Rb. Rotterdam, 05-06-2018, nr. AWB - 17 , 3382

Bij besluit van 11 oktober 2016 (primair besluit 1) heeft DNB aan [eiseres] een bestuurlijke boete van € 50.000,- opgelegd vanwege overtreding van artikel 21, eerste lid, van het Besluit prudentiële regels Wft (Bpr).

Bij besluit van 20 april 2017 (bestreden besluit 1) heeft DNB het bezwaar van [eiseres] tegen primair besluit 1 ongegrond verklaard.

Bij besluit van eveneens 11 oktober 2016 (primair besluit 2) heeft DNB aan [eiseres] bestuurlijke boetes van in totaal € 120.000,- opgelegd vanwege overtreding van artikel 3, tweede lid, aanhef en onder d, artikel 8, vierde lid en artikel 35 van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) en artikel 10b, eerste lid, van de Sanctiewet 1977 (Sw).

Bij besluit van 20 april 2017 (bestreden besluit 2) heeft DNB het bezwaar van [eiseres] tegen primair besluit 2 ongegrond verklaard.

[eiseres] heeft tegen de bestreden besluiten beroep ingesteld.

Het onderzoek ter zitting heeft plaatsgevonden op 13 maart 2018. Namens [eiseres] zijn haar gemachtigden Doets en Schouten verschenen, vergezeld door [naam 1] en [naam 3] ([naam 2]). DNB is ter zitting vertegenwoordigd door haar gemachtigden Veldhuis en Sieverink, vergezeld door mr. H.R.J. Kok en mr. J.A. Zwinkels.

Feiten

[eiseres] (tot 3 juli 2014 genaamd [onderneming 2]) beschikt sinds 20 september 2012 over een vergunning van DNB voor het uitoefenen van het bedrijf van betaaldienstverlener als bedoeld in artikel 2:3a van de Wet op het financieel toezicht (Wft) en is daarmee tevens een betaaldienstverlener als bedoeld in artikel 1, eerste lid, aanhef en onder a en 20°, van de Wwft en artikel 10, tweede lid, aanhef en onder j, van de Sw.

Bij brief van 27 oktober 2014 heeft DNB aan [eiseres] meegedeeld dat zij een aantal betaalinstellingen, waaronder [eiseres], zal bezoeken om onderzoek te doen naar de beheersing van integriteitsrisico’s. Op 27 en 28 november 2014 heeft DNB onderzoek bij [eiseres] verricht en hebben haar toezichthouders gesproken met [naam 2] (dagelijks bestuurder), [naam 5] (compliance officer, hoofd afdeling Screening & Risk en hoofd afdeling Customer Support; [de compliance officer]) en [naam 6] (medewerker Screening & Risk). Tevens heeft DNB een aantal cliëntdossiers onderzocht en gekopieerd.

DNB heeft [eiseres] op 2 juli 2015 een aanwijzing gegeven vanwege tijdens het onderzoek geconstateerde tekortkomingen in de naleving van de wet- en regelgeving. Op 13 november 2015 heeft DNB een normoverdragend gesprek met [eiseres] gevoerd en haar een waarschuwing gegeven, die bij brief van dezelfde datum is bevestigd. Op 12 en 13 april 2016 heeft DNB onderzoek verricht naar de opvolging van de aanwijzing. De resultaten van dit onderzoek zijn neergelegd in een rapport van 22 juli 2016. Bij besluit van 8 november 2016 heeft DNB een curator benoemd in het bestuur van [eiseres].

Na bij brief van 14 juni 2016 het voornemen daartoe aan [eiseres] kenbaar te hebben gemaakt en kennis te hebben genomen van de zienswijze daarop, heeft DNB [eiseres] bij primair besluit 1 een bestuurlijke boete van € 50.000,- opgelegd en bij primair besluit 2 vier bestuurlijke boetes met een totaalbedrag van € 120.000,-.

