Het nieuwe EU AML-pakket (AMLR + AMLA + AMLD6): wat Cypriotische ondernemingen en meldingsplichtige entiteiten moeten doen vóór 10 juli 2027

Wat is het nieuwe EU AML-pakket en waarom is het belangrijk voor Cyprus?

Het nieuwe EU AML-pakket is een geheel van drie in 2024 aangenomen rechtsinstrumenten die de antiwitwas- en terrorismefinancieringsregels in alle EU-lidstaten, waaronder Cyprus, harmoniseren. Het is van belang omdat voor het eerst de kernverplichtingen die een Cypriotische meldingsplichtige entiteit moet naleven rechtstreeks uit een EU-verordening voortvloeien in plaats van uit het Cypriotische recht, waardoor de nationale verschillen verdwijnen waarop grensoverschrijdend opererende ondernemingen jarenlang hebben vertrouwd.

Voor Cyprus, een jurisdictie met een grote gereguleerde basis van financiële diensten en corporate services, is de verschuiving substantieel. De regels die Cypriotische beleggingsondernemingen, instellingen voor elektronisch geld, administratieve dienstverleners, trustees, accountants en advocaten toepassen worden gestandaardiseerd, en de beoordelingsvrijheid die Cyprus historisch uitoefende bij het omzetten van EU-richtlijnen zal grotendeels verdwijnen.

De drie instrumenten: AMLR, AMLD6 en de AMLA-verordening

Het pakket berust op drie instrumenten, elk met een eigen juridische functie. De AMLR is het materiële rulebook, AMLD6 regelt het institutionele kader, en de AMLA-verordening creëert de nieuwe toezichthouder.

De kernboodschap voor een Cypriotische compliance officer is dat de dagelijkse verplichtingen nu in de AMLR zijn ondergebracht, terwijl AMLD6 opnieuw bepaalt wie toezicht op u houdt en hoe.

Verordening versus richtlijn: waarom het enkelvoudige rulebook rechtstreeks van toepassing is in Cyprus

Een verordening is rechtstreeks toepasselijk, wat betekent dat de AMLR op 10 juli 2027 bindend recht wordt in Cyprus zonder dat enige Cypriotische wet deze hoeft over te nemen. Een richtlijn daarentegen bepaalt een resultaat dat elke lidstaat via zijn eigen nationale wetgeving moet bereiken, en daarom vereist AMLD6 een Cypriotische omzettingswet.

Dit onderscheid is het bepalende kenmerk van de hervorming. Omdat de AMLR op 9 juli 2024 in werking is getreden en vanaf 10 juli 2027 als rechtstreeks toepasselijk enkelvoudig rulebook geldt, kan een Cypriotische meldingsplichtige entiteit niet langer wachten op een lokale wet die haar vertelt welk cliëntenonderzoek zij moet uitvoeren. De verplichting vloeit rechtstreeks uit de EU-tekst voort, en Cypriotische rechters en toezichthouders zullen deze toepassen zoals geschreven.

Hoe het pakket de Cypriotische wet 188(I)/2007 en het AMLD4/5-kader vervangt

Het pakket vervangt de materiële AML-verplichtingen die momenteel zijn vastgelegd in de Cypriotische wet inzake de preventie en bestrijding van witwasactiviteiten 188(I)/2007, die de Vierde en Vijfde antiwitwasrichtlijn omzette. Wanneer AMLD6 is omgezet, worden de Vierde en Vijfde richtlijn ingetrokken, en zal wet 188(I)/2007 ingrijpend moeten worden gewijzigd zodat alleen de institutionele en toezichthoudende bepalingen ervan naast de rechtstreeks toepasselijke AMLR blijven bestaan.

In de praktijk moeten Cypriotische ondernemingen wet 188(I)/2007 vanaf 10 juli 2027 niet langer als de primaire bron van hun verplichtingen beschouwen en de AMLR als de bepalende tekst hanteren, waarbij de gewijzigde Cypriotische wet de institutionele leemten opvult die AMLD6 aan de lidstaten overlaat. De onder wet 188(I)/2007 vastgelegde verdeling van het toezicht zal naar verwachting voortduren: CySEC houdt toezicht op Cypriotische beleggingsondernemingen, aanbieders van cryptoactivadiensten en fondsen, de Centrale Bank van Cyprus houdt toezicht op banken en betalings- en elektronischgeldinstellingen, ICPAC houdt toezicht op accountants en auditors, de Cyprus Bar Association houdt toezicht op advocaten, en MOKAS blijft de financiële-inlichtingeneenheid. De Cypriotische wet die AMLD6 omzet en wet 188(I)/2007 wijzigt zal elke bevoegde autoriteit bevestigen, en de exacte definitieve toewijzing hangt af van die wetgeving.

