Sanctiehandhaving digest — juli 2026

Redactionele noot: deze editie wijkt af van ons gebruikelijke format van aanwijzingen en handhaving. In plaats van een scanbare tabel met de lijstwijzigingen van de maand, is de editie van juli een volledige statistische en narratieve analyse van de openbaar gemaakte AML- handhavingsacties van de maand — 12 acties bij vier toezichthouders, met boetes omgerekend naar USD tegen de wisselkoersen op het moment van de analyse. Voor het standaard overzichtsformat, zie de editie van juni 2026.

Samenvatting

Juli 2026 leverde twaalf handhavingsacties op in vier jurisdicties — het Verenigd Koninkrijk, Singapore, Canada en Nederland — met in totaal $13,734,921.58 aan geldboetes over 32 afzonderlijke bevindingen. Dat totaalcijfer verhult echter een opvallend scherpe geografische splitsing in handhavingsfilosofie. De Nederlandse toezichthouder DNB was verantwoordelijk voor $13,560,218.75 van de boetes in de periode — 98.7% van het totaal — over slechts drie acties tegen twee ondernemingen, terwijl de FCA (vier acties), MAS (twee acties) en MAS/SPF (één actie) gezamenlijk nul geldboetes oplegden, ondanks dat zij gedrag vaststelden variërend van systemisch falen van het financieel-crimineel raamwerk tot regelrechte fraude. Canada's FINTRAC was de enige andere toezichthouder die beboette, en dat bescheiden: $174,702.82 over twee bestuurlijke boetes tegen Atlantic Lottery Corporation ($151,173.82) en VIP Realty/Royal LePage Integrity Realty ($23,529). Geen enkele actie in de periode betrof een vrijwillige zelfmelding — een nulresultaat over alle twaalf zaken dat compliance-verantwoordelijken zorgen zou moeten baren die vertrouwen op zelfmelding als verzachtende omstandigheid.

De acties in het VK en Singapore illustreren een houding van "beheersen, niet alleen beboeten". De First Supervisory Notice van de FCA tegen Euro Exchange Securities UK Ltd legde geen boete op, maar bevroor het vermogen van de onderneming om klanten aan te nemen of gelden te accepteren, plaatste beschermde gelden onder een hek in afwachting van onafhankelijk herstel van elk klantdossier, en verplichtte wekelijkse rapportage — een reactie op bevindingen dat alle tien beoordeelde klantdossiers ontoereikend waren, dat 4,968 transactiemonitoringsalerts in één enkel dossier waren gesloten als niet-verdacht (3,294 zonder gedocumenteerde onderbouwing, slechts één ooit geëscaleerd, en alle beoordeeld door één enkele persoon). Singapore's MAS ondernam drie handhavingsacties in de periode — twee verbodsbesluiten (prohibition orders) op grond van de FSM Act 2022 (Andrew Tiew Siew Ing, PO van 10 jaar wegens fraude; Li Jinbo, PO van 3 jaar wegens marktmanipulatie) en één volledige strafrechtelijke vervolging van Samlit Moneychanger en twee van haar functionarissen (19 tenlasteleggingen, elk met boetes tot S$1 miljoen bij veroordeling, nog niet opgelegd) — wederom zonder een enkele geldboete in dit rapportagevenster. De overige drie acties van het VK betroffen individuele verboden: voormalig MLRO Dharmendra Solanki (ongeoorloofde geldverstrekking en witwassen, GBP 169,941.89 verbeurdverklaring maar geen FCA-boete), en Alec Finch en zijn zoon Robert Finch van AFL Insurance Brokers, wier integriteitsschendingen op Niveau 5 (maximale ernst) — een "grootschalige fraude" waarbij £3.51m aan klantgeld werd misbruikt — met vastgestelde boetes van respectievelijk £121,200 en £169,800 gepaard gingen, beide met 100% verlaagd tot £0 wegens aangetoonde financiële nood en vervangen door volledige verbodsbesluiten. De zaak van Robert Finch is een van slechts twee zaken die de dataset als flagrant (egregious) markeert.

De materiële bevindingen wijzen op governance- en procesfalen, niet op technologische tekortkomingen, als de bepalende zwakte van de periode. Governance Failure (34.4%, 11 van 32 bevindingen) en Process Design Flaw (31.3%, 10 van 32) vertegenwoordigen samen bijna twee derde van alle bevindingen, terwijl Insufficient Technology op nul staat — geen enkele instelling in deze periode werd verweten monitoringtools te missen, alleen te falen in het bedienen, bemensen of aansturen van de tools die zij al hadden. Process Design Flaw-bevindingen droegen ook het zwaarste boetegewicht ($6,550,379.08), gevolgd door Governance Failure ($3,069,717.50), wat DNB's nadruk weerspiegelt op de structurele poortwachtersfalen van ABN AMRO Bank N.V.: een vertraging van twee maanden bij het detecteren van een cash-doorstroompatroon van EUR 500,000 of meer dat aanhield zelfs na een "onacceptabele" risicoclassificatie, risico-indicatoren (signalen van Russische sanctie-ontwijking, dual-use goederen, ondoorzichtige eindgebruikers) die nooit in samenhang werden beoordeeld, en een ongefundeerde afwaardering van "onacceptabel" naar "gemiddeld" risico — bevindingen die de boete van EUR 8.5 miljoen ($9,783,500) opleverden, de grootste van de periode. Per domein was Investigations & Reporting zowel het vaakst aangehaalde (14 bevindingen bij 9 entiteiten) als de categorie met de hoogste prioriteit (5 bevindingen met hoge prioriteit, tegenover 2 bij Transaction Monitoring, 1 bij KYC & Onboarding en geen enkele bij Sanctions Screening) — consistent met een patroon van ondernemingen die intern rode vlaggen signaleren of genereren en vervolgens nalaten deze te escaleren, documenteren of melden.

Het risico van herhalingsdaders is het scherpste signaal in de Nederlandse gegevens. CCV Group B.V. werd in deze periode alleen al tweemaal beboet door DNB: EUR 2,656,250 ($3,057,343.75) voor tekortkomingen in transactiemonitoring waardoor een "substantieel" deel van de handelaren bijna twee jaar lang onbewaakt bleef (de "Ecom-gap" en "PF7-gap" labelingsfouten), verzwaard door een schuldverhoging van 25% omdat DNB CCV al eerder had bestraft voor dezelfde monitoringsnorm in 2019–2020; en afzonderlijk EUR 625,000 ($719,375) voor het gedurende circa zeven jaar ontbreken van een systematische integriteitsrisicoanalyse (SIRA), een tekortkoming die DNB bestempelde als een "zeer ernstige overtreding" — het Nederlandse toezichtsequivalent van flagrant en de tweede flagrante actie in de dataset. Cultural/Tone Issues (15.6%, 5 bevindingen, volledig geconcentreerd in Investigations & Reporting) en Data Quality Issues (12.5%, 4 bevindingen) completeren het beeld van de grondoorzaken, waarbij de laatste $1,478,715.28 aan gerelateerde boetes met zich meebrengt.

Voor compliance-verantwoordelijken springen drie implicaties eruit. Ten eerste suggereert het ontbreken van enige vrijwillige zelfmelding over twaalf acties — variërend van fraude tot signalen van sanctie-ontwijking en meerjarige monitoringlacunes — dat detectie, niet alleen herstel, het zwakke punt van de sector blijft; instellingen zouden intern gesignaleerde maar niet-geëscaleerde risico-indicatoren (zoals bij ABN AMRO en Euro Exchange) moeten behandelen als het patroon dat het meest waarschijnlijk toezichtsaandacht trekt. Ten tweede zijn toezichthouders in toenemende mate bereid op te treden tegen individuen, ook waar de boetes op ondernemingsniveau nul zijn of zijn kwijtgescholden: de drie verboden van de FCA in het VK en de twee verbodsbesluiten van MAS in Singapore — plus strafrechtelijke vervolging van de twee functionarissen van Samlit — tonen aan dat persoonlijke verantwoordelijkheid blijft bestaan, onafhankelijk van het financiële vermogen van een onderneming om te betalen. Ten derde is het precedent van CCV een waarschuwing tegen het beschouwen van herstel als afgesloten zodra een boete is betaald — eerdere handhaving voor een onopgeloste beheersingslacune wordt een verzwarende factor, niet een verzachtende, in de volgende cyclus.

Boete-analyse

Alle onderstaande cijfers weerspiegelen de onderliggende handhavingsdocumenten zonder handmatige herberekening. Geen van de boetes van de twaalf acties vereiste een voorbehoud voor niet-geconverteerde valuta; de drie toezichthouders met nulwaarde (FCA, MAS, MAS/SPF) weerspiegelen daadwerkelijk opgelegde boetes van $0, niet een conversiefout.

