ECLI:NL:CBB:2020:120

uitspraak COLLEGE VAN BEROEP VOOR HET BEDRIJFSLEVEN zaaknummer: 18/1291 Uitspraak van de meervoudige kamer van 3 maart 2020 op het hoger beroep van: [naam 1] , te [plaats] , appellante (gemachtigde: mr. drs. C. Riekerk), tegen de uitspraak van de rechtbank Rotterdam van 5 juni 2018, kenmerk ROT 17/3382 en 17/3383, in het geding tussen appellante en De Nederlandsche Bank N.V. (DNB) (gemachtigden: mr. F.E. de Bruijn en mr. C. de Rond). Appellante heeft hoger beroep ingesteld tegen de uitspraak van de rechtbank Rotterdam (rechtbank) van 5 juni 2018 (ECLI:NL:RBROT:2018:5236). DNB heeft een reactie op het hogerberoepschrift ingediend. Het onderzoek ter zitting heeft plaatsgevonden op 6 november 2019. Appellante heeft zich laten vertegenwoordigen door haar gemachtigde. Van de zijde van appellante is tevens verschenen [naam 2] , CEO van appellante. DNB werd vertegenwoordigd door mr. C. de Rond en mr. L.V. Sieverink. Van de zijde van DNB zijn tevens verschenen mr. H.R.J. Kok, mr. J.A. Zwinkels en F.W. de Rooij, allen werkzaam bij DNB. 1.1 Voor een uitgebreide weergave van het verloop van de procedure en de in dit geding van belang zijnde feiten en omstandigheden, voor zover niet bestreden, wordt verwezen naar de aangevallen uitspraak. Voor het ten tijde van belang toepasselijke wettelijk kader wordt verwezen naar de bijlage bij deze uitspraak. Het College volstaat met het volgende. 1.2 Appellante beschikt sinds 2012 over een door DNB verleende vergunning voor het uitoefenen van het bedrijf van betaaldienstverlener als bedoeld in artikel 2:3a van de Wet op het financieel toezicht (Wft). DNB heeft op 27 en 28 november 2014 bij appellante onderzoek verricht naar de beheersing van integriteitsrisico’s. Op 2 juli 2015 heeft DNB appellante een aanwijzing gegeven vanwege tijdens het onderzoek geconstateerde tekortkomingen in de naleving van wet- en regelgeving. Op 13 november 2015 heeft DNB een normoverdragend gesprek met appellante gevoerd en haar een waarschuwing gegeven. DNB heeft op 12 en 13 april 2016 de opvolging van de aanwijzing onderzocht en haar bevindingen opgenomen in een rapport van 22 juli 2016. Bij besluit van 8 november 2016 heeft DNB een curator benoemd in het bestuur van appellante. 1.3 Bij besluit van 11 oktober 2016 (primair besluit 1) heeft DNB aan appellante een boete opgelegd van € 50.000 wegens overtreding van artikel 3:17 van de Wft in verbinding met artikel 21, eerste lid, van het Besluit prudentiële regels Wft (Bpr), omdat zij in de periode van 1 juli 2014 tot en met 27 augustus 2015 niet over een onafhankelijke en effectieve compliance functie beschikte. Bij besluit van 20 april 2017 (bestreden besluit 1), waartegen het beroep bij de rechtbank was gericht, heeft DNB het bezwaar van appellante tegen het primair besluit 1 ongegrond verklaard. 1.4 Bij besluit van 11 oktober 2016 (primair besluit 2) heeft DNB aan appellante boetes opgelegd van in totaal € 120.000 wegens overtreding in de periode van 20 september 2012 tot en met 27 november 2014 van: a. artikel 3, tweede lid, aanhef en onder d, van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) (tekortschietende naleving verplichting tot cliëntmonitoring: € 50.000); b. artikel 8, vierde lid, van de Wwft (€ 50.000); c. artikel 35 van de Wwft (tekortschietende naleving opleidingsverplichting: € 10.000) en d. artikel 10b, eerste lid, van de Sanctiewet 1977 (Sw) (€ 10.000). Bij besluit van 20 april 2017 (bestreden besluit 2), waartegen, voor zover daarbij de onder a. en c. genoemde overtredingen zijn gehandhaafd, het beroep bij de rechtbank eveneens was gericht, heeft DNB het bezwaar van appellante tegen het primair besluit 2 ongegrond verklaard. Uitspraak van de rechtbank 2.1 De rechtbank heeft de beroepen van appellante ongegrond verklaard. De rechtbank heeft, samengevat, geoordeeld dat het appellante op grond van artikel 21, eerste lid van het Bpr en de toelichting daarop redelijkerwijs duidelijk had kunnen en moeten zijn dat de invulling die zij in de periode van 1 juli 2014 tot en met 27 augustus 2015 heeft gegeven aan de in dat artikel voorgeschreven compliancefunctie niet toelaatbaar is. De rechtbank heeft met DNB geconcludeerd dat appellante dit artikel heeft overtreden. Verder is de rechtbank van oordeel dat DNB appellante terecht heeft tegengeworpen dat zij in de periode van 20 september 2012 tot en met 27 november 2014 onvoldoende cliëntenonderzoek heeft uitgevoerd en dat appellante in haar bedrijfsvoering artikel 3, eerste lid en tweede lid, aanhef en onder d, van de Wwft heeft overtreden. Het bewijs van deze overtreding volgt volgens de rechtbank uit het door DNB verrichte dossieronderzoek. De op 27 en 28 november 2014 door een bestuurslid en een manager afgelegde verklaringen zijn naar het oordeel van de rechtbank niet nodig om deze overtreding te bewijzen. Ook is de rechtbank met DNB van oordeel dat appellante artikel 35 van de Wwft heeft overtreden, omdat zij in genoemde periode er geen zorg voor heeft gedragen dat haar werknemers voldoende bekend waren met de Wwft en op dat vlak (periodiek) opleidingen hebben genoten die hen in staat stelden een ongebruikelijke transactie te herkennen en (per 1 januari 2013) een cliëntenonderzoek goed en volledig uit te voeren. Volgens de rechtbank heeft DNB het bewijs van deze overtreding niet uitsluitend gebaseerd op de verklaringen van 27 en 28 november 2014. Het College bevestigt de aangevallen uitspraak. Deze uitspraak is gedaan door mr. J.L.W. Aerts, mr. W.A.J. van Lierop en mr. J.A.M. van den Berk, in aanwezigheid van mr. C.G.M. van Ede, griffier. De beslissing is in het openbaar uitgesproken op 3 maart 2020. w.g. J.L.W. Aerts w.g. C.G.M. van Ede Bijlage wettelijk kader Artikel 3:17 van de Wft: Een afwikkelonderneming, betaalinstelling, clearinginstelling, elektronischgeldinstelling, entiteit voor risico-acceptatie, bank, premiepensioeninstelling, verzekeraar of wisselinstelling met zetel in Nederland richt de bedrijfsvoering zodanig in dat deze een beheerste en integere uitoefening van