Wat zijn de belangrijkste data en de deadline van 10 juli 2027?

De allerbelangrijkste datum is 10 juli 2027, wanneer de AMLR rechtstreeks toepasselijk wordt en AMLD6 moet zijn omgezet. Rond dat ankerpunt ligt een gefaseerd tijdschema: AMLA werd operationeel op 1 juli 2025, haar rechtstreeks toezicht begint op 1 januari 2028, en een klein aantal bepalingen kent eerdere of latere data.

Cypriotische meldingsplichtige entiteiten moeten terugrekenen vanaf 10 juli 2027, want een geloofwaardig saneringsprogramma neemt twaalf maanden of meer in beslag en de compliancefunctie kan niet in het laatste kwartaal worden herbouwd.

AMLR: in werking op 9 juli 2024, van toepassing vanaf 10 juli 2027

De AMLR is op 9 juli 2024 in werking getreden maar geldt vanaf 10 juli 2027, waarmee meldingsplichtige entiteiten een overgangsperiode van drie jaar krijgen. De periode tussen inwerkingtreding en toepassing is het nalevingsvenster, geen respijtperiode, en het sluit zich.

Tegen 10 juli 2027 moet elke Cypriotische meldingsplichtige entiteit reeds onder de AMLR opereren: de drempel voor uiteindelijk belang, het contantenplafond, het geharmoniseerde cliëntenonderzoek en de eisen aan interne controles treden allemaal op die ene datum in werking in plaats van gefaseerd.

De omzettingsdeadline van AMLD6 en de eerdere bepalingen over het register van uiteindelijk begunstigden

AMLD6 moet uiterlijk 10 juli 2027 door Cyprus in nationaal recht zijn omgezet, dezelfde datum waarop de AMLR van toepassing wordt, waarop de Vierde en Vijfde richtlijn worden ingetrokken. Bepaalde bepalingen over het register van uiteindelijk begunstigden en over toegang voor de financiële-inlichtingeneenheid kennen naar verluidt eerdere deadlines, zodat delen van het institutionele kader Cyprus mogelijk vóór de hoofddatum binden.

Richtlijn (EU) 2024/1640 bevestigt een gefaseerd tijdschema. De bepalingen over toegang tot het register van uiteindelijk begunstigden in artikel 74 kenden een eerdere omzettingsdeadline van 10 juli 2025, en de artikelen 11 tot en met 13 en 15, die de registers van uiteindelijk begunstigden zelf regelen, moeten uiterlijk 10 juli 2026 worden omgezet, een vol jaar vóór de hoofddatum. Ondernemingen met complexe eigendomsstructuren mogen er niet van uitgaan dat de wijzigingen in het register tot 2027 wachten.

AMLA operationeel sinds 1 juli 2025 en rechtstreeks toezicht vanaf 1 januari 2028

AMLA, de Europese antiwitwasautoriteit, is gevestigd in Frankfurt en is operationeel sinds 1 juli 2025. Haar rechtstreeks toezicht op geselecteerde meldingsplichtige entiteiten begint vanaf 1 januari 2028, na een selectieprocedure die op 1 juli 2027 van start gaat en zes maanden duurt.

Voor de meeste Cypriotische entiteiten is het praktische effect van AMLA vóór 2028 indirect: zij stelt de technische normen, richtsnoeren en modellen op die Cypriotische toezichthouders en ondernemingen zullen toepassen, zodat het AMLA-rulebook de sanering vormgeeft ruim voordat enige Cypriotische onderneming onder rechtstreeks toezicht komt.

Het uitgestelde tijdschema voor professionele voetbalclubs en makelaars (2029)

Professionele voetbalclubs en voetbalmakelaars kennen een uitgestelde toepassingsdatum van 10 juli 2029, twee jaar na de algemene datum. De voetbalsector is de enige categorie die de AMLR met een langere aanloopperiode binnenbrengt, wat de tijd weerspiegelt die nodig is om compliance op te bouwen in een pas gereguleerde bedrijfstak.

Deze uitzondering is beperkt. Elke andere nieuw binnen de reikwijdte vallende categorie, waaronder aanbieders van cryptoactivadiensten en handelaren in goederen van hoge waarde, moet vanaf 10 juli 2027 voldoen.

Wat verandert de AMLR (Verordening 2024/1624) voor meldingsplichtige entiteiten?

De AMLR verandert de inhoud van wat elke meldingsplichtige entiteit moet doen en standaardiseert cliëntenonderzoek, interne controles, bewaring van gegevens en rapportage in één rechtstreeks toepasselijke tekst. De grootste operationele wijzigingen zijn een lagere drempel voor incidentele transacties van EUR 10.000, een geharmoniseerde norm voor uiteindelijk belang, en een verplichte structuur van de compliancefunctie.