Boetes per land

Boetes per toezichthouder

Boetes per sector

Regelgevings- en geografische patronen

De twaalf acties van deze maand splitsen zich in twee sterk uiteenlopende handhavingsfilosofieën, en de scheidslijn loopt vrijwel volledig langs jurisdictionele lijnen in plaats van langs de ernst van de overtreding. De Nederlandse DNB is verantwoordelijk voor slechts drie van de twaalf acties, maar voor $13.56 miljoen van de $13.73 miljoen aan totale boetes die deze periode zijn geregistreerd — 98.7% van alle geldelijke bestraffing in de dataset — terwijl de Britse FCA (vier acties) en Singapore's MAS/MAS-SPF (drie acties), samen goed voor 58% van het handhavingsvolume, nul dollar aan geldboetes onderling opleverden. Compliance-teams die jurisdictioneel risico primair benchmarken op basis van de totale boetebedragen in de kop zullen deze maand de gegevens ernstig verkeerd interpreteren: de acties in het VK en Singapore waren niet mild, ze drukken ernst simpelweg uit via andere instrumenten.

De Nederlandse boetes zijn geconcentreerd en omzet-geschaald. DNB beboette ABN AMRO Bank N.V. met EUR 8.5 miljoen ($9.78 miljoen) wegens het niet uitvoeren van adequate doorlopende cliëntenonderzoeken bij hoogrisicoklanten — een zaak waarin het wettelijke plafond van EUR 5 miljoen expliciet terzijde werd geschoven ten gunste van een omzetgebonden regime gezien de netto-omzet van de bank van EUR 8.7 miljard, waarbij de boete slechts met 15% werd verlaagd onder de vereenvoudigde-schikkingsprocedure nadat ABN AMRO de feiten had erkend. DNB beboette ook CCV Group B.V. tweemaal in dezelfde publicatiecyclus — EUR 2.66 miljoen ($3.06 miljoen) voor tekortkomingen in transactiemonitoring over de periode 2021–2024, en EUR 625,000 ($719,375) voor het zeven jaar lang ontbreken van een systematische integriteitsrisicoanalyse, dit laatste expliciet bestempeld als een "zeer ernstige overtreding" (zeer ernstige overtreding) waarbij de basis van EUR 500,000 met 25% werd verhoogd wegens de ernst en lange (zevenjarige) duur van de overtreding. DNB is de enige toezichthouder in deze set die bereid is zowel gedrag te bestempelen op het hoogste ernstniveau als daar een navenante boete aan te verbinden — de SIRA-zaak van CCV is een van slechts twee "flagrante" kwalificaties in de gehele dataset, en het is degene die daadwerkelijk geld heeft gekost.

De nulboete-acties van de FCA zijn geen milde uitkomsten. Robert Finch en Alec Finch, respectievelijk voormalig directeur/CEO en directeur van AFL Insurance Brokers, werden beiden ingeschaald op Niveau 5 — het hoogste ernstniveau van de FCA — voor een "grootschalige fraude" waarbij £3.51 miljoen aan klantgeld werd misbruikt; hun individuele boetes werden berekend op respectievelijk £169,800 en £121,200 voordat deze met 100% werden verlaagd tot £0 wegens aangetoonde financiële nood, waarbij de materiële sanctie in plaats daarvan een openbare bevinding van wangedrag plus een volledig verbodsbesluit was. De zaak van Robert Finch is de andere "flagrante" kwalificatie van deze dataset — bewijs dat flagrantie en boetehoogte losgekoppeld raken zodra individuele insolventie in de berekening wordt betrokken. De institutionele actie van de FCA vertelt hetzelfde verhaal in een ander register: de First Supervisory Notice tegen Euro Exchange Securities UK Ltd legde helemaal geen boete op, maar bevroor het vermogen van de onderneming om klanten aan te nemen of nieuwe gelden te accepteren en plaatste beschermde gelden onder een hek in afwachting van onafhankelijke bevestiging door derden van CDD/EDD-herstel op elk klantdossier — een reactie op bevindingen dat alle tien beoordeelde klantdossiers ontoereikend waren en dat 4,968 alerts waren gesloten als niet-verdacht, waarvan 3,294 zonder gedocumenteerde onderbouwing. Voor een EMI is een operationele bevriezing een existentiëlere consequentie dan de meeste boetes die deze dataset registreert.

MAS volgt hetzelfde niet-geldelijke patroon, ondersteund door strafrechtelijk proces. Alle drie de acties in Singapore — het verbodsbesluit van 10 jaar tegen Andrew Tiew Siew Ing (32 maanden gevangenisstraf wegens oplichting), het verbodsbesluit van 3 jaar tegen Li Jinbo (samenspanning tot marktmanipulatie), en de lopende strafrechtelijke vervolging van Samlit Moneychanger Pte. Ltd. en haar directeur en compliance manager (19 tenlasteleggingen wegens het niet naleven van een klachtenafhandelingsopdracht van MAS, plus obstructie-aanklachten) — brengen geen geldboete van MAS zelf met zich mee, maar elk berust op ofwel een vastgestelde strafrechtelijke veroordeling ofwel een actieve vervolging met boetes tot S$1 miljoen per telling nog in het spel. Canada's FINTRAC bevindt zich aan het andere uiteinde van de geldelijke schaal ten opzichte van DNB: bestuurlijke boetes van CAD 212,025 ($151,174) tegen Atlantic Lottery Corporation wegens een gemiste STR en ontoereikende risicobeoordeling, en CAD 33,000 ($23,529) tegen VIP Realty Inc. wegens een verlopen tweejaarlijkse programma-effectiviteitsbeoordeling — echte boetes, maar een orde van grootte lager dan de Nederlandse acties, zelfs op basis van per overtreding.

De sectorindeling bevestigt dat geografie, niet sector, de boete-blootstelling drijft. FinTech-ondernemingen in deze dataset varieerden van Euro Exchange Securities ($0, systemisch beheersingsfalen) en Samlit Moneychanger ($0, lopende vervolging) tot CCV Group ($3.78 miljoen gecombineerd over twee Nederlandse acties) — vergelijkbare onderliggende ernst, radicaal verschillende prijskaartjes, vrijwel volledig bepaald door welke toezichthouder het dossier in handen had. Hetzelfde geldt voor Banking, waar het volledige boetetotaal van de sector van $9.78 miljoen herleidbaar is tot één Nederlandse actie (ABN AMRO) tegenover één $0-actie in het VK (het verbod van Dharmendra Solanki). Voor programma's in meerdere jurisdicties is de implicatie direct: lokale dochterondernemingen die onder DNB opereren, worden geconfronteerd met boete-blootstelling berekend tegen de groepsomzet en verzwaard door een verhoging voor herhalingsdaders (zoals de geschiedenis van CCV laat zien), terwijl dochterondernemingen onder de FCA of MAS operationele beperkingen, verbodsbesluiten of strafrechtelijke verwijzing als primaire hefboom moeten verwachten — consequenties die een bedrijfslijn sneller kunnen stilleggen dan welke boete dan ook, en die een compliance-programma dat alleen wordt gebenchmarkt op jurisdictionele boetegemiddelden systematisch zal onderschatten. Programma's dienen de toezichtshouding te volgen naar instrumenttype (boetes vs. beperkingen vs. verbod vs. strafrechtelijke verwijzing) naast de boetehoogte, en de hersteldgeschiedenis van een Nederlandse entiteit te behandelen als een levende vermenigvuldigingsfactor voor toekomstige blootstelling in plaats van een afgesloten hoofdstuk.

Analyse van compliance-thema's

Waar handhavingsdruk zich concentreert

Investigations & Reporting was het meest zwaar geïmpliceerde compliance-domein in deze cyclus, met 14 van de in totaal 32 bevindingen (43.8%) en betrokkenheid bij 9 van de 11 afzonderlijke entiteiten (10 van de 12 acties) — meer dan 80% van de dataset. Het domein kent ook het scherpste ernstprofiel: 5 van de 14 bevindingen werden beoordeeld als High priority, wat betekent dat dit ene domein verantwoordelijk is voor 5 van de 8 bevindingen met hoge prioriteit die over de gehele run zijn geregistreerd (62.5%). Even opvallend is dat elk van de vijf grondoorzaakbevindingen Cultural/Tone Issues in deze cyclus zich binnen Investigations & Reporting bevindt — geen enkele komt voor bij KYC & Onboarding, Transaction Monitoring of Sanctions Screening. Die concentratie is niet abstract: het is het domein waarin werd vastgesteld dat Robert Finch en Alec Finch (AFL Insurance Brokers) een "grootschalige fraude" hadden georkestreerd waarbij valse voorzieningen en misbruikt klantvertrouwensgeld waren betrokken — door de FCA ingeschaald op Niveau 5, het hoogste ernstniveau, waarbij het gedrag van Robert Finch expliciet als flagrant werd gemarkeerd — en waarin werd vastgesteld dat Dharmendra Solanki, een goedgekeurde MLRO, er een ongeoorloofde, bedreigende geldverstrekkingsactiviteit op nahield. Wanneer onderzoek en rapportage in deze dataset falen, is dat onevenredig vaak een falen van leiderschapsintegriteit, geen documentatielacune.

KYC & Onboarding vertelt een ander verhaal. Het genereerde het op één na hoogste volume aan bevindingen (10, bij 5 entiteiten) maar bijna geen van de ernst: slechts 1 werd beoordeeld als High, met 9 van de 10 beoordeeld als Medium. Governance Failure domineert de grondoorzaakmix (6 van de 10 bevindingen), zoals geïllustreerd bij Euro Exchange Securities UK Ltd, waar de FCA vaststelde dat alle tien beoordeelde klantdossiers ontoereikend waren — ontbrekende CDD, EDD/bron-van-middelen en PEP/sancties/negatieve-media-screening, inclusief een gemiste FBI-onderzoekshit in open-bronmedia — en bij ABN AMRO, waar DNB vaststelde dat het doorlopende cliëntenonderzoek "doorslaggevend" steunde op ongeverifieerde klantverklaringen en een ongefundeerde afwaardering van "onacceptabel" naar "gemiddeld" risico. KYC-zwaktes zijn in deze cyclus breed en structureel, maar op basis van het huidige bewijs minder vaak de primaire drijfveer van een flagrante bevinding op zichzelf.