haar onderscheidenlijk zijn bedrijf waarborgt. Bij of krachtens algemene maatregel van bestuur worden regels gesteld met betrekking tot het eerste lid. Deze regels hebben betrekking op: het beheersen van bedrijfsprocessen en bedrijfsrisico’s; integriteit, waaronder wordt verstaan het tegengaan van: 1°. belangenverstrengeling;2°. het begaan van strafbare feiten of andere wetsovertredingen door de financiële onderneming of haar werknemers, die het vertrouwen in de financiële onderneming of in de financiële markten kunnen schaden; 3°. relaties met cliënten die het vertrouwen in de financiële onderneming of in de financiële markten kunnen schaden; en4°. andere handelingen door de financiële onderneming of haar werknemers die op een dusdanige wijze ingaan tegen hetgeen volgens het ongeschreven recht in het maatschappelijk verkeer betaamt, dat hierdoor het vertrouwen in de financiële onderneming of in de financiële markten ernstig kan worden geschaad; c. de soliditeit van de financiële onderneming, waaronder wordt verstaan: 1°. het beheersen van financiële risico’s;2°. het beheersen van andere risico’s die de soliditeit van de financiële onderneming kunnen aantasten;3°. het zorgen voor de instandhouding van de vereiste financiële waarborgen; en4°. andere bij algemene maatregel van bestuur te bepalen onderwerpen; d. (…) 3. (…) 4. De Nederlandsche Bank kan op aanvraag geheel of gedeeltelijk, al dan niet voor bepaalde tijd, ontheffing verlenen van het op grond van het tweede lid bepaalde indien de aanvrager aantoont dat daaraan redelijkerwijs niet kan worden voldaan en dat de doeleinden die dit artikel beoogt te bereiken anderszins worden bereikt, tenzij het op grond van het tweede lid bepaalde betrekking heeft op het verlenen van een beleggingsdienst of verrichten van een beleggingsactiviteit of nevendienst. 5. (…) Artikel 21 van het Bpr: 1. Een betaalinstelling (…) beschikt over een organisatieonderdeel dat op onafhankelijke en effectieve wijze een compliancefunctie uitoefent. Het organisatieonderdeel heeft als taak het controleren van de naleving van wettelijke regels en van interne regels die de financiële onderneming of bijkantoor zelf heeft opgesteld.(…) Artikel 10, vierde lid, van de Richtlijn betaaldiensten: De bevoegde autoriteiten verlenen slechts vergunning indien de betalingsinstelling, gelet op de noodzaak een gezonde en prudente bedrijfsvoering van de betalingsinstelling te garanderen, solide governancesystemen voor het betalingsdienstenbedrijf heeft, waaronder een duidelijke organisatorische structuur met duidelijk omschreven, transparante en samenhangende verantwoordelijkheden, effectieve procedures voor de detectie, het beheer, de bewaking en verslaglegging van de risico’s waaraan zij blootstaat of bloot kan komen te staan, en adequate interne controleprocedures, zoals een goede administratieve en boekhoudkundige organisatie; die maatregelen en procedures zijn gedetailleerd uitgewerkt en staan in verhouding tot de aard, omvang en complexiteit van de werkzaamheden van de betaalinstelling. Artikel 3 van de Wwft: 1. Een instelling verricht ter voorkoming van witwassen en financieren van terrorisme cliëntenonderzoek. 2. Het cliëntenonderzoek stelt de instelling in staat om: (…) d. voor zover mogelijk, een voortdurende controle op de zakelijke relatie en de tijdens de duur van deze relatie verrichte transacties uit te voeren, teneinde te verzekeren dat deze overeenkomen met de kennis die de instelling heeft van de cliënt en van zijn risicoprofiel, met in voorkomend geval een onderzoek naar de bron van het vermogen. (…) Artikel 35 van de Wwft: Een instelling draagt er zorg voor dat haar werknemers, voor zover relevant voor de uitoefening van hun taken, bekend zijn met de bepalingen van deze wet en opleidingen genieten die hen in staat stellen een ongebruikelijke transactie te herkennen. 3. Tegen de uitspraak van de rechtbank heeft appellante in hoger beroep zeven gronden (door haar grieven genoemd) aangevoerd. 4. Grond 1 4.1 De eerste door appellante aangevoerde grond is gericht tegen de verwerping in overweging 4.2 van de bestreden uitspraak van haar betoog dat DNB niet langer bevoegd was tot het opleggen van boetes over te gaan. De rechtbank heeft dienaangaande het volgende overwogen: “ Als DNB een of meer overtredingen van geldende wet- en regelgeving constateert, is zij in beginsel bevoegd daartegen handhavend op te treden op de wijze die zij passend acht. Geen rechtsregel staat eraan in de weg dat DNB als zij een overtreding constateert zowel maatregelen gericht op herstel treft als een punitieve sanctie oplegt. Nieuwe feiten zijn daarvoor niet vereist. In de brief van 13 november 2015, waarin het normoverdragende gesprek en de waarschuwing schriftelijk zijn vastgelegd, is nadrukkelijk vermeld dat DNB zich het recht voorbehoudt punitieve sancties zoals boetes op te leggen.” 4.2 Appellante stelt, samengevat, dat het DNB niet langer vrijstond de boetes op te leggen, aangezien zij naar aanleiding van de feiten waarvoor de boetes zijn opgelegd al door middel van het geven van een waarschuwing tot handhaving was overgegaan. De handelwijze van DNB is volgens appellante onevenredig, onzorgvuldig en willekeurig. 4.3 Naar het oordeel van het College brengt de omstandigheid dat DNB reeds op andere wijze, namelijk door het geven van een aanwijzing, het voeren van een normoverdragend gesprek en het geven van een waarschuwing, kenbaar had gemaakt dat appellante tekortschoot in de naleving van wet- en regelgeving niet met zich dat DNB niet meer de bevoegdheid had om ter zake alsnog over te gaan tot oplegging van bestuurlijke boetes. Ook de rechtbank is hier terecht van uitgegaan. Het betoog van appellante dat DNB die bevoegdheid, kort gezegd, heeft verspeeld is niet juist. Ten aanzien van het gebruik van haar bevoegdheden heeft DNB in de schriftelijke bevestiging van de waarschuwing bovendien een voorbehoud opgenomen. Dit voorbehoud wijkt niet af van het dienaangaande door haar gevoerde handhavingsbeleid (Handhavingsbeleid van de Autoriteit Financiële Markten en de Nederlandsche Bank van 10 juli 2008, Stcrt. 