Kort antwoord
Regels voor bestrijding van witwassen verplichten elk bedrijf dat u bedient, van de bedrijfsdienstverlener en de notaris tot de bank, om een eigen dossier over u op te bouwen en te bewaren. De wet staat toe dat zij op elkaars werk vertrouwen, maar laat de aansprakelijkheid ook bij degene die erop vertrouwt. In de praktijk begint daarom iedereen vanaf nul en eindigt één cliënt in drie of vier afzonderlijke dossiers. Elk dossier kost personeel en software, en de cliënt betaalt ze allemaal. Een klein deel van dat papierwerk verlaagt risico’s. Het meeste bestaat zodat de organisatie die het bewaart een inspecteur kan tonen dat zij het heeft gevraagd.
Ik werk beroepsmatig in compliance. Eesti Firma is een erkende trust- en bedrijfsdienstverlener, waardoor wij een meldingsplichtige entiteit zijn: een van de ondernemingen die de wet inzake bestrijding van witwassen (AML), die in vrijwel dezelfde vorm in de hele EU geldt, verplicht klanten te controleren en te melden wat verdacht lijkt. Elke cliënt die via ons een vennootschap registreert, wordt geïdentificeerd, gescreend en gevraagd waar het geld vandaan komt, en ik geloof erin dit goed te doen. Het identificeren van een eenvoudige oprichter en het screenen tegen sanctielijsten en lijsten van politiek prominente personen kost een getraind persoon ongeveer 15 tot 20 minuten. De rest van de onboarding bestaat uit papierwerk rond dat kwartier, en hetzelfde papierwerk wordt vervolgens vanaf het begin opnieuw opgebouwd door elke andere meldingsplichtige entiteit die de cliënt tegenkomt.
Dit is geen pleidooi tegen know-your-customercontroles (KYC). Het gaat over wat daarvan is geworden. Iedereen in de keten doet het werk zorgvuldig, omdat iedereen de gevolgen vreest van het niet doen, en ergens onderweg werd die angst het doel. Ik ben gaan denken dat het dossier minder bestaat om witwassen te stoppen dan om, wanneer de inspecteur komt, te bewijzen dat de organisatie die het bewaart de juiste vragen stelde.
Eén cliënt, drie of vier controlerondes
Zo zien de eerste maanden eruit voor een typische cliënt van ons: een oprichter uit Duitsland, Spanje of Turkije die een Estse besloten vennootschap (OÜ) en een werkende rekening wil. De volgorde zou in Dublin of Lissabon vrijwel hetzelfde zijn, omdat de regels uit dezelfde EU-richtlijnen komen; Estland voegt voor e-residents een eigen stap toe.
- De staat, voor e-residents. Een oprichter die de digitale ID van Estland wil, vraagt e-Residency aan, waarna de Police and Border Guard Board een achtergrondcontrole uitvoert voordat de kaart wordt afgegeven. Dit is juridisch geen AML-controle maar een toetsing krachtens een andere wet, al worden hetzelfde paspoort en dezelfde toelichting op het doel gevraagd en betaalt de aanvrager hiervoor staatsleges.
- De dienstverlener. Wij verifiëren de identiteit van de oprichter, stellen de uiteindelijk belanghebbende (UBO) vast, screenen hem tegen sanctie- en PEP-lijsten (een PEP is een politiek prominent persoon, iemand wiens publieke functie omkoping tot risico maakt), vragen wat de onderneming zal doen en waar het startkapitaal vandaan komt, en kennen een risiconiveau toe. Dat betekent een vragenlijst, een set documenten en doorgaans een videogesprek.
- De notaris. Een oprichter zonder Estse digitale ID richt de vennootschap in plaats daarvan via een notaris op, en de notaris is een afzonderlijke meldingsplichtige entiteit met dezelfde taken. Ons dossier heeft geen gewicht op hun kantoor; zij identificeren de cliënt en controleren de eigenaar zelf.
- De bank of betalingsinstelling. Degene die de rekening opent, een bank of fintech, gebruikt een eigen formulier, eigen documentenlijst en eigen gesprek: opnieuw het bedrijfsplan, de verwachte volumes, de voornaamste tegenpartijen en de herkomst van middelen. Een tweede rekening, die veel van onze cliënten nodig hebben, betekent dezelfde ronde nogmaals.
