SIRA opstellen: zo maakt u een Wwft-risicoanalyse voor uw kantoor
Een SIRA is een schriftelijke analyse van de witwas- en terrorismefinancieringsrisico's die specifiek gelden voor uw kantoor. U brengt cliënttypen, diensten, landen en leveringskanalen in kaart, beoordeelt per risico de kans en impact en koppelt daar beheersmaatregelen aan.
Wettelijke basis
Artikel 2b Wwft verplicht instellingen om risico's vast te stellen en te beoordelen. De analyse moet in verhouding staan tot de aard en omvang van het kantoor en op verzoek aan het BFT worden getoond.
Stappenplan
1) Inventariseer risicofactoren (cliënten, producten, geografie, kanalen). 2) Beoordeel kans × impact. 3) Bepaal bestaande beheersmaatregelen. 4) Bepaal het restrisico. 5) Leg verbeteracties en eigenaar vast. 6) Herzie minimaal jaarlijks.
Veelgemaakte fouten
Een generieke template zonder kantoorspecifieke cijfers, geen koppeling naar procedures en het ontbreken van een herzieningsdatum.
Welke risicofactoren neemt u op?
Bijlage II en III van de Vierde Anti-witwasrichtlijn en artikel 2b Wwft noemen vier categorieën. Cliëntfactoren: rechtsvorm, sector (horeca, vastgoed, autohandel, crypto), complexe of buitenlandse structuren en PEP-status. Product- en dienstfactoren: samenstellen, fiscale advisering, structurering, salarisverwerking of trust- en domiciliediensten. Geografische factoren: cliënten, UBO's of transacties in hoog-risicolanden op de EU-lijst. Leveringskanaalfactoren: cliënten die u nooit fysiek ontmoet of die via tussenpersonen binnenkomen. Kwantificeer waar mogelijk: hoeveel cliënten vallen in elke categorie? Dat maakt de SIRA kantoorspecifiek en controleerbaar.
Van SIRA naar handboek
De SIRA is geen los document. Elk risico dat u als midden of hoog beoordeelt, moet terugkomen in uw Wwft-procedures: welke extra controles voert u uit, wie keurt goed en hoe legt u vast? Zonder die koppeling ziet het BFT een papieren analyse zonder werking. Lees in het artikel over herkomst van vermogen hoe u verscherpte maatregelen concreet invult, en in het artikel over de BFT-inspectie wat de toezichthouder als bewijs van werking verwacht.
Toets uzelf: de scanvragen en acties
Deze vragen uit de Wwft-scan horen bij dit onderwerp. De termijn volgt uit Kans × Schade, zoals in uw Plan van Aanpak.
Heeft uw kantoor een actuele, schriftelijke Systematische Integriteitsrisicoanalyse (SIRA) die specifiek is voor uw cliëntenbestand en diensten?
Art. 2b Wwft verplicht een risicobeoordeling die u op verzoek aan het BFT kunt tonen.
Actie in het Plan van Aanpak
Stel een kantoorspecifieke SIRA op (cliënttypen, diensten, landen, kanalen) en leg vast wie hem jaarlijks herziet.
| Uw antwoord | Risico (K × S) | Termijn |
|---|---|---|
| Goed op orde | 1 × 3 = 3 | Geen actie |
| Voldoende, niet volledig | 2 × 3 = 6 | 14 dagen |
| Moet beter / ontbreekt | 3 × 3 = 9 | 14 dagen |
Zijn uw Wwft-procedures (beleid, procedures en maatregelen) vastgelegd in een kantoorhandboek dat aansluit op de SIRA?
Art. 2c Wwft: beleid moet in verhouding staan tot aard en omvang van het kantoor.
Actie in het Plan van Aanpak
Leg Wwft-procedures vast in een compact handboek met verwijzing per risico uit de SIRA.
| Uw antwoord | Risico (K × S) | Termijn |
|---|---|---|
| Goed op orde | 1 × 2 = 2 | Geen actie |
| Voldoende, niet volledig | 2 × 2 = 4 | 30 dagen |
| Moet beter / ontbreekt | 3 × 2 = 6 | 14 dagen |
Wordt de werking van het Wwft-beleid periodiek (minimaal jaarlijks) geëvalueerd en worden verbeterpunten vastgelegd?
Een onafhankelijke toets of interne review toont aan dat beleid niet alleen op papier bestaat.
Actie in het Plan van Aanpak
Plan een jaarlijkse Wwft-review met verslag en verbeterlijst.
| Uw antwoord | Risico (K × S) | Termijn |
|---|---|---|
| Goed op orde | 1 × 2 = 2 | Geen actie |
| Voldoende, niet volledig | 2 × 2 = 4 | 30 dagen |
| Moet beter / ontbreekt | 3 × 2 = 6 | 14 dagen |
Stappenplan: zo voert u de actie uit
- 1
Week 1 – Cliëntenbestand analyseren
Exporteer uw cliëntenlijst en tel per sector, rechtsvorm, land en dienst hoeveel cliënten u heeft.