2008, nr. 132, p. 30). De eerste grond van het hoger beroep slaagt niet. 5. Grond 2 5.1 De tweede hogerberoepsgrond van appellante is gericht tegen overweging 5.1 van de bestreden uitspraak ten aanzien van haar betoog dat de tijdens het onderzoek op 27 en 28 november 2014 door haar medewerkers afgelegde verklaringen niet aan de boetes ten grondslag hadden mogen worden gelegd. De overweging van de rechtbank luidt als volgt: “ Als dit betoog terecht is voorgedragen, wat de rechtbank uitdrukkelijk in het midden laat, kan het niet leiden tot het daarmee beoogde doel. Als de betreffende verklaringen worden uitgesloten van het bewijs, blijft naar het oordeel van de rechtbank voldoende bewijs over om te concluderen dat DNB de in beroep bestreden overtredingen buiten redelijke twijfel heeft aangetoond. De rechtbank zal dit hierna per overtreding toelichten.” 5.2 Appellante stelt, samengevat, dat bij de beoordeling van de feiten het door DNB opgestelde gespreksverslag van het toezichtbezoek buiten beschouwing moet worden gelaten voor zover daarin door DNB vermeende, en niet geverifieerde, verklaringen namens appellante zijn opgenomen. Appellante stelt dat DNB bevoegdheden heeft aangewend om de afgifte van wilsafhankelijk materiaal af te dwingen. Als niet kan worden uitgesloten dat het materiaal tevens in verband met een ‘criminal charge’ tegen de verstrekker zal worden gebruikt, hoort DNB in de vereiste waarborgen te voorzien. Gezien de dwang die van haar vorderingen uitgaat, had DNB aan haar vorderingen een hierop gerichte clausulering moeten verbinden. Nu die clausulering ontbreekt en het tijdens het toezichtonderzoek op 27 en 28 november 2014 verworven wilsafhankelijke materiaal voor een boeteoplegging is gebruikt, heeft DNB artikel 6 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) geschonden. Appellante en haar medewerkers zijn hierdoor benadeeld. De mondelinge verklaringen dienen volgens appellante van het bewijs te worden uitgesloten. 5.3 Het College overweegt dat ook in hoger beroep niet wordt toegekomen aan het betoog van appellante dat bedoelde verklaringen van het bewijs dienen te worden uitgesloten. Zoals uit het navolgende zal blijken, kunnen de hier aan de orde zijnde overtredingen ook zonder de inhoud van de verklaringen van 27 en 28 november 2014 worden bewezen. Derhalve treft ook de tweede grond van het hoger beroep geen doel. 6. Grond 3 6.1 Appellante bestrijdt hetgeen de rechtbank ten aanzien van de overtreding van artikel 21, eerste lid, van het Bpr heeft overwogen in de overwegingen 6.2 tot en met 6.4 en 6.7 van de bestreden uitspraak. Voor zover hier van belang betreft dit de volgende overwegingen, waarbij voor “ [naam 1] ” appellante moet worden gelezen: “ 6.2 (…) [naam 3] was als compliance officer onder meer verantwoordelijk voor de controle op de werkzaamheden waarvoor zij als leidinggevende verantwoordelijk was. Dat [naam 3] naar [naam 1] stelt niet zelf eerstelijnswerkzaamheden verrichtte, doet daar niet aan af. Zeker nu dat expliciet is vermeld in de onder 6.1 vermelde toelichting, kan er redelijkerwijs geen twijfel over bestaan dat een compliance officer geen verantwoordelijkheid mag dragen voor werkzaamheden die hij of zij vervolgens zelf moet controleren, zoals [naam 3] deed. De voorgeschreven onafhankelijkheid van de compliancefunctie is dan niet gewaarborgd, wat eveneens afbreuk doet aan de effectiviteit van deze functie. Hierdoor was het toezicht op naleving van de wettelijke regels en interne regels, voorschriften en procedures bij [naam 1] onvoldoende gewaarborgd. Gelet hierop volgt de rechtbank DNB in haar conclusie dat [naam 1] artikel 21, eerste lid, van het Bpr heeft overtreden. 6.3 Op grond van het wetsartikel en de toelichting daarop, als vermeld onder 6.1, had [naam 1] redelijkerwijs duidelijk kunnen en moeten zijn dat de daaraan door haar gegeven invulling in de periode van 1 juli 2014 tot en met 27 augustus 2015 niet toelaatbaar is. 6.4 De rechtbank volgt [naam 1] niet in haar standpunt dat artikel 21 van het Bpr in strijd is met artikel 10 van de Richtlijn betaaldiensten (2007/64/EG). Volgens [naam 1] bevat dit laatste artikel slechts een algemene norm en schrijft de richtlijn niet voor dat betaalinstellingen beschikken over een compliancefunctie.Zoals DNB terecht naar voren brengt, is een richtlijn verbindend wat betreft het door de lidstaten te behalen resultaat en staat het de lidstaten vrij binnen de grenzen van het Unierecht de middelen te kiezen om dit resultaat te bereiken. De rechtbank ziet geen grond voor het oordeel dat artikel 21, eerste lid, van het Bpr niet kan worden gezien als een geschikt en proportioneel middel om te bereiken dat betaalinstellingen beschikken over (bijvoorbeeld) effectieve procedures voor de detectie, het beheer, de bewaking en de vaststelling van de risico’s waaraan zij blootstaan of bloot kunnen komen te staan en over adequate interne controleprocedures, zoals artikel 10 van de Richtlijn betaaldiensten voorschrijft.Het door [naam 1] aangehaalde arrest Ratti van 5 april 1979 van het Hof van Justitie van (toen nog) de Europese Gemeenschappen (ECLI:EU:C:1979:110) leidt niet tot een ander oordeel. Dit arrest heeft geen betrekking op de Richtlijn betaaldiensten. Evenmin volgt uit dit arrest een algemene rechtsregel die met zich brengt dat artikel 21, eerste lid, van het Bpr in strijd is met het Unierecht. (…) 6.7 De stelling van [naam 1] dat een uitzondering moet worden gemaakt op de eis van artikel 21, eerste lid, van het Bpr vanwege de geringe omvang van de organisatie wordt niet gevolgd. Niet aannemelijk is geworden dat [naam 1] vanwege het zijn van een kleine organisatie redelijkerwijs geen andere mogelijkheid had dan de compliancefunctie te combineren met andere functies binnen de organisatie omdat het vereiste anders een onevenredige last voor de onderneming zou zijn. Bij het aantreden van [naam 3] was de organisatie groter dan bij de vergunningverlening en was sprake van