AML-naleving voor vermogensbeheerders en beleggingsadviseurs 2026

Nederlandse vermogensbeheerders, beleggingsondernemingen en onafhankelijke financieel adviseurs (OFA) zijn onderworpen aan de verplichtingen van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). In 2026 bereiden toezichthouders AFM en DNB de overgang voor naar het nieuwe Europese AML/CFT-kader dat op 10 juli 2027 in werking treedt: de Implementatiewet ter voorkoming van witwassen (Iwt) vervangt de huidige Wwft en implementeert de Verordening (EU) 2024/1624 (AMLR) en Richtlijn (EU) 2024/1640 (AMLD6). Dit overzicht behandelt alle geldende verplichtingen en de beste praktijken voor efficiënte naleving.

Wie valt onder de Wwft in de vermogensbeheersector

De Wwft is van toepassing op alle instellingen die financiële diensten verlenen en vermogen beheren voor rekening van derden. In de vermogensbeheersector betreft dit: beleggingsondernemingen met een AFM-vergunning, beheerders van beleggingsinstellingen (AIFM) en UCITS-beheerders onder DNB-toezicht, onafhankelijke financieel adviseurs die beleggingsadvies verstrekken, family offices die diensten verlenen aan externe cliënten, en cryptoactivadienstverleners (CASP's) die reeds onder de Wwft vallen.

DNB meldde in haar rapport Integriteitstoezicht 2025-2026 dat vermogensbeheerders en family offices tot de categorieën behoren met de hoogste vastgestelde tekortkomingen bij het voeren van verscherpt cliëntenonderzoek voor PEP-gerelateerde cliënten en complexe vennootschapsstructuren. (DNB, Integriteitsrapport 2025)

Family offices die uitsluitend diensten verlenen aan één familie kunnen onder bepaalde omstandigheden worden vrijgesteld van de volledige Wwft-verplichting, maar zodra diensten aan externe cliënten worden aangeboden, vervalt deze vrijstelling onmiddellijk.

De vijf kernverplichtingen onder de Wwft

1. Cliëntenonderzoek (CDD) en identiteitsverificatie

Artikel 3 Wwft vereist dat instellingen vóór het aangaan van een zakelijke relatie of het uitvoeren van een transactie van €15.000 of meer de identiteit van de cliënt vaststellen en verifiëren. Voor natuurlijke personen: geldig paspoort, Nederlandse rijbewijs of ander door de minister aangewezen identiteitsdocument. Voor rechtspersonen: uittreksel Kamer van Koophandel (KvK), statuten, identificatie van wettelijke vertegenwoordigers en van alle uiteindelijk belanghebbenden (UBO's) met 25% of meer van het kapitaal of de stemrechten.

Het CheckFile platform ondersteunt meer dan 3.200 documenttypen in 32 rechtsgebieden, waarmee ook buitenlandse identiteitsdocumenten van internationale vermogende cliënten met dezelfde nauwkeurigheid worden geverifieerd als Nederlandse documenten.

2. Verscherpt cliëntenonderzoek (EDD) voor hoog-risico cliënten

Artikel 8 Wwft verplicht instellingen tot verscherpt cliëntenonderzoek in drie situaties: wanneer de cliënt een politiek prominente persoon (PEP) is of een familielid of naaste zakelijke relatie van een PEP, wanneer de zakelijke relatie of transactie betrekking heeft op een derde land met een hoog risico zoals aangewezen door de EU, en wanneer de eigendomsstructuur zo complex is dat identificatie van de UBO belemmerd wordt.

Maatregelen voor verscherpt cliëntenonderzoek omvatten: verificatie van de herkomst van vermogen en middelen, goedkeuring door senior management vóór aanvang van de relatie, en intensievere monitoring met minimaal jaarlijkse dossierrevisie. In compliance-fora signaleren Nederlandse vermogensbeheerders dat het objectief aantonen van de herkomst van vermogen bij cliënten met offshore structuren of buitenlandse holdingvennootschappen het meest tijdrovende onderdeel van het onboardingproces is.

Zie ook onze gids over verscherpt cliëntenonderzoek voor hoog-risico cliënten.