Aan de boete zoals gehandhaafd bij bestreden besluit 1 heeft DNB ten grondslag gelegd dat [eiseres] in de periode van 1 juli 2014 tot en met 27 augustus 2015 niet heeft beschikt over een onafhankelijke en effectieve compliancefunctie.

Aan de boetes zoals gehandhaafd bij bestreden besluit 2 heeft DNB ten grondslag gelegd dat [eiseres] in de periode van 20 september 2012 tot en met 27 november 2014 de volgende bepalingen heeft overtreden:

a. artikel 3, tweede lid, aanhef en onder d, van de Wwft (boetebedrag € 50.000,-);

b. artikel 8, vierde lid, van de Wwft (boetebedrag € 50.000,-);

c. artikel 35 van de Wwft (boetebedrag € 10.000,-);

d. artikel 10b, eerste lid, van de Sw, gelezen in samenhang met artikel 2, tweede lid, van de Regeling toezicht Sanctiewet 1977 (boetebedrag € 10.000,-).

3. Het beroep van [eiseres] tegen bestreden besluit 2 is uitsluitend gericht tegen de in 2.3 onder a en c vermelde boetes.

Cumulatie van maatregelen

4. [eiseres] betoogt dat DNB geen bestuurlijke boetes meer mocht opleggen, omdat de vermeende overtredingen waarop de boetebesluiten zien al waren afgedaan met andere maatregelen.

De rechtbank volgt [eiseres] niet in haar betoog. Een normoverdragend gesprek en een waarschuwing zijn, anders dan [eiseres] ter zitting heeft gesteld, geen punitieve sancties. Deze maatregelen zijn niet gericht op leedtoevoeging, maar bedoeld om de onder toezicht staande instelling ertoe te bewegen de volgens DNB bestaande overtredingen van de geldende wet- en regelgeving te beëindigen. Dat een normoverdragend gesprek en een waarschuwing – net als een onderzoek van DNB – als ingrijpend kunnen worden ervaren, is niet bepalend voor het rechtskarakter van deze maatregelen. Ook de omstandigheid dat de gegeven waarschuwing een antecedent in de vorm van een aantekening in het register van de toezichthouder oplevert, doet aan het reparatoire karakter ervan niet af.

Niet in geschil is dat de gegeven aanwijzing en het curatelebesluit geen punitieve sancties zijn.

Als DNB een of meer overtredingen van geldende wet- en regelgeving constateert, is zij in beginsel bevoegd daartegen handhavend op te treden op de wijze die zij passend acht. Geen rechtsregel staat eraan in de weg dat DNB als zij een overtreding constateert zowel maatregelen gericht op herstel treft als een punitieve sanctie oplegt. Nieuwe feiten zijn daarvoor niet vereist. In de brief van 13 november 2015, waarin het normoverdragende gesprek en de waarschuwing schriftelijk zijn vastgelegd, is nadrukkelijk vermeld dat DNB zich het recht voorbehoudt punitieve sancties zoals boetes op te leggen.

De beroepsgrond slaagt niet.

Afgelegde verklaringen

5. [eiseres] betoogt dat de verklaringen van haar medewerkers tijdens het onderzoek op 27 en 28 november 2014 niet aan de bestuurlijke boetes ten grondslag mogen worden gelegd. Deze verklaringen zijn afgelegd om te voldoen aan een verplichting tot informatieverstrekking en zijn ten onrechte gebruikt als bewijs van de gestelde overtredingen.

Als dit betoog terecht is voorgedragen, wat de rechtbank uitdrukkelijk in het midden laat, kan het niet leiden tot het daarmee beoogde doel. Als de betreffende verklaringen worden uitgesloten van het bewijs, blijft naar het oordeel van de rechtbank voldoende bewijs over om te concluderen dat DNB de in beroep bestreden overtredingen buiten redelijke twijfel heeft aangetoond. De rechtbank zal dit hierna per overtreding toelichten.

Onafhankelijke compliancefunctie

6. [eiseres] betoogt dat zij de compliancefunctie gelet op de open norm in de geldende regelgeving en gelet op de aard en omvang van de organisatie destijds evenredig en adequaat heeft ingevuld. Zij betwist dat zij artikel 21, eerste lid, van het Bpr heeft overtreden.