Omdat deze regels nu uit een verordening voortvloeien, kan een Cypriotische onderneming niet vertrouwen op een lichtere nationale interpretatie. De AMLR is zowel de bodem als het plafond.

Geharmoniseerd cliëntenonderzoek en de drempel van EUR 10.000 voor incidentele transacties

De AMLR verlaagt de algemene drempel voor cliëntenonderzoek bij incidentele transacties van EUR 15.000 naar EUR 10.000, zodat het onderzoek bij een lagere waarde in werking treedt. Het cliëntenonderzoek zelf is geharmoniseerd, wat betekent dat identificatie, verificatie en controles op uiteindelijk belang één EU-norm volgen in plaats van uiteenlopende nationale regels.

Voor een Cypriotische meldingsplichtige entiteit betekent dit dat de drempels voor transactiemonitoring en de onboardinglogica opnieuw moeten worden afgesteld op het bedrag van EUR 10.000 en dat de verzamelde identificatiegegevens moeten voldoen aan de AMLR-norm in plaats van aan de oudere aanpak van wet 188(I)/2007.

Verscherpt cliëntenonderzoek, derde landen met hoog risico en vermogende cliënten

Verscherpt cliëntenonderzoek blijft verplicht voor situaties met een hoger risico, waaronder cliënten die verbonden zijn met derde landen met een hoog risico en vermogende personen, met aanvullend onderzoek naar de herkomst van het vermogen en de herkomst van de middelen. De AMLR standaardiseert wanneer verscherpte maatregelen worden geactiveerd en wat deze moeten omvatten.

De AMLR stelt een specifieke drempel voor vermogende personen: financiële en kredietinstellingen moeten verscherpt cliëntenonderzoek toepassen wanneer zij ten minste EUR 5 miljoen aan activa in bewaring houden voor een cliënt van wie het totale vermogen ten minste EUR 50 miljoen bedraagt, waarbij AMLA uiterlijk 10 juli 2027 richtsnoeren zal uitvaardigen over hoe te bepalen of een cliënt die drempel van EUR 50 miljoen overschrijdt. Ondernemingen die internationale cliënten bedienen, waaronder cliënten die gebruikmaken van een structurering via een Cypriotische holdingvennootschap of die geadviseerd worden over het opzetten van economische substantie in een Cypriotische vennootschap, moeten diepere dossiers over de herkomst van het vermogen verwachten.

Interne controles, de compliancefunctie en de compliance officer

De AMLR vereist dat elke meldingsplichtige entiteit interne beleidsregels, controles en procedures onderhoudt die evenredig zijn aan haar omvang en risico, en een compliancefunctie aanstelt met een aangewezen compliance officer op managementniveau. De compliance officer is verantwoordelijk voor de uitvoering van het AML-kader, en een afzonderlijke senior manager legt op bestuursniveau verantwoording af.

Cypriotische ondernemingen hanteren onder de bestaande wetgeving al een MLRO-model, maar de AMLR formaliseert de tweeledige structuur, de documentatie van de compliancefunctie en het groepsbrede beleid, zodat bestaande benoemingen en handboeken tegen de nieuwe tekst moeten worden getoetst in plaats van als conform te worden aangenomen.

Bewaring van gegevens gedurende vijf jaar en melding van verdachte transacties

De AMLR vereist dat meldingsplichtige entiteiten de gegevens van het cliëntenonderzoek en de transactiegegevens vijf jaar bewaren, en verdachte transacties melden aan de nationale financiële-inlichtingeneenheid. In Cyprus is MOKAS, de eenheid ter bestrijding van witwaspraktijken, de financiële-inlichtingeneenheid en de verplichte ontvanger van verdachte en op drempels gebaseerde meldingen.

Op grond van artikel 77 van de AMLR moeten meldingsplichtige entiteiten de gegevens van het cliëntenonderzoek en de transactiegegevens vijf jaar bewaren na het einde van de zakelijke relatie of de datum van een incidentele transactie, en kan het nationale recht bewaring voor maximaal vijf extra jaren vereisen of toestaan wanneer dat noodzakelijk en evenredig is voor het voorkomen, opsporen of onderzoeken van witwassen. Werkstromen voor de melding van verdachte transacties moeten naar MOKAS worden geleid en vóór de datum van 2027 worden getest.

Hoe verandert de drempel voor uiteindelijk belang naar 25% of meer?

De drempel voor uiteindelijk belang verandert van meer dan 25% naar 25% of meer van de aandelen, stemrechten of eigendomsbelang, zodat een persoon die precies 25% houdt nu als uiteindelijk begunstigde kwalificeert. Dit dicht de leemte die voorheen een houder van exact 25% buiten de definitie liet vallen, en de drempel kan voor structuren met een hoger risico worden verlaagd tot 15%.

