Vragen die je eigenlijk wilt stellen
De dingen die in een demo pas na een half uur boven tafel komen, maar hier gewoon staan. Inclusief de antwoorden die niet in ons voordeel zijn.
Ik houd mijn dossiers nu bij in Excel en Word. Wat voegt software daaraan toe?
Een spreadsheet laat zien hoe een dossier er vandaag uitziet. Bij een toetsing is dat niet de vraag. De vraag is wat je wist op de dag dat je deze cliënt aannam, en waar je dat op baseerde.
Cloudpliant legt elk onderzoek vast als een bevroren rapport: de checks, de uitkomsten, de risicoclassificatie en de exacte lijstversie waartegen is gescreend, met datum en tijd erbij. Dat rapport verandert daarna niet meer. Screen je dezelfde cliënt een jaar later opnieuw, dan komt er een nieuw rapport naast te staan en zie je meteen wat er is veranderd.
In Excel bouw je dat na met bestandsnamen en mappen, en dat werkt precies zolang als iedereen zich aan de afspraak houdt.
Grondslag: Wwft art. 33 en 34 (vastlegging en bewaartermijn van vijf jaar)
Mag ik mijn cliëntenonderzoek eigenlijk wel automatiseren?
De wet schrijft een resultaat voor, geen methode. Je moet weten wie je cliënt is, wat het risico is en waarom je die conclusie trekt, en je moet dat kunnen laten zien. Hoe je aan die kennis komt, mag je zelf inrichten.
Wat je niet kunt uitbesteden is de verantwoordelijkheid. Daarom neemt Cloudpliant geen enkele beslissing voor je. Het systeem verzamelt, screent, classificeert volgens vaste regels en legt vast. Aanvaarden of afwijzen doe jij, met een motivering die in het dossier belandt.
Software die belooft dat ze je cliëntenonderzoek overneemt, belooft iets wat ze niet kan leveren.
Grondslag: Wwft art. 3 (het cliëntenonderzoek schrijft een resultaat voor, geen methode) · AMLR art. 76 lid 5 (betekenisvolle menselijke tussenkomst bij accepteren of weigeren, vanaf 10 juli 2027)
Het systeem zet een cliënt die ik al twintig jaar ken op hoog risico. Wat moet ik daarmee?
Kijken welke factor dat veroorzaakt, en hem overrulen als je het er niet mee eens bent.
De classificatie komt uit een vaste puntentelling van dertien factoren. Je ziet per cliënt welke factoren meetellen en met hoeveel punten, dus hoog risico is nooit een black box waar je het maar mee moet doen.
Ben je het er niet mee eens, dan zet je het niveau handmatig om met een motivering. Die aanpassing is geen omzeiling van het systeem: hij wordt vastgelegd met jouw naam en de datum, en is daarmee zelf bewijs dat je er bewust over hebt nagedacht. Dat is precies wat een toetser wil zien.
Grondslag: Wwft art. 8 (verscherpt cliëntenonderzoek bij hoger risico) · AMLR art. 76 lid 5 (recht op uitleg en betwisting van een geautomatiseerde beoordeling)
Bepalen jullie het risico met AI?
Nee, en dat is een bewuste keuze.
De risicoclassificatie is een regelmatrix: vaste factoren, vaste punten, vaste grenzen. Voer je dezelfde cliënt over een jaar opnieuw in met dezelfde gegevens, dan komt er hetzelfde uit. Een taalmodel geeft je dat niet. Dat antwoordt dinsdag anders dan maandag en kan achteraf niet uitleggen waarom.
Je moet aan een toezichthouder kunnen uitleggen hoe je tot een classificatie bent gekomen. Dat kan alleen als de regels opschrijfbaar zijn. Daarom staat de hele matrix gewoon op onze site, en niet in een model dat wij ook niet kunnen navertellen.
Grondslag: AMLR art. 76 lid 5 (geautomatiseerde besluitvorming alleen met menselijke tussenkomst) · AMLR art. 76 lid 4 (verwerking voor commerciële doeleinden verboden, dus ook geen modeltraining)
Wat als een bron niet bereikbaar is? Komt mijn cliënt er dan als schoon uit?
Nee. Dat is misschien wel de belangrijkste regel in het hele systeem.
