Als u een geldtransactiebedrijf, cheque-inwisselaar, neobank, betaalapp of een andere fintech runt die klantgelden aanraakt, dan staat de manier waarop toezichthouders uw antiwitwasprogramma beoordelen op het punt te veranderen — en die verandering zou wel eens zinvoller kunnen worden.
Op 7 april 2026 heeft het Financial Crimes Enforcement Network een regel voorgesteld die het een fundamentele hervorming noemt van de programma's van financiële instellingen voor de bestrijding van witwassen en de financiering van terrorisme (AML/CFT) onder de Bank Secrecy Act. De boodschap van het ministerie van Financiën was duidelijk: te lang werd succes afgemeten aan de hoeveelheid papierwerk, niet aan de vraag of slechte actoren buiten de deur werden gehouden. De nieuwe richting zou u beoordelen op effectiviteit, u in staat stellen middelen in te zetten waar het risico het hoogst is, en voorkomen dat examinatoren elke redelijke beslissing die u te goeder trouw hebt genomen achteraf ter discussie stellen.
Voor geldtransactiebedrijven en fintechs — waar BSA-verplichtingen zwaar wegen ten opzichte van het aantal medewerkers en waar één groot klanttype uw volledige risicoprofiel kan bepalen — is die verschuiving van groot belang. Hier leest u wat het voorstel zou doen, waarom het het ontwerp van juli 2024 vervangt, en hoe u uw programma en uw administratie gereed kunt maken voordat het definitief wordt.
Waarom dit nu gebeurt
De Bank Secrecy Act dateert uit 1970. De wet vereist dat elke "financiële instelling", waaronder banken, brokeragebedrijven, casino's, verzekeraars en geldtransactiebedrijven, een AML-programma onderhoudt dat redelijk is opgezet om witwassen en terrorismefinanciering te voorkomen en op te sporen, Currency Transaction Reports en Suspicious Activity Reports indient, en gegevens bijhoudt die examinatoren kunnen toetsen.
Jarenlang waren examinatoren en instellingen het oneens over wat "redelijk opgezet" in de praktijk betekent. Veel instellingen reageerden door programma's te bouwen die vooral op het afvinken van vakjes waren gericht — dikke handleidingen, universele monitoringdrempels en uitputtende beoordelingen van laagrisicoklanten — om kritiek te voorkomen. FinCEN zegt dat die aanpak leidde tot weinig waardevolle meldingen en verspreiding van middelen.
Het Congres probeerde het evenwicht te herstellen met de Anti-Money Laundering Act van 2020 (AMLA), die werd aangenomen als onderdeel van de National Defense Authorization Act. AMLA gaf FinCEN de opdracht om het AML/CFT-regime te stroomlijnen, moderniseren en actualiseren, innovatie en de invoering van technologie aan te moedigen, en toezicht meer risicogebaseerd en resultaatgericht te maken. Ook werd vereist dat nationale AML/CFT-prioriteiten worden gepubliceerd en dat programma's "effectief en redelijk opgezet" zijn — niet alleen technisch compleet.
Het voorstel van FinCEN van 3 juli 2024 was het begin van die implementatie. Het voorstel van april 2026 trekt het ontwerp uit 2024 volledig in en vervangt het door een helderder kader dat aansluit bij AMLA, de effectiviteitsnorm vastlegt en waarborgen toevoegt voor de manier waarop toezichthouders uw programma kunnen bekritiseren. De commentaarperiode sloot op 9 juni 2026 en de drie federale bankentoezichthouders hebben op dezelfde dag een parallel voorstel voor banken gepubliceerd. Na verwerking van de reacties wordt een definitieve regel verwacht, en de Federal Reserve volgde in de zomer met een eigen grotendeels overeenstemmend ontwerp.
Met andere woorden: dit is geen aanpassing. Het is de grootste herschrijving van AML-programmaregels sinds de amendementen van de USA PATRIOT Act.
Het kernidee: effectief en redelijk opgezet, niet perfect
Het voorstel vervangt "elk vakje afvinken" door twee gekoppelde normen.
1. Uw programma moet redelijk zijn opgezet. Dat betekent dat het is toegesneden op uw werkelijke risico's van illegale financiering — uw klanten, producten en diensten, distributiekanalen en geografische gebieden — en is opgebouwd om de doelstellingen van de BSA te bereiken. Een klein MSB dat binnenlandse overboekingen naar één corridor doet, een crypto-on-ramp en een fintech voor werkgevers met verspreide uitbetalingen aan contractanten zouden niet identieke programma's moeten hebben, ook al zijn ze allemaal "financiële instellingen".