verschillende teams die werden aangestuurd door managers. Volgens de verklaringen van [naam 4] in het verslag van de hoorzitting in bezwaar was de combinatie van functies ingegeven door praktische voordelen, te weten dat [naam 3] relevante ervaring zou opdoen en voldoende uitdaging zou houden. Hieruit volgt geen organisatorische noodzaak om de aanvankelijk door DNB vergunde uitzondering op artikel 21, eerste lid, van het Bpr ook na 1 juli 2014 te handhaven, laat staan zonder overleg met en instemming van DNB.” 6.2 Appellante bestrijdt dat de compliancefunctie in de periode van 1 juli 2014 tot 27 augustus 2015 in strijd met artikel 21, eerste lid, van het Bpr was ingericht. Uit de toelichting bij dit artikel volgt dat het haar vrij stond een proportionele invulling te geven aan de open norm een onafhankelijke en effectieve compliancefunctie in te richten. De regelgeving biedt geen grondslag voor de opvatting van DNB dat een compliance officer geen leidinggevende werkzaamheden kan verrichten met betrekking tot bepaalde activiteiten binnen de organisatie. Appellante heeft aan de compliancefunctie een evenredige invulling gegeven. DNB heeft onvoldoende rekening gehouden met de specifieke aard en omvang van haar bedrijf. Als online betaaldienstverlener verleent appellante een betrekkelijk eenvoudige dienst en opereert zij binnen een beduidend eenvoudiger regelgevend kader dan bijvoorbeeld een bank of verzekeraar. De stelling van DNB dat bij 26 medewerkers niet langer sprake is van een kleine onderneming is gezocht. Artikel 2:396, eerste lid, aanhef en onder c, van het Burgerlijk Wetboek legt de grens bij 50 werknemers. Verder heeft DNB niet onderbouwd waarom de combinatie van taken van [naam 3] – die tevens hoofd was van de afdelingen Screening & Risk en Customer Support – maakte dat niet aan de eisen van onafhankelijkheid en effectiviteit werd voldaan. Het feit dat de toelichting op artikel 21 van het Bpr vermeldt dat de onafhankelijkheid onder meer inhoudt dat de personen die betrokken zijn bij het organisatieonderdeel dat de compliancefunctie uitoefent, niet betrokken mogen zijn bij het verlenen van diensten en activiteiten waarop zij toezicht houden (Staatsblad 2007, nr. 407), betekent niet dat het combineren van bepaalde taken onder alle omstandigheden in de weg staat aan een onafhankelijke compliancefunctie. De compliancefunctie was in bedoelde periode bij appellante voldoende adequaat geborgd. Er was een adequate scheiding tussen toezichthoudende en uitvoerende taken. Volgens appellante kan een open norm alleen door middel van bestraffing worden gehandhaafd als sprake is van een onmiskenbare schending. Daarvan is in dit geval geen sprake. De uitleg die DNB geeft aan artikel 21, eerste lid, van het Bpr is onvoldoende duidelijk en was voor appellante ten tijde van belang niet kenbaar. Voor zover haar bekend, bestond er toen ook geen ‘guidance’ met betrekking tot de invulling van de compliancefunctie door een betaalinstelling als appellante en het combineren van functies in dat verband. DNB stelt thans dat een compliance officer zich volledig met de compliancefunctie bezig zou moeten houden. Uit het feit dat de visie van DNB indertijd ter harte is genomen, kan niet worden geconcludeerd dat appellante met de aanstelling van [naam 3] als compliance officer onjuist heeft gehandeld. Appellante wijst erop dat de ten tijde van belang van toepassing zijnde Richtlijn 2007/64/EG van het Europees Parlement en de Raad van 13 november 2007 betreffende betalingsdiensten in de interne markt tot wijziging van de Richtlijnen 97/7/EG, 2002/65/EG, 2005/60/EG en 2006/48/EG, en tot intrekking van Richtlijn 97/5/EG (Richtlijn betaaldiensten) geen vereisten stelt aan de compliancefunctie. Deze richtlijn – waarmee maximale harmonisatie is beoogd – bevat zelfs in het geheel geen verplichting voor betaalinstellingen om over een compliancefunctie te beschikken. Artikel 10, vierde lid, van deze richtlijn stelt een algemene norm en benadrukt het vereiste van proportionaliteit op basis van de aard, omvang en complexiteit van de werkzaamheden van de betaalinstelling. Door betaalinstellingen aan artikel 21 van het Bpr toe te voegen, legt de wetgever verplichtingen op die verder gaan dan wat de Europese wetgever heeft voorgeschreven. Artikel 21 van het Bpr dient daarom buiten toepassing te worden gelaten en de tekst van de richtlijn dient te worden toegepast of artikel 21 dient richtlijnconform te worden uitgelegd. Bij twijfel over de uitleg van artikel 10 van de Richtlijn betaaldiensten dient het College prejudiciële vragen te stellen. 6.3 Naar het oordeel van het College kan op basis van het organigram van de onderneming van appellante en hetgeen zij in reactie op het voornemen van DNB om haar een boete op te leggen in haar zienswijze naar voren heeft gebracht, worden vastgesteld dat [naam 3] eerstelijnswerkzaamheden uitvoerde, althans dat zij daar als manager voor verantwoordelijk was, en voorts dat zij op grond van de compliancefunctie tot taak had mede die werkzaamheden te controleren. Appellante heeft in wezen ook niet betwist dat [naam 3] haar werkzaamheden op deze manier uitvoerde. Duidelijk is verder dat DNB ten tijde van de vergunningverlening vanwege de toen geringe omvang van de onderneming ermee heeft ingestemd dat de compliancefunctie voorlopig bij een (niet bij de dagelijkse bedrijfsvoering betrokken) lid van het bestuur zou worden belegd. Appellante wist dat dit een tijdelijke situatie zou zijn en dat DNB de voorwaarde had gesteld dat een wijziging dienaangaande meteen moest worden gemeld. Toen de compliancefunctie vanaf 1 juli 2014 door [naam 3] werd vervuld, heeft appellante dit, naar zij stelt, aan DNB gemeld, waarbij overigens niet is meegedeeld welke andere leidinggevende taken [naam 3] had. Dat DNB hierop niet heeft gereageerd – daargelaten of zij het bericht heeft ontvangen – betekent, zoals de rechtbank heeft overwogen, niet dat zij ermee heeft ingestemd. Gezien deze feiten en omstandigheden is naar het oordeel van het College terecht