Transaction Monitoring bevindt zich tussen de twee in: 6 bevindingen bij 5 entiteiten, maar 2 van de 6 beoordeeld als High (33%) — een hogere ernstratio dan KYC ondanks het lagere volume — en het is het domein dat het meest geassocieerd wordt met Data Quality Issues (2 van de 4 dergelijke bevindingen in de dataset). De DNB-boete van EUR 2.66M tegen CCV Group B.V. is de duidelijkste illustratie: monitoringsregels (BR0076/BR0078) waren inactief, een "PF7-gap" labelde transacties een jaar lang verkeerd, handelaarsprofielen werden niet bijgewerkt omdat CDD-analisten hun systeemtoegang verloren, en 25 van de 49 gesteekproefde alerts werden gesloten zonder adequaat onderzoek — een probleem van datafeeds en toegangsbeheer, geen probleem van modelafstemming. Sanctions Screening blijft het kleinste domein qua volume (2 bevindingen, 2 entiteiten, beide Medium priority) maar is de moeite waard om te benoemen juist vanwege die dunheid: de enige twee verschijningen in deze cyclus waren ingebed in twee van de grootste, meest systemische acties (Euro Exchange, ABN AMRO), nooit op zichzelf staand.

Het multi-domeinpatroon

De co-occurrentiegegevens bevestigen dat Investigations & Reporting functioneert als het bindweefsel over de falen van deze cyclus heen, in plaats van als een geïsoleerd beheersingspunt. Het combineert met KYC & Onboarding in 6 acties — de meest voorkomende domeincombinatie — en met Transaction Monitoring in 5. Zelfs Sanctions Screening, het domein met het laagste volume, komt in beide van zijn 2 verschijningen samen voor met Investigations & Reporting en komt nooit alleen voor. Praktisch betekent dit dat een onderneming zelden faalt op "screening" of "monitoring" in een vacuüm; de bevinding die toezichthouders optekenen, is dat alerts gegenereerd door zwakke KYC of screening vervolgens ook verkeerd werden behandeld, onder-geëscaleerd, of nooit gemeld. Euro Exchange Securities UK Ltd is het meest sprekende voorbeeld van één entiteit: gemarkeerd op alle vier de domeinen tegelijk, met 4,968 transactiemonitoringsalerts gesloten als "niet-verdacht", 3,294 zonder gedocumenteerde onderbouwing, en slechts één ooit geëscaleerd — beoordeeld door één enkele persoon. De boete van EUR 8.5M (USD 9.78M) van ABN AMRO, de grootste boete van de cyclus, toont hetzelfde vierdomeinpatroon: een vertraging van twee maanden bij het detecteren van een cash-doorstroom van EUR 500,000 of meer, onbeoordeelde signalen van Russische sanctie-ontwijking, en vertraagde melding bij FIU-NL, alle herleidbaar tot één grondtekortkoming — ontoereikend doorlopend cliëntenonderzoek — die doorwerkt in de rest van de levenscyclus. De twee afzonderlijke DNB-boetes van CCV Group, die in dezelfde publicatiecyclus van 2026 naar voren kwamen (de monitoringsboete van EUR 2.66M en een boete van EUR 625,000 wegens het zeven jaar lang zonder systematische integriteitsrisicoanalyse opereren, DNB's "zeer ernstige overtreding" en de andere flagrante bevinding van deze cyclus), tonen aan dat waar governance- en proceslacunes structureel zijn, deze terugkeren over onderzoekscycli heen in plaats van op te lossen. Daarentegen leverde de actie van VIP Realty, met één domein en één bevinding — één gemiste tweejaarlijkse effectiviteitsbeoordeling van het AML-programma — de kleinste boete van deze cyclus op (USD 23,529), consistent met het patroon dat geïsoleerde, single-domein lacunes materieel minder financieel en reputationeel gewicht dragen dan samenhangende, multi-domein lacunes. Opmerkelijk is dat geen van de 12 acties een vrijwillige zelfmelding betrof; elke bevinding in deze dataset werd blootgelegd door een onderzoek, een strafrechtelijke procedure, of civiele procesvoering door derden, niet door de instelling zelf.

Prioriteringsaanbevelingen

1. Behandel Investigations & Reporting als de belangrijkste toezichtsprioriteit. Het kent de hoogste entiteitsdekking, de meerderheid van de bevindingen met hoge prioriteit, en 100% van de Cultural/Tone Issues-bevindingen van deze cyclus. Prioriteer onafhankelijke QA-steekproeven van alert-afhandeling en SAR/STR-beslissingen, eliminatie van single-reviewer-knelpunten (naar aanleiding van Euro Exchange), en integriteitsverklaringen op MLRO/bestuursniveau — de zaken Solanki en Finch tonen aan dat gedragsfalen op leiderschapsniveau, niet documentatielacunes, dit domein doen escaleren naar flagrant.
2. Behandel KYC & Onboarding als een breedteprobleem, nog geen ernstcrisis. Met 90% van de bevindingen beoordeeld als Medium, moet middelen worden ingezet voor triggers voor doorlopend cliëntenonderzoek, de cadans van periodieke beoordelingen, en EDD-documentatiediscipline (naar aanleiding van Euro Exchange en ABN AMRO), vóórdat wordt geïnvesteerd in het volledig herbouwen van onboarding-systemen.
3. Audit de datalineage van Transaction Monitoring als een apart werkspoor, los van alert-afstemming. De lacunes in datafeeds en toegangsbeheer van CCV — niet modelontwerp — dreven de op één na grootste individuele boete van deze cyclus; ondernemingen dienen te verifiëren dat monitoringsystemen daadwerkelijk volledige, actuele transactie- en handelaarsgegevens ontvangen voordat zij investeren in verbeteringen van detectielogica.
4. Depriotiseer Sanctions Screening niet enkel op basis van volume. De twee bevindingen van dit domein in deze cyclus bevonden zich beide binnen de grootste, meest systemische acties van de dataset — integreer de screeningbeoordeling in hetzelfde dossier als KYC/EDD in plaats van het te behandelen als een op zichzelf staand checklistitem.
5. Financier herstel van governance, proces en cultuur vóór nieuwe technologie. Governance Failure (34.4% van de bevindingen) en Process Design Flaw (31.3%) vertegenwoordigen samen twee derde van alle bevindingen van deze cyclus, terwijl Insufficient Technology en External Factors elk op nul staan — het bewijs ondersteunt technologische lacunes niet als de primaire drijfveer van deze cyclus.
6. Toets dossiers op samenhangend falen, niet op geïsoleerde compliance. Aangezien Investigations & Reporting samengaat met KYC & Onboarding in 6 acties en met Transaction Monitoring in 5, dient interne audit specifiek te toetsen of een KYC-lacune ook naar voren komt als een niet-geëscaleerde alert of een niet-ingediende SAR in hetzelfde dossier — het patroon dat toezichthouders aantreffen — in plaats van elk domein afzonderlijk te auditen.

Frequentie van bevindingen per domein

Co-occurrentie tussen meerdere domeinen

Analyse van grondoorzaken

Het dominante patroon: governance en proces, niet technologie

Bij de 32 bevindingen uit de 12 acties van deze maand vertegenwoordigen twee grondoorzaken bijna twee derde van alle bevindingen: Governance Failure (11 bevindingen, 34.4%) en Process Design Flaw (10 bevindingen, 31.3%). Cultural/Tone Issues (5, 15.6%) en Data Quality Issues (4, 12.5%) blijven ver achter, waarbij Resource Constraints en Information Siloing elk slechts eenmaal voorkomen (3.1%). Het meest opvallend is dat Insufficient Technology en External Factors nul bevindingen registreren in deze run. Niet één van de 12 acties — bij toezichthouders in het VK, Singapore, Canada en Nederland — werd toegeschreven aan ondernemingen die de tools misten om het onderliggende risico te detecteren. ABN AMRO Bank N.V. beschikte over de systemen om een cash-doorstroompatroon van EUR 500,000 of meer te zien; de bevinding van DNB was dat de bank twee maanden nodig had om erop te reageren en een "onacceptabele" risicoclassificatie stilzwijgend liet afwaarderen zonder onderbouwing. Het transactiemonitoringsplatform van Euro Exchange Securities UK Ltd genereerde 4,968 alerts in één enkel klantdossier — het falen was dat één enkele persoon deze beoordeelde, 3,294 zonder gedocumenteerde onderbouwing waren, en slechts één ooit werd geëscaleerd. Het consistente verhaal van deze maand is dat ondernemingen over adequate detectiecapaciteit beschikken en falen op de daarbovenop liggende governancelaag: wie beoordeelt de uitkomsten, wie daagt risico-afwaarderingen uit, en of beleid daadwerkelijk wordt gevolgd.