3. Doorlopende monitoring van transacties

Artikel 3 lid 2 sub d Wwft verplicht tot doorlopende monitoring van de zakelijke relatie. Dit betekent regelmatige dossierrevisie (minimaal jaarlijks voor hoog-risico cliënten, eens per drie jaar voor standaard-risico cliënten), analyse van transacties in het licht van het bekende cliëntprofiel, en actualisering van KYC-documentatie bij relevante wijzigingen.

Per 10 juli 2027 verplicht de nieuwe Implementatiewet ter voorkoming van witwassen (Iwt) instellingen tot de invoering van geautomatiseerde transactiemonitoringsystemen die voldoen aan de technische normen van de Europese Bankautoriteit (EBA), een wijziging die vermogensbeheerders al in 2026 moeten gaan voorbereiden. (DNB, AMLA-informatiepagina)

4. Meldplicht bij FIU-Nederland

Instellingen zijn verplicht ongebruikelijke transacties te melden bij FIU-Nederland via het meldportaal goAML. De meldplicht geldt zodra een instelling een objectieve of subjectieve aanleiding heeft om te vermoeden dat een transactie verband houdt met witwassen of terrorismefinanciering (artikel 16 Wwft). FIU-Nederland heeft in 2025 een nieuwe API-koppeling uitgebracht die directe systeemkoppeling voor bulkmeldingen mogelijk maakt.

5. Bewaarplicht documenten (5 jaar)

Artikel 33 Wwft verplicht instellingen alle KYC-documenten, transactieregistraties en ondersteunende bewijsstukken gedurende 5 jaar te bewaren na beëindiging van de zakelijke relatie of na de datum van de incidentele transactie. Documenten moeten op verzoek van AFM of DNB direct beschikbaar zijn.

Overzichtstabel risiconiveaus voor vermogensbeheerders

Wijzigingen 2026-2027: Iwt, AMLR en AMLD6

Het nieuwe Europese AML-pakket bestaat uit drie instrumenten die gezamenlijk het Wwft-stelsel gaan vervangen:

• Verordening (EU) 2024/1624 (AMLR): direct werkende Europese verordening die geharmoniseerde CDD-normen, drempelwaarden en toezichtsverplichtingen vaststelt, van toepassing per 10 juli 2027.
• Richtlijn (EU) 2024/1640 (AMLD6): te implementeren via de Implementatiewet ter voorkoming van witwassen, die de Wwft vervangt per 10 juli 2027.
• AMLA: de nieuwe Europese Anti-Money Laundering Authority neemt vanaf 2027 de directe supervisie over de 40 grootste grensoverschrijdende financiële groepen in de EU op zich.

Voor Nederlandse vermogensbeheerders met internationale activiteiten is het essentieel nu reeds te beoordelen of de huidige KYC-systemen en IT-architectuur voldoen aan de hogere technische normen van de AMLR. (DNB, Europees AML/CFT-kader)

Sancties bij niet-naleving

AFM en DNB kunnen bestuurlijke boetes opleggen tot €11,25 miljoen of 10% van de jaarlijkse netto-omzet voor ernstige overtredingen van de Wwft. Personen in leidinggevende posities kunnen individueel worden beboet. In 2025 legde AFM een boete van €2,3 miljoen op aan een vermogensbeheerder wegens structurele tekortkomingen in het vaststellen van UBO's van buitenlandse vennootschapsstructuren.

Raadpleeg ook onze uitgebreide gids over AML-naleving in alle sectoren voor een breder overzicht.

Hoe documentverificatie automatiseren voor AML-naleving

Vermogensbeheerders die internationaal opereren kampen met een specifiek probleem: cliënten brengen documenten mee in tientallen talen en formaten, terwijl de doorlooptijd voor onboarding beperkt moet blijven. Handmatige verificatie schaalt niet mee met groei.

De CheckFile-oplossing biedt een methodologische aanpak die OCR, metadataverificatie en inter-documentaire kruiscontrole combineert voor zowel eenvoudige CDD-pakketten als complexe EDD-dossiers met meerdere entiteiten. De API-integratie maakt het mogelijk de verificatiecontroles in te bedden in bestaande CRM-systemen en portefeuillebeheerplatforms. Bekijk de tariefpagina voor prijsinformatie en ROI-calculatie.