Op grond van artikel 21, eerste lid, van het Bpr, voor zover hier van belang, beschikt een betaalinstelling over een organisatieonderdeel dat op onafhankelijke en effectieve wijze een compliancefunctie uitoefent. Het organisatieonderdeel heeft als taak het controleren van de naleving van wettelijke regels en van interne regels die de financiële onderneming of bijkantoor zelf heeft opgesteld.

Volgens de toelichting op de wijziging van dit artikel per 1 november 2007 (Stb. 2007, 407, blz. 64) volgt uit artikel 21 van het Bpr onder meer dat de personen die betrokken zijn bij het organisatieonderdeel dat de compliancefunctie uitoefent, niet betrokken mogen zijn bij het verlenen van diensten of activiteiten waarop zij toezicht houden.

Op 1 juli 2014 is [de compliance officer] compliance officer bij [eiseres] geworden. Zij was daarnaast tot in ieder geval 27 augustus 2015 hoofd van de afdeling Screening & Risk en hoofd van de afdeling Customer Support. Dit volgt niet alleen uit de verklaringen die tijdens het onderzoek op 27 en 28 november 2014 zijn afgelegd, maar bijvoorbeeld ook uit een door [eiseres] verstrekt organogram (bijlage 14 van het boeterapport). [eiseres] bestrijdt deze vaststelling van DNB ook niet.

[de compliance officer] was als compliance officer onder meer verantwoordelijk voor de controle op de werkzaamheden waarvoor zij als leidinggevende verantwoordelijk was. Dat [de compliance officer] naar [eiseres] stelt niet zelf eerstelijnswerkzaamheden verrichtte, doet daar niet aan af. Zeker nu dat expliciet is vermeld in de onder 6.1 vermelde toelichting, kan er redelijkerwijs geen twijfel over bestaan dat een compliance officer geen verantwoordelijkheid mag dragen voor werkzaamheden die hij of zij vervolgens zelf moet controleren, zoals [de compliance officer] deed. De voorgeschreven onafhankelijkheid van de compliancefunctie is dan niet gewaarborgd, wat eveneens afbreuk doet aan de effectiviteit van deze functie. Hierdoor was het toezicht op naleving van de wettelijke regels en interne regels, voorschriften en procedures bij [eiseres] onvoldoende gewaarborgd. Gelet hierop volgt de rechtbank DNB in haar conclusie dat [eiseres] artikel 21, eerste lid, van het Bpr heeft overtreden.

Op grond van het wetsartikel en de toelichting daarop, als vermeld onder 6.1, had [eiseres] redelijkerwijs duidelijk kunnen en moeten zijn dat de daaraan door haar gegeven invulling in de periode van 1 juli 2014 tot en met 27 augustus 2015 niet toelaatbaar is.

De rechtbank volgt [eiseres] niet in haar standpunt dat artikel 21 van het Bpr in strijd is met artikel 10 van de Richtlijn betaaldiensten (2007/64/EG). Volgens [eiseres] bevat dit laatste artikel slechts een algemene norm en schrijft de richtlijn niet voor dat betaalinstellingen beschikken over een compliancefunctie.

Zoals DNB terecht naar voren brengt, is een richtlijn verbindend wat betreft het door de lidstaten te behalen resultaat en staat het de lidstaten vrij binnen de grenzen van het Unierecht de middelen te kiezen om dit resultaat te bereiken. De rechtbank ziet geen grond voor het oordeel dat artikel 21, eerste lid, van het Bpr niet kan worden gezien als een geschikt en proportioneel middel om te bereiken dat betaalinstellingen beschikken over (bijvoorbeeld) effectieve procedures voor de detectie, het beheer, de bewaking en de vaststelling van de risico’s waaraan zij blootstaan of bloot kunnen komen te staan en over adequate interne controleprocedures, zoals artikel 10 van de Richtlijn betaaldiensten voorschrijft.