Boete-gewogen blootstelling: procesontwerp draagt de zwaarste kosten

Het wegen van grondoorzaken naar de USD-boetes die aan elke actie zijn gekoppeld, herkadert het beeld. Van de USD 13,734,922 aan totale boetes die deze maand zijn vastgesteld, vertegenwoordigt Process Design Flaw USD 6,550,379 — 47.7% van alle boete-dollars, ondanks dat het slechts 31.3% van de bevindingen naar aantal vertegenwoordigt. Governance Failure volgt met USD 3,069,717 (22.3%), dan Cultural/Tone Issues met USD 1,956,700 (14.2%), Data Quality Issues met USD 1,478,715 (10.8%), en Information Siloing met USD 679,410 (4.9%). Resource Constraints en Insufficient Technology droegen geen boetegewicht — consistent met het feit dat de ene Resource Constraints-bevinding (het single-reviewer-knelpunt van Euro Exchange Securities UK Ltd) zich bevond binnen een actie waarin de FCA beperkingen oplegde in plaats van een boete.

De concentratie van boete-dollars in Process Design Flaw wordt gedreven door de twee grootste boetes van deze maand. DNB's actie van EUR 8.5 miljoen (USD 9,783,500) tegen ABN AMRO — de grootste individuele boete van deze run — noemde Process Design Flaw naast Governance Failure en Cultural/Tone Issues: risico-indicatoren (grote kasstromen, transacties met hoogrisicolanden, dual-use goederen, mogelijke signalen van Russische sanctie-ontwijking) werden nooit in combinatie beoordeeld, een ontwerpfout in hoe het cliëntenonderzoeksproces van de bank haar eigen signalen integreerde, geen detectiefalen. DNB's boete van EUR 2,656,250 (USD 3,057,344) tegen CCV Group B.V. voor de tekortkomingen in doorlopende monitoring — de "Ecom-gap" (2021–juni 2023) en de "PF7-gap"-labelingfout (juli 2023–juli 2024) waardoor transacties onbewaakt bleven, plus 25 van de 49 gesteekproefde alerts niet adequaat onderzocht — stapelde Process Design Flaw op Data Quality Issues en de enige Information Siloing-bevinding van deze maand (CDD-analisten die systeemtoegang verloren). Opmerkelijk is dat CCV een herhalingsdader was, aangezien al in 2020 een boete was opgelegd voor dezelfde Wwft-norm, en daardoor een schuldverhoging van 25% kreeg — een directe illustratie van hoe procesontwerpschuld boete-blootstelling in de loop van de tijd doet toenemen.

Hoe grondoorzaken variëren per domein

De mix van grondoorzaken verschuift scherp afhankelijk van welk compliance-domein wordt bekeken, en het patroon is leerzaam voor waar elke functie zich op herstel zou moeten richten:

• KYC & Onboarding (10 bevindingen) is overwegend een governance-verhaal: 6 van de 10 bevindingen zijn Governance Failure, tegenover 3 Process Design Flaw en 1 Information Siloing. Dit is het domein waarin de ongeverifieerde klantverklaringen en ongefundeerde risico-afwaardering van ABN AMRO, de tien-op-tien ontoereikende klantdossiers van Euro Exchange Securities, en de niet-goedgekeurde en verouderde compliancebeleidsregels van Atlantic Lottery allemaal terechtkomen. De rode draad is toezichtsdiscipline die geen gelijke tred houdt met — of simpelweg nooit wordt toegepast op — verder adequate onboardingprocessen.
• Transaction Monitoring (6 bevindingen) is het enige domein waarin Resource Constraints en Data Quality Issues zich concentreren (respectievelijk 1 en 2 bevindingen, naast 1 Process Design Flaw en 2 Governance Failure). Dit betreft rechtstreeks de niet-gevoede monitoringsregels van CCV (BR0076/BR0078 inactief voor een substantieel deel van de handelaren) en het knelpunt van Euro Exchange met één persoon die duizenden alerts beoordeelt — data- en bemanningslacunes specifiek voor het compleet en adequaat bemand houden van monitoringpijplijnen, geen detectielogicafalen.
• Sanctions Screening is het kleinste domein (2 bevindingen) en beide zijn Process Design Flaw — een weerspiegeling van ABN AMRO's falen om signalen van sanctie-ontwijking samen met andere risico-indicatoren te wegen, geen lacune in het screeningtool.
• Investigations & Reporting (14 bevindingen, het grootste domein) is waar alle 5 Cultural/Tone Issues-bevindingen van deze maand zich bevinden, naast 4 Process Design Flaw, 3 Governance Failure, en 2 Data Quality Issues. Dit domein vangt de individuele-gedragsacties van deze maand: Dharmendra Devji Solanki, die een ongeoorloofde, roofzuchtige geldverstrekkingsactiviteit runde terwijl hij fungeerde als goedgekeurde MLRO; de "grootschalige fraude" van Alec Finch en Robert Finch op Niveau 5 bij AFL Insurance Brokers, met valse boekhoudkundige voorzieningen en onjuiste voorstellingen om een aandelenverkoop van £2.12 miljoen te bewerkstelligen; en de compliance manager van Samlit Moneychanger die wordt geconfronteerd met aanklachten wegens belemmering van de rechtsgang voor het hinderen van een onderzoek van de Singapore Police Force. Falen van toon-aan-de-top op individueel en senior-managementniveau, niet procesltekortkomingen, zijn de bepalende grondoorzaak waar rapportage- en onderzoeksintegriteit falen.

De co-occurrentiegegevens bevestigen dat deze domeinfalen zelden geïsoleerd blijven: Investigations & Reporting overlapt met KYC & Onboarding in 6 bevindingen en met Transaction Monitoring in 5 — de hoogste combinaties van deze maand — wat betekent dat een governance- of proceslacune in het ene domein routinematig naar voren komt als een rapportage- of escalatiefalen stroomafwaarts (bijv. de vertraagde en nooit-ingediende meldingen van ongebruikelijke transacties van ABN AMRO bij FIU-NL, volgend op de onboarding- en monitoringslacunes).

Strategische aanbevelingen

Prioriteer governance-architectuur boven nieuwe detectietechnologie. Met nul bevindingen toegeschreven aan Insufficient Technology en 70% van de boete-dollars geconcentreerd in Process Design Flaw en Governance Failure samen, lossen instellingen die een "meer tooling kopen"-draaiboek volgen deze cyclus het verkeerde probleem op. De investering met het hoogste rendement zit in de beheersingslaag rond bestaande systemen: verplichte dubbele beoordeling of escalatietriggers wanneer de risicoclassificatie van een klant wordt afgewaardeerd (precies de lacune die DNB aanhaalde bij ABN AMRO), vereisten voor gedocumenteerde onderbouwing bij gesloten alerts in plaats van bulkafhandelingen (de lacune bij zowel Euro Exchange Securities als CCV), en periodieke, door een senior functionaris goedgekeurde beleidsherzieningscycli (de lacune bij Atlantic Lottery en VIP Realty).

Behandel de geschiktheid van MLRO's en senior management als een doorlopende beheersing, niet als een eenmalige goedkeuringspoort. Elke Cultural/Tone Issues-bevinding van deze maand hing samen met Investigations & Reporting, en elk van die zaken werd ontdekt via strafrechtelijke vervolging of civiele procesvoering in plaats van interne escalatie — de veroordeling van Solanki, het High Court-vonnis van de Finches, de obstructie-aanklachten tegen de compliance manager van Samlit. Ondernemingen dienen doorlopende gedragsmonitoring en screening van externe procesvoering/negatieve media te bouwen in het toezicht op MLRO's en bestuurders, en zich niet uitsluitend te verlaten op de initiële toetsing van goedgekeurde personen.

Financier audits van de volledigheid van de monitoringpijplijn, niet alleen alert-volumecapaciteit. De kenmerkende mix van Data Quality Issues en Resource Constraints van het Transaction Monitoring-domein wijst op een specifieke, controleerbare faalmodus: transacties of handelaarsprofielen die stilzwijgend buiten het monitoringsbereik vallen (de Ecom-gap en PF7-gap van CCV) en single points of failure in alert-beoordeling (de eenzame beoordelaar van Euro Exchange). Een periodieke afstemming tussen transactievolume en gemonitord volume, plus minimale bemanningsratio's gekoppeld aan alert-doorvoer, zou beide lacunes hebben blootgelegd voordat ze tot boetes leidden.

Vereis combinatorische, niet sequentiële, beoordeling van risico-indicatoren bij onboarding en sanctiescreening. Het kernfalen van ABN AMRO — individueel bekende risico-indicatoren (kasstromen, hoogrisicojurisdicties, dual-use goederen, signalen van sanctie-ontwijking) die nooit samen werden beoordeeld — is een procesontwerpfix, geen technologische lacune: bouw expliciete goedkeuringsstappen die een samengesteld risicobeeld afdwingen voordat EDD-conclusies worden afgerond, gezien met name het buitengewone aandeel (47.7%) van dit patroon in de totale boete-blootstelling van deze maand.