Afhankelijk van de route doorloopt een oprichter er drie of vier, en de controles houden daar niet op. Wanneer de cliënt onze factuur betaalt, kan onze eigen bank ons vragen wie de betaler is en waarvoor het geld dient. Een accountant die later de vennootschap aanneemt, is eveneens een meldingsplichtige entiteit. Elk van deze organisaties moet bovendien zijn dossier ten minste vijf jaar na het einde van de relatie bewaren, actueel houden, als persoonsgegevens beschermen en ertegen monitoren, omdat elk afzonderlijk aansprakelijk is voor wat het bewaart.
Elke ronde wordt afzonderlijk betaald. Een dienstverlener als wij heeft mensen in dienst om vragenlijsten te lezen, documenten na te jagen, namen te screenen, een risicobeoordeling op te stellen en het dossier vervolgens jarenlang te onderhouden; dat werk wordt door de vergoeding gedekt. De notaris factureert tijd. Banken geven verreweg het meest uit; een sectoronderzoek schatte de kosten van compliance inzake financiële criminaliteit in de mondiale financiële sector op meer dan $270 miljard in 2022. Niemand telt deze bedragen op, omdat elk in een ander budget zit, maar de cliënt betaalt ze allemaal, in vergoedingen en staatsleges, en het compliancepersoneel bij elke halte ziet nooit wat de vorige vond. En net als de rest van het EU-rulebook is het een vaste kost: een bank absorbeert die, een dienstverlener met twaalf medewerkers voelt die volledig.
Hoe een formulier een dossier werd
Tien jaar geleden bestonden de controles, maar waren het formulieren, geen dossiers. Een rekening openen betekende een paspoort, een handtekening en enkele vragen, en een dienstverlener als wij hield een dun dossier bij. Toen kwamen de schandalen. De EU herschreef haar richtlijn inzake bestrijding van witwassen in 2015 en opnieuw in 2018, telkens met extra meldingsplichtige entiteiten en verplichtingen. Estland kreeg in 2017 een nieuwe nationale wet, en in 2018 noemde het Danske Bank-rapport een bedrag van circa €200 miljard aan niet-ingezetengeld dat via één filiaal in Tallinn was gegaan, waarvan veel later als verdacht werd beoordeeld. Een klein land werd een synoniem voor witwassen.
Bij Danske ontbraken geen formulieren. De bank had dossiers over haar niet-ingezeten cliënten en negeerde wat de eigen monitoring aantoonde, terwijl toezichthouders niet scherp genoeg naar één instelling keken. Toch was het antwoord meer formulieren voor iedereen. Elke bank en elke toezichthouder deed wat elke organisatie na publieke vernedering doet: meer vragen, meer bewaren en niemand vertrouwen. Mijn ervaring is dat de cyclus slechts één kant op draait. Een toezichthouder krijgt de schuld van het schandaal dat hij niet voorkwam, niet van de vragenlijst die hij tienduizend eerlijke cliënten liet invullen. Een meldingsplichtige entiteit krijgt een boete voor het veld dat zij leeg liet, niet voor het veld dat zij toevoegde. Vereenvoudigingsprogramma’s bestaan, in Brussel en Tallinn, maar niemands inspectie hangt ervan af, dus vragen stapelen sneller op dan ze worden verwijderd.
De wet staat delen toe. In de praktijk deelt niemand
Identiteit wordt eerlijk gezegd al gedeeld. Wanneer een e-resident of een inwoner van Estland met een digitale ID inlogt, vertrouwt elke bank en dienstverlener op een door de staat geverifieerde identiteit. Wat niet wordt gedeeld, is al het overige in het dossier: wie de eigenaar is, wat het bedrijf doet en waar het geld vandaan komt. De wet staat dat eveneens toe. Zowel de huidige EU-richtlijn als de nieuwe EU-verordening inzake bestrijding van witwassen, die vanaf juli 2027 van toepassing is, staan toe dat een meldingsplichtige entiteit vertrouwt op klantcontroles die al door een andere meldingsplichtige entiteit zijn uitgevoerd, en de nieuwe EU-autoriteit AMLA moet richtsnoeren uitvaardigen over hoe dat moet gebeuren. Waarom vraagt de bank onze klant dan om vanaf nul te beginnen?