2. Uw programma moet effectief zijn in de praktijk. Ontwerp alleen is niet genoeg. U moet implementeren wat u hebt ontworpen, controleren of het werkt en hiaten herstellen.
Waarom deze twee concepten scheiden? Tegenwoordig kan een bevinding van een examinator de twee doen vervagen: een enkele gemiste alert of een opmaakfout in een handleiding kan worden aangehaald als een programmatekort. In de nieuwe tweeledige structuur wil FinCEN dat toezichthouders een ontwerptekort (uw risicobeoordeling miste een hele productlijn, u hebt geen controles voor een bekend risico) onderscheiden van een implementatietekort (u hebt de juiste controle ontworpen, maar het personeel heeft deze niet consequent gevolgd). Dat onderscheid is belangrijk omdat alleen significante of systemische gebreken bij de implementatie van een anderszins correct opgezet programma aanleiding zouden geven tot formele AML/CFT-handhaving of een significante toezichtsmaatregel. Een geïsoleerde operationele fout zou worden behandeld als een implementatiekwestie die moet worden verholpen, niet automatisch als een overtreding die uw vergunning of MSB-registratie bedreigt.
Dat is een belangrijke wijziging voor kleinere bedrijven. Het geeft u de ruimte om te goeder trouw risicogebaseerde beslissingen te nemen zonder de angst dat een examinator uw programma achteraf opnieuw ontwerpt in het afsluitende gesprek.
De vijf hervormingen die er het meest toe doen
Het voorstel brengt vijf onderling samenhangende wijzigingen aan.
1. U bent eigenaar van de risicobeoordeling — en u moet deze documenteren
De regel bevestigt dat u het best in staat bent om uw risico's met betrekking tot illegale financiering te identificeren en te evalueren. Het vereist een risicobeoordelingsproces als onderdeel van uw interne beleid, procedures en controles. Die beoordeling moet rekening houden met de AML/CFT-prioriteiten die FinCEN publiceert, naast uw specifieke klanten, producten, geografische gebieden en distributiekanalen.
Voor MSB's en fintechs, documenteer ten minste:
- Klanttypen (consumenten vs. bedrijven, binnenlands vs. niet-ingezetenen, PEP's, contantintensieve bedrijven)
- Producten (geldtransacties, valutawissel, virtuele valuta, rekeningbetalingen, agentlocaties)
- Distributiekanalen (persoonlijk, mobiel, API, agentennetwerk, white-label partners)
- Geografische gebieden (grenscorridors, hoogrisicojurisdicties, sanctiegevoelige regio's)
- Transactiekenmerken (contante financiering, snelle verplaatsing, structureringspatronen)
Werk de beoordeling bij wanneer u een corridor toevoegt, een token lanceert, een grote agent contracteert of een nieuwe staat betreedt. Een verouderde jaarlijkse memo waarin "laag risico" staat, zal een effectiviteitsbeoordeling niet overleven.
2. U kunt — en moet — hogere risico's prioriteren
Het voorstel geeft u expliciet de bevoegdheid om meer aandacht en middelen te besteden aan hogere risico's en naar verhouding minder aan lagere risico's. Dat is toestemming om klanten in te delen in niveaus, risicogebaseerde monitoringdrempels in te stellen en verscherpt klantonderzoek te concentreren waar het ertoe doet.
Voorbeeld: een cheque-inwisselaar waarvan de belangrijkste klanten lokale looncheques zijn, zou veel meer tijd kunnen besteden aan het monitoren van contante wisseltransacties aan de balie en grensoverschrijdende contante zendingen dan aan het beoordelen van terugkerende, geverifieerde loonstortingen van bedrijven van dezelfde werkgever om de twee weken. Een fintech die een partnerbankprogramma sponsort, zou transactiemonitoring kunnen richten op snelle crypto-off-ramps in plaats van op laagwaardige, terugkerende abonnementskosten.
Prioritering is geen vrijbrief om laagrisicogebieden te negeren. Het betekent dat uw intensiteit varieert met het risico en dat uw documentatie uitlegt waarom.
3. Examinatoren mogen hun oordeel niet in de plaats stellen van het uwe
Dit is de alinea die de meeste compliancefunctionarissen hebben onderstreept.
Het voorstel verduidelijkt de verwachtingen voor onafhankelijke toetsing en auditfuncties: examinatoren en auditors mogen hun subjectieve oordeel niet in de plaats stellen van uw risicogebaseerde, redelijk opgezette programma. Als uw programma redelijk is en u zich eraan hebt gehouden, mag een toezichthouder u niet bekritiseren omdat hij een risico anders zou hebben gewogen.