Let op de combinatie governance-plus-cultuur of governance-plus-proces als de drempel voor flagrantie. Beide acties die deze maand als flagrant zijn gemarkeerd — het verbod van Robert Finch (Governance Failure plus Cultural/Tone Issues) en de SIRA-boete van CCV (Governance Failure plus Process Design Flaw plus Data Quality Issues, DNB's "zeer ernstige overtreding" wegens het zeven jaar lang volledig ontbreken van een integriteitsrisicoanalyse) — koppelden Governance Failure aan een tweede grondoorzaak in plaats van op zichzelf te staan. Instellingen met een bestaande Governance Failure-bevinding in een zelfbeoordeling dienen een begeleidende proces- of culturele lacune te behandelen als een materiële verhoging van het handhavingsrisico, niet als een onafhankelijk, lager-prioriteit probleem.

Frequentie van grondoorzaken

Grondoorzaak per domein

Boete per grondoorzaak (prioriteits-gewogen toewijzing: High ×3, Medium ×2, Low ×1)

Prioriteitsverdeling

Prioriteit weerspiegelt de ernstbeslisboom die op elke bevinding is toegepast op het moment van extractie (High: boete >$10M toerekenbaar, gedrag bestempeld als flagrant, lacune die daadwerkelijke illegale activiteit mogelijk maakte, of een strafrechtelijke verwijzing tot gevolg had; Medium: significante beheersingszwakte met expliciete regelgevende kritiek; Low: een documentatie-/procedurele lacune zonder bewijs van misbruik). Onderstaande kruistabel toont hoe de 32 bevindingen van deze run zich verdelen over de vier compliance-domeinen — Investigations & Reporting draagt zowel het hoogste volume als de hoogste concentratie van bevindingen met hoge prioriteit, terwijl KYC & Onboarding en Sanctions Screening bijna volledig Medium zijn.

AI-investeringsthema's

De bovenstaande bevindingen wijzen ook op waar AI-ondersteunde beheersingsmaatregelen de lacunes van deze cyclus het meest direct zouden kunnen dichten — nuttige context voor compliance- en technologieteams die hun eigen roadmap afwegen.

Governance Failure

Geautomatiseerde reconciliatie van klantgeld met ML-anomaliedetectie over klantrekeningstromen

• Technologie: Geautomatiseerde CASS-klantgeldreconciliatie met regel-plus-ML-transactieanomaliedetectie
• Verwacht voordeel: Detecteert oneigenlijke onttrekkingen van klantvertrouwensgeld binnen dagen in plaats van jaren en sluit het mechanisme van vervalste berekeningen (£3.51m onttrokken via berekeningen van 25 dagen), waardoor klantgelden worden beschermd en het risico op verhulling van insolventie wordt verminderd.
• ROI-tijdlijn: 6-12 months
• Risico's: Bevoorrechte insiders die de pijplijn omzeilen of uitschakelen — vereist onveranderlijke logging en onafhankelijk toezicht op de monitoring zelf; datakwaliteit van grootboek/bankfeed — garbage-in-reconciliaties creëren vals vertrouwen; alert-moeheid bij kleine ondernemingen zonder toegewijde compliancebemanning; regelgevend vertrouwen vereist gevalideerde, verklaarbare berekeningen onder CASS/SUP-audit.
• Onderbouwing: Governance-beheersing met de hoogste impact in de set: pakt een spraakmakende diefstal van klantgeld aan (£3.51m, 6+ jaar onopgemerkt) met een reconciliatie van hoge haalbaarheid en snelle ROI. Onderscheidt zich van de anomaliekeuzes voor klanttransacties en journaalposten door datadomein (CASS-klant vs. kantoorrekeningstromen) en beheersingsfix (onafhankelijke reconciliatie die escaleert naar een NED).

LLM-copilot voor besluitbeoordeling ten behoeve van governance van risicoclassificatie

• Technologie: LLM-gebaseerde besluitbeoordelingscopilot die risicoclassificatiewijzigingen toetst aan het volledige dossier
• Verwacht voordeel: 100% dekking van herclassificatiebeslissingen met bewijsgekoppelde beoordeling, blokkeert ongefundeerde afwaarderingen vanaf 'onacceptabel' die verhoogde monitoring deactiveren, met een controleerbaar onderbouwingsspoor voor de toezichthouder.
• ROI-tijdlijn: 12-18 months
• Risico's: Verklaarbaarheidsvereisten van DNB en de EU AI Act-verplichtingen voor hoogrisico-besluitondersteuning; overmatig vertrouwen dat menselijke uitdaging eerder ondermijnt dan versterkt; hallucinatierisico dat strikte retrieval-onderbouwing op dossierinhoud vereist.
• Onderbouwing: Richt zich op de kern van governance — toezicht op en uitdaging van de beslissingen zelf (de ongefundeerde afwaardering bij Client 4) — met 100% dekking tegenover handmatige steekproeven, hoge haalbaarheid. Onderscheidt zich van de Cultural-onderzoekscopilot door doel: herclassificatie van risicoclassificatie versus kwaliteit van onderzoeksafsluiting.

LLM-beheer van regelgevingswijzigingen en beleidslacune-analyse

• Technologie: LLM-pijplijn die wetten, ministeriële richtlijnen en sectorrichtlijnen koppelt aan intern beleid om lacunes te signaleren en herzieningen op te stellen
• Verwacht voordeel: Doorlopende zekerheid dat beleid actueel blijft met regelgevingswijzigingen (de 'ontbrekende belangrijke regelgevingsvereisten' die FINTRAC vaststelde), drastisch verkorte updatecycli, en gedocumenteerde traceerbaarheid van elke verplichting naar een beheersingsmaatregel.
• ROI-tijdlijn: 3-6 months
• Risico's: LLM-hallucinatie vereist juridische/compliancebeoordeling van uitkomsten; het regelgevingscorpus moet gezaghebbend en actueel worden gehouden; het goedkeuringsproces moet mensen-eigendom blijven om te voldoen aan de vereiste van goedkeuring door een senior functionaris.
• Onderbouwing: Dekt het patroon van falende beleidsactualiteit (verouderde/ontbrekende beleidsvereisten) tegen de laagste kosten en snelste ROI (3-6mo, hoge haalbaarheid). Een archetype van regelgevingscorpus-naar-beleidskoppeling dat nergens anders in de geselecteerde set voorkomt.

Perpetual KYC / gebeurtenisgestuurde beoordelingstrigger-engine

• Technologie: Gebeurtenisgestuurde beoordelingstrigger-engine over klantgegevenswijzigingen, risicoclassificatiebewegingen en indicatoren van ongebruikelijke activiteit
• Verwacht voordeel: Beoordelingen worden geactiveerd wanneer het risico verandert in plaats van nooit of alleen onder druk van de toezichthouder, waardoor het mislukte kalendergebaseerde proces wordt vervangen, met een volledig auditspoor van beoordelingstiming, stappen en conclusies per reg 28(11)/27(8).
• ROI-tijdlijn: 6-12 months
• Risico's: Overmatig triggeren dat beoordelingsachterstanden creëert die een klein team niet kan absorberen; afhankelijkheid van herstelde onderliggende klantgegevens; verandermanagementlast voor een onderneming met zwakke governance.
• Onderbouwing: Pakt het alomtegenwoordige governancefalen aan van beoordelingen die nooit hebben plaatsgevonden, zelfs niet onder het eigen beleid van de onderneming, met hoge haalbaarheid. Onderscheidt zich van de onboarding-IDP-keuze door zich te richten op de doorlopende beoordelingscadans-triggerlaag in plaats van besluitvorming voor nieuwe klanten.

Process Design Flaw

Intelligente documentverwerking met verklaarbare risicoscoring bij onboarding

• Technologie: OCR/LLM-documentextractie plus regel-plus-ML-klantrisicoscoring bij onboarding
• Verwacht voordeel: Consistente, controleerbare CRA/CDD bij onboarding — het opvangen van verlopen ID, niet-onderbouwd adresbewijs en niet-overeenkomende entiteitsgegevens, en het genereren van een gedocumenteerde risico-onderbouwing die beoordelaars goedkeuren voordat transacties worden ingeschakeld (alle tien dossiers misten dit).
• ROI-tijdlijn: 6-12 months
• Risico's: Model- en extractiefouten bij documenten van slechte kwaliteit uit het verleden; toezichtscontrole op de verklaarbaarheid van geautomatiseerde risicoscoring — menselijke goedkeuring moet in de lus blijven; garbage-in-risico gegeven de bestaande datakwaliteitsproblemen van de onderneming.
• Onderbouwing: Dekt de meest voorkomende proceslacune — ongedocumenteerde CRA en gebrekkige verificatie van identiteit/uiteindelijk belanghebbende — met hoge haalbaarheid. Onderscheidt zich van de archiefindexeringskeuze bij Data Quality door doel: toekomstgerichte onboardingbesluitvorming versus achterwaarts gerichte dossierterugvinding.

Transliteratiebewuste sanctiescreening met negatieve-media- en verbonden-partijresolutie

• Technologie: Fuzzy/fonetische naammatching screening met NLP-analyse van negatieve media en entiteitsresolutie voor verbonden partijen
• Verwacht voordeel: Volledige, tijdige screening van klanten en hun bestuurders/eigenaren — het verslaan van het faalpatroon van verkeerd gespelde namen en het aan het licht brengen van gemiste negatieve media (bijv. het vermeende witwasschema/FBI-onderzoek) — met elke potentiële match afgehandeld en gecontroleerd conform regs 28 en 35.
• ROI-tijdlijn: 3-9 months
• Risico's: Volume aan valse positieven dat een dun bemand beoordelingsteam overweldigt; dekking en precisiegrenzen van bronnen voor negatieve media; automatische afhandeling van matches zou regelgevende weerstand oproepen — menselijke beoordeling met QA vereist.
• Onderbouwing: De enige sanctiescreeningskeuze in de set, die een kernpijler van AML bestrijkt en twee afzonderlijke faalmodi (naammatching plus gemiste media/verbonden partijen) met hoge haalbaarheid en snelle ROI. Geen bijna-duplicaat elders.

