Hoe voldoe ik aan de Wwft-eisen met Microsoft 365?

Als accountant of administratiekantoor ben je verplicht te voldoen aan de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft). Deze wet stelt strenge eisen aan hoe je klantgegevens beheert, bewaart en beveiligt. Gelukkig kan Microsoft 365 je hierbij uitstekend ondersteunen.

Met de juiste instellingen en configuratie transformeer je Microsoft 365 in een compliant platform dat voldoet aan alle Wwft-verplichtingen. In dit artikel leer je stap voor stap hoe je dit aanpakt.

Wat zijn de Wwft-eisen waar accountantskantoren aan moeten voldoen?

De Wwft verplicht accountantskantoren om klantonderzoek uit te voeren, verdachte transacties te melden en alle relevante documenten minimaal vijf jaar te bewaren in een beveiligde omgeving. Daarnaast moet je aantoonbare maatregelen treffen tegen ongeautoriseerde toegang tot gevoelige klantinformatie.

Concreet betekent dit dat je voor elke cliënt een dossier moet aanleggen met identiteitsdocumenten, gegevens over de uiteindelijke belanghebbenden (UBO’s) en transactiegegevens. Deze informatie moet digitaal doorzoekbaar zijn en binnen redelijke tijd beschikbaar zijn voor toezichthouders zoals De Nederlandsche Bank (DNB).

De wet schrijft ook voor dat je adequate beveiligingsmaatregelen implementeert. Denk aan toegangscontrole, logging van gebruikersactiviteiten en regelmatige beveiligingsupdates. Voor veel kantoren vormt dit een uitdaging, vooral omdat de technische complexiteit hoog kan zijn.

Hoe ondersteunt Microsoft 365 de naleving van Wwft-verplichtingen?

Microsoft 365 biedt ingebouwde compliance-tools die specifiek zijn ontworpen voor financiële dienstverleners. Het platform ondersteunt automatische classificatie van gevoelige documenten, retentiebeleid voor documentbewaring en uitgebreide auditlogs voor alle gebruikersactiviteiten.

Het Compliance Center in Microsoft 365 stelt je in staat beleid in te stellen dat automatisch Wwft-relevante documenten identificeert en correct classificeert. Dit gebeurt op basis van contentanalyse en machine learning, waardoor menselijke fouten worden geminimaliseerd.

Bovendien voldoet Microsoft 365 aan internationale beveiligingsstandaarden zoals ISO 27001 en SOC 2, wat betekent dat de onderliggende infrastructuur al voldoet aan strenge beveiligingseisen. Dit ontlast je van een groot deel van de technische compliance-last.

Welke Microsoft 365-apps zijn essentieel voor Wwft-compliance?

Voor Wwft-compliance zijn SharePoint Online, Microsoft Purview, Teams en OneDrive for Business de kerncomponenten. SharePoint fungeert als centrale documentbibliotheek, Purview regelt de compliance-aspecten, Teams faciliteert veilige communicatie en OneDrive biedt persoonlijke werkruimtes.

SharePoint Online vormt de ruggengraat van je Wwft-dossiers. Hier creëer je gestructureerde bibliotheken per cliënt met automatische metadata-toewijzing. De ingebouwde versiegeschiedenis zorgt ervoor dat je altijd kunt aantonen wanneer documenten zijn toegevoegd of gewijzigd.

Microsoft Purview (voorheen Compliance Center) is onmisbaar voor het instellen van retentiebeleid, data loss prevention en advanced audit logging. Deze tool automatiseert veel compliance-processen en genereert rapporten die je direct kunt gebruiken voor toezichthouders.

Hoe stel je veilige documentopslag in voor Wwft-dossiers?

Begin met het creëren van een gestructureerde SharePoint-site met aparte documentbibliotheken voor verschillende typen Wwft-documenten. Configureer vervolgens metadatakolommen voor cliëntnaam, documenttype, datum en retentieperiode om automatische classificatie mogelijk te maken.

Stel voor elke documentbibliotheek specifieke machtigingen in via het machtigingenbeheer van SharePoint. Zorg ervoor dat alleen geautoriseerde medewerkers toegang hebben tot gevoelige cliëntdossiers. Gebruik Azure Active Directory-groepen om machtigingen efficiënt te beheren.

Activeer Information Rights Management (IRM) voor extra beveiliging van documenten. Dit voorkomt dat documenten ongeautoriseerd worden gekopieerd, afgedrukt of doorgestuurd, zelfs nadat ze zijn gedownload. Voor Wwft-dossiers is dit een essentiële extra beveiligingslaag.

Wat zijn de beveiligingsinstellingen die je moet activeren?

Activeer multi-factor authenticatie (MFA) voor alle gebruikers, configureer Conditional Access-beleid voor locatiegebonden toegang en schakel Advanced Threat Protection in voor e-mail en documenten. Deze drie maatregelen vormen de basis van een veilige Microsoft 365-omgeving.