Voor Cyprus, waar corporate- en truststructuren vaak belangen in gelijke kwarten verdelen, is de verandering niet cosmetisch: een groot aantal houders van precies 25% valt van de ene op de andere dag binnen de reikwijdte en moet worden geïdentificeerd, geverifieerd en geregistreerd.

Van meer dan 25% naar 25% of meer: wie wordt een UBO

Onder de AMLR is een uiteindelijk begunstigde iedere natuurlijke persoon die 25% of meer van de aandelen, stemrechten of het eigendomsbelang in de entiteit rechtstreeks of indirect houdt. De vorige test omvatte alleen belangen strikt boven 25%, zodat een gelijke vierledige verdeling van elk 25% onder de oude regel geen uiteindelijk begunstigde opleverde en er onder de nieuwe regel vier oplevert.

Cypriotische ondernemingen moeten elke cliënt- en interne structuur opnieuw toetsen aan de test van 25% of meer en hun aangiften in het kader van het Cypriotische UBO-register en de naleving van uiteindelijk belang actualiseren waar nieuwe eigenaren nu kwalificeren.

Verlaagde drempels van 15% voor structuren met een hoger risico

Voor categorieën entiteiten met een hoger risico kan de drempel voor uiteindelijk belang worden verlaagd tot 15%, zodat een kleiner belang identificatie activeert. De verlaagde drempel richt zich op sectoren en structuren die de AMLR als inherent hoger risico beschouwt.

Het praktische gevolg voor Cyprus is een tweeledige analyse: de standaardtest van 25% of meer voor gewone entiteiten, en een test van 15% voor entiteiten met een hoger risico, die complianceteams aan hun cliëntenbestand moeten koppelen in plaats van één enkel getal over de gehele linie toe te passen.

Impact op het Cypriotische UBO-register en de melding van discrepanties

De lagere drempel verbreedt wie op het Cypriotische register van uiteindelijk begunstigden moet verschijnen dat via de Registrar of Companies wordt bijgehouden, en scherpt de plichten tot melding van discrepanties aan wanneer de eigen bevindingen van een meldingsplichtige entiteit afwijken van het register. Meldingsplichtige entiteiten die een discrepantie vaststellen moeten deze melden, en het register moet de norm van 25% of meer weerspiegelen.

Omdat de registergegevens en de AMLR-norm op elkaar moeten aansluiten, moeten Cypriotische ondernemingen de sanering van het register en de interne sanering van UBO-dossiers als één project behandelen, niet als twee.

Scenario's met nominees, trusts en eigendom in meerdere lagen

Nominee-constructies, trusts en eigendomsketens met meerdere lagen vereisen dat de meldingsplichtige entiteit doorkijkt naar de natuurlijke personen die uiteindelijk 25% of meer bezitten of controleren, en de nominee-relaties vastlegt. Truststructuren, waaronder een Cypriotische internationale trust en vermogensbescherming, moeten de settlor, trustee, protector, begunstigden en elke andere persoon die uiteindelijke controle uitoefent identificeren.

Deze doorkijkscenario's zijn waar Cypriotische corporate service providers het meeste saneringswerk dragen, omdat gelaagde structuren die voorheen bij 25% geen UBO opleverden er nu meerdere naar boven kunnen brengen.

Wat is de nieuwe EU-brede limiet van EUR 10.000 voor contante betalingen?

De AMLR voert vanaf 10 juli 2027 een geharmoniseerde limiet van EUR 10.000 in op contante betalingen voor goederen en diensten in de hele EU, inclusief Cyprus. Lidstaten mogen een lagere nationale limiet vaststellen, en identiteitsverificatie is vereist voor incidentele contante transacties tussen EUR 3.000 en EUR 10.000.

Voor een economie waarin veel contant geld wordt gebruikt is dit een harde operationele regel: elke handelaar in goederen of diensten moet contant geld boven EUR 10.000 voor een enkele aankoop weigeren, hoe deze ook zo is gestructureerd dat het lijkt op afzonderlijke betalingen.

Het geharmoniseerde contantenplafond en de bevoegdheid van lidstaten om lager te gaan

Het contantenplafond van EUR 10.000 is een EU-breed maximum, en lidstaten behouden de bevoegdheid om een lagere nationale drempel op te leggen. Cyprus heeft zijn definitieve nationale cijfer nog niet vastgesteld, dus ondernemingen moeten uitgaan van EUR 10.000 en tegelijk letten op een lagere Cypriotische limiet.

Het plafond geldt voor één enkele verrichting of onderling verbonden verrichtingen, zodat het opsplitsen van een grote betaling in tranches van minder dan EUR 10.000 er niet aan ontsnapt.