Gedragsmatige transactieanomaliedetectie met netwerkanalyse

• Technologie: Machine-learningmodellen op gedragsmatige sequenties op rekeningniveau gecombineerd met grafiekanalyse die voedende entiteiten koppelt
• Verwacht voordeel: Verkort de detectielatentie van de waargenomen 2+ maanden tot dagen, markeert automatisch materieel vergelijkbare transacties die de bank miste, en activeert beperkingen die activiteit na 'onacceptabel' voorkomen (de EUR 130,000 die nog steeds doorstroomde na classificatie).
• ROI-tijdlijn: 12-24 months
• Risico's: Volume aan valse positieven dat onderzoekscapaciteit overweldigt; last van modelvalidatie en governance onder toezicht; datakwaliteit van tegenpartijen die de nauwkeurigheid van netwerkkoppeling beperkt.
• Onderbouwing: De kernkeuze voor detectieontwerp bij transactiemonitoring, gericht op trage detectie en gemiste vergelijkbare transacties. Onderscheidt zich van de anomaliekeuzes voor klantgeldreconciliatie (Governance) en journaalposten (Cultural) door datadomein (klanttransacties/tegenpartij-netwerken) en probleem (gemiste verdachte activiteit).

Deterministische drempelrapportage-engine met geautomatiseerde FIU-indiening en bewijsregistratie

• Technologie: Deterministische regel-engine met geautomatiseerde generatie van FIU-meldingen van ongebruikelijke transacties en archivering van indieningsbewijs
• Verwacht voordeel: Vrijwel nul gemiste of te late meldingen van objectieve indicatoren (vijf werden gemist; terugblikken kwamen 2-5 weken te laat aan) en directe, bewijsgestaafde bevestiging van indiening die CCV niet kon onderbouwen — tegen lage kosten omdat de indicator volledig deterministisch is.
• ROI-tijdlijn: 3-6 months
• Risico's: Bovenstroomse afhankelijkheid: werkt alleen als het TM-systeem daadwerkelijk alle transacties ontvangt (Data Quality-fixes zijn een vereiste); het vastleggen van bedoelde maar niet-uitgevoerde transacties vereist gebeurtenissen vóór uitvoering; dubbele-indieningscontroles nodig wanneer terugblikken overlappen met live detectie.
• Onderbouwing: De goedkoopste, snelste rapportageworkflow-fix (3-6mo) die het falen bij objectieve-indicatorrapportage dekt. Doelbewust niet-ML, waardoor het zich onderscheidt van elke andere keuze en complementair is aan de ML-detectielagen.

Cultural/Tone Issues

Doorlopende screening van negatieve media en openbare registers voor goedgekeurde personen

• Technologie: NLP-gebaseerde doorlopende screening van negatieve media en openbare registers met entiteitsresolutie
• Verwacht voordeel: Detecteert strafrechtelijke procedures of niet-gemelde bedrijfsactiviteiten van senior managers (SMF16/17) binnen dagen in plaats van jaren — hier liep het wangedrag ~3.5 jaar en kwam het alleen aan het licht bij arrestatie — wat prompte schorsing en melding aan de toezichthouder mogelijk maakt.
• ROI-tijdlijn: 6-12 months
• Risico's: Valse positieven bij veelvoorkomende namen die tot onbillijke arbeidsrechtelijke maatregelen leiden; beperkingen van gegevensbescherming en arbeidsrecht op het monitoren van personeel; wisselende betrouwbaarheid en dekking van bronnen voor negatieve media en gerechtelijke registers.
• Onderbouwing: Richt zich direct op het toon-aan-de-top-falen van onopgemerkt wangedrag van senior managers, met hoge haalbaarheid. Onderscheidt zich van de sanctiescreeningskeuze door onderwerp en doel — monitoring van medewerkers/goedgekeurde personen op integriteit, geen screening van klanten op sancties.

Journaalpost-anomaliedetectie met NLP-kruisverwijzing tussen grootboek en communicatie

• Technologie: ML-anomaliedetectie op boekhoudkundige journaalposten gecombineerd met NLP-kruisverwijzing van e-mails en bestuursnotulen tegen grootboekposten
• Verwacht voordeel: Detecteert fictieve omzetvoorzieningen en balansopblazing binnen één of twee boekhoudcycli in plaats van de hier bereikte 6+ jaar, met een onafhankelijk bewijsspoor dat overleving van senior-managementoverride overleeft.
• ROI-tijdlijn: 12-18 months
• Risico's: Senior insiders met beheerdersrechten kunnen alerts onderdrukken of afstemmen — vereist onafhankelijke alertroutering naar het auditcomité/externe accountant; valse positieven bij legitieme maar ongebruikelijke voorzieningen die alert-moeheid veroorzaken; privacy- en juridische beperkingen op het doorzoeken van personeelscommunicatie; vereisten voor modelgovernance en verklaarbaarheid voor audit-vertrouwen.
• Onderbouwing: Pakt de klassieke management-override/valse-boekhoudingcultuur aan (een voorziening bleef staan terwijl de eigen e-mail van een broker zei dat de zaak 'niet gewonnen' was). Onderscheidt zich van de klantgeldreconciliatiekeuze door fraudetype (omzetfabricage vs. klantgelddiefstal) en beheersing (onafhankelijke alertroutering van voorzieningsanomalieën).

GenAI-onderzoekscopilot met afgedwongen bewijsstandaarden

• Technologie: Generatieve-AI-onderzoekscopilot ingebed in dossierbeheer met gestructureerde afdwinging van bewijsstandaarden
• Verwacht voordeel: Verhoogt de bodem van onderzoekskwaliteit en -consistentie, produceert een indicator-voor-indicator, toezichtsklaar auditspoor, en weigert afsluiting zolang risico-indicatoren niet zijn afgehandeld — waarmee de kritische diepgang die DNB miste over alle vijf dossiers wordt geïnstitutionaliseerd.
• ROI-tijdlijn: 12-18 months
• Risico's: Technologie kan de cultuurverandering naar meer scepsis die de bevindingen impliceren niet vervangen — moet gepaard gaan met training en prikkels; risico op hallucinatie/omissie in gegenereerde dossiersamenvattingen; toezichtsacceptatie van AI-ondersteunde onderzoeksdossiers.
• Onderbouwing: Zet de verwachting van 'holistische beoordeling' om in een afgedwongen workflow — het meest directe AI-antwoord op een zwakke scepsiscultuur — met hoge haalbaarheid. Onderscheidt zich van de Governance-besluitbeoordelingscopilot door doel: onderzoeksdiepgang/afsluitingskwaliteit in plaats van herclassificatie van risicoclassificatie.

Data Quality Issues

Datavolledigheidsreconciliatie met anomaliedetectie op inname-volume

• Technologie: Geautomatiseerde reconciliatie van verwerkt-versus-ingenomen met ML-anomaliedetectie op inname-volumes van transacties en handelaarsprofielen
• Verwacht voordeel: Elimineert meerjarige stille monitoringlacunes (feedonderbrekingen die 1-3+ jaar duurden) door deze binnen uren te signaleren, en maakt nauwkeurige impactkwantificering mogelijk die CCV tweemaal niet aan DNB kon leveren — de primaire drijfveer van de boete van EUR 2.66M.
• ROI-tijdlijn: 3-6 months
• Risico's: Alert-ruis door seizoensgebonden/volumeschommelingen die basislijnafstemming vereist; afhankelijkheid van een betrouwbare bron-van-waarheid-feed om tegen te reconciliëren; blinde vlekken in dekking als nieuwe kanalen/labels buiten de beheersing worden geïntroduceerd.
• Onderbouwing: De uitgesproken Data Quality-keuze — pakt de primaire boete-drijfveer (stille feed-/innamelacunes) rechtstreeks aan met de snelste ROI en hoge haalbaarheid. Volledig onderscheidend: het monitort de volledigheid van de monitoringpijplijn zelf in plaats van enige klantgerichte beheersing.

Intelligente indexering van ongestructureerde archieven voor terugvinding bij toezichtsverzoeken

• Technologie: OCR, formaatnormalisatie en LLM-classificatie/entiteitskoppeling over ongestructureerde documentarchieven
• Verwacht voordeel: Zet een archief van ~180,000 documenten, deels onleesbaar, om in per-klant, per-beheersing geïndexeerde dossiers zodat toezichtsverzoeken binnen de deadline worden beantwoord, maakt bewijslacunes zichtbaar en herstelbaar, en toont bewaarplicht aan conform MLR reg 40 / reg 28(16).
• ROI-tijdlijn: 3-6 months
• Risico's: Classificatiefouten die bewijs onder de verkeerde klant archiveren; werkelijk onleesbare of ontbrekende brondocumenten kunnen niet door tooling worden hersteld — lacunes vereisen nog steeds hernieuwd klantcontact; gegevensbeschermingscontroles nodig bij het verwerken van klantgegevens met AI-tooling.
• Onderbouwing: Pakt de tweede afzonderlijke Data Quality-faalmodus aan — onvindbare/niet-produceerbare dossiers op verzoek van de toezichthouder — met hoge haalbaarheid en snelle ROI. Vormgegeven als achterwaarts gerichte archiefterugvinding/-productie, waardoor het onderscheiden blijft van de toekomstgerichte onboarding-IDP-keuze bij Process Design.

