Voortdurende controle laat je niet aan een ander over

DNB maakte op 5 oktober 2026 bekend dat Modulr Finance B.V. een boete van € 722.160 krijgt. De elektronischgeldinstelling liet het volgen van haar cliënten en hun transacties grotendeels over aan de partners die deze cliënten hadden aangebracht.

Het besluit gaat over een betaaldienstverlener met cryptoplatforms als partners. Maar de redenering van DNB geldt voor vrijwel elke instelling die onder de Wwft valt. Namelijk: informatie van een ander mag je gebruiken, de kennis van je cliënt en het oordeel over een signaal moeten van jou zijn.

Wat DNB bij Modulr aantrof

Modulr bood rekeningen aan via samenwerkingspartners, waaronder cryptoplatforms. De klanten van die partners werden cliënt van Modulr en vielen daarmee onder haar eigen Wwft-plicht. Modulr erkende dat en wees op haar 'twee-laags model'. De partners waren verplicht om zelf cliëntenonderzoek te doen en transacties te monitoren, als extra waarborg bovenop het eigen onderzoek van Modulr.

DNB vindt dat onvoldoende. De voortdurende controle uit artikel 3, tweede lid, onder d, Wwft kan volgens het besluit niet worden uitbesteed (artikel 10, eerste lid, Wwft). In de praktijk gebeurde dat wel. De informatie over cliënten lag bij de partners en reviews werden door de partners gedaan. Modulr hoorde daar pas van als zij er zelf naar vroeg, en dat deed zij in meerdere dossiers pas nadat DNB vragen stelde.

De cijfers uit het besluit laten zien wat dat in de praktijk betekende. Modulr stelde voor elke partner een risico- en transactieprofiel op en paste dat ongewijzigd toe op alle cliënten die via die partner binnenkwamen. Voor de cliënten van één partner kwam er daardoor pas een alert bij 300 betalingen per dag of een transactie boven € 50.000. Bij een andere partner ontving een particulier circa € 20.000 en boekte dat bedrag direct in vier transacties door. Het systeem van Modulr gaf geen alert, omdat de drempelwaarden niet werden overschreden; dat van de partner wel. Van de twaalf cliënten die DNB nader bekeek, vertoonden er acht ongebruikelijk transactiegedrag dat Modulr niet of te laat zag.

Het belang voor andere Wwft-instellingen

Vrijwel elke Wwft-instelling leunt ergens op een ander. Een vermogensbeheerder vertrouwt op de controles van de depotbank. Een accountantskantoor neemt het cliëntenonderzoek van een ander kantoor over of gebruikt dat van een groepsonderdeel. Dat mag vaak ook! De artikelen 5 en 10 Wwft staan toe dat je het cliëntenonderzoek van een andere instelling overneemt of delen ervan door een derde laat uitvoeren. Voorwaarde is dat je zelf over alle identificatie- en verificatiegegevens beschikt.

Het besluit van DNB laat zien waar die ruimte ophoudt. Het volgen van de relatie en de transacties blijft bij jou, net als de verantwoordelijkheid voor het geheel. De afspraak dat de andere partij ook monitort, verandert daar volgens DNB niets aan. Modulr vroeg in meerdere dossiers informatie op bij de partner maar dat ontsloeg haar volgens DNB niet van haar eigen onderzoek.

DNB houdt geen Wwft-toezicht op vermogensbeheerders of accountants, dat doen de AFM en het BFT. Maar de norm in artikel 3 Wwft is voor al deze instellingen dezelfde. Een kantoor zonder transactiemonitoringssysteem vult voortdurende controle anders in dan een betaalinstelling, maar beantwoordt dezelfde vraag: past wat je deze cliënt ziet doen bij wat je van hem weet?

Wat je zelf van je cliënt moet weten

Modulr kon alerts hooguit oppervlakkig beoordelen, omdat de informatie over de cliënt bij de partner lag en niet altijd werd opgevraagd of verkregen. Daar zit de eerste check voor je eigen dossiers. Kun je een opvallende transactie of een vreemd verzoek beoordelen met wat je zelf hebt vastgelegd, zonder eerst een ander te bellen?

De tweede check is het profiel. Een risicoprofiel dat voor een hele groep cliënten hetzelfde is, zegt weinig over de cliënt die voor je zit. DNB noemt het transactieprofiel het referentiepunt voor monitoring: zonder verwachting per cliënt kun je geen afwijking vaststellen.

Bij Modulr bestonden de profielen op papier en werden bij de monitoring niet gebruikt. Leg daarom per cliënt vast welke transacties je verwacht en in welke omvang en pak dat erbij op het moment dat je iets opvallends ziet.

Signalen afsluiten en melden

Een signaal dat je afsluit, vraagt om een vastgelegde reden. In één dossier genereerde het systeem van Modulr 70 alerts. Naar aanleiding van twee daarvan is onderzoek gedaan, de rest is in bulk gesloten omdat de transacties op de eerdere zouden lijken. DNB accepteert dat niet. Tientallen alerts sluiten zonder onderzoek en zonder onderbouwing kan volgens het besluit niet.

De partners kozen bij fraudevermoedens meer dan eens voor het sluiten van de rekening maar deden geen melding van een ongebruikelijke transactie. Eén partner vond fraude niet meldplichtig. Een andere stelde, zonder nadere onderbouwing, dat de fraude-indicatoren de meldingsdrempel niet haalden.

Ook wanneer je afscheid neemt van een cliënt, blijft de meldplicht bestaan voor wat je al hebt gezien.

Modulr meldde in meerdere dossiers alsnog, in de zomer van 2024 en nadat DNB naar die cliënten had gevraagd. DNB betrekt die late meldingen in haar oordeel. In een dossier over de opbrengst van een verkocht schilderij sloot Modulr het alert op basis van antwoorden van de partner en meldde zij de transactie acht maanden later alsnog. Volgens DNB valt niet in te zien hoe het alert zonder nader onderzoek gesloten kon worden, terwijl Modulr de transactie later zelf alsnog ongebruikelijk noemde.

Melden blijft verplicht. Houd er rekening mee dat de toezichthouder de datum van de melding naast de datum van het signaal legt.

Het effect van eigen herstel

Modulr had vóór de start van het onderzoek al stappen gezet om de relatie met drie van de vier onderzochte partners te beëindigen of te beperken. Daarna verbeterde zij haar monitoring en risicobeoordeling. DNB matigde de boete daarom met 10 procent, van € 944.000 naar € 849.600 en noemt uitdrukkelijk dat een deel van de maatregelen al was genomen voordat het onderzoek begon.

De vereenvoudigde afdoening leverde nog eens 15 procent korting op. Modulr erkende daarvoor de feiten en zag af van bezwaar en beroep. Het besluit is dus niet door een rechter getoetst.

Voor je eigen organisatie levert dit besluit een bruikbare vraag op: welke onderdelen van je cliëntenonderzoek liggen feitelijk bij een ander? Waar dat zo is, wil je kunnen laten zien wat je van die ander ontvangt en wat je daar zelf mee hebt gedaan.

Bronnen

•      Boete voor Modulr Finance B.V. voor onvoldoende cliëntenonderzoek, nieuwsbericht DNB, 5 oktober 2026

•      Verkort boetebesluit Modulr Finance B.V., DNB

•      Wet ter voorkoming van witwassen en financieren van terrorisme, artikelen 3, 5, 10 en 16, tekst geldend vanaf 1 juli 2026