Onafhankelijke toetsing blijft belangrijk — sterker nog, het wordt belangrijker als bewijs dat uw redelijke ontwerp werkt. Maar de toets is of het programma redelijk is, niet of het overeenkomt met het persoonlijke draaiboek van een examinator.
4. Ontwerp versus implementatie krijgt een eigen kader
Zoals hierboven opgemerkt, zou de regel de tweeledige evaluatie codificeren en een consistente formulering van bevindingen bevorderen. Toezichthouders zouden moeten aangeven of een kritiekpunt betrekking heeft op ontwerp of op de dagelijkse implementatie. Die discipline is bedoeld om de veelvoorkomende verwarring te stoppen waarbij elke dossierfout een "programmaovertreding" wordt en om herstelmaatregelen gerichter te maken.
Weerspiegel die structuur intern in uw administratie. Label bevindingen, auditkwesties en QA-reviews als "Ontwerp" of "Implementatie" en volg herstelmaatregelen apart op. Dat maakt uw examengesprekken en uw bestuursnotulen veel duidelijker.
5. FinCEN neemt een sterkere coördinerende rol op zich
Het voorstel bevestigt de centrale rol van FinCEN in het AML/CFT-toezicht en introduceert een kader voor kennisgeving en overleg tussen FinCEN en de federale bankentoezichthouders voor significante AML/CFT-toezichtsmaatregelen. Voor bank-fintechpartnerschappen zou dat kunnen betekenen dat er minder verrassingen zijn wanneer een prudentieel toezichthouder en FinCEN hetzelfde BaaS-programma vanuit verschillende invalshoeken benaderen.
De MSB-context van 2026 maakt dit actueel. In januari 2026 kondigde FinCEN een operatie in meerdere lagen aan die gericht was op meer dan 100 MSB's langs de zuidwestelijke grens vanwege mogelijke niet-naleving van BSA/AML, waarmee werd benadrukt dat effectieve risicogebaseerde programma's, klantidentificatie, transactiemonitoring, tijdige rapportage en toezicht op agenten ook voor kleine winkeloperators niet optioneel zijn. Een helderder overlegkader kan inconsistente signalen verminderen terwijl die handhavingsfocus voortduurt.
Wat "Risicogebaseerd" in de Praktijk Echt Betekent
Een risicogebaseerd programma is geen dunner programma. Het is een beter gedocumenteerd, beter afgestemd programma. Onder het voorstel zou elke gedekte financiële instelling — banken, MSB's, brokeragebedrijven, casino's en anderen — een kader moeten hebben dat deze kernpijlers omvat:
- Interne beleidslijnen, procedures en controles met een risicobeoordeling en risicobeheer die direct aansluiten op de geïdentificeerde risico's.
- Een aangewezen BSA/AML-functionaris met bevoegdheid, middelen en toegang tot het leiderschap.
- Doorlopende training toegesneden op de mensen die de controles uitvoeren, niet generieke jaarlijkse slides.
- Onafhankelijke toetsing met een geloofwaardige reikwijdte, frequentie en rapportagelijn. Onafhankelijkheid vereist geen uitbesteding als u objectiviteit kunt aantonen, maar voor veel fintechs blijft een externe review elke 12-18 maanden het meest heldere bewijs.
Bouw die pijlers rond uw risico's en onderbouw elke pijler met administratie die een examinator kan volgen zonder dat u erbij bent:
- Risicobeoordeling met methodologie, gegevensbronnen en goedkeuringsdata
- Criteria voor klantrisiconiveaus en logica voor periodieke herindeling
- Checklist voor productgoedkeuring met daarin BSA/AML-review
- Regels voor transactiemonitoring met drempels, afstellingsgeschiedenis en motivering van afhandeling
- Documentatie van veroudering van alerts, escalatie en SAR-beslissingen
- Dossiers voor toezicht op agenten of partners (voor MSB-principals): due diligence bij onboarding, locatiebezoeken of toezicht op afstand, volume- en uitzonderingsrapportage, beëindigingsgeschiedenis
Een Voorbereidingschecklist voor MSB's, Geldtransactiebedrijven en Fintechs
U hoeft niet te wachten op een definitieve regel om het programma aan te scherpen. De richting is duidelijk en examinatoren stellen al risicogebaseerde vragen.
1. Voer uw risicobeoordeling dit kwartaal opnieuw uit
Haal 12 maanden transacties op, segmenteer per product, corridor, klanttype en kanaal, en vergelijk met wat uw laatste beoordeling zegt. Als u sinds de laatste beoordeling een product hebt toegevoegd, hebt u uw eerste update gevonden.
