Om de SWG/FTP-beleidslijnen van de groep te kunnen coördineren moet de moederentiteit een geheel van (i) gedragslijnen, (ii) interne procedures, (iii) implementatieprocessen en (iv) internecontrolemaatregelen vaststellen en toepassen. Die gedragslijnen, procedures, processen en internecontrolemaatregelen moeten in verhouding staan tot de omvang en het SWG/FTP-risicoprofiel van de groep.

2.1. Risicobeoordeling op groepsniveau

De SWG/FTP-organisatie van de groep moet in passende maatregelen voorzien om de resultaten van de verschillende algemene risicobeoordelingen van de verschillende entiteiten van de groep te centraliseren bij de moederentiteit. Die centralisatie moet de moederentiteit in staat stellen om de aard, de intensiteit en de plaats van de WG/FT-risico’s waaraan de volledige groep is blootgesteld, te kennen en te begrijpen, rekening houdend met de eventuele relaties tussen de WG/FT-risico’s waaraan de verschillende entiteiten van de groep zijn blootgesteld en die een impact kunnen hebben op de groep, en dit om passend te kunnen reageren op de WG/FT-risico’s waaraan de groep is blootgesteld.   

2.2. SWG/FTP-beleid op groepsniveau

Het SWG/FTP-beleid op groepsniveau bevat de fundamentele beginselen die binnen de groep moeten worden nageleefd om te zorgen voor een goede coördinatie van de maatregelen ter voorkoming van de WG/FT-risico’s waaraan de groep is blootgesteld.  Dit beleid moet twee aspecten omvatten: 

1. het beheer van de WG/FT-risico’s op groepsniveau,  
2. de cliëntacceptatie,
3. het delen van informatie binnen de groep, en
4. gegevensbescherming

2.2.1. Het beheer van de WG/FT-risico’s op groepsniveau

Een van de cruciale punten voor een werkzaam en adequaat beheer van de WG/FT-risico’s op groepsniveau bestaat in de implementatie van coherente SWG/FTP-standaarden in de gehele groep.  Het is dus van belang dat elke groep een algemeen beleid voor het beheer van de WG/FT-risico’s van de groep ontwikkelt dat het kader vormt voor de specifieke gedragslijnen voor het beheer van de WG/FT-risico’s die in elke entiteit van de groep van kracht zijn. Die specifieke gedragslijnen moeten de op groepsniveau geldende standaarden ten uitvoer leggen op het niveau van de betrokken entiteit en ervoor zorgen dat ze doelmatig zijn, zelfs wanneer ook lokale kenmerken of specifieke kenmerken die verband houden met de uitgeoefende activiteiten in aanmerking moeten worden genomen.

Het beleid voor het beheer van de WG/FT-risico’s op het niveau van de groep moet op zijn minst het volgende bevatten:

1. De hoofdbeginselen van de risicogebaseerde benadering die binnen de groep moet worden gevolgd. Die hoofdbeginselen omvatten op zijn minst (i) uniforme regels met betrekking tot de opstelling van algemene risicobeoordelingen in de operationele entiteiten en (ii) standaardrisicocriteria waarop de risicogebaseerde benadering van de lokale entiteiten steunt;
2. Het maximumniveau van de WG/FT-risicotolerantie voor de groep;
3. De richtsnoeren die bij het concreet beheer van het SWG/FTP-beleid op lokaal niveau moeten worden gevolgd. Die richtsnoeren omvatten inzonderheid:
   • criteria die het mogelijk maken om eenzelfde niveau van waakzaamheid ten aanzien van de cliënten en de verrichtingen en voor de analyse van atypische verrichtingen te garanderen. Die standaarden hebben op zijn minst betrekking op:
     • de belangrijkste regels van het systeem voor het toezicht op zakenrelaties en verrichtingen, en
     • de procedureregels voor de analyse en voor het gevolg dat, op basis van die analyse, aan de gedetecteerde atypische verrichtingen moet worden gegeven.
   • de hoofdbeginselen die moeten worden gevolgd voor de organisatie van het in alle entiteiten van de groep op te zetten SWG/FTP-beleid. Die maatregelen omvatten met name:
     • de invoering van een passende organisatie waarbij met name het beginsel van de scheiding van functies in acht wordt genomen,
     • de tenuitvoerlegging van procedures die werden vastgelegd in overeenstemming met de op groepsniveau vastgelegde hoofdbeginselen,
     • de uitwisseling van informatie en feedback aan de beleidsbepalende organen van de lokale entiteiten, en
     • de daadwerkelijke opneming van de controle van de SWG/FTP-aspecten in het onderzoeksveld van de interne audit.