Identiteitsverificatie voor incidentele contante transacties boven EUR 3.000

Voor incidentele contante transacties tussen EUR 3.000 en EUR 10.000 vereist de AMLR identiteitsverificatie, ook al ligt de betaling onder het plafond. Dit creëert een tussenliggende bandbreedte waarin de transactie wettig is maar de cliënt moet worden geïdentificeerd.

Cypriotische handelaren moeten een tweelaags proces opzetten: identificeren en verifiëren tussen EUR 3.000 en EUR 10.000, en contant geld boven EUR 10.000 weigeren.

Wat Cypriotische handelaren in goederen van hoge waarde moeten doen

Handelaren in goederen van hoge waarde, zoals handelaren in edelmetalen, sieraden, kunst of motorvoertuigen, moeten het contantenplafond toepassen en, waar zij meldingsplichtige entiteiten zijn, het volledige regime van cliëntenonderzoek. De AMLR stelt getrapte financiële drempels vast: handelaren worden meldingsplichtige entiteiten wanneer zij handelen in edelmetalen en edelstenen, of in sieraden, horloges en soortgelijke goederen boven EUR 10.000, in luxe motorvoertuigen boven EUR 250.000, of in luchtvaartuigen en boten boven EUR 750.000.

Handelaren in goederen van hoge waarde moeten bevestigen of zij meldingsplichtige entiteiten zijn en welke financiële drempel van toepassing is voordat zij hun controles inrichten.

Wie is nu een meldingsplichtige entiteit onder de AMLR in Cyprus?

De AMLR behoudt de bestaande basis van meldingsplichtige entiteiten en voegt nieuwe categorieën toe, zodat meer Cypriotische ondernemingen onder de AML-wetgeving vallen dan voorheen. De uitbreiding brengt aanbieders van cryptoactivadiensten, crowdfundingplatforms en bemiddelaars, bemiddelaars in consumenten- en hypothecair krediet, exploitanten van investeringsmigratie, en handelaren in goederen van hoge waarde binnen.

Elke meldingsplichtige entiteit, oud of nieuw, moet vanaf 10 juli 2027 voldoen, met uitzondering van professionele voetbalclubs en makelaars, wier regels vanaf 10 juli 2029 gelden.

Nieuw binnen de reikwijdte: CASP's, crowdfundingplatforms en kredietbemiddelaars

Aanbieders van cryptoactivadiensten worden onder de AMLR meldingsplichtige entiteiten, waarmee de AML-regels worden afgestemd op de verordening betreffende markten in cryptoactiva, naast crowdfundingplatforms en bemiddelaars in consumenten- en hypothecair krediet. Deze categorieën moeten nu volledig cliëntenonderzoek, controles op uiteindelijk belang en melding van verdachte transacties uitvoeren.

Cypriotische ondernemingen met een vergunning als Cypriotische aanbieders van cryptoactivadiensten (CASP's) moeten de AMLR beschouwen als een aanvulling op hun MiCA-verplichtingen, en wie adviseert over cryptovalutabelasting in Cyprus moet de AML-laag bij cliënten onder de aandacht brengen.

Exploitanten van investeringsmigratie en handelaren in goederen van hoge waarde

Exploitanten van investeringsmigratie en handelaren in goederen van hoge waarde vallen binnen de reikwijdte, wat het AML-risico weerspiegelt in diensten voor verblijf en burgerschap door investering en in cash-intensieve handel in goederen van hoge waarde. Bemiddelaars in investeringsmigratie moeten cliëntenonderzoek toepassen op aanvragers en de herkomst van hun middelen.

Voor Cyprus, met een actieve markt voor investeringsmigratie en vastgoedadvies, verbreedt dit de basis van meldingsplichtige entiteiten voorbij de traditionele financiële sector naar dienstverleners die voorheen buiten de AML-wetgeving vielen.

Bestaande Cypriotische basis: CIF's, EMI's, betalingsinstellingen, ASP's, trustees, accountants en advocaten

De bestaande Cypriotische basis van meldingsplichtige entiteiten blijft volledig binnen de reikwijdte: banken, Cypriotische beleggingsondernemingen, instellingen voor elektronisch geld, betalingsinstellingen, administratieve dienstverleners, trustees, accountants, auditors en advocaten. Deze entiteiten blijven de kern van de AML-last dragen en moeten hun kaders naar de AMLR migreren.

Gereguleerde ondernemingen zoals die welke opereren onder het vergunningskader voor Cypriotische beleggingsondernemingen (CIF's) moeten de migratie naar de AMLR als een vergunningskritiek project behandelen, omdat AML-tekortkomingen de vergunning bedreigen.

Hoe zal AMLA toezicht houden op Cypriotische meldingsplichtige entiteiten?

