daarbij sprake van een ongebruikelijke transactie indien de transactie voldoet aan een van de objectieve criteria of het subjectieve criterium vermeld in de indicatorenlijst van het Uitvoeringsbesluit Wwft. Beheerders dienen zich daarbij te realiseren dat het College van Beroep voor het bedrijfsleven kenbaar heeft gemaakt dat de verplichting tot het melden van een ongebruikelijke transactie ook al kan bestaan zonder dat er op basis van concrete aanwijzingen kan worden vastgesteld dat daadwerkelijk sprake is van witwassen of terrorismefinanciering.

Als sluitstukken kent de Wwft een tweetal (bijzondere) bewaarverplichtingen. Beheerders zijn verplicht om de stukken van de uitgevoerde cliëntenonderzoeken alsmede van de aan de FIU gedane meldingen tot vijf jaar na het beëindigen van de zakelijke relatie/het uitvoeren van de transactie, respectievelijk, het doen van de melding te bewaren.