Het door [eiseres] aangehaalde arrest Ratti van 5 april 1979 van het Hof van Justitie van (toen nog) de Europese Gemeenschappen (ECLI:EU:C:1979:110) leidt niet tot een ander oordeel. Dit arrest heeft geen betrekking op de Richtlijn betaaldiensten. Evenmin volgt uit dit arrest een algemene rechtsregel die met zich brengt dat artikel 21, eerste lid, van het Bpr in strijd is met het Unierecht.

[eiseres] is bij de vergunningverlening in 2012 in een voorschrift gewezen op de onafhankelijke uitoefening van de compliancefunctie. Deze functie werd destijds vervuld door [naam 9] ([naam 8]), de voorganger van [de compliance officer]. Vanwege de kleine omvang van de organisatie destijds (13 medewerkers in 2012) en de combinatie van de functies van [naam 8] is door DNB expliciet een uitzondering gemaakt op de eis van onafhankelijkheid van de compliancefunctie. In het vergunningvoorschrift is vermeld dat, als [naam 8] de functie niet langer zou vervullen, [eiseres] DNB daarover diende te informeren en opnieuw beoordeeld zou worden hoe de compliancefunctie belegd zou moeten worden. Bij e-mail van 26 maart 2014 heeft DNB [eiseres] nogmaals gewezen op het belang van een onafhankelijke compliancefunctie en meegedeeld afwijzend te staan tegenover het combineren van de functie van voorzitter van het bestuur in een one tier board en de functie van compliance officer door [naam 8]. [eiseres] was derhalve op de hoogte van het belang van een onafhankelijke compliancefunctie en behoorde daarvan als onder toezicht staande instelling ook op de hoogte te zijn.

De ter zitting besproken e-mail van [eiseres] aan DNB van 15 april 2014, die zich niet bij de gedingstukken bevindt, maakt volgens partijen melding van het feit dat [de compliance officer] de compliance officer zou worden en [naam 8] voorzitter van de Raad van Bestuur. In de e-mail is geen melding gemaakt van de andere leidinggevende functie(s) van [de compliance officer], zodat DNB destijds niet op basis van alle relevante informatie over de onafhankelijkheid van de compliancefunctie van [de compliance officer] heeft kunnen oordelen. Dat DNB niet heeft gereageerd op het bericht van 15 april 2014, betekent niet dat zij ermee heeft ingestemd dat [de compliance officer] de onder 6.2 vermelde functies tegelijkertijd ging vervullen of dat [eiseres] daarvan mocht uitgaan.

De stelling van [eiseres] dat een uitzondering moet worden gemaakt op de eis van artikel 21, eerste lid, van het Bpr vanwege de geringe omvang van de organisatie wordt niet gevolgd. Niet aannemelijk is geworden dat [eiseres] vanwege het zijn van een kleine organisatie redelijkerwijs geen andere mogelijkheid had dan de compliancefunctie te combineren met andere functies binnen de organisatie omdat het vereiste anders een onevenredige last voor de onderneming zou zijn. Bij het aantreden van [de compliance officer] was de organisatie groter dan bij de vergunningverlening en was sprake van verschillende teams die werden aangestuurd door managers. Volgens de verklaringen van [naam 2] in het verslag van de hoorzitting in bezwaar was de combinatie van functies ingegeven door praktische voordelen, te weten dat [de compliance officer] relevante ervaring zou opdoen en voldoende uitdaging zou houden. Hieruit volgt geen organisatorische noodzaak om de aanvankelijk door DNB vergunde uitzondering op artikel 21, eerste lid, van het Bpr ook na 1 juli 2014 te handhaven, laat staan zonder overleg met en instemming van DNB.

De beroepsgrond slaagt niet.