AMLA houdt toezicht via twee kanalen: rechtstreeks toezicht op een kleine groep van de grensoverschrijdende entiteiten met het hoogste risico, en indirect toezicht op nationale toezichthouders voor alle overige. De meeste Cypriotische meldingsplichtige entiteiten blijven onder nationaal toezicht van CySEC, ICPAC, de Centrale Bank van Cyprus en MOKAS, terwijl AMLA normen stelt en de toezichthouders zelf monitort.

De Cypriotische realiteit is dat rechtstreeks AMLA-toezicht zeer weinig lokale entiteiten zal raken, maar dat AMLA's indirecte invloed op de Cypriotische toezichthouders zal hervormen hoe elke onderneming wordt onderzocht.

Rechtstreeks toezicht op maximaal 40 geselecteerde meldingsplichtige entiteiten vanaf 2028

AMLA zal rechtstreeks toezicht houden op maximaal 40 geselecteerde meldingsplichtige entiteiten in de hele EU, waarbij de selectieprocedure begint op 1 juli 2027, zes maanden loopt, en het rechtstreeks toezicht op 1 januari 2028 naar AMLA overgaat. De selectie wordt om de drie jaar herzien.

Gezien het kleine aantal rechtstreeks onder toezicht staande entiteiten in de gehele EU zijn alleen de grootste grensoverschrijdende Cypriotische financiële instellingen realistische kandidaten, en de meeste Cypriotische ondernemingen zullen niet onder rechtstreeks toezicht staan.

De zes lidstaten en de selectiecriteria voor het hoogste risico

Rechtstreeks toezicht richt zich op meldingsplichtige entiteiten die in ten minste zes lidstaten actief zijn en het hoogste restrisico vertonen, zodat de grensoverschrijdende voetafdruk plus het risico de selectie bepaalt. Een entiteit die alleen in Cyprus, of in minder dan zes lidstaten, actief is, wordt waarschijnlijk niet geselecteerd.

Dit criterium is van belang voor Cypriotische groepen met een werkelijk pan-Europese aanwezigheid, die moeten beoordelen of hun voetafdruk en risicoprofiel hen in de geselecteerde groep kunnen plaatsen.

Indirect toezicht via CySEC, ICPAC, de Centrale Bank van Cyprus en MOKAS

Voor entiteiten die niet onder rechtstreeks toezicht staan blijven de nationale toezichthouders de eerste lijn: CySEC voor beleggingsondernemingen en CASP's, ICPAC voor accountants en auditors, de Centrale Bank van Cyprus voor banken en betalings- en elektronischgeldinstellingen, en MOKAS als financiële-inlichtingeneenheid. AMLA houdt toezicht op deze toezichthouders om consistentie te bevorderen.

Deze taakverdeling weerspiegelt de verdeling van het toezicht die reeds onder wet 188(I)/2007 werkt, die de Cypriotische wetgeving ter omzetting van AMLD6 naar verwachting zal behouden terwijl zij de bevoegde toezichthouder per type entiteit bevestigt. Ondernemingen moeten elk van hun gereguleerde activiteiten aan de bijbehorende toezichthouder koppelen zodra die wetgeving van kracht is.

Sanctiebevoegdheden van AMLA en de rol van de Cypriotische FIU

AMLA beschikt over sanctiebevoegdheden ten aanzien van de entiteiten waarop zij rechtstreeks toezicht houdt, en MOKAS blijft de Cypriotische ontvanger van verdachte en op drempels gebaseerde meldingen en het knooppunt van samenwerking op het gebied van financiële inlichtingen. Nationale toezichthouders behouden handhavingsbevoegdheden ten aanzien van de entiteiten waarop zij toezicht houden.

De tweeledige structuur betekent dat een Cypriotische onderneming in het gewone verkeer verantwoording aflegt aan haar nationale toezichthouder en aan MOKAS, met AMLA op de achtergrond als normsteller en, voor een selecte groep, als rechtstreekse handhaver.

Wat is de nalevingsgapanalyse voor Cypriotische CIF's, EMI's en trustees?

De nalevingsgapanalyse is een gestructureerde vergelijking van het huidige AML-kader van een onderneming met het AMLR-rulebook, die een saneringsplan oplevert. Voor Cypriotische CIF's, EMI's en trustees draait deze om vier werkstromen: beleidsmigratie, sanering van UBO-gegevens, groepsbrede beleidsregels en technologische upgrades.

Vroeg beginnen met de gapanalyse is doorslaggevend, omdat de sanering van UBO-gegevens en transactiemonitoringsystemen traag is en niet kan worden samengeperst in de weken vóór 10 juli 2027.