Strategische aanbevelingen

1. Herbouw governance van periodiek cliëntenonderzoek en risicoherclassificatie — de enkele grootste drijfveer van boete-blootstelling in deze cyclus

Governance Failure was de meest voorkomende geïdentificeerde grondoorzaak (11 van 32 bevindingen, 34.4%) en vertegenwoordigt, samen met Process Design Flaw (10 bevindingen, 31.3%), bijna twee derde van alle bevindingen in de cyclus. De duidelijkste illustratie is DNB's boete van EUR 8.5 miljoen tegen ABN AMRO (USD 9.78M, 71% van de totale boetewaarde van de cyclus), opgelegd wegens een structureel falen om doorlopend cliëntenonderzoek uit te voeren bij hoogrisico-retailklanten: een vertraging van twee maanden bij het detecteren van een cash-doorstroompatroon van EUR 500,000 of meer dat aanhield zelfs nadat de klant was geclassificeerd als "onacceptabel," een ongefundeerde afwaardering van "onacceptabel" naar "gemiddeld" risico, en een falen om indicatoren van grote kasstromen, hoogrisicolanden, dual-use goederen en Russische sanctie-ontwijking in combinatie te beoordelen. DNB was expliciet dat onderzoeken "doorslaggevend" steunden op ongeverifieerde klantverklaringen en dat niet-medewerking geen gevolgen had. CCV Group toont wat er gebeurt wanneer deze lacune onaangepakt blijft: de boete van EUR 2.66M omvatte een schuldverhoging van 25% specifiek omdat CCV een herhalingsdader was op dezelfde Wwft-norm waarvoor het voor het eerst werd aangehaald in 2019-2020.

Actiepunten:

• Zet een LLM-gebaseerde besluitbeoordelingscopilot in over elke risicoclassificatie-herclassificatie (geen steekproef) — de afwaardering bij ABN AMRO die monitoring liet verlopen, zou bij 100% dekking zijn opgemerkt in plaats van overgelaten aan handmatige beoordeling (ROI van 12-18 maanden; vereist onveranderlijke logging zodat bevoorrechte insiders de beoordeling zelf niet kunnen onderdrukken).
• Vervang kalendergebaseerde periodieke beoordelingen door een gebeurtenisgestuurde trigger-engine die wordt geactiveerd bij risicoclassificatiebewegingen, klantgegevenswijzigingen of indicatoren van ongebruikelijke activiteit — direct gericht op het patroon van "beoordelingen die nooit hebben plaatsgevonden, zelfs niet onder het eigen beleid van de onderneming" (ROI van 6-12 maanden).
• Bouw een expliciete, controleerbare stap in die gecombineerde (niet-geïsoleerde) beoordeling van risico-indicatoren vereist — omvang van kasstromen, geografie, producttype, sanctieblootstellingssignalen — voordat enige risico-afwaardering wordt goedgekeurd.

2. Institutionaliseer onderzoekskwaliteit en bewijsstandaarden — het meest voorkomende en hoogst-geprioriteerde faaldomein

Investigations & Reporting genereerde meer bevindingen (14) dan enig ander domein, raakte 9 van de 11 afzonderlijke entiteiten van de cyclus (10 van de 12 acties), en droeg de meeste bevindingen met hoge prioriteit van elk domein (5, tegenover 2 voor Transaction Monitoring en 1 voor KYC & Onboarding). Het komt ook het vaakst samen voor met andere domeinen — 6 gezamenlijke bevindingen met KYC & Onboarding en 5 met Transaction Monitoring — wat wijst op een gedeelde grondoorzaak in plaats van geïsoleerde incidenten. De toezichtskennisgeving van de FCA tegen Euro Exchange Securities UK is het meest sprekende voorbeeld: 4,968 alerts gesloten als "niet-verdacht" in één enkel dossier, 3,294 zonder enige gedocumenteerde onderbouwing, slechts één ooit geëscaleerd, en de gehele alertpopulatie beoordeeld door één enkele persoon. CCV Group toont hetzelfde patroon in de boete van EUR 2.66M — 25 van de 49 gesteekproefde alerts niet tijdig of adequaat onderzocht, inclusief ongedocumenteerde bulksluitingen aan het einde van de dag. Atlantic Lottery werd afzonderlijk beboet met CAD 212,025 (USD 151,174), deels wegens het niet indienen van een STR ondanks meerdere ML/TF-indicatoren, een overtreding die FINTRAC classificeerde als "Zeer Ernstig."

Actiepunten:

• Bed een GenAI-onderzoekscopilot in dossierbeheer in die indicator-voor-indicator bewijsstandaarden afdwingt en afsluiting weigert zolang risico-indicatoren niet zijn afgehandeld — dit zet DNB's verwachting van "holistische beoordeling" om van een streven naar een afgedwongen workflow (ROI van 12-18 maanden).
• Zet een deterministische (niet-ML) drempelrapportage-engine in voor objectieve STR/UTR-indicatoren met geautomatiseerde FIU-indiening en bewijsarchivering — de snelste, goedkoopste fix in de portefeuille (3-6 maanden) en het directe antwoord op de gemiste indiening van Atlantic Lottery en de te late terugblikken van CCV.
• Elimineer single-reviewer-knelpunten structureel: vereis onafhankelijke tweede-beoordelingsroutering voor elk dossier waarin één persoon de enige beoordelaar is, zoals bij Euro Exchange.

3. Herstel de integriteit van de transactiemonitoringpijplijn vóórdat verder wordt geïnvesteerd in detectiemodellen

Data Quality Issues dreven 4 van 32 bevindingen maar waren de directe oorzaak van een van de twee flagrant-aangrenzende, hoogste-waarde fintech-boetes van de cyclus. DNB's boete van EUR 2.66M tegen CCV Group berustte op meerjarige stille monitoringlacunes: de "Ecom-gap" (2021 tot juni 2023) en de "PF7-gap"-labelingfout (juli 2023 tot juli 2024) betekenden dat een "substantieel" deel van de handelaren gedurende langere perioden geen effectieve monitoring had, monitoringsregels BR0076/BR0078 waren inactief, en handelaarsprofielen werden niet bijgewerkt omdat CDD-analisten hun systeemtoegang verloren. Detectiemodellen bovenop een onbetrouwbare feed produceren vals vertrouwen — precies de bevinding van DNB.

Actiepunten:

• Implementeer geautomatiseerde reconciliatie van inname-volume met anomaliedetectie die verwerkte transacties/handelaarsprofielen vergelijkt met ingenomen transacties, waarbij feedonderbrekingen binnen uren in plaats van jaren worden gesignaleerd (ROI van 3-6 maanden, hoge haalbaarheid — het item met de snelste terugverdientijd in de gehele portefeuille).
• Sequentieer AI-investeringen correct: behandel deze pijplijn-integriteitsbeheersing als een voorwaarde voor elk gedragsmatig anomaliedetectie- of netwerkanalysemodel, aangezien beide slechts zo goed zijn als de onderliggende feed.
• Vereis gekwantificeerde impactverklaringen (volume/duur/getroffen klanten) voor elke ontdekte historische monitoringlacune — het onvermogen van CCV om zijn eigen lacune nauwkeurig aan DNB te kwantificeren was zelf een verzwarende factor.

4. Herbouw onboarding-CDD/EDD en verenig sancties-/negatieve-mediascreening

KYC & Onboarding was het op één na frequentste domein (10 bevindingen, 5 entiteiten), en Sanctions Screening — hoewel lager in volume (2 bevindingen, 2 entiteiten) — kwam voor in combinatie met KYC in 2 bevindingen en met Transaction Monitoring in nog eens 2, nooit in isolatie. De Euro Exchange-actie van de FCA is de spraakmakende zaak: alle tien beoordeelde klantdossiers waren ontoereikend op het gebied van CDD, EDD/bron-van-middelen, en PEP/sancties/negatieve-mediascreening, inclusief een gemiste open-bronmediamelding van een vermeend witwasschema onder FBI-onderzoek — een lacune ernstig genoeg om een volledige beperking op het aannemen van nieuwe klanten te activeren. Het faalpatroon van ABN AMRO lag daaraan verwant: het accepteren van verklaringen van eindgebruikers zonder verificatie te midden van een verschuiving in doorvoerlandpatronen, waardoor signalen van Russische sanctie-ontwijking werden gemist.