geconcludeerd dat appellante in de periode van 1 juli 2014 tot 27 augustus 2015 de in artikel 21, eerste lid, van het Bpr gestelde eis van een onafhankelijke compliancefunctie niet heeft nageleefd. Ten aanzien van het betoog van appellante dat artikel 21, eerste lid, van het Bpr buiten toepassing dient te worden gelaten (dan wel richtlijnconform dient te worden uitgelegd), omdat dit artikel geen juiste implementatie vormt van artikel 10, vierde lid, van de Richtlijn betaaldiensten, overweegt het College het volgende. De vaststelling van DNB dat appellante in de hier aan de orde zijnde periode ten onrechte niet over een organisatieonderdeel beschikte dat op onafhankelijke en effectieve wijze een compliancefunctie uitoefent, is naar het oordeel van het College in de omstandigheden van dit geval een toepassing van aan een betalingsinstelling te stellen eisen van deugdelijk bestuur die overeenkomt met artikel 10, vierde lid, van de Richtlijn betaaldiensten. Dit artikel verlangt immers dat de betalingsinstelling solide governancesystemen voor het betalingsdienstenbedrijf heeft, waaronder adequate interne controleprocedures. Duidelijk is dat de omstandigheden die ten tijde van de vergunningverlening voor DNB reden waren geweest om het beleggen van de compliancefunctie bij een bestuurslid als een in de situatie van appellante vooralsnog adequate maatregel te beschouwen – te weten dat de organisatie erg klein was en dat de compliancefunctie door een bestuurder zou worden uitgeoefend – in de overtredingsperiode niet meer van toepassing waren. De onderneming van appellante was gegroeid, beschikte inmiddels over een middenkader en had de compliancefunctie bij een manager ( [naam 3] ) belegd. [naam 3] gaf leiding aan en was verantwoordelijk voor de uitvoering van de eerstelijnswerkzaamheden, waaronder die op het terrein van Screening & Risk, waarover de controle die zij in het kader van compliance diende uit te oefenen zich mede uitstrekte. De onverenigbaarheid van deze functies brengt reeds met zich dat niet kan worden staande gehouden dat appellante de op haar rustende verplichting heeft nageleefd om de compliancefunctie op een adequate wijze binnen haar organisatie vorm te geven. Nu de toepassing van artikel 10, vierde lid, van de Richtlijn betaaldiensten in dit geval duidelijk is, ziet het College geen aanleiding tot het stellen van prejudiciële vragen. De derde grond van het hoger beroep slaagt derhalve niet. 7. Grond 4 7.1 Tevens bestrijdt appellante het oordeel van de rechtbank dat zij artikel 3, tweede lid, aanhef en onder d, van de Wwft heeft overtreden en hetgeen de rechtbank ten aanzien daarvan in de overwegingen 7.2 tot en met 7.4 en 6.7 van de bestreden uitspraak heeft overwogen: “ 7.2 Volgens DNB heeft [naam 1] deze bepaling overtreden in de periode van 20 september 2012 tot en met 27 november 2014. Dat de tekst van deze bepaling in die periode is gewijzigd is hier niet van belang, omdat deze wijziging geen betrekking heeft op het vaststellen van het risicoprofiel, maar op de controle en de wijziging vooral een verduidelijking is. 7.3 Uit de memorie van toelichting op dit artikellid (TK 2007-2008, 31 238, nr. 3, blz. 18) volgt dat het van belang is dat de instelling periodiek toetst of de cliënt nog voldoet aan het risicoprofiel, zoals dat is opgesteld bij aanvang van de dienstverlening. Instellingen kunnen immers alleen ongebruikelijke transacties opmerken als ze een goed beeld hebben van de betreffende cliënt. Indien uit bepaalde transacties blijkt dat de cliënt afwijkt van het profiel, dient de instelling na te gaan welke risico’s dit oplevert. Uit de wettekst en de toelichting daarop volgt naar het oordeel van de rechtbank voldoende duidelijk dat een betaalinstelling bij aanvang van de dienstverlening een risicoprofiel van de (nieuwe) cliënt moet opstellen. 7.4 DNB heeft [naam 1] kunnen verwijten dat zij in de overtredingsperiode in drie (van de zeven) door DNB onderzochte dossiers ( [naam 5] , [naam 6] en [naam 7] ) bij aanvang van de relatie geen schriftelijk risicoprofiel van de cliënt heeft vastgelegd in het dossier. In de overige onderzochte dossiers heeft [naam 1] de risico-indeling niet uitgevoerd op basis van de juiste indicatoren, te weten de criteria die in het Handboek KYC (know your customer; ken uw cliënt) van [naam 1] zijn opgenomen en die betrekking hebben op de Wwft (witwassen), maar op basis van criteria die gelieerd zijn aan fraude. Dat de dossiers volgens [naam 1] wel zijn ingedeeld in een bepaalde risico-categorie is onvoldoende om te spreken van een risicoprofiel aan de hand waarvan het handelen van de cliënt voortdurend kan worden gemonitord. Als niet duidelijk is waarom tot een bepaalde categorisering is gekomen, is ook niet duidelijk welke specifieke risico’s (vooral) van belang zijn in het kader van de door [naam 1] te verrichten controles in het kader van de naleving van de Wwft. De rechtbank is dan ook van oordeel dat DNB [naam 1] terecht heeft tegengeworpen dat zij onvoldoende cliëntenonderzoek heeft uitgevoerd en dat [naam 1] in haar bedrijfsvoering artikel 3, eerste lid en tweede lid, aanhef en onder d, van de Wwft heeft overtreden. Het bewijs van deze overtreding volgt uit het door DNB verrichte dossieronderzoek; het gebruik van de op 27 en 28 november 2014 afgelegde verklaringen is niet nodig om deze overtreding te bewijzen.” 