UBO-register en AVG: samenspel van KYC en gegevensbescherming

De Wwft-verplichting tot identificatie van de uiteindelijk belanghebbende (UBO) interageert met twee parallelle verplichtingen die vermogensbeheerders in de dagelijkse praktijk moeten beheersen.

UBO-register (Kamer van Koophandel): Artikel 10a Handelsregisterwet verplicht alle in Nederland gevestigde juridische entiteiten (BV's, NV's, stichtingen, verenigingen) hun UBO's te registreren in het UBO-register. Vermogensbeheerders die zakelijke cliënten onboarden, moeten de UBO-registerinformatie raadplegen als onderdeel van hun CDD, maar zijn niet ontslagen van de eigen verificatieverplichting: het UBO-register is een indicatieve bron, geen sluitend bewijs. Bij tegenstrijdigheid tussen de registerinformatie en de door de cliënt verstrekte documentatie is aanvullend onderzoek vereist.

AVG en Wwft: De Algemene Verordening Gegevensbescherming (AVG) begrenst het hergebruik van KYC-gegevens voor andere doelen dan AML/CFT-naleving. De Autoriteit Persoonsgegevens (AP) heeft in haar richtsnoeren bevestigd dat de Wwft-verplichting een rechtmatige grondslag vormt voor de verwerking van bijzondere persoonsgegevens binnen de KYC-context (artikel 6 lid 1 sub c AVG). Vermogensbeheerders moeten hun privacyverklaring expliciet verwijzen naar de Wwft als verwerkingsgrondslag.

Een praktisch aandachtspunt voor 2026: cliënten hebben onder de AVG het recht op inzage in hun KYC-dossier, maar dit recht is beperkt wanneer verstrekking van informatie een meldplichtprocedure bij FIU-Nederland zou kunnen ondermijnen (artikel 23 AVG jo. artikel 38 Wwft).

Veelgestelde vragen

Vallen onafhankelijke financieel adviseurs (OFA's) ook onder de Wwft?

Ja. OFA's die beleggingsadvies verstrekken zijn "instellingen" in de zin van artikel 1a Wwft en zijn dus volledig verplicht tot cliëntenonderzoek, monitoring en meldplicht. De AFM is de primaire toezichthouder voor beleggingsondernemingen en OFA's.

Welke documenten zijn vereist voor EDD bij een PEP-cliënt?

Voor een politiek prominente persoon zijn vereist: geldig identiteitsbewijs, bewijs van woonadres, verklaring en documentatie van de herkomst van het vermogen (belastingaangiften, akten, aandeelhoudersovereenkomsten, arbeidscontracten), verklaring van herkomst van de specifieke te beleggen middelen, en schriftelijke goedkeuring van senior management vóór de start van de relatie.

Hoe snel moet een ongebruikelijke transactie worden gemeld bij FIU-Nederland?

De Wwft vereist melding "onverwijld" nadat de instelling kennis heeft gekregen van de ongebruikelijkheid. Er is geen absolute termijn in dagen, maar vertraging zonder objectieve reden kan als zelfstandige overtreding worden aangemerkt. Voor transacties die nog moeten worden uitgevoerd, dient de melding vóór uitvoering te worden gedaan.

Wat verandert er in 2027 met de nieuwe Implementatiewet?

De Iwt vervangt de Wwft volledig per 10 juli 2027. De AMLR introduceer een geharmoniseerde CDD-drempel van €10.000 voor bepaalde sectoren, striktere technische normen voor transactiemonitoring, en uitgebreidere UBO-identificatieverplichtingen voor complexe structuren. Vermogensbeheerders moeten hun systemen vóór 2027 laten toetsen op conformiteit.

Kan de Wwft-compliance worden uitbesteed?

Ja, maar de verantwoordelijkheid blijft volledig bij de instelling zelf. Artikel 5 Wwft staat uitbesteding toe mits de derde partij zelf ook een Wwft-instelling is en er een schriftelijk contract is dat de taakverdeling en verantwoordelijkheid vastlegt. AFM en DNB controleren uitbestedingscontracten systematisch tijdens inspecties.