Omdat de verantwoordelijkheid blijft bij degene die erop vertrouwt. Als ons dossier onjuist blijkt, krijgt de bank de boete, en de toezichthouder van de bank vraagt de bank, niet ons, waarom zij een bedrijf vertrouwde dat zij niet beheerst. Het beoordelen van de procedures van een andere onderneming kost meer dan de cliënt een nieuw formulier sturen, dus elke instelling maakt dezelfde rationele keuze. De wet staat vertrouwen op papier toe en bestraft het in de praktijk, en de som van al die verstandige individuele keuzes is het theater uit de titel. Het dossier is geen instrument meer maar een product: zijn taak is bestaan, volledig zijn en op verzoek kunnen worden overgelegd, zodat degene die het bewaart gedekt is.
Oprichting van een vennootschap is mijn voorbeeld omdat het mijn werk is, maar dit patroon loopt door de economie. Een woning die in een willekeurige EU-stad wordt verkocht, leidt tot een dossier bij de makelaar, een ander bij de notaris, een derde bij de kredietverlenende bank en soms een vierde bij de bank die het spaargeld van de koper overmaakt: vier dossiers over dezelfde twee personen voor één transactie, zonder dat een ervan voortbouwt op het vorige. Wisselt u meer dan €1.000 contant bij een Ests wisselkantoor, dan wordt u geïdentificeerd en geregistreerd, en het wisselkantoor bewaart dat register jarenlang naast duizenden vergelijkbare. Accountants, auditors, advocaten en handelaren in waardevolle goederen houden dossiers van hetzelfde soort bij.
Wat in het dossier risico verlaagt
Het standaarddossier dat banken en dienstverleners in de markt van een nieuwe vennootschap verzamelen, valt volgens mijn lezing in drie groepen: het deel dat misbruik van een vennootschap moeilijker maakt, het deel dat vooral bestaat zodat de houder een inspecteur tevreden kan stellen, en het deel dat louter ritueel is. De tabel is mijn eigen classificatie, geen juridische, en de toets in elke rij is eenvoudig: handelt iemand ooit op basis van dit stuk informatie?
| Element van het standaarddossier | Wat het doet |
|---|---|
| Identiteit geverifieerd aan de hand van een document, met een live- of videocontrole | Verlaagt risico. Een echte persoon wordt aan de vennootschap gekoppeld. |
| Uiteindelijk belanghebbende vastgesteld en gecontroleerd aan de hand van het register | Verlaagt risico. Verborgen eigendom is wat een witwasser het meest nodig heeft. |
| Documenten over herkomst van middelen: contracten, afschriften, verkoopakten | Verlaagt risico, als iemand ze leest. Een ondertekende verklaring dat de middelen legaal zijn, voegt niets toe aan de documenten. |
| Een eenvoudige beschrijving van de onderneming: wie waarvoor aan wie betaalt | Verlaagt risico wanneer de houder transacties ertegen monitort. Een bank doet dat. Een notaris of oprichtingsagent ziet nooit een transactie, maar verzamelt toch dezelfde beschrijving. |
| Sanctie- en PEP-screening | Verlaagt risico en is goedkoop, omdat software dit doet. |
| Verwachte jaaromzet, tot op het dichtstbijzijnde duizendtal, voor een vennootschap die nog niet bestaat | Nuttig voor een bank als uitgangspunt voor monitoring. Voor elke andere houder van het dossier is het een cijfer waar niemand nog naar kijkt. |
| Eigen verklaring dat de cliënt geen PEP is en voor eigen rekening handelt | Voornamelijk voor de inspecteur. Het verschuift de schuld naar de cliënt als hij loog; het ontdekt niets. |
| Dezelfde set die opnieuw door elke instelling wordt verzameld | Voor de inspecteur, zoals hierboven uitgelegd. Elke kopie beschermt de houder; de tweede kopie beschermt het systeem niet. |
| Periodieke her-KYC, de volledige herbeoordeling elke één of twee jaar, wanneer niets is veranderd | Voor de inspecteur. Het bewijst dat een kalender werd gevolgd. |
Uit de tabel volgen twee zaken. Ten eerste verdient het dossier zich alleen terug wanneer iemand er daarna tegen monitort, wat in de bovenstaande keten de bank betekent, en alleen de bank. Ten tweede komt de lengte uit de middengroep. Een inspecteur kan niet zien of wij de cliënt begrepen, maar wel of veld 14 is ingevuld; daarom worden velden toegevoegd en zelden verwijderd.
