De Nederlandsche Bank (DNB) mag niet van een betaaldienstverlener eisen dat een externe auditor een validatie van de interne audit en het transactiemonitoringssysteem geeft, heeft de rechtbank Rotterdam uitgesproken. Een aanwijzing moet namelijk gericht zijn op beëindiging van de Wwft-overtreding, niet op controle achteraf.
DNB had de aanwijzing opgelegd aan een dienstverlener die betaaloplossingen voor het mkb aanbiedt en volgens de rechter een grote rol speelt in het betalingsverkeer. Dat gebeurde nadat EY in een auditrapport concludeerde dat het bedrijf niet voldeed aan de wettelijke verplichtingen voor identificatie van haar klanten (de Know Your Customer processen). Er was sprake van verschillende, langdurige overtredingen van de Wwft, constateert ook de rechtbank.
Uitspraak: ECLI:NL:RBROT:2021:3342
Onderzoek DNB: onvoldoende cliëntenonderzoek en transactiemonitoring
Naar aanleiding van het EY-rapport kondigde DNB in februari 2018 aan onderzoek te gaan doen bij de betaaldienstverlener, gericht op naleving van de Wft, Wwft en Sw. Het onderzoek behelsde onder meer een onderzoek op het kantoor van de betaaldienstverlener op 19, 20 en 22 maart 2018. Verder werden er interviews gehouden, zijn het transactiemonitoringsproces en -systeem beoordeeld en zijn twintig cliëntdossiers inclusief het cliëntacceptatie- en cliëntmonitoringsproces beoordeeld. Bij brief van 6 juli 2018 heeft DNB de definitieve bevindingen van het onderzoek vastgesteld, waarin een aantal overtredingen zijn geconstateerd. DNB heeft onder meer vastgesteld dat de betaaldienstverlener niet over een SIRA en adequate procedures en maatregelen ter beheersing van de integriteitsrisico’s beschikte. De betaaldienstverlener verrichtte daarnaast geen (adequaat) cliëntenonderzoek, verrichtte onvoldoende transactiemonitoring en voortdurende controle en paste geen adequate sanctiescreening toe. Ook het beleid en de procedures op het gebied van transactiemonitoring, voor zover al opgesteld, waren ontoereikend.
Aanwijzing
DNB legde daarom op 13 maart 2019 een aanwijzing op aan de betaaldienstverlener, waarin allerlei maatregelen op het gebied van cliëntenonderzoek en transactiemonitoring werden geëist waarmee het bedrijf weer aan – met name – de Wwft zou voldoen. Daarin werd ook bepaald dat de voor de interne audit verrichte werkzaamheden moesten worden gecontroleerd op de juistheid daarvan door een met instemming van DNB geselecteerde onafhankelijke, externe en deskundige partij. Ook moest de betaaldienstverlener een door een onafhankelijke, externe en deskundige partij opgesteld rapport van een (model)validatie van het transactiemonitoringssysteem overleggen.
Geven van aanwijzing in dit geval op zich opportuun
De betaaldienstverlener was het daar niet mee eens en spande een rechtszaak aan tegen DNB. De rechtbank Rotterdam oordeelt dat het geven van een aanwijzing in dit geval op zich opportuun was. Daarbij overweegt de rechter onder meer dat de door de betaaldienstverlener opgestarte projecten door DNB ten tijde van het opleggen van de aanwijzing (13 maart 2019) als langdurig en niet efficiënt werden ervaren en dat uit het door het bedrijf overgelegde memorandum “Voortgang Know Your Customer” en Plan van Aanpak onvoldoende duidelijk bleek wanneer alle overtredingen zouden worden beëindigd. Door DNB is wel erkend dat de betaaldienstverlener forse financiële investeringen heeft gedaan, dat zij haar risk- en compliance afdeling (verder) heeft versterkt en dat zij externe expertise heeft ingehuurd, maar de overtredingen waren daarmee nog steeds niet beëindigd en evenmin was duidelijk wanneer dat wel het geval zou zijn. Daarnaast bestond bij het bedrijf onduidelijkheid over de hoeveelheid klantendossiers die opnieuw moest worden beoordeeld (gereboarded). In eerste instantie werd gesproken over 30.000 dossiers, later bleek het om ongeveer 51.000 dossiers te gaan. Het ging hierbij dus hoe dan ook om een groot aantal dossiers dat opnieuw moest worden beoordeeld. Dat de betaaldienstverlener echter ook geruime tijd na het auditrapport van EY nog altijd onvoldoende zicht had op het aantal dossiers dat gereboarded moest worden, heeft DNB reden voor twijfel mogen geven aan de effectiviteit en de voortvarendheid van de door de betaaldienstverlener gevolgde aanpak. DNB heeft verder mogen meewegen dat het bedrijf in haar plan van aanpak nog geen datum had bepaald waarop het reboarden zou zijn afgerond. Pas na de beslissing op bezwaar heeft de betaaldienstverlener DNB met een concreet tijdspad gevraagd om verlenging van de in de aanwijzing gestelde termijnen.