In het Security & Compliance Center configureer je Data Loss Prevention (DLP)-beleid dat automatisch voorkomt dat gevoelige Wwft-informatie onbedoeld wordt gedeeld. Stel regels in die BSN-nummers, bankrekeningnummers en andere financiële identificatoren detecteren.

Schakel Unified Audit Logging in om een compleet overzicht te krijgen van alle activiteiten binnen je Microsoft 365-omgeving. Deze logs zijn essentieel voor Wwft-compliance en kunnen worden geëxporteerd voor rapportage aan toezichthouders. Bewaar deze logs minimaal vijf jaar conform de wettelijke vereisten.

Hoe zorg je voor een compliant back-up- en herstelbeleid?

Microsoft 365 biedt ingebouwde redundantie, maar voor Wwft-compliance heb je aanvullende back-upmaatregelen nodig. Implementeer een back-upoplossing van een derde partij die point-in-time recovery mogelijk maakt en configureer retentiebeleid dat voldoet aan de vijfjarige bewaarplicht.

Stel geautomatiseerde back-upschema’s in die dagelijks alle Wwft-relevante documenten en e-mails veiligstellen. Test regelmatig je herstelprocessen om te garanderen dat je in geval van nood snel toegang hebt tot historische cliëntdossiers. Documenteer deze tests als onderdeel van je compliance-administratie.

Overweeg geografisch gescheiden back-uplocaties voor extra zekerheid. Veel gespecialiseerde ICT-providers voor accountants bieden managed back-updiensten die specifiek zijn afgestemd op Wwft-vereisten, inclusief de benodigde rapportage en documentatie.

Het implementeren van een Wwft-compliant Microsoft 365-omgeving vraagt specifieke kennis en ervaring. Bij Officebox helpen we accountantskantoren al 16 jaar met het inrichten van veilige, compliant ICT-omgevingen. Onze Officebox 365-oplossing combineert Microsoft 365 met aanvullende beveiligingsmaatregelen en compliance-tools, specifiek afgestemd op de behoeften van financiële dienstverleners. Wil je weten hoe wij jouw kantoor kunnen ontzorgen op het gebied van Wwft-compliance? Neem contact met ons op voor een vrijblijvend gesprek.

Veelgestelde vragen

Hoe lang duurt het om Microsoft 365 volledig Wwft-compliant in te richten?

De initiële configuratie van Microsoft 365 voor Wwft-compliance duurt gemiddeld 2-4 weken, afhankelijk van de grootte van je kantoor en de complexiteit van je cliëntportfolio. Het testen van alle processen en het trainen van medewerkers vraagt nog eens 1-2 weken extra.

Wat gebeurt er als Microsoft 365 tijdelijk niet beschikbaar is tijdens een DNB-controle?

Dankzij de geautomatiseerde back-ups en point-in-time recovery kun je binnen enkele uren toegang krijgen tot alle benodigde documenten via alternatieve systemen. Het is verstandig om een noodprocedure te documenteren en regelmatig te testen, zodat je snel kunt schakelen naar back-upsystemen.

Kunnen bestaande cliëntdossiers automatisch worden gemigreerd naar een Wwft-compliant Microsoft 365-omgeving?

Ja, met de juiste migratietools kunnen bestaande dossiers automatisch worden overgezet en direct worden voorzien van de benodigde metadata en classificaties. Het is wel belangrijk om vooraf een grondige data-audit uit te voeren om te bepalen welke documenten Wwft-relevant zijn.

Hoe voorkom je dat medewerkers per ongeluk gevoelige Wwft-documenten delen met onbevoegden?

Door Data Loss Prevention (DLP)-beleid correct te configureren worden gevoelige documenten automatisch gedetecteerd en geblokkeerd bij ongeautoriseerde deelacties. Daarnaast kun je Information Rights Management (IRM) instellen dat documenten permanent beveiligt, ook na het downloaden.

Wat zijn de kosten voor het compliant maken van Microsoft 365 voor Wwft-doeleinden?

Naast je reguliere Microsoft 365-licenties heb je vaak aanvullende compliance-licenties nodig (zoals Microsoft Purview) en een gespecialiseerde back-upoplossing. Reken op ongeveer €15-30 per gebruiker per maand extra, plus eenmalige implementatiekosten van €2.000-5.000 afhankelijk van je kantoorgrootte.

Hoe bewijs je aan de DNB dat je Microsoft 365-omgeving voldoet aan alle Wwft-eisen?

Microsoft 365 genereert automatisch compliance-rapporten via het Purview Compliance Center, inclusief audit logs, retentierapporten en beveiligingsstatistieken. Deze rapporten kun je direct exporteren en presenteren aan toezichthouders. Zorg wel dat je deze rapporten regelmatig controleert en archiveert.

Wat moet je doen als een medewerker het kantoor verlaat en toegang heeft gehad tot Wwft-dossiers?

Schakel onmiddellijk de account van de vertrekkende medewerker uit via Azure Active Directory en documenteer alle documenten waartoe deze persoon toegang heeft gehad via de audit logs. Controleer of er documenten zijn gedownload of gedeeld in de periode voor het vertrek en informeer indien nodig de betrokken cliënten.