Een check die niet heeft gedraaid mag nooit lezen als een schone cliënt. Lukt een bevraging niet, dan wordt dat vastgelegd als een mislukte check en komt het rapport uit op onvolledig, nooit op geen bijzonderheden. De cliënt wordt niet afgevinkt als gescreend, de bestaande risicoclassificatie wordt niet overschreven, en het dossier blijft openstaan voor een nieuwe poging.
Het alternatief is dat een storing bij een bron zich voordoet als goed nieuws. Dat is het soort fout waar je jaren later achter komt, op het slechtst denkbare moment.
Grondslag: Wwft art. 5 (geen zakelijke relatie als het cliëntenonderzoek niet kan worden afgerond)
Ik heb al een KvK-koppeling. Is dit niet hetzelfde?
Een KvK-koppeling vertelt je wie een bedrijf is: rechtsvorm, adres, bestuurders, activiteiten. Dat is de helft van het werk, en Cloudpliant haalt die gegevens ook gewoon op.
De andere helft is de vraag of er iets mis is met de mensen erachter. Staat een bestuurder op een sanctielijst? Is de UBO politiek prominent? Loopt er een faillissement? Daar weet het Handelsregister niets van, want het is geen risicoregister.
En dan is er nog het verschil in tijd. Een KvK-bevraging is een momentopname. Cloudpliant blijft kijken en meldt het als er iets verandert aan een cliënt die je al binnen hebt.
Grondslag: Wwft art. 3 lid 2 sub b (de uiteindelijk belanghebbende identificeren en de eigendoms- en zeggenschapsstructuur doorgronden)
Waar staan mijn cliëntgegevens?
De applicatie, de database, de documenten en de opgeslagen screeningsresultaten draaien op servers van Hetzner in Falkenstein, Duitsland.
We zeggen er meteen bij waar de nuance zit, want alles blijft in Europa is een claim die je moet kunnen controleren. Onze foutmeldingen lopen via een dienst met een Europese verwerkingsregio maar een Amerikaans moederbedrijf. Gebruik je identiteitsverificatie, dan verwerkt de gekozen leverancier die stap op eigen infrastructuur. Per leverancier houden we bij waar die staat en onder welk recht die valt, en dat is precies waarom we geen honderd procent claimen.
Wat er in elk geval niet gebeurt: er gaat geen enkel cliëntgegeven naar een AI-model.
Grondslag: Wwft art. 34a lid 1 (alleen verwerken met het oog op witwassen en terrorismefinanciering, nooit commercieel) · AMLR art. 76 lid 4 (zelfde verbod, vanaf 10 juli 2027)
Hoeveel werk is het om over te stappen?
Werk je met Exact Online of HubSpot, dan koppel je die eenmalig en worden je relaties opgehaald. Vanaf dat moment wordt elke nieuwe of gewijzigde relatie automatisch gescreend en landt het rapport terug in het systeem waar je toch al werkt.
Werk je met iets anders, dan voeg je cliënten handmatig toe of via de API. Je hoeft je bestaande dossiers niet eerst over te tikken. Begin met de cliënten die nu aan de beurt zijn voor een review en neem de rest mee als hun moment komt.
Wie is er aansprakelijk als het toch misgaat?
Jij. Dat is geen kleine lettertjes, dat is hoe het stelsel in elkaar zit: de verplichting ligt bij de instelling en die kun je niet doorschuiven naar een leverancier.
Wat software wel kan, is het verschil maken tussen wij dachten dat het goed zat en hier staat wat we hebben gecontroleerd, wanneer, tegen welke bron en tegen welke versie daarvan. Bij een toetsing is dat tweede het enige wat telt.
Een leverancier die je vertelt dat hij de aansprakelijkheid overneemt, verkoopt je vooral een gevoel.
Grondslag: Wwft art. 1a (de verplichting rust op de instelling zelf)
Waarom staan jullie prijzen gewoon op de site?
Omdat je moet kunnen vergelijken zonder eerst een gesprek in te hoeven.
Je ziet wat het kost voordat je met iemand praat, en je ziet waar de kosten vandaan komen. Screeningen tegen sanctie- en PEP-lijsten worden per bevraging bij onze leverancier afgerekend, dus die kosten bestaan echt en we doen niet alsof ze nul zijn.
Het is ook waarom je een cliënt binnen een dag gratis opnieuw kunt screenen: die vraag is al gesteld en al betaald, dus die rekenen we geen tweede keer.