2.2.2. Cliëntacceptatie binnen de groep

De risicogebaseerde benadering die elke entiteit van de groep toepast bij de identificatie van de cliënten, de verificatie van hun identiteit, de kennisname van de kenmerken van de cliënten, het verwerven van inzicht in het doel en de aard van de zakelijke relaties, alsook bij de acceptatie van cliënten, moet worden vastgesteld in overeenstemming met de wettelijke en reglementaire bepalingen die van toepassing zijn op de betrokken entiteit en rekening houdend met de specifieke kenmerken die verband houden met haar activiteiten. Niettemin moeten de regels van de risicogebaseerde benadering die de verschillende entiteiten hanteren, op het niveau van de groep worden gecoördineerd om de coherentie ervan binnen de groep te garanderen en ervoor te zorgen dat elke entiteit van de groep, voldoende strikt is bij de inzameling en de verificatie van de informatie die vereist is voor een coherente toepassing van het cliëntacceptatiebeleid.

Zo wordt van de moederentiteit van de groep verwacht dat ze een cliëntacceptatiebeleid voor de groep vastlegt om een coherente beoordeling te garanderen van de risico’s die de cliënten kunnen inhouden, ongeacht met welke entiteit van de groep ze een relatie willen aangaan.

Dit cliëntacceptatiebeleid van de groep moet het volgende omvatten:

1. algemene criteria voor de classificatie van de cliënten per risicocategorie; en
2. procedureregels voor het onderzoek van de aanvragen en de beslissing om een relatie aan te gaan met de cliënten, afhankelijk van het risiconiveau dat die cliënten kunnen vertegenwoordigen.

2.2.3. Informatie-uitwisseling binnen de groep 

De uitwisseling van informatie tussen de entiteiten van de groep is van essentieel belang om ervoor te zorgen dat het SWG/FTP-beleid van de groep volledig effect kan hebben. 

Gelet op de specifieke aard van die informatie verwacht de NBB dat de financiële instellingen enkel de AMLCO of de leden van zijn team machtigen om de informatie die over de cliënten wordt uitgewisseld, mee te delen en/of om inzage te hebben in die informatie.

De NBB oordeelt dat die uitwisseling van informatie binnen de groep in het bijzonder gewenst is:

• voor de coherente toepassing van de verplichtingen met betrekking tot de WG/FT-risicobeoordeling in de verschillende entiteiten van de groep;
• voor de toepassing van het cliëntacceptatiebeleid van de groep (met name om de cliënten te identificeren die via diverse entiteiten van de groep zakelijke relaties aanknopen of verrichtingen uitvoeren);
• voor het coherent vervullen van de waakzaamheidsplicht ten aanzien van de cliënten, de zakelijke relaties en de verrichtingen, rekening houdend, in het bijzonder, met alle zakelijke relaties en verrichtingen die eenzelfde cliënt met diverse entiteiten van de groep aanknoopt of afsluit;
• voor de analyse van de gedetecteerde atypische verrichtingen om te voldoen aan de wettelijke verplichting tot melding van vermoedens en om een gepaste monitoring van die meldingen binnen de groep te garanderen (zie art. 56, §2, 1° en 2°, van de antiwitwaswet).

In artikel 13, § 1 van de antiwitwaswet wordt bepaald dat met name de volgende relevante informatie moet worden uitgewisseld tussen de entiteiten van de groep wanneer dat nodig is ter voorkoming van WG/FT:

• informatie met betrekking tot de identiteit en de kenmerken van de cliënten;
• informatie met betrekking tot de identificatie van de lasthebbers en van de uiteindelijke begunstigden, in voorkomend geval; 
• informatie over het doel en de aard van de zakelijke relaties;
• informatie over de verrichtingen;
• en, behoudens andersluidende instructie van de CFI (of, in voorkomend geval, van een andere FIE), informatie over meldingen van vermoedens waarbij cliënten betrokken zijn.

Voor zover dit dienstig is, wordt eraan herinnerd dat de definitie van het begrip groep in België wordt overgenomen uit artikel 4, 22° van de antiwitwaswet. Dit begrip dekt met name alle bijkantoren en alle dochterondernemingen, ongeacht of het zeggenschap berust op het bezit van een meerderheid van de stemrechten of op andere middelen die zijn opgesomd in artikel 22, lid 1, punten b) tot d) van Richtlijn 2013/34/EU.

Er zij ook aan herinnerd dat artikel 56, § 2, 1° en 2° van de antiwitwaswet, onder de daarin vermelde voorwaarden, de openbaarmaking van meldingen van verdachte verrichtingen en het delen van informatie daarover toestaat (in het bijzonder analyses die ertoe kunnen leiden of ertoe hebben geleid dat deze verrichtingen als verdacht worden beschouwd) in groepen van financiële instellingen (zie pagina "mededelingsverbod”). De NBB beveelt aan om gebruik te maken van deze toestemming wanneer dit relevant is voor de optimale effectiviteit van de voorkoming van WG/FT binnen de groep. Gezien de bijzonder gevoelige aard van deze informatie moet er echter voor gezorgd worden dat deze wordt uitgewisseld overeenkomstig modaliteiten en onder voorwaarden die afdoende garanties bieden met betrekking tot vertrouwelijkheid en het gebruik van de uitgewisselde informatie, met inbegrip van garanties om de onthulling ervan te voorkomen. Derhalve wordt deze informatie alleen doorgestuurd naar die personen in de groep die verantwoordelijk zijn voor SWG/FT en voor wie deze informatie nuttig kan zijn bij de uitvoering van hun taken en verantwoordelijkheden op dit gebied, en wordt deze informatie uitgewisseld via beveiligde communicatiekanalen.

2.2.4.Gegevensbescherming

Aangezien er in het kader van de hoger beschreven uitwisseling van informatie binnen de groep over het algemeen ook persoonsgegevens van cliënten zullen worden meegedeeld, moet die uitwisseling worden geregeld met inachtneming van de toepasselijke wettelijke bepalingen betreffende de bescherming van persoonsgegevens. Bijgevolg dient ervoor gezorgd te worden dat deze informatie-uitwisseling plaatsvindt met inachtneming van Verordening 2016/679 van 27 april 2016 betreffende de bescherming van persoonsgegevens (“GDPR”). Er moet rekening worden gehouden met de voorwaarden die overeenkomstig die verordening gelden voor de informatieverstrekking aan bijkantoren en dochterondernemingen in EER-landen, alsook met de aanvullende voorwaarden die diezelfde verordening oplegt voor de verstrekking van informatie aan entiteiten in derde landen.

2.3. Interne procedures binnen de groep

Op basis van haar SWG/FTP-beleid op het niveau van de groep moet de moederonderneming van een groep ervoor zorgen dat elke entiteit waaruit ze bestaat alle vereiste interne SWG/FTP-procedures heeft opgesteld en daadwerkelijk toepast.

2.4. Implementatieprocessen op groepsniveau

Om de op lokaal niveau toepasselijke SWG/FTP-regelingen doeltreffend te coördineren, moet de AMLCO op groepsniveau over een informaticatoepassing beschikken voor de concrete uitwisseling binnen de groep van informatie betreffende SWG/FT-aspecten.

2.5. Internecontrolemaatregelen binnen de groep

De moederentiteit moet internecontrolemaatregelen invoeren die ervoor zorgen dat het SWG/FTP-beleid dat in de verschillende operationele entiteiten van de groep ten uitvoer wordt gelegd, op harmonieuze en coherente wijze worden toegepast. Die mechanismen impliceren met name dat de interneauditdienst van de groep regelmatig interne audits in verband met SWG/FTP uitvoert.

Indien de groep bijkantoren of dochterondernemingen in het buitenland heeft (EER-land of derde land), moet de moederentiteit ervoor zorgen, indien nodig via controles ter plaatse door de interneauditdienst, dat die bijkantoren daadwerkelijk over de vereiste administratieve organisatie en interne controle beschikken, niet enkel om te voldoen aan de lokale SWG/FT-wetgeving, maar ook aan de diverse bovengenoemde standaarden die op het niveau van de groep zijn vastgelegd.