Schriftelijk vastgelegd risicoprofiel

7. [eiseres] betoogt dat zij artikel 3, tweede lid, aanhef en onder d, van de Wwft niet heeft overtreden. Op grond van de Wwft bestaat geen verplichting een schriftelijk risicoprofiel op te stellen en vast te leggen in het dossier en bij aanvang van de relatie werd wel degelijk onderscheid gemaakt tussen cliënten op basis van de relevante risico’s. Daarnaast heeft [eiseres] aan haar monitoringsverplichting voldaan.

Ook dit betoog slaagt niet.

Op grond van artikel 3, eerste lid, van de Wwft verricht een instelling ter voorkoming van witwassen en financieren van terrorisme cliëntenonderzoek.

Op grond van artikel 3, tweede lid, aanhef en onder d, van de Wwft, zoals luidend in de periode van 1 oktober 2012 tot en met 31 december 2012, stelt het cliëntenonderzoek de instelling in staat om, voor zover mogelijk, een voortdurende controle op de zakelijke relatie en de tijdens de duur van deze relatie verrichte transacties uit te voeren, teneinde te verzekeren dat deze overeenkomen met de kennis die de instelling heeft van de cliënt en van zijn risicoprofiel, met in voorkomend geval een onderzoek naar de bron van het vermogen.

Op grond van artikel 3, tweede lid, aanhef en onder d, van de Wwft, zoals luidend in de periode van 1 januari 2013 tot en met 31december 2014, stelt het cliëntenonderzoek de instelling in staat om een voortdurende controle op de zakelijke relatie en de tijdens de duur van deze relatie verrichte transacties uit te oefenen, teneinde te verzekeren dat deze overeenkomen met de kennis die de instelling heeft van de cliënt en diens risicoprofiel, met zo nodig een onderzoek naar de bron van de middelen die bij de zakelijke relatie of de transactie gebruikt worden.

Volgens DNB heeft [eiseres] deze bepaling overtreden in de periode van 20 september 2012 tot en met 27 november 2014. Dat de tekst van deze bepaling in die periode is gewijzigd is hier niet van belang, omdat deze wijziging geen betrekking heeft op het vaststellen van het risicoprofiel, maar op de controle en de wijziging vooral een verduidelijking is.

Uit de memorie van toelichting op dit artikellid (TK 2007-2008, 31 238, nr. 3, blz. 18) volgt dat het van belang is dat de instelling periodiek toetst of de cliënt nog voldoet aan het risicoprofiel, zoals dat is opgesteld bij aanvang van de dienstverlening. Instellingen kunnen immers alleen ongebruikelijke transacties opmerken als ze een goed beeld hebben van de betreffende cliënt. Indien uit bepaalde transacties blijkt dat de cliënt afwijkt van het profiel, dient de instelling na te gaan welke risico’s dit oplevert.

Uit de wettekst en de toelichting daarop volgt naar het oordeel van de rechtbank voldoende duidelijk dat een betaalinstelling bij aanvang van de dienstverlening een risicoprofiel van de (nieuwe) cliënt moet opstellen.

DNB heeft [eiseres] kunnen verwijten dat zij in de overtredingsperiode in drie (van de zeven) door DNB onderzochte dossiers ([dossier 1], [dossier 2] en [dossier 3]) bij aanvang van de relatie geen schriftelijk risicoprofiel van de cliënt heeft vastgelegd in het dossier. In de overige onderzochte dossiers heeft [eiseres] de risico-indeling niet uitgevoerd op basis van de juiste indicatoren, te weten de criteria die in het Handboek KYC (know your customer; ken uw cliënt) van [eiseres] zijn opgenomen en die betrekking hebben op de Wwft (witwassen), maar op basis van criteria die gelieerd zijn aan fraude. Dat de dossiers volgens [eiseres] wel zijn ingedeeld in een bepaalde risico-categorie is onvoldoende om te spreken van een risicoprofiel aan de hand waarvan het handelen van de cliënt voortdurend kan worden gemonitord. Als niet duidelijk is waarom tot een bepaalde categorisering is gekomen, is ook niet duidelijk welke specifieke risico’s (vooral) van belang zijn in het kader van de door [eiseres] te verrichten controles in het kader van de naleving van de Wwft. De rechtbank is dan ook van oordeel dat DNB [eiseres] terecht heeft tegengeworpen dat zij onvoldoende cliëntenonderzoek heeft uitgevoerd en dat [eiseres] in haar bedrijfsvoering artikel 3, eerste lid en tweede lid, aanhef en onder d, van de Wwft heeft overtreden. Het bewijs van deze overtreding volgt uit het door DNB verrichte dossieronderzoek; het gebruik van de op 27 en 28 november 2014 afgelegde verklaringen is niet nodig om deze overtreding te bewijzen.