- 2
Week 1 – Risico's benoemen
Bepaal per factor de kans en impact (laag/midden/hoog) en schrijf in één zin waarom.
- 3
Week 2 – Maatregelen koppelen
Noteer per risico de bestaande maatregel en of die voldoende is. Wat ontbreekt, wordt een verbeteractie met eigenaar.
- 4
Week 2 – Vaststellen en ondertekenen
Laat de beleidsbepaler de SIRA dateren en ondertekenen; leg de volgende herzieningsdatum vast.
- 5
Jaarlijks – Herzien
Herzie minimaal jaarlijks, en direct bij een nieuwe dienst, nieuwe sector of BFT-bevinding.
Format: SIRA-risicotabel
Gebruik deze opzet als kern van uw SIRA. Eén regel per risicofactor.
| Risicofactor | Aantal cliënten | Kans | Impact | Beheersmaatregel | Restrisico / actie |
|---|---|---|---|---|---|
| Cash-intensieve horeca | 34 (18%) | Hoog | Hoog | Kasstroomcontrole bij jaarwerk | Midden – herkomstvragen standaardiseren |
| Buitenlandse UBO | 6 (3%) | Midden | Hoog | UBO-structuurschema + sanctiecheck | Midden – vier-ogen bij acceptatie |
| Particuliere aangiften | 120 (62%) | Laag | Laag | Standaard cliëntenonderzoek | Laag – geen actie |
Praktijkcasussen
Casus 1 – Het gekochte template
Een kantoor met twaalf medewerkers koopt een SIRA-template en vult alleen de kantoornaam in. Bij het BFT-onderzoek blijkt dat de SIRA vastgoedrisico's benoemt, terwijl het kantoor geen vastgoedcliënten heeft, en de grote groep horecacliënten ontbreekt.
Les: Een SIRA moet uw werkelijke cliëntenbestand weerspiegelen. Begin altijd met cijfers uit uw eigen administratie.
Casus 2 – De nieuwe dienst
Een administratiekantoor start met het oprichten van holdingstructuren voor ondernemers, maar past de SIRA niet aan. Een jaar later zijn twintig nieuwe complexe structuren zonder verscherpte toets geaccepteerd.
Les: Een nieuwe dienst is een verplicht herzieningsmoment. Leg dat als trigger vast in uw handboek.
De 5 meest gemaakte fouten
- Generiek template zonder cijfers. Het BFT ziet direct of een SIRA over uw kantoor gaat.
- Geen koppeling met procedures. Risico's zonder maatregel tonen geen beheersing.
- Geen datum of handtekening. Dan is onduidelijk of de SIRA actueel en vastgesteld is.
- Nooit herzien. Een SIRA van drie jaar oud geldt als ontbrekend.
- Medewerkers kennen de SIRA niet. Bespreek de uitkomsten in de jaarlijkse Wwft-opleiding.
Wat riskeert u bij een BFT-onderzoek?
Het ontbreken van een SIRA is voor het BFT een fundamentele tekortkoming, omdat alle risicogebaseerde maatregelen erop rusten. Dit leidt vrijwel altijd tot een formele bevinding en bij voortduren tot een last onder dwangsom of bestuurlijke boete.
Praktijkvoorbeeld
Een administratiekantoor met veel horecacliënten benoemt contante omzet als hoog risico en voert extra controle uit op kasstromen en herkomst van leningen.
Veelgestelde vragen
Moet een ZZP'er ook een SIRA hebben?
Ja, de plicht geldt ongeacht omvang, al mag de SIRA compacter zijn.
Hoe vaak herzien?
Minimaal jaarlijks en bij wezenlijke wijzigingen in cliëntenbestand of dienstverlening.
Hoe lang moet een SIRA zijn?
Er is geen vaste lengte. Voor een klein kantoor kunnen vijf tot tien pagina's volstaan, mits kantoorspecifiek en onderbouwd.
Mag een externe adviseur de SIRA schrijven?
Ja, maar de beleidsbepaler blijft verantwoordelijk en moet de inhoud kennen en vaststellen.
Lees ook
Wwft voor ZZP'ers en kleine kantoren
Proportionele Wwft-naleving voor zelfstandige boekhouders, adviseurs en kleine accountantskantoren.
BFT-inspectie voorbereiden: checklist voor uw kantoor
Zo bereidt u zich voor op een Wwft-onderzoek door het Bureau Financieel Toezicht.
Herkomst van vermogen en middelen onderzoeken
Wanneer en hoe u de herkomst van vermogen onderzoekt bij verscherpt cliëntenonderzoek.
Dit artikel is algemene informatie en geen juridisch advies.