Uw huidige AML-handboek koppelen aan het AMLR-rulebook

De eerste stap is elke bepaling van uw bestaande AML-handboek, gebouwd op wet 188(I)/2007, te koppelen aan het overeenkomstige AMLR-artikel en elke leemte vast te leggen. Waar de AMLR een nieuwe of strengere verplichting oplegt, moet het handboek worden herschreven in plaats van geannoteerd.

Deze koppeling levert de saneringsbacklog op: elke geïdentificeerde leemte wordt een taak met een eigenaar en een deadline binnen het venster van twaalf maanden.

Sanering van UBO-gegevens naar de norm van 25% of meer

UBO-gegevens moeten opnieuw worden verzameld en opnieuw worden geverifieerd aan de norm van 25% of meer, en aan de norm van 15% voor structuren met een hoger risico, zodat elke nieuw kwalificerende eigenaar wordt vastgelegd. Dit is de grootste enkelvoudige saneringstaak voor corporate service providers en trustees.

Ondernemingen moeten prioriteit geven aan structuren met exacte belangen van 25% en gelaagd eigendom, en hun dossiers afstemmen op het Cypriotische register van uiteindelijk begunstigden om discrepanties op te lossen.

Groepsbrede beleidsregels en uitbestedingsregelingen

Groepen moeten groepsbrede AML-beleidsregels implementeren, en ondernemingen die vertrouwen op uitbestedings- of vertrouwensregelingen moeten bevestigen dat die regelingen aan de AMLR-norm voldoen. De compliancefunctie moet verantwoordelijk blijven, zelfs waar activiteiten worden uitbesteed.

Cypriotische ondernemingen in internationale groepen moeten hun lokale kader afstemmen op het groepsbeleid en de verdeling van verantwoordelijkheid documenteren, omdat de AMLR de meldingsplichtige entiteit verantwoordelijk houdt ongeacht de uitbesteding.

Upgrades van technologie, screening en transactiemonitoring

Technologie voor sanctiescreening, screening op ongunstige media en transactiemonitoring moet opnieuw worden afgesteld op de AMLR-drempels, waaronder de drempel van EUR 10.000 voor incidentele transacties en de verificatieregels voor de contantenbandbreedte. Systemen die de oude drempel van EUR 15.000 of de test van meer dan 25% coderen, moeten opnieuw worden geconfigureerd.

Een gefaseerde saneringschecklist houdt het programma op koers:

1. Voltooi de AMLR-gapanalyse en de bedrijfsbrede risicobeoordeling.
2. Herbouw het AML-beleid, de procedures en de structuur van de compliancefunctie.
3. Saneer alle UBO-gegevens naar de norm van 25% of meer (en 15%).
4. Herconfigureer de drempels voor screening en transactiemonitoring.
5. Actualiseer de werkstromen voor bewaring van gegevens en melding aan MOKAS.
6. Train het personeel en verkrijg goedkeuring van het bestuur vóór 10 juli 2027.

Wat zijn de sancties en toezichtsgevolgen van niet-naleving?

Niet-naleving stelt meldingsplichtige entiteiten bloot aan administratieve geldelijke sancties, nationale handhaving en vergunningsrisico. AMLA kan sancties opleggen aan entiteiten onder rechtstreeks toezicht, Cypriotische nationale toezichthouders handhaven jegens de entiteiten waarop zij toezicht houden, en AML-tekortkomingen kunnen de vergunning van een onderneming in gevaar brengen.

De financiële dienstverleners die Cyprus domineren hebben het meest te verliezen, omdat een AML-inbreuk niet alleen een boete is maar een bedreiging voor de vergunning waarvan de onderneming afhankelijk is.

Administratieve geldelijke sancties van AMLA

AMLA kan administratieve geldelijke sancties opleggen aan de meldingsplichtige entiteiten waarop zij rechtstreeks toezicht houdt voor ernstige, systematische of herhaalde inbreuken. Op grond van artikel 22 van de AMLA-verordening (EU) 2024/1620 kunnen deze sancties oplopen tot EUR 10 miljoen of 10% van de totale jaarlijkse omzet van de entiteit, afhankelijk van welk bedrag hoger is, berekend op basis van de laatst beschikbare gecontroleerde geconsolideerde jaarrekening van de uiteindelijke moederonderneming. Deze plafonds staan naast de handhavingsbevoegdheden die de Cypriotische nationale toezichthouders behouden ten aanzien van de entiteiten waarop zij toezicht houden.

Nationale handhaving door Cypriotische toezichthouders

Cypriotische toezichthouders, waaronder CySEC, ICPAC en de Centrale Bank van Cyprus, behouden handhavingsbevoegdheden ten aanzien van de entiteiten waarop zij toezicht houden, variërend van boetes tot aanwijzingen en maatregelen ten aanzien van de vergunning. Nationale handhaving is het kanaal waarmee de meeste Cypriotische ondernemingen daadwerkelijk te maken zullen krijgen.