(Periodiek) onderwijs

8. [eiseres] betoogt dat zij heeft voldaan aan de in artikel 35 van de Wwft neergelegde eis. [eiseres] mag zelf bepalen hoe zij invulling geeft aan deze verplichting, die bovendien een inspanningsverplichting is.

Op grond van artikel 35 van de Wwft, zoals luidend in de periode van 1 oktober 2012 tot en met 31 december 2012, draagt een instelling er zorg voor dat haar werknemers, voor zover relevant voor de uitoefening van hun taken, bekend zijn met de bepalingen van deze wet en opleidingen genieten die hen in staat stellen een ongebruikelijke transactie te herkennen.

In de memorie van toelichting bij dit artikel (TK 2007-2008, 31 328, nr. 3, blz. 35) staat vermeld dat instellingen er zorg voor dienen te dragen dat medewerkers bekend zijn met de bepalingen van dit voorstel. Daarnaast dragen instellingen er zorg voor dat hun werknemers in staat zijn om ongebruikelijke transacties te herkennen. Verder dient de training om de betrokken werknemers te leren hoe er gehandeld moet worden indien een medewerker bij de uitoefening van de werkzaamheden op een ongebruikelijke transactie stuit.

Op grond van artikel 35 van de Wwft, zoals luidend vanaf 1 januari 2013, draagt een instelling er zorg voor dat haar werknemers, voor zover relevant voor de uitoefening van hun taken, bekend zijn met de bepalingen van deze wet en periodiek opleidingen genieten die hen in staat stellen een ongebruikelijke transactie te herkennen en een cliëntenonderzoek goed en volledig uit te voeren.

In de memorie van toelichting (TK 2011-2012, 33 238, nr. 3, blz. 21) staat vermeld dat met de voorgestelde wijziging van artikel 35, dat strekt tot het op peil houden van de kennis van de werknemers, wordt toegevoegd dat opleidingen periodiek moeten worden gevolgd. Voldoende kennis en bewustzijn bij medewerkers van instellingen is van belang om risicogeoriënteerd beleid effectief te laten zijn en het potentieel van de subjectieve indicator te benutten. Medewerkers van instellingen moeten in staat zijn om het ongebruikelijke van een transactie te herkennen, ook als deze niet reeds ongebruikelijk is op grond van de objectieve indicatoren. Daarnaast wordt geëxpliciteerd dat de opleiding mede dient te omvatten hoe medewerkers een cliëntenonderzoek conform deze wet kunnen uitvoeren. Instellingen kunnen op verschillende wijzen invulling geven aan deze verplichting, bijvoorbeeld door bedrijfsinterne cursussen.

Volgens DNB heeft [eiseres] deze bepaling overtreden in de periode van 20 september 2012 tot en met 27 november 2014. Dat de tekst van deze bepaling per 1 januari 2013 is gewijzigd, in die zin dat het nu moet gaan om periodiek gevolgde opleidingen, doet daar niet aan af. Ook in de periode van 20 september 2012 tot 1 januari 2013 moesten medewerkers voldoende zijn opgeleid. Dat dit toen nog niet periodiek hoefde te gebeuren, maakt gezien de beperkte duur van deze periode materieel geen verschil. Dat deze bepaling per 1 januari 2013 (ook) op een ander punt is geëxpliciteerd, is evenmin een hier relevante wijziging.