Screenen jullie doorlopend, of alleen als ik een cliënt aanneem?
Doorlopend, en het tempo beweegt mee met het risico. Een dossier op laag risico komt elke negentig dagen langs, neutraal elke maand, hoog elke week en onacceptabel elke dag.
Daar bovenop kijkt het systeem elke nacht of de sanctielijsten zelf zijn veranderd. Zijn ze niet veranderd, dan is er niets te herscreenen en kost het ook niets. Zijn ze wel veranderd, dan gaan de dossiers opnieuw langs de lijsten en krijg je bericht als er iets aan jouw cliënt is veranderd.
Grondslag: Wwft art. 3 lid 2 sub d (voortdurende controle op de zakelijke relatie)
Ik heb maar dertig cliënten. Is dit niet overkill voor een klein kantoor?
De verplichting kijkt niet naar je omvang. Dertig dossiers moeten net zo compleet zijn als driehonderd, alleen heb jij er geen compliance-afdeling voor. Dat maakt een klein kantoor niet minder verplicht, maar wel kwetsbaarder voor het handwerk.
Je betaalt hier niet per gebruiker. Op elk pakket mag je hele kantoor mee, dus je hoeft niet te kiezen wie er wel en niet bij kan. De koppelingen en de API zitten er vanaf het gratis pakket in en niet pas in een zakelijke variant.
Tot tien dossiers kost het niets. Zit je daarboven, dan begint het bij honderd euro per maand voor honderd dossiers.
Grondslag: Wwft art. 1a (wie instelling is, hangt af van de dienst en niet van de omvang)
Hoe weet ik dat een treffer echt mijn cliënt is en geen naamgenoot?
Dat weet je niet zeker, en het systeem doet ook niet alsof. Een treffer op een lijst is een kandidaat, geen conclusie.
Elke kandidaat komt met een matchscore en met de onderdelen waarop is vergeleken: naam, geboortedatum, land. Je ziet per onderdeel of het klopt of juist niet, dus je kunt zelf beoordelen of dit dezelfde persoon kan zijn.
Is het een naamgenoot, dan zet je de treffer weg als onterecht met een korte toelichting. Die beoordeling wordt vastgelegd met jouw naam en de datum, telt vanaf dat moment niet meer mee in de score, en komt bij de volgende screening niet opnieuw langs alsof er niets is gebeurd. Het oordeel zelf blijft wel in het dossier staan, want dat je hebt gekeken is ook bewijs.
Grondslag: AMLR art. 76 lid 2 (gegevens uit betrouwbare bron, juist en actueel, geen vertekende of discriminerende uitkomsten) · AMLR art. 76 lid 3 sub b (onderscheid tussen beschuldiging, onderzoek, procedure en veroordeling)
Moet ik mijn cliënten hiervoor lastigvallen?
Meestal niet. Screenen tegen sanctielijsten, PEP-registers, het Handelsregister en de rechtbankregisters gebeurt zonder dat je cliënt er iets van merkt.
Alleen als je iets van de cliënt zelf nodig hebt, stuur je één link. Die opent gewoon in de browser, in het Nederlands, zonder account en zonder app. Je cliënt levert het document aan of identificeert zich, en het resultaat landt als vastgelegd bewijs in het dossier.
Dat is meteen het verschil met een kopietje paspoort per mail: jij hoeft het niet zelf te beoordelen en het blijft niet in je archief rondslingeren.
Grondslag: Wwft art. 11 (verificatie aan de hand van documenten of gegevens uit betrouwbare en onafhankelijke bron)
In 2027 komt de AMLR. Kan ik niet beter even wachten?
De AMLR geldt vanaf 10 juli 2027 en vervangt straks een groot deel van wat nu in de Wwft staat. Tot die dag geldt de Wwft onverkort, dus wachten betekent twee jaar lang dossiers opbouwen waarvan je nu al weet dat ze niet af zijn.
De richting is bovendien geen verrassing. Op onderdelen wordt het strenger, niet losser: de UBO-drempel gaat bijvoorbeeld van meer dan 25 procent naar 25 procent of meer, wat precies één cliënt per kantoor kan schelen die je nu niet als UBO telt.
Wij houden de datumafhankelijke regels in de software bij, dus je hoeft zelf geen moment te prikken waarop alles om moet.