7.2 Appellante betoogt dat artikel 3, tweede lid, aanhef en onder d, van de Wwft een open norm stelt. Het is aan de instelling te bepalen hoe aan het cliëntenonderzoek invulling wordt gegeven. De Wwft schrijft niet voor hoe dat onderzoek moet worden verricht, maar tot welk resultaat het onderzoek moet leiden. Het was appellante derhalve in beginsel toegestaan het cliëntenonderzoek in te richten zoals zij dat prudent achtte. In de periode 2012 tot en met 2014 vulden de instellingen en de toezichthouders de Wwft anders in dan nu. De invulling die DNB geeft aan de (veelal) open normen van de Wwft heeft in de loop der tijd nadrukkelijk meer uitwerking en diepgang gekregen. Uit de tijdens de overtredingsperiode beschikbare leidraden kan niet worden afgeleid dat per klant een risicoprofiel opgesteld had moeten worden. Een leidraad kan ‘guidance’ geven met betrekking tot een in de wet – hier de Wwft – verankerde term, maar kan geen zelfstandige verplichting in het leven roepen die geen duidelijke basis kent in de van toepassing zijnde wet- en regelgeving. DNB lijkt in dit geval het risico gebaseerde karakter, de open normen en de voortschrijdende duiding daarvan door haarzelf, uit het oog te verliezen. De uitleg die DNB voorstaat was in de overtredingsperiode niet al voldoende duidelijk bepaald en was toen ook niet kenbaar voor appellante. Uit de besluiten van DNB wordt niet duidelijk hoe de resultaatverplichtingen, waarvan DNB de naleving stelt te toetsen, concreet luiden en hoe zij heeft beoordeeld of appellante die resultaten heeft behaald. Voor zover DNB met deze resultaatverplichtingen invulling geeft aan de open normen, was dit voor marktpartijen onvoldoende duidelijk. Appellante stelt dat de Wwft uitsluitend de verplichting bevat om op risico gebaseerde wijze invulling te geven aan het cliëntenonderzoek en de monitorverplichtingen. De maatregelen in dat verband dienen diepgaander te zijn in geval van een hoger risico. Om deze reden heeft appellante haar cliënten in drie verschillende risicocategorieën ingedeeld. Van een verdergaande juridische verplichting is geen sprake. Appellante heeft in de betreffende periode een prudente invulling gegeven aan de open normen en heeft naar beste weten – met het oog op haar specifieke bedrijfsactiviteiten – het doel van de Wwft nageleefd, te weten voorkomen dat haar diensten worden gebruikt voor witwassen en financieren van terrorisme. Appellante betwist dat zij, door het enkele feit dat zij in drie door DNB onderzochte cliëntdossiers geen schriftelijk risicoprofiel heeft vastgelegd, in strijd met artikel 3, tweede lid, aanhef en onder d, van de Wwft heeft gehandeld. De bevinding van DNB dat de vastlegging van de reden voor indeling van een cliënt in een bepaalde categorie verbetering behoeft, maakt dit niet anders. Appellante heeft wel degelijk een risicoclassificatie aangebracht en zulks in haar interne systemen vastgelegd. Ondanks deze – aantoonbare – risicoclassificatie stelt DNB dat dit onvoldoende was. Niet duidelijk is wat DNB precies bedoelt met een ‘risicoprofiel’. Kennelijk leest DNB in bovengenoemd artikel niet alleen de verplichting een risicoclassificatie aan te brengen, maar tevens een verplichting om de redenen daarvan uit te werken en eveneens schriftelijk in het dossier op te nemen. Zoals gezegd, kan voor een dergelijke verplichting in de Wwft geen wettelijke basis worden gevonden. Dit betekent volgens appellante dat DNB niet buiten redelijke twijfel heeft aangetoond dat zij artikel 3, tweede lid, aanhef en onder d, van de Wwft heeft overtreden, zodat voor het opleggen van een boete geen juridische basis bestaat. 7.3 Het College overweegt dat ingevolge artikel 3, tweede lid, aanhef en onder d, van de Wwft het cliëntenonderzoek de instelling in staat stelt om een voortdurende controle op de zakelijke relatie en de tijdens de duur van deze relatie verrichte transacties uit te oefenen, teneinde te verzekeren dat deze overeenkomen met de kennis die de instelling heeft van de cliënt en diens risicoprofiel, met zo nodig een onderzoek naar de bron van de middelen die bij de zakelijke relatie of de transactie gebruikt worden. Het feit dat de instelling volgens dit artikellid in staat moet zijn “een voortdurende controle” uit te oefenen, veronderstelt dat de instelling de daartoe benodigde relevante gegevens (met betrekking tot het risicoprofiel) heeft vastgelegd. Dit volgt ook uit de door de rechtbank in overweging 7.3 van de bestreden uitspraak aangehaalde passage uit de memorie van toelichting bij artikel 3 van de Wwft. Als een instelling stelt dat zij het cliëntenonderzoek op een andere manier heeft georganiseerd, maar niettemin aan de in dit artikellid gestelde eisen voldoet, dan dient zij voldoende bewijs aan te dragen waaruit dat kan blijken. Appellante heeft naar het oordeel van het College echter niet inzichtelijk gemaakt hoe zij de voortdurende controle in de desbetreffende dossiers heeft vormgegeven. Het College is derhalve met de rechtbank van oordeel dat uit het door DNB verrichte dossieronderzoek – op grond waarvan is geconstateerd dat in drie dossiers geen cliëntonderzoek is verricht en in vier dossiers een risicoclassificatie plaatsgevonden zonder dat de redenen voor die classificatie zijn vastgelegd (en bovendien alleen naar de criteria voor fraude is gekeken) – blijkt dat appellante in de periode van 20 september 2012 tot en met 27 november 2014 artikel 3, tweede lid, aanhef en onder d, van de Wwft heeft overtreden. De door appellante overtreden norm is, gezien de memorie van toelichting bij dit artikel, voldoende duidelijk. De vierde hogerberoepsgrond slaagt niet. 8. Grond 5 8.1 Ook bestrijdt appellante het oordeel van de rechtbank dat zij artikel 35 van de Wwft heeft overtreden. Ten aanzien hiervan heeft de rechtbank in de overwegingen 8.3 tot en met 8.5 van de bestreden uitspraak het volgende overwogen: “ 8.3 Volgens DNB heeft [naam 1] deze bepaling overtreden in de periode van 20 september 2012 tot en met 27 november 2014. Dat de tekst van deze bepaling per 1 januari 2013 is gewijzigd, in die zin dat het nu moet gaan om periodiek gevolgde opleidingen, doet daar niet aan af. Ook in de periode van 20 september 2012 tot 1 januari 2013 moesten medewerkers voldoende zijn opgeleid. Dat dit toen nog niet periodiek hoefde te gebeuren, maakt gezien de beperkte duur van deze periode materieel geen verschil. Dat deze bepaling per 1 januari 2013 (ook) op een ander punt is geëxpliciteerd, is evenmin een hier relevante wijziging. 