Door [eiseres] werd naar gesteld een introductiecursus over de Wwft en de Sw gegeven aan nieuwe medewerkers. Wat deze cursus inhield, heeft [eiseres] ook desgevraagd niet concreet onderbouwd, zodat niet aannemelijk is geworden dat met deze introductiecursus voldoende invulling is gegeven aan de opleidingsverplichting. De bij brief van 5 maart 2015 door [eiseres] overgelegde bijlage ‘onboarding en training nieuwe medewerkers’ volstaat niet. [eiseres] had bijvoorbeeld de sheets die [naam 2] tijdens de kennismakingscursus gebruikte of de lijst met do’s en don’ts over kunnen leggen. Daarnaast is niet gebleken van een herhaling of andere cursus op het gebied van de Wwft of Sw. Het verspreiden en regelmatig herzien van een lijst met do’s en don’ts op intranet kan – daargelaten dat deze lijst niet is overgelegd – niet worden gezien als het periodiek opleiden van medewerkers. Dat training on the job plaatsvond door koppeling van senior aan junior medewerkers is evenmin aannemelijk geworden door een concrete onderbouwing. Tijdens de hoorzitting in bezwaar heeft [naam 2] ook niet kunnen uitleggen waaruit de overige interne cursussen zouden bestaan waarop [de compliance officer] eerder doelde. Dat er regelmatig concrete zaken tijdens het werkoverleg werden besproken, is voor het eerst ter zitting aangevoerd en kan evenmin als periodieke opleiding in de zin van artikel 35 van de Wwft worden beschouwd. Dat [de compliance officer] voldoende getraind was, betekent niet dat dit voor de overige medewerkers ook gold. De rechtbank is dan ook van oordeel dat DNB aan [eiseres] terecht heeft tegengeworpen dat zij artikel 35 van de Wwft heeft overtreden, omdat [eiseres] in genoemde periode er geen zorg voor heeft gedragen dat haar werknemers voldoende bekend waren met de Wwft en op dat vlak (periodiek) opleidingen hebben genoten die hen in staat stelden een ongebruikelijke transactie te herkennen en (per 1 januari 2013) een cliëntenonderzoek goed en volledig uit te voeren.

Het bewijs van deze overtreding heeft DNB niet uitsluitend gebaseerd op de verklaringen van 27 en 28 november 2014. Zo verklaart [eiseres] in punt 20a van haar reactie op het rapport van bevindingen (deze reactie is bijlage 33 van het boeterapport) feitelijk dat haar medewerkers in de betreffende periode (nog) geen vervolgtrainingen of -opleidingen kregen. Daarnaast heeft DNB [eiseres] herhaaldelijk in de gelegenheid gesteld haar stellingen te concretiseren met bijvoorbeeld het gebruikte introductiemateriaal en de lijst van do’s en don’ts. [eiseres] heeft dat niet gedaan, waardoor haar stellingen op dit punt niet aannemelijk zijn geworden. Onder deze omstandigheden heeft DNB deze overtreding naar het oordeel van de rechtbank buiten redelijke twijfel aangetoond.

Dat in het rapport van 22 juli 2016 is geconstateerd dat inmiddels aan de opleidingsverplichting wordt voldaan, doet niet af aan de bevoegdheid van DNB om een bestuurlijke boete op te leggen omdat dit gedurende langere tijd niet het geval was.

De beroepsgrond slaagt niet.

Verwijtbaarheid

9. Het betoog van [eiseres] dat de overtredingen haar niet of in mindere mate kunnen worden verweten, omdat zij er op grond van de vergunningverlening door DNB op mocht vertrouwen dat haar beleid en procedures juist en volledig waren, faalt.