Wat de rekenkunde zegt
Ik gebruik Estse cijfers, omdat ik die het best ken en omdat de Financial Intelligence Unit een jaarboek publiceert. In 2024 ontving de eenheid 14.185 meldingen van meldingsplichtige entiteiten. Zij deed 133 geanalyseerde doorgiften aan onderzoekers en ongeveer 1.700 verdere informatieoverdrachten, en onderzoekers legden beslag op € 5,7 miljoen aan vermogensbestanddelen die de eenheid had bevroren. Volgens de nationale risicobeoordeling leidden de geanalyseerde doorgiften van de eenheid in 2024 tot tien nieuwe strafprocedures, en in de vijf jaar tot 2024 deden Estse rechtbanken 32 uitspraken in zaken over witwassen.
Nu de andere kant. Jaarlijks worden in Estland meer dan 25.000 nieuwe Estse besloten vennootschappen (OÜ) geregistreerd, het register bevat circa 370.000 rechtspersonen van alle soorten, en het e-Residency-programma telt meer dan 134.000 e-residents. Elke nieuwe vennootschap, elke rekening en elke digitale ID betekent ten minste één volledig KYC-dossier, doorgaans meerdere. Mijn ruwe schatting, en ik benadruk dat die van mij is, is dat meldingsplichtige entiteiten in Estland jaarlijks ruim meer dan honderdduizend KYC-dossiers produceren en dat het hele systeem daaruit tien strafprocedures en enkele miljoenen euro’s aan inbeslagnames voortbrengt. Stel dat één cliënt op de tienduizend criminele bedoelingen heeft. De andere 9.999 doorlopen drie of vier controlerondes zodat hij kan worden gevonden, en de cijfers hierboven zeggen dat hij doorgaans niet wordt gevonden.
Er zijn twee terechte bezwaren, en ik wil ze benoemen. Eén daarvan is afschrikking: criminelen die nooit een aanvraag indienen omdat zij weten dat hun vragen zullen worden gesteld, verschijnen in geen enkele statistiek. Dat is waar, en ook waarom niemand dat ooit heeft hoeven bewijzen. Het andere is schaal: één witwasschema kan meer geld verplaatsen dan duizend eerlijke bedrijven verdienen, en als de dossiers Danske hadden tegengehouden, hadden zij zichzelf vele malen terugverdiend. Maar de dossiers hielden Danske niet tegen, en de veroordelingen die de FIU in haar jaarboek beschrijft, begonnen met meldingen van verdachte transacties, niet met vragenlijsten. Aan het onboardingsdossier wordt het geld uitgegeven; monitoring levert de resultaten op. Het internationale bewijs wijst in dezelfde richting. Europol schatte in 2016 dat slechts ongeveer 1% van criminele opbrengsten in de EU ooit in beslag wordt genomen, en de onderzoeker Ronald Pol, die probeerde kosten en terugvorderingen naast elkaar te zetten, concludeerde dat nalevingskosten de teruggewonnen middelen meer dan honderd keer overtreffen. Geen toezichthouder in Estland heeft een dergelijke vergelijking gepubliceerd voor het systeem dat hij beheert.
Ik verwacht niet dat de balans verbetert. Het nieuwe EU-rulebook voegt een Europese toezichthouder toe, een EU-brede limiet van €10.000 voor contante betalingen en verschillende nieuwe categorieën meldingsplichtige entiteiten, van crowdfundingplatforms tot voetbalclubs. Elke nieuwe categorie betekent een extra lade. Elk toekomstig schandaal zal velden toevoegen, omdat velden toevoegen de manier is waarop een instelling toont dat zij heeft geleerd. En één Europees rulebook maakt elke terugdraaiing moeilijker, omdat een vraag die in een verordening staat niet kan worden verwijderd door een nationaal parlement dat merkt dat zij nutteloos is.
Waarom niemand dit hardop zegt
Het is niet gebruikelijk dit af te wegen. Publiekelijk is de enige veilige positie over witwassen: meer; meer controles, meer meldingen, meer ijver. Wie vraagt of de laatste ronde regels iets heeft bereikt, riskeert te worden gehoord als iemand die minder regels voor criminelen wil. Daarom houden compliance officers en advocaten die, naar mijn ervaring, veel van deze twijfels privé delen, ze daar. Bestrijding van witwassen is meer een zaak dan beleid geworden, en aan zaken worden zelden kosten-batengegevens gevraagd.