Omdat het toezicht grotendeels nationaal blijft, ligt het dagelijkse handhavingsrisico van een Cypriotische onderneming bij haar eigen toezichthouder in plaats van bij AMLA.

Reputatie- en vergunningsrisico voor gereguleerde entiteiten

Naast boetes brengen AML-tekortkomingen reputatie- en vergunningsgevolgen met zich mee, omdat een gereguleerde entiteit die geen AMLR-naleving kan aantonen het risico loopt op voorwaarden aan, of verlies van, haar vergunning. Voor een CIF of EMI is de vergunning de onderneming.

Reputatieschade versterkt het regelgevingsrisico, aangezien tegenpartijen en banken steeds vaker screenen op AML-robuustheid voordat zij zaken doen.

Hoe moet een Cypriotische meldingsplichtige entiteit zich voorbereiden vóór 10 juli 2027?

Een Cypriotische meldingsplichtige entiteit moet een gefaseerd saneringsprogramma van twaalf maanden uitvoeren, verantwoordelijkheid op bestuursniveau toewijzen, en gespecialiseerde juridische ondersteuning gebruiken voor de gapanalyse en de herbouw van het beleid. De voorbereiding moet ruim vóór 2027 beginnen, omdat de sanering van UBO's en de herconfiguratie van systemen traag is.

De ondernemingen die vroeg beginnen zetten een nalevingsverplichting om in een concurrentiesignaal van betrouwbaarheid; die welke wachten riskeren een overhaaste, onvolledige migratie.

Een gefaseerde saneringsroutekaart en een realistisch tijdschema van 12 maanden

Een realistisch saneringsprogramma loopt twaalf maanden of meer, van gapanalyse, via herbouw van het beleid en sanering van UBO's, naar systeemupgrades, training en goedkeuring. Elke fase kent afhankelijkheden, dus de volgorde is even belangrijk als de deadline.

De kernboodschap is dat een onderneming die het programma in 2026 start voldoende aanloop heeft tot 10 juli 2027, terwijl een onderneming die in 2027 start dat niet heeft.

Verantwoordelijkheden van bestuur en hoger management

Het bestuur en het hoger management zijn verantwoordelijk voor het AML-kader, en de AMLR verwacht dat een aangewezen senior manager de AML-naleving op zich neemt naast de compliance officer. De verantwoordelijkheid kan niet alleen aan de compliancefunctie worden gedelegeerd.

Besturen moeten de bevindingen van de gapanalyse ontvangen, het saneringsbudget goedkeuren en de voortgang volgen ten opzichte van het plan van twaalf maanden, waarbij zij hun toezicht voor de toezichthouder documenteren.

Waar een Cypriotisch advocatenkantoor waarde toevoegt bij de gapanalyse en de sanering

Een Cypriotisch advocatenkantoor voegt waarde toe door de AMLR te koppelen aan het specifieke type Cypriotische meldingsplichtige entiteit en haar feitelijke toezichthouder, conforme beleidsregels op te stellen, en te adviseren over UBO-, trust- en Cypriotische regels voor gecontroleerde buitenlandse vennootschappen (CFC's) en structureringsvragen die met AML samenvallen. Juridische inbreng is doorslaggevend waar de analyse afhangt van wetsinterpretatie en de aanstaande Cypriotische omzettingswet.

Ondernemingen moeten de AML-sanering ook afstemmen op bredere nalevingsverplichtingen, waaronder een overzicht van de belastingen in Cyprus en substance-vereisten, zodat structuren zowel AML-conform als fiscaal efficiënt blijven.

Hoe Philippou Law Firm kan helpen

Philippou Law Firm adviseert Cypriotische meldingsplichtige entiteiten over de gehele basis van meldingsplichtige entiteiten, van CIF's, EMI's en betalingsinstellingen tot administratieve dienstverleners, trustees, accountants en aanbieders van cryptoactivadiensten, over de voorbereiding op het nieuwe EU AML-pakket. Ons team voert AMLR-gapanalyses uit die gekoppeld zijn aan uw specifieke toezichthouder (CySEC, ICPAC, de Centrale Bank van Cyprus of MOKAS), herbouwt AML-beleid en de structuur van de compliancefunctie, saneert UBO-gegevens naar de norm van 25% of meer, en begeleidt uw bestuur door een realistische routekaart van twaalf maanden naar 10 juli 2027. Neem contact met ons op om uw gapanalyse en saneringsprogramma in kaart te brengen voordat de deadline uw mogelijkheden inperkt.

Dit artikel bevat algemene informatie, geen juridisch advies. Voor advies over uw specifieke omstandigheden neemt u contact op met een gekwalificeerde Cypriotische advocaat.