2. Schrijf een risicobereidheidsverklaring van één pagina
Laat het bestuur of de eigenaar akkoord gaan met wat u wel en niet zult doen. Voorbeelden: maximaal contante storting per dag, verboden klantcategorieën, vereiste triggers voor verscherpt klantonderzoek. Dit maakt elke daaropvolgende beslissing controleerbaar.
3. Deel uw klanten en controles in niveaus in
Definieer ten minste drie risiconiveaus met verschillende vereisten voor onboarding, monitoring en review. Documenteer waarom een klant in een bepaald niveau valt en wanneer deze verandert.
4. Stem monitoring opnieuw af op hogere risico's
Beoordeel de conversieratio's van alert naar SAR. Als 90% van de alerts afkomstig is van laagrisico terugkerende activiteiten, zijn uw drempels niet goed afgesteld. Verplaats afstellingstijd naar de typologieën die FinCEN in haar prioriteiten en adviezen benadrukt — fraude, cybercriminaliteit en patronen van illegale financiering die verband houden met uw diensten.
5. Herstel de dossiers voor toezicht op agenten en partners
MSB-principals zijn verantwoordelijk voor agenten. FinCEN-richtlijnen stellen al lang dat principals agenten moeten monitoren om de bijbehorende risico's te begrijpen. Houd voor elke agent of API-partner due diligence, trainingsgegevens, volumeprocessen en bewijs van periodieke review bij. Een veelvoorkomende trend bij MSB-examens is het herleiden van een verdachte corridor naar één enkele agent zonder dossier — zorg dat u niet die casus bent.
6. Versterk de onafhankelijke toetsing
Richt de toetsing in rond uw gedocumenteerde risico's, niet rond een template. Zorg dat toetsers onafhankelijk zijn en zowel over ontwerp als implementatie kunnen oordelen. Volg bevindingen op tot aan afronding met eigenaar, vervaldatum en bewijs.
7. Scheid ontwerpkwesties van implementatiefouten in uw QA
Wanneer QA alerts steekproefsgewijs beoordeelt, label dan fouten. Een ontbrekend narratief veld is implementatie; een regel die nooit aanslaat op een bekende typologie is ontwerp. Door ze apart uit te zetten, ziet u of u personeel moet hertrainen of een controle moet herschrijven.
8. Bouw examengereed documentatie op
Houd voor elke belangrijke controle bij: doel, risicoverbinding, procedure, eigenaar, gebruikte systemen en bewijs van werking. Als u de risicoverbinding van een controle niet in twee zinnen kunt uitleggen, herschrijf die dan.
9. Stem financiële rapportage af op compliancerapportage
Reconciliëer MSB-agentcommissies, vergoedingeninkomsten en 1099- of andere belastingdocumenten met bruto transactierapporten. FinCEN verwacht dat Currency Transaction Reports en Suspicious Activity Reports terug te voeren zijn op wat de administratie laat zien dat er is gebeurd.
10. Reageer en plan voor de definitieve regel
Als een vereiste onuitvoerbaar is voor uw model, was de commentaarperiode die op 9 juni 2026 sloot het moment om dat te zeggen. Bouw nu een implementatietijdlijn die uitgaat van een venster van 6 tot 12 maanden na publicatie van de definitieve regel en prioriteer items die de effectiviteit verbeteren, ongeacht de exacte regeltekst.
Administratieve en Operationele Details die Examinatoren Echt Controleren
AML wordt vaak behandeld als een pure compliancetopic, maar uw grootboek en backofficeprocessen ondersteunen het programma of ondermijnen het.
- Contante en afwikkelingsreconciliatie. Reconciliëer dagelijkse contanten, bankafwikkelingen en netto-afwikkelingsrapporten van agenten of partners met het transactiesysteem. Uit balans zijnde contanten zijn vaak het eerste signaal van een controlegebrek.
- Tijdigheid van SAR's en CTR's. Volg indieningsdeadlines in uw afsluitkalender. Een SAR is over het algemeen binnen 30 dagen verschuldigd, met een verlenging van 30 dagen als er geen verdachte is geïdentificeerd; CTR's zijn binnen 15 dagen verschuldigd. Te late indieningen zijn gemakkelijke implementatiebevindingen.
- Administratie van vergoedingen en reserves. Boek reserves voor geldtransactiebedrijven die met rollende reserves of voorfinanciering werken als beperkte contanten, niet als omzet, en reconciliëer ze onafhankelijk. Examinatoren zullen vragen wie controle heeft over reservevrijgaven.
- Discipline in het grootboek van agenten. Als u een principal bent, onderhoud dan een subgrootboek per agent met volumes, commissies, terugboekingen en uitzonderingen. Als u een agent bent, reconciliëer dan wekelijks verklaringen van de principal met bankstortingen.