8.4 Door [naam 1] werd naar gesteld een introductiecursus over de Wwft en de Sw gegeven aan nieuwe medewerkers. Wat deze cursus inhield, heeft [naam 1] ook desgevraagd niet concreet onderbouwd, zodat niet aannemelijk is geworden dat met deze introductiecursus voldoende invulling is gegeven aan de opleidingsverplichting. De bij brief van 5 maart 2015 door [naam 1] overgelegde bijlage ‘onboarding en training nieuwe medewerkers’ volstaat niet. [naam 1] had bijvoorbeeld de sheets die [naam 4] tijdens de kennismakingscursus gebruikte of de lijst met do’s en don’ts over kunnen leggen. Daarnaast is niet gebleken van een herhaling of andere cursus op het gebied van de Wwft of Sw. Het verspreiden en regelmatig herzien van een lijst met do’s en don’ts op intranet kan – daargelaten dat deze lijst niet is overgelegd – niet worden gezien als het periodiek opleiden van medewerkers. Dat training on the job plaatsvond door koppeling van senior aan junior medewerkers is evenmin aannemelijk geworden door een concrete onderbouwing. Tijdens de hoorzitting in bezwaar heeft [naam 4] ook niet kunnen uitleggen waaruit de overige interne cursussen zouden bestaan waarop [naam 3] eerder doelde. Dat er regelmatig concrete zaken tijdens het werkoverleg werden besproken, is voor het eerst ter zitting aangevoerd en kan evenmin als periodieke opleiding in de zin van artikel 35 van de Wwft worden beschouwd. Dat [naam 3] voldoende getraind was, betekent niet dat dit voor de overige medewerkers ook gold. De rechtbank is dan ook van oordeel dat DNB aan [naam 1] terecht heeft tegengeworpen dat zij artikel 35 van de Wwft heeft overtreden, omdat [naam 1] in genoemde periode er geen zorg voor heeft gedragen dat haar werknemers voldoende bekend waren met de Wwft en op dat vlak (periodiek) opleidingen hebben genoten die hen in staat stelden een ongebruikelijke transactie te herkennen en (per 1 januari 2013) een cliëntenonderzoek goed en volledig uit te voeren. 8.5 Het bewijs van deze overtreding heeft DNB niet uitsluitend gebaseerd op de verklaringen van 27 en 28 november 2014. Zo verklaart [naam 1] in punt 20a van haar reactie op het rapport van bevindingen (deze reactie is bijlage 33 van het boeterapport) feitelijk dat haar medewerkers in de betreffende periode (nog) geen vervolgtrainingen of -opleidingen kregen. Daarnaast heeft DNB [naam 1] herhaaldelijk in de gelegenheid gesteld haar stellingen te concretiseren met bijvoorbeeld het gebruikte introductiemateriaal en de lijst van do’s en don’ts. [naam 1] heeft dat niet gedaan, waardoor haar stellingen op dit punt niet aannemelijk zijn geworden. Onder deze omstandigheden heeft DNB deze overtreding naar het oordeel van de rechtbank buiten redelijke twijfel aangetoond. (…) Dat in het rapport van 22 juli 2016 is geconstateerd dat inmiddels aan de opleidingsverplichting wordt voldaan, doet niet af aan de bevoegdheid van DNB om een bestuurlijke boete op te leggen omdat dit gedurende langere tijd niet het geval was.” 8.2 Appellante bestrijdt dat zij in de door DNB vastgestelde periode artikel 35 van de Wwft heeft overtreden. DNB heeft dit niet buiten redelijke twijfel aangetoond. Appellante stelt, samengevat, dat artikel 35 van de Wwft niet voorschrijft hoe in voldoende opleiding moet worden voorzien. Het gaat volgens haar om een inspanningsverplichting. Blijkens de wetsgeschiedenis heeft de opleidingsverplichting tot doel dat werknemers in staat zijn om ongebruikelijke transacties te herkennen. Juist dit onderwerp heeft, tezamen met het monitoren van de cliëntrelatie, in de desbetreffende periode voor de medewerkers centraal gestaan. Indien zij bewust en bekend worden gemaakt van en met deze onderwerpen, is naar het inzicht van appellante aan de wettelijke verplichting voldaan. Het voortdurend onder de aandacht van haar medewerkers brengen van de interne procedures en het herzien van de lijst met do’s en don’ts is volgens appellante een praktischer en effectievere opleiding dan het volgen van een cursus. DNB gaat er ten onrechte aan voorbij dat het erom gaat dat de medewerkers de materiële verplichtingen onder de Wwft kennen en daaraan in de praktijk uitvoering kunnen geven. Dit kan worden bereikt door aan de hand van uitgewerkte werkprocedures medewerkers voortdurend te trainen op een adequate toepassing daarvan en dit ook te controleren. Naleving van de Wwft vormt een integraal onderdeel van de bedrijfsvoering van appellante. Haar interne procedures zien onder meer nadrukkelijk op naleving van deze wet. De vereiste aandacht hiervoor was in de desbetreffende periode, naast de specifieke training bij indiensttreding van nieuwe medewerkers waarbij de Wwft nadrukkelijk aan bod kwam, geborgd door voortdurende training en controle op een juiste naleving van de binnen de onderneming gehanteerde procedures, die onder meer naleving van de Wwft beogen. 8.3 Het College is met de rechtbank van oordeel dat DNB terecht heeft vastgesteld dat appellante in de periode van 20 september 2012 tot en met 27 november 2014 is tekortgeschoten in de naleving van de opleidingsverplichting als bedoeld in artikel 35 van de Wwft. Zoals de rechtbank in overweging 8.5 van de bestreden uitspraak heeft overwogen, heeft DNB het bewijs van deze overtreding niet uitsluitend op de verklaringen van 27 en 28 november 2014 gebaseerd. Appellante heeft in haar reactie op het rapport van bevindingen immers feitelijk erkend dat zij de opleidingsverplichting heeft overtreden. Haar stellingen dat zij artikel 35 van de Wwft wel degelijk heeft nageleefd, heeft appellante niet aannemelijk gemaakt. Ter ondersteuning van haar stellingen omtrent het gebruikte introductiemateriaal, de interne procedures, de (herzieningen van) do’s en don’ts lijsten en ‘training on the job’ heeft appellante ook in hoger beroep niets overgelegd waaruit zou volgen dat zij wel degelijk aan haar opleidingsverplichting heeft voldaan. Ook voor zover appellante zich op het gelijkheidsbeginsel heeft beroepen, heeft zij geen (begin van) bewijs overgelegd. Ook de vijfde hogerberoepsgrond faalt. 