Dit verdient een duidelijke uitspraak, vanwege waar de weg heen leidt als niemand afweegt. Een Europa dat de strengste privacywet ter wereld heeft geschreven, heeft tegelijk miljoenen particuliere ondernemingen verplicht jarenlang dossiers over hun klanten bij te houden, hen bij verdenking aan de staat te melden en ervoor te moeten instaan als het dossier dun is. Elk van deze dossiers is te goeder trouw geopend om een misdrijf te stoppen. Samen vormen zij een permanent overzicht van wie wat bezit en wie aan wie betaalde, bewaard in laden die eerst aan een inspecteur verantwoording afleggen. Ik denk niet dat iemand dit heeft ontworpen. Ook denk ik niet dat het moet blijven groeien zonder dat iemand vraagt waarvoor het dient.
Wat ik zou veranderen
Het meeste hiervan vereist geen nieuwe wet, alleen andere beslissingen over hoe de bestaande wordt toegepast. Het eerste punt wel.
- Eén geverifieerd dossier, meegenomen door de cliënt. Iemand verifieert de persoon eenmaal en aanvaardt aansprakelijkheid voor die verificatie, gedekt door een vergunning, verzekering en audit, zodat de instelling die erop vertrouwt niet wordt bestraft als die onjuist is. Die verificateur kan een bank, notaris, erkende dienstverlener of staatsdienst op basis van de digitale ID zijn; waar het om gaat, is waar de aansprakelijkheid ligt. De huidige regels, nationaal en in de EU, leggen die bij degene die vertrouwt, en daarom vertrouwt niemand. Het wijzigen hiervan vereist wetgevers, en de komende richtsnoeren van AMLA over vertrouwen zijn de natuurlijke plek om de discussie te beginnen.
- Houd toezicht op uitkomsten, niet op formulieren. Een inspectie moet vragen wat de monitoring van een onderneming opleverde en waar haar meldingen heen gingen, niet of elk veld op elk formulier was ingevuld.
- Formulieren die bij de vennootschap passen. Een nieuwe vennootschap met één oprichter en geen omzet heeft twee pagina’s nodig, geen twintig. De aanvullende vragen, de diepere controles die de wet voor cliënten met een hoger risico reserveert, horen thuis op het moment dat activiteit begint en er iets te onderzoeken is.
- Her-KYC bij verandering, niet volgens de kalender. Een nieuwe eigenaar, een nieuw land of een nieuwe bedrijfsactiviteit is reden om opnieuw te kijken. Het verstrijken van twee jaar is dat niet.
- Gebruik de gegevens die de staat al heeft. Voor een bestaande vennootschap bevat het Ests handelsregister (Äriregister) de eigenaren, het bestuur en de jaarrekeningen. Een meldingsplichtige entiteit moet die uit het register halen in plaats van de cliënt te vragen ze opnieuw in te typen. Het Hooggerechtshof van Estland paste dezelfde logica toe op de toezichthouder zelf in januari 2026, toen het een formulier met 44 vragen dat de Financial Intelligence Unit aan alle erkende dienstverleners had gestuurd, onrechtmatig verklaarde, deels omdat de staat eerst de gegevens moet gebruiken die hij al heeft.
De controles doorlopen zonder het theater
Bij Eesti Firma vragen wij wat de wet en onze eigen risicobeoordeling vereisen, en leggen wij uit waarom elk document ertoe doet. Wij helpen cliënten ook vanaf het begin één set documenten en antwoorden op te bouwen die zonder herschrijven aan de bank en de betalingsinstelling kan worden gegeven, omdat naar mijn ervaring niet een kortere vragenlijst maar een onderneming die voor iedereen hetzelfde wordt beschreven de onboarding kort houdt. Voor vennootschappen die zelf meldingsplichtige entiteiten worden, stellen wij het beleid en de procedures op die de wet vereist, wat, geef ik toe, deel is van hetzelfde theater; het verschil dat wij kunnen maken is ze zo schrijven dat zij bruikbaar zijn in plaats van slechts volledig. Als u een vennootschap opricht en wilt dat het compliancegedeelte wordt behandeld door mensen die lezen wat u stuurt, kunnen wij helpen met oprichting van een vennootschap en alles wat daarop volgt.
