ECLI:NL:RBROT:2021:3342

RECHTBANK ROTTERDAM Zittingsplaats Rotterdam Bestuursrecht zaaknummer: ROT 19/5630 uitspraak van de meervoudige kamer van 9 april 2021 in de zaak tussen [Eiseres] , gevestigd te [vestigingsplaats] , eiseres ( [eiseres] ) gemachtigde: mr. F.M.A. 't Hart, en De Nederlandsche Bank N.V., verweerster (DNB) gemachtigden: mr. A.J. de Heer en mr. C. de Rond. Bij besluit van 13 maart 2019 (primaire besluit) heeft DNB aan [eiseres] een aanwijzing gegeven en zeven gedragslijnen opgelegd. Als grondslag daarvoor worden in het primaire besluit artikel 1:75, eerste lid, van de Wet op het financieel toezicht (Wft), artikel 32 van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) en artikel 10ba van de Sanctiewet 1977 (Sw) vermeld. Bij besluit van 26 september 2019 (beslissing op bezwaar; bestreden besluit 1) heeft DNB het primaire besluit herroepen voor zover daarbij gedragslijn 1, met betrekking tot het opstellen van een systematische integriteitrisicoanalyse (SIRA), is opgelegd. Tevens heeft DNB de motivering van het primaire besluit aangepast door in plaats van artikel 32 van de Wwft te verwijzen naar artikel 28 van de Wwft. [eiseres] heeft tegen het bestreden besluit beroep ingesteld. Bij besluit van 6 januari 2020 (wijzigingsbesluit; bestreden besluit 2) heeft DNB bestreden besluit 1 en het primaire besluit gewijzigd in die zin dat zij gedragslijnen 5 tot en met 7 en de rapportageverplichting heeft aangepast en de daaraan verbonden termijnen heeft verlengd. DNB heeft een verweerschrift ingediend. Het onderzoek ter zitting heeft met gesloten deuren plaatsgevonden op 8 maart 2021. [eiseres] heeft zich laten vertegenwoordigen door haar gemachtigde, vergezeld door [naam 1] , [naam 2] , directielid, en [naam 3] , general counsel. DNB heeft zich laten vertegenwoordigen door mr. C. de Rond, vergezeld door [naam 4] , [naam 5] en [naam 6] , allen werkzaam bij DNB. De rechtbank: verklaart het beroep gegrond; vernietigt bestreden besluit 1 en bestreden besluit 2 voor zover deze betrekking hebben op de externe validatie van de uitvoering van de aanwijzing; herroept het primaire besluit in zoverre; bepaalt dat deze uitspraak in de plaats treedt van het vernietigde gedeelte van bestreden besluit 1 en bestreden besluit 2; bepaalt dat DNB aan [eiseres] € 354,- aan griffierecht vergoedt; veroordeelt DNB in de proceskosten van [eiseres] tot een bedrag van € 3.204,-. Deze uitspraak is gedaan door mr. A.C. Rop, voorzitter, en mr. D. Haan en mr. D.J.M. de Grave, leden, in aanwezigheid van mr. E. Naaijen-van Kleunen, griffier. De uitspraak is uitgesproken in het openbaar op 9 april 2021. De griffier en de voorzitter zijn verhinderd de uitspraak te ondertekenen. griffier voorzitter Een afschrift van deze uitspraak is verzonden aan partijen op: Bent u het niet eens met deze uitspraak? Als u het niet eens bent met deze uitspraak, kunt u een brief sturen naar het College van Beroep voor het bedrijfsleven waarin u uitlegt waarom u het er niet mee eens bent. Dit heet een hogerberoepschrift. U moet dit hogerberoepschrift indienen binnen zes weken na de dag waarop deze uitspraak is verzonden. U ziet deze datum hierboven. Bijlage Op grond van artikel 1:75, eerste lid, van de Wft, voor zover hier relevant, kan de toezichthouder een persoon die niet voldoet aan hetgeen bij of krachtens deze wet is bepaald, door middel van het geven van een aanwijzing verplichten om binnen een door de toezichthouder gestelde redelijke termijn ten aanzien van in de aanwijzingsbeschikking aan te geven punten een bepaalde gedragslijn te volgen. Op grond van het vierde lid van dit artikel strekt een op grond van het eerste of tweede lid aan een persoon gegeven aanwijzing niet tot aantasting van overeenkomsten tussen die persoon en derden. Op grond van artikel 28 van de Wwft kan de toezichthoudende autoriteit een ieder die niet voldoet aan een ingevolge deze wet op hem rustende verplichting een aanwijzing geven om binnen een door de toezichthoudende autoriteit gestelde redelijke termijn ten aanzien van in de aanwijzingsbeschikking aan te geven punten een bepaalde gedragslijn te volgen. Op grond van artikel 10ba van de Sw, zoals dit artikel ten tijde van belang luidde, kan Onze Minister van Financiën indien een instelling als bedoeld in artikel 10, tweede lid, onder a tot en met j, niet voldoet aan haar verplichtingen ingevolge artikel 10b, door middel van het geven van een aanwijzing die instelling verplichten binnen een door hem gestelde redelijke termijn ten aanzien van in de aanwijzingsbeschikking aan te geven punten een bepaalde gedragslijn te volgen. 1.1 [eiseres] beschikt sinds 18 mei 2011 over een vergunning voor het uitoefenen van het bedrijf van betaaldienstverlener. Zij biedt betaaloplossingen aan voor het midden- en kleinbedrijf in Nederland. 1.2 In een auditrapport van EY van 31 oktober 2017 is geconcludeerd dat [eiseres] op dat moment niet voldeed aan de wettelijke verplichtingen voor identificatie van haar klanten (de Know Your Customer processen). Naar aanleiding van het rapport heeft DNB bij brief van 15 februari 2018 aangekondigd onderzoek te gaan doen gericht op naleving door [eiseres] van de Wft, Wwft en Sw. Het onderzoek behelsde onder meer een onderzoek op het kantoor van [eiseres] op 19, 20 en 22 maart 2018. Verder zijn er interviews gehouden, zijn het transactiemonitoringsproces en -systeem beoordeeld en zijn twintig cliëntdossiers inclusief het cliëntacceptatie- en cliëntmonitoringsproces beoordeeld. Bij brief van 6 juli 2018 heeft DNB de definitieve bevindingen van het onderzoek vastgesteld, waarin een aantal overtredingen zijn geconstateerd. DNB heeft onder meer vastgesteld dat [eiseres] niet over een SIRA en adequate procedures en maatregelen ter beheersing van de integriteitsrisico’s beschikte. [eiseres] verrichtte daarnaast geen (adequaat) cliëntenonderzoek, verrichtte onvoldoende transactiemonitoring en voortdurende controle en paste geen adequate sanctiescreening toe. Ook het beleid en de procedures op het gebied van transactiemonitoring, voor zover al opgesteld, waren ontoereikend. 1.3 Na bij brief van 21 december 2018 een voornemen tot het geven van een aanwijzing aan [eiseres] kenbaar te hebben gemaakt en kennis te hebben genomen van de zienswijze van [eiseres] daarop, heeft DNB [eiseres] bij het