9. Grond 6 9.1 De zesde grond van het hoger beroep van appellante is gericht tegen hetgeen de rechtbank in de overwegingen 9 en 9.1 van de bestreden uitspraak ten aanzien van het betoog van appellante over de verwijtbaarheid van de overtredingen heeft overwogen: “ 9. Het betoog van [naam 1] dat de overtredingen haar niet of in mindere mate kunnen worden verweten, omdat zij er op grond van de vergunningverlening door DNB op mocht vertrouwen dat haar beleid en procedures juist en volledig waren, faalt. 9.1 Op [naam 1] rust een eigen verantwoordelijkheid om zich aan de wet- en regelgeving te houden. Door kennis te nemen van de tekst van de hier in geding zijnde artikelen en de daarbij behorende toelichtingen heeft zij zich een beeld kunnen vormen van het toepassingsbereik van deze bepalingen. De beoordeling door DNB in het kader van de vergunningverlening is op hoofdlijnen uitgevoerd. DNB heeft in dat kader niet uitputtend beoordeeld of alle procedures van [naam 1] volledig in lijn waren met de Wwft en het Bpr. Ten aanzien van de onafhankelijke compliancefunctie is een specifiek voorschrift aan de vergunning verbonden, zoals vermeld in 6.5 van deze uitspraak. DNB heeft niet het gerechtvaardigde vertrouwen gewekt dat bij de vergunningverlening is vastgesteld dat [naam 1] aan alle geldende voorschriften voldeed. Bovendien doet de verlening van deze vergunning geen afbreuk aan de eigen verantwoordelijkheid van [naam 1] om zelf doorlopend en in elk geval periodiek na te (blijven) gaan of zij voldoet aan de geldende wet- en regelgeving.” 9.2 Appellante stelt, samengevat, dat de boeteoplegging in dit geval onredelijk is doordat het vertrouwensbeginsel is geschonden en de verwijtbaarheid ontbreekt. Tevens zijn de boetes in strijd met het verbod van willekeur opgelegd. Ten aanzien van de boete wegens het niet beschikken over een onafhankelijke en effectieve compliance functie stelt appellante dat bij haar het gerechtvaardigde vertrouwen heeft kunnen bestaan dat haar beleid en procedures ten aanzien van onder andere de compliance functie juist en volledig waren, nu deze in het kader van de vergunningverlening door DNB in orde waren bevonden. Volgens appellante is DNB niet op dit standpunt ingegaan en heeft de rechtbank DNB ten onrechte in bescherming genomen. Ten aanzien van de boete wegens tekortschietende naleving van de verplichting tot cliëntmonitoring en van de opleidingsverplichting stelt appellante dat voor haar onduidelijk is hoe DNB de betreffende normen, zoals zij stelt, ‘risicobased’ heeft beoordeeld. Verder stelt DNB weliswaar dat er in 2014 met betrekking tot de uitleg van bedoelde Wwft-normen voldoende ‘guidance’ beschikbaar was, maar is, gelet op de beweerde overtredingsperiode, niet duidelijk hoe guidance uit 2014 had kunnen bijdragen aan de kennis van marktpartijen op dat vlak in 2012. De opmerking van DNB dat de geconstateerde overtredingen talrijker waren dan die waarvoor een bestuurlijke boete is opgelegd, vindt appellante onnodig grievend en ongepast. 9.3 Het College onderschrijft hetgeen de rechtbank ten aanzien van appellantes betoog over de verwijtbaarheid van de overtredingen heeft overwogen en maakt die overwegingen tot de zijne. Zoals het College ten aanzien van de overtreding van artikel 21, eerste lid, van het Bpr al heeft overwogen, heeft DNB bij de vergunningverlening aan appellante voorwaarden gesteld, was voor appellante helder dat sprake was van een uitzonderingssituatie die niet kon voortduren en is DNB over de vereiste onafhankelijkheid voldoende duidelijk geweest. Ook met betrekking tot de op grond van de Wwft op appellante rustende cliëntmonitoring- en opleidingsverplichting was ten tijde van de vergunningverlening voor appellante voldoende duidelijk waar zij aan moest voldoen. Er bestaat ook naar het oordeel van het College geen grond voor het oordeel dat de overtredingen appellante niet of in mindere mate kunnen worden verweten. 10. Grond 7 10.1 De zevende hogerberoepsgrond is gericht tegen de verwerping door de rechtbank van het betoog van appellante dat de hoogte van de opgelegde boetes onevenredig is. Ten aanzien hiervan heeft de rechtbank in de overwegingen 10.1 tot en met 10.3 van de bestreden uitspraak het volgende overwogen: “ 10.1 Allereerst is van belang dat het basisboetebedrag bij overtreding van artikel 3, tweede lid, aanhef en onder d, van de Wwft en bij overtreding van artikel 21, eerste lid, van het Bpr € 500.000,- is. Gelet op de omvang van [naam 1] in verhouding tot de overige onder toezicht staande betaalinstellingen en de overige omstandigheden heeft DNB aanleiding gezien beide boetes fors te matigen, namelijk tot 10% van het basisbedrag. Hiermee is [naam 1] naar het oordeel van de rechtbank niet tekortgedaan. 10.2 Naar het oordeel van de rechtbank beschouwt DNB de in beroep aangevochten overtredingen van [naam 1] mede gezien de duur ervan terecht als ernstig. De invulling die [naam 1] gaf aan de compliancefunctie was in strijd met de eis van onafhankelijkheid. Het ontbreken van een risicoprofiel en adequate opleidingen bemoeilijken het bereiken van de doelstellingen van de Wwft. Dat consumenten volgens [naam 1] geen schade hebben geleden en dat eventuele schade is gecompenseerd, hoefde DNB naar het oordeel van de rechtbank niet tot verdere matiging van de boetes te brengen. Zoals al volgt uit de naam van de Wwft, heeft deze wet niet primair tot doel de belangen van consumenten te beschermen; met de Wwft wordt beoogd het witwassen van opbrengsten uit misdrijven en het financieren van terrorisme tegen te gaan. Het overtreden van de normen door [naam 1] brengt deze doelstellingen in gevaar. Het ontbreken van een onafhankelijke compliancefunctie brengt daarnaast ernstige risico’s met zich voor de integere en beheerste bedrijfsvoering van een financiële onderneming en daarmee de soliditeit ervan. Dat geen sprake is van recidive verplicht DNB niet tot verdere matiging van de opgelegde boetes. Dat [naam 1] inmiddels maatregelen heeft getroffen om haar interne organisatie te verbeteren, doet aan de aard, ernst en boetewaardigheid van de overtredingen niet af. 10.3 Ter zitting heeft [naam 1] nog opgemerkt dat zij bij overschrijding van de redelijke termijn aanspraak maakt op matiging van de boetes.