Verschillende, langdurige overtredingen Wwft
DNB heeft de overtredingen volgens de rechtbank verder, anders dan de betaaldienstverlener meent, in redelijkheid als ernstig kunnen aanmerken nu het om verschillende, langdurige overtredingen gaat van de kernbepalingen van de wet- en regelgeving op het gebied van beheerste en integere bedrijfsvoering die bedoeld is ter voorkoming van witwassen en financiering van terrorisme. Gelet daarop en op de grote rol die de betaaldienstverlener speelt in het betalingsverkeer, heeft DNB voldoende gemotiveerd dat sprake is van ernstige overtredingen. De omstandigheid dat de ondernemingen die klant zijn bij de betaaldienstverlener ook al door een bank zijn gescreend, ontslaat de betaaldienstverlener niet van haar eigen wettelijke verplichtingen en maakt niet dat de door 
het bedrijf begane overtredingen als minder ernstig moeten worden beoordeeld. Dat de betaaldienstverlener voor het hersteltraject deels afhankelijk is van externe partijen en medewerkers open en meewerkend zijn geweest tijdens het onderzoek, levert geen verminderde verwijtbaarheid op. Het is uitdrukkelijk verboden om zakelijke relaties aan te gaan en transacties uit te voeren voor klanten als geen of onvoldoende cliëntonderzoek is verricht. De betaaldienstverlener wist dat of behoorde dat te weten. Dat het huidige bestuur pas in het voorjaar van 2016 is aangetreden doet daaraan niet af, oordeelt de rechtbank. Overigens was dat bestuur door de rapportage van EY op zijn minst vanaf oktober 2017 bekend met de tekortkomingen.
Inhoud van de aanwijzing
Wat de inhoud van de aanwijzing betreft krijgt DNB echter geen gelijk. Ter zitting bleek dat DNB de externe auditor met name van belang vindt omdat deze in een vroegtijdig stadium kan adviseren over de te nemen maatregelen om de overtredingen op te heffen en deze gedurende het traject de onderneming kan bijsturen om te voldoen aan de aanwijzing. De betaaldienstverlener heeft echter beargumenteerd dat een externe auditor nimmer als adviseur bij het traject betrokken mag zijn. Hij mag slechts achteraf beoordelen of de overtredingen zijn beëindigd. Ter zitting is daarnaast door de betaaldienstverlener gesteld en door DNB niet betwist dat DNB de door de betaaldienstverlener aan een externe auditor gegeven opdracht tot beoordeling of de overtredingen zijn beëindigd, heeft goedgekeurd. De auditor zal deze opdracht in de periode vanaf maart 2021 uitvoeren en eind mei 2021 afronden met een rapportage die aan DNB wordt gestuurd. Vervolgens beoordeelt DNB zijn rapportage. Daarmee is de in de aanwijzing opgelegde externe validatie een controle-instrument om achteraf te bepalen of de overtredingen zijn beëindigd. De aanwijzing is in zoverre niet direct gericht op beëindiging van de overtreding(en). Gelet hierop is de eis van externe validatie ten onrechte als onderdeel (gedragslijn) van de aanwijzing opgelegd.
Gelet daarop is het beroep gegrond. De rechtbank vernietigt de bestreden besluiten van DNB voor zover deze betrekking hebben op de externe validatie van de uitvoering van de aanwijzing. Verder zal de rechtbank zelf in de zaak voorzien door het primaire besluit in zoverre te herroepen.