Actiepunten:

• Zet OCR/LLM-documentextractie in met verklaarbare, regel-plus-ML-onboardingrisicoscoring zodat elk dossier een gedocumenteerde, door een beoordelaar goedgekeurde risico-onderbouwing draagt voordat de klant kan transacteren — geen van de tien gesteekproefde dossiers van Euro Exchange had dit (ROI van 6-12 maanden).
• Combineer onboarding met fuzzy/fonetische sanctienaammatching plus NLP-analyse van negatieve media en resolutie van verbonden partijen (bestuurder/uiteindelijk belanghebbende) — de enige manier om zowel naamontwijking door verkeerde spelling als gemiste mediadekking zoals de FBI-onderzoekslacune op te vangen, met menselijke afhandeling behouden gezien het risico op valse positieven (ROI van 3-9 maanden, snelst in de KYC-set).
• Breid de vereisten voor verificatie van eindgebruiker/bron-van-middelen specifiek uit voor klanten met handels- en doorvoerblootstelling, waarmee de lacune wordt gedicht die DNB aanhaalde bij ABN AMRO.

5. Maak de integriteit van senior managers en goedgekeurde personen een doorlopende, bewezen beheersing

Cultural/Tone Issues vertegenwoordigde 5 van 32 bevindingen (15.6%) maar ligt ten grondslag aan twee van de meest ernstige individuele acties van deze cyclus. De FCA verbood Dharmendra Solanki, een voormalig SMF17 Money Laundering Reporting Officer, nadat hij ongeveer 3.5 jaar (november 2018–mei 2022) een ongeoorloofde, roofzuchtige geldverstrekkingsactiviteit runde — waarbij kwetsbare leners werden geïntimideerd — terwijl hij fungeerde als goedgekeurde MLRO, onopgemerkt gedurende ongeveer 3.5 jaar tot zijn arrestatie op 18 mei 2022 door de wetshandhaving (schuldbekentenis oktober 2023). Afzonderlijk beoordeelden de Decision Notices van de FCA tegen Alec Finch en Robert Finch hun gedrag op Niveau 5 — het maximale ernstniveau van de FCA — voor een "grootschalige fraude" waarbij £3.51 miljoen werd onttrokken aan een wettelijke klantgeld-trustrekening over een periode van meer dan drie jaar via vervalste boekhoudkundige voorzieningen, waarvan er één op de boeken bleef staan zelfs nadat de eigen e-mail van een broker had gesteld dat de onderliggende zaak "niet gewonnen" was. Opmerkelijk is dat alle vier de acties in het VK in deze cyclus £0 geldboetes met zich meebrachten (twee kwijtgescholden wegens aangetoonde financiële nood, één waarbij de FCA alleen een verbod oplegde zonder boete, één in afwachting) maar toch resulteerden in verbodsbesluiten of een volledige beperking van de vergunning — toezichthouders vervangen boetes door carrière-beëindigende sancties wanneer ondernemingen/individuen niet kunnen betalen.

Actiepunten:

• Voer doorlopende NLP-gebaseerde screening van negatieve media en openbare registers uit op goedgekeurde personen en senior managers, niet alleen op klanten — de ongeoorloofde activiteit en strafrechtelijke blootstelling van Solanki hadden binnen maanden aan het licht moeten komen, niet de 3.5 jaar die het duurde (ROI van 6-12 maanden; combineer met arbeidsrechtelijke beoordeling gezien het risico op valse positieven bij veelvoorkomende namen).
• Zet journaalpost-anomaliedetectie in, gekruisverwezen met interne communicatie (e-mails, bestuursnotulen) via NLP — precies de beheersing die een voorziening zou hebben opgevangen die werd tegengesproken door de eigen e-mail van de betrokken broker, met alerts die onafhankelijk worden gerouteerd naar het auditcomité/externe accountant zodat senior insiders deze niet kunnen onderdrukken (ROI van 12-18 maanden).
• Behandel uitkomsten van "£0 boete, volledig verbod" als een signaal, niet als een opluchting: bouw herstelplannen rond het vergunnings-/goedkeuringsrisico voor senior personen, aangezien dat nu het operatieve gevolg is, ongeacht financiële betaalcapaciteit.

6. Herbalanceer programma-investeringen naar jurisdictie en werkelijk regelgevend risico, niet enkel naar boetetotalen

Drie van de twaalf acties van deze cyclus — allemaal van de Nederlandse DNB — vertegenwoordigen USD 13.56 miljoen van de USD 13.73 miljoen aan totale boetes (98.7%), tegen een gemiddelde van USD 4.52 miljoen per actie versus het gemiddelde van FINTRAC van USD 87,351. Ondernemingen met Nederlandse bank- of betaalinstellingsvergunningen dienen DNB-blootstelling te behandelen als het belangrijkste financiële-risico-item van deze cyclus. Maar financiële ernst is niet het volledige risicobeeld: nul van de twaalf acties betrof een vrijwillige zelfmelding, en vier acties in het VK die helemaal geen boete opleverden, resulteerden nog steeds in een volledige onboardingopschorting (Euro Exchange) of volledig verbod (Solanki, beide Finches) — uitkomsten die vergunningscontinuïteit en franchisewaarde bedreigen op manieren die een boetebedrag niet vastlegt. De twee acties die deze cyclus door DNB of de FCA in flagrante termen werden gekwalificeerd — de "zeer ernstige overtreding" (zeer ernstige overtreding) van CCV wegens het gedurende circa zeven jaar volledig ontbreken van een systematische integriteitsrisicoanalyse, en de Niveau-5-fraudebevinding van Robert Finch — komen beide voort uit afwezigheid van een fundamentele beheersingsmaatregel (een SIRA; basale segregatie-integriteit van klantgeld), niet een gedeeltelijke.

Actiepunten:

• Weeg herstelbudgetten naar jurisdicties met aantoonbaar hoogrisicotoezichthouders (DNB deze cyclus) zonder VK/MAS-blootstelling te depriotiseren, waar de consequentie vergunningsrisico is in plaats van boeterisico.
• Stel een staand protocol voor zelfmelding in en volg dit als een KPI — een cyclus met nul vrijwillige zelfmeldingen over twaalf acties suggereert dat zelfrapportage nog niet is verankerd als een verzachtende hefboom die compliance-teams gebruiken.
• Voer een inventarisatie van fundamentele beheersingsmaatregelen uit (SIRA/ondernemingsrisicobeoordeling, segregatiecontroles van klantgeld, gedocumenteerde CRA-methodologie) vóórdat AI op detectieniveau wordt toegevoegd — de boetes van zowel CCV als Atlantic Lottery zijn beide herleidbaar tot een ontbrekend fundamenteel document, dat geen hoeveelheid stroomafwaartse monitoring-verfijning zou hebben verholpen.

Methodologie & beperkingen

Deze analyse volgt een vaste extractie-, statistiek- en rapportgeneratiemethodologie: een vaste compliance-domeintaxonomie (KYC & Onboarding, Transaction Monitoring, Sanctions Screening, Investigations & Reporting), een taxonomie van acht grondoorzaakcategorieën, en een prioriteitsbeslisboom consistent toegepast op elke bevinding. Alle door AI gegenereerde inhoud in dit rapport — geëxtraheerde bevindingen, narratieve inzichten en AI-investeringsaanbevelingen — is vóór publicatie beoordeeld op nauwkeurigheid, volledigheid en consistentie met de onderliggende brondocumenten. Alle 12 documenten die voor deze run zijn ontdekt, werden succesvol geëxtraheerd; geen enkele mislukte bij extractie.

Brondekking is beperkt tot openbaar gemaakte handhavingsacties — schikkingen zonder openbare kennisgeving, informele toezichtsacties, en acties van toezichthouders die geen volledige besluiten publiceren zijn uitgesloten, waardoor deze dataset de totale handhavingsactiviteit in de periode onderschat. Extractienauwkeurigheid hangt af van documentduidelijkheid; bevindingen worden geëxtraheerd door een AI-model dat is geïnstrueerd conservatief te zijn en fabricage te vermijden, maar sterk geredigeerde of ongebruikelijk geformatteerde documenten (verschillende acties in deze run, waaronder Euro Exchange Securities UK Ltd en zowel de dossiers van ABN AMRO als CCV Group, bevatten geredigeerde passages) kunnen resulteren in onvolledige extractie. Valutaconversie voor grensoverschrijdende boetevergelijkingen gebruikt wisselkoersen per de datum van de analyse-run (2026-08-02, ontleend aan exchangerate-api.com/open.er-api.com) en is niet aangepast voor fluctuaties binnen de periode over lange overtredingsperioden die meerdere jaren beslaan. AI-usecase-toewijzing koppelt usecases aan grondoorzaken op basis van de bevinding die zij aanpakken; waar één actie meerdere grondoorzaken binnen hetzelfde domein bevat, krijgt alleen de meest voorkomende grondoorzaak toewijzing, waardoor sommige secundaire oorzaken mogelijk ondervertegenwoordigd zijn in de sectie AI-investeringsthema's. Grondoorzaakclassificatie koppelt elke bevinding aan een van acht vaste categorieën die de primaire oorzaak weerspiegelen die in het brondocument wordt genoemd of het sterkst wordt geïmpliceerd, zelfs wanneer een bevinding aannemelijk meerdere bijdragende oorzaken heeft.

Bronnen

Elk bovenstaand cijfer is herleidbaar tot het eigen gepubliceerde besluit of de eigen bekendmaking van de toezichthouder. Blader door de lijsten en programma's die wij volgen in onze datacatalogus om te zien hoe deze entiteiten en hun gelieerde partijen zich verhouden tot uw eigen screeningsbestand.