Op [eiseres] rust een eigen verantwoordelijkheid om zich aan de wet- en regelgeving te houden. Door kennis te nemen van de tekst van de hier in geding zijnde artikelen en de daarbij behorende toelichtingen heeft zij zich een beeld kunnen vormen van het toepassingsbereik van deze bepalingen. De beoordeling door DNB in het kader van de vergunningverlening is op hoofdlijnen uitgevoerd. DNB heeft in dat kader niet uitputtend beoordeeld of alle procedures van [eiseres] volledig in lijn waren met de Wwft en het Bpr. Ten aanzien van de onafhankelijke compliancefunctie is een specifiek voorschrift aan de vergunning verbonden, zoals vermeld in 6.5 van deze uitspraak. DNB heeft niet het gerechtvaardigde vertrouwen gewekt dat bij de vergunningverlening is vastgesteld dat [eiseres] aan alle geldende voorschriften voldeed. Bovendien doet de verlening van deze vergunning geen afbreuk aan de eigen verantwoordelijkheid van [eiseres] om zelf doorlopend en in elk geval periodiek na te (blijven) gaan of zij voldoet aan de geldende wet- en regelgeving.

Evenredigheid van de boetes

10. Het betoog van [eiseres] dat de hoogte van de opgelegde boetes onevenredig is, slaagt evenmin. Daartoe overweegt de rechtbank het volgende.

Allereerst is van belang dat het basisboetebedrag bij overtreding van artikel 3, tweede lid, aanhef en onder d, van de Wwft en bij overtreding van artikel 21, eerste lid, van het Bpr € 500.000,- is. Gelet op de omvang van [eiseres] in verhouding tot de overige onder toezicht staande betaalinstellingen en de overige omstandigheden heeft DNB aanleiding gezien beide boetes fors te matigen, namelijk tot 10% van het basisbedrag. Hiermee is [eiseres] naar het oordeel van de rechtbank niet tekortgedaan.

Naar het oordeel van de rechtbank beschouwt DNB de in beroep aangevochten overtredingen van [eiseres] mede gezien de duur ervan terecht als ernstig. De invulling die [eiseres] gaf aan de compliancefunctie was in strijd met de eis van onafhankelijkheid. Het ontbreken van een risicoprofiel en adequate opleidingen bemoeilijken het bereiken van de doelstellingen van de Wwft.

Dat consumenten volgens [eiseres] geen schade hebben geleden en dat eventuele schade is gecompenseerd, hoefde DNB naar het oordeel van de rechtbank niet tot verdere matiging van de boetes te brengen. Zoals al volgt uit de naam van de Wwft, heeft deze wet niet primair tot doel de belangen van consumenten te beschermen; met de Wwft wordt beoogd het witwassen van opbrengsten uit misdrijven en het financieren van terrorisme tegen te gaan. Het overtreden van de normen door [eiseres] brengt deze doelstellingen in gevaar. Het ontbreken van een onafhankelijke compliancefunctie brengt daarnaast ernstige risico’s met zich voor de integere en beheerste bedrijfsvoering van een financiële onderneming en daarmee de soliditeit ervan. Dat geen sprake is van recidive verplicht DNB niet tot verdere matiging van de opgelegde boetes. Dat [eiseres] inmiddels maatregelen heeft getroffen om haar interne organisatie te verbeteren, doet aan de aard, ernst en boetewaardigheid van de overtredingen niet af.

Ter zitting heeft [eiseres] nog opgemerkt dat zij bij overschrijding van de redelijke termijn aanspraak maakt op matiging van de boetes. Dit is niet aan de orde omdat de redelijke termijn niet is overschreden.

Conclusie

11. De beroepen zijn ongegrond.

12. Voor een proceskostenveroordeling bestaat geen aanleiding.

De rechtbank verklaart de beroepen ongegrond.

Deze uitspraak is gedaan door mr. B. van Velzen, voorzitter, en mr. P. Vrolijk en mr. R.H.L. Dallinga, leden, in aanwezigheid van mr. E. Naaijen‑van Kleunen, griffier.

De uitspraak is in het openbaar gedaan op 5 juni 2018.

griffier voorzitter

Afschrift verzonden aan partijen op:

Tegen deze uitspraak kan binnen zes weken na de dag van verzending daarvan hoger beroep worden ingesteld bij het College van Beroep voor het bedrijfsleven.