- Bewaring van audit trail. Bewaar risicobeoordelingen, bestuursnotulen, trainingsaanwezigheid, toetsingsrapporten en alertafhandelingen ten minste vijf jaar, opgeslagen op een plek waar toegang wordt gelogd en versies worden bewaard.
Dit is waar plain-text accounting kleine teams helpt. Wanneer elke transactie, correctie en aanpassing in een versiebeheerd grootboek leeft dat u kunt diffen, doorzoeken en reproduceren zonder een eigen database, wordt het beantwoorden van "wat is er gebeurd met de transacties van deze klant afgelopen maart en wie heeft de regelwijziging goedgekeurd?" een query van tien seconden in plaats van een driedaagse zoektocht.
Veelvoorkomende Fouten om te Vermijden
- Het voorstel van 2026 als optioneel behandelen. Zelfs vóór een definitieve regel passen toezichthouders de effectiviteitslens al toe. De MSB-operatie aan de zuidwestelijke grens is een herinnering dat FinCEN actief test of kleinere bedrijven effectieve programma's hebben, niet alleen handleidingen.
- Het programma van een bank kopiëren. De risicobeoordeling van een gemeenschapsbank past niet bij een grensoverschrijdend overboekings-MSB of een fintech die dicht bij stablecoins staat. Examinatoren zien templates.
- Laag transactievolume gelijkstellen aan laag risico. Een corridor met laag volume naar een hoogrisicojurisdictie kan een hoger risico vormen dan binnenlandse loonbetalingen met hoog volume.
- Redelijke oordelen onvoldoende documenteren. Als u een klant als laag risico hebt beoordeeld ondanks een hogerrisicogeografie vanwege geverifieerde werkgeversloonbetalingen en controles, noteer die motivering dan op het moment van de beslissing.
- Onafhankelijke toetsing als formaliteit laten fungeren. Een schoon toetsingsrapport dat uw hoogsterisicoproduct nooit raakt, beschermt u niet.
Wat Hetzelfde Blijft
Zelfs onder een flexibeler regime veranderen de fundamenten niet:
- U moet nog steeds een schriftelijk AML/CFT-programma hebben.
- U moet nog steeds SAR's en CTR's indienen, gegevens bijhouden en reageren op verzoeken van wetshandhavers.
- U moet nog steeds een BSA-functionaris aanwijzen, personeel trainen en onafhankelijk toetsen.
- U moet nog steeds klantidentificatie toepassen en, waar van toepassing, klantonderzoek en verwachtingen rond uiteindelijk belanghebbenden.
- Civiele en strafrechtelijke sancties voor opzettelijke overtredingen blijven zwaar.
De hervorming verandert hoe uw programma wordt beoordeeld en verduidelijkt waar u beleidsruimte hebt; het neemt niet de verplichting weg om een serieus programma te hebben.
Tijdlijn en waar u op moet letten
- 7 april 2026: FinCEN-NPRM gepubliceerd; NPRM van de bankentoezichthouders dezelfde dag gepubliceerd; FinCEN trok het voorstel van 3 juli 2024 in.
- 9 juni 2026: Commentaardeadline voor de FinCEN-NPRM.
- Zomer 2026: De Federal Reserve publiceerde een eigen grotendeels overeenstemmend voorstel; de commentaarperiode voor dat ontwerp sloot later in de zomer.
- Volgende stap: FinCEN zal de reacties beoordelen en een definitieve regel publiceren. Let op de details van kennisgeving en overleg, de definitieve formulering over "significante of systemische" implementatiegebreken, en eventuele aanpassingen van de pijlerbeschrijvingen voor niet-bancaire financiële instellingen.
Reserveer één werklijn voor "ontwerp"reparaties (risicobeoordeling, beleid, indeling in niveaus) en één voor "implementatie"reparaties (training, afstelling monitoring, QA). Die koppeling stelt u in staat om aan een examinator vooruitgang op beide punten te tonen, zelfs voordat de definitieve regel er is.
Vereenvoudig uw Financieel Beheer
Het herbouwen van uw AML/CFT-programma rond echt risico — niet alleen volume — is eenvoudiger wanneer uw financiële gegevens transparant, gereconcilieerd en volledig controleerbaar zijn. Beancount.io biedt plain-text accounting dat versiebeheerd, leesbaar voor mensen en AI-gereed is, zodat u elke vergoeding, afwikkeling en reserveaanpassing kunt traceren zonder black-box software. Begin gratis en geef uw volgende examen een grootboek dat u regel voor regel kunt uitleggen.