Grondslag: AMLR art. 90 (van toepassing vanaf 10 juli 2027) · Uitvoeringsbesluit Wwft 2018 art. 3 (nu: meer dan 25 procent) tegenover AMLR art. 52 lid 1 (straks: 25 procent of meer)
Wie binnen mijn kantoor kan bij welke dossiers?
Je kantoor is één afgeschermde omgeving. Elke lees- en schrijfactie is aan dat kantoor gebonden, dus een ander kantoor kan er niet bij, ook niet per ongeluk.
Collega's nodig je uit als lid. Er is een eigenaar die het beheer doet en er zijn leden die het werk doen. Wie wat heeft gedaan blijft zichtbaar: elke screening, elke beoordeling van een treffer en elke acceptatie draagt de naam van de persoon die hem deed. Dat is niet alleen voor de orde, het is precies wat een dossier moet kunnen laten zien.
Wil je het strenger, dan stel je voor het hele kantoor tweestapsverificatie verplicht. Die eis geldt dan overal waar iemand binnenkomt, niet alleen op het inlogscherm.
Jullie zijn zelf een klein bedrijf. Wat als jullie omvallen?
Een eerlijke vraag, en het eerlijke antwoord is niet dat het niet kan gebeuren.
Wat je ertegen beschermt is dat je dossiers van jou blijven en niet in een formaat staan dat alleen wij kunnen lezen. Elk rapport haal je op als PDF en als JSON, en via de API kun je ze programmatisch binnenhalen. Je bewaarplicht loopt nog vijf jaar door nadat een relatie eindigt, dus dat moet ook gewoon kunnen.
En we zetten je niet vast met een koppeling die je gegevens gijzelt. De cliëntgegevens waarmee je begon staan nog steeds gewoon in je eigen boekhoudpakket.
Grondslag: Wwft art. 33 en 34 (bewaartermijn van vijf jaar na het einde van de relatie) · AMLR art. 77 lid 3 (vijf jaar, ook na een weigering)
Wat als een cliënt bezwaar maakt tegen de screening, of zijn gegevens wil laten wissen?
Dan lopen twee stelsels door elkaar, en dat is precies waarom we er een aparte pagina over hebben.
De korte versie: je screent niet uit nieuwsgierigheid maar omdat de wet je daartoe verplicht, en die verplichting is ook de grondslag voor de verwerking. Een verzoek om wissen zet je bewaarplicht niet opzij zolang die loopt. Andersom geldt het net zo streng: is de termijn verstreken, dan moet je de gegevens ook echt verwijderen, en je mag ze nergens anders voor gebruiken.
Twee dingen die vaak misgaan. Je moet je cliënt vóórdat de relatie begint vertellen dat je deze gegevens verwerkt, niet pas als je het dossier aanlegt. En doe je een melding bij de FIU, dan mag je daar niets over vertellen: bij een inzageverzoek mag je dat deel achterhouden, maar het dossier als geheel niet.
Grondslag: Wwft art. 34a lid 2 (de cliënt informeren alvorens de zakelijke relatie aan te gaan) · Wwft art. 34a lid 3 (onmiddellijk vernietigen na het verstrijken van de termijn) · Wwft art. 23 lid 3 (het inzagerecht van AVG art. 15 mag opzij voor de geheimhouding rond een melding)
Wat als ik stop? Kan ik dan nog bij mijn dossiers?
Ja, en dat is geen gunst: je bewaarplicht loopt nog vijf jaar door nadat een relatie is geëindigd, dus je moet erbij kunnen.
Elk rapport is te downloaden als PDF en op te halen als JSON, en via de API kun je ze programmatisch binnenhalen. Het zijn je eigen dossiers en ze zitten niet achter een slot waar alleen wij de sleutel van hebben.
Grondslag: Wwft art. 33 en 34 (bewaartermijn van vijf jaar)
Bij elk antwoord verschijnt dan het artikel waarop het rust. Blijft aan staan zolang je op de site bent.
Begin vandaag met Cloudpliant
Tijd om grip te krijgen op je compliance. Cloudpliant biedt één gestroomlijnde manier om aan je Wwft-, AML- en KYC-verplichtingen te voldoen, zonder gedoe.
De demo duurt 30 minuten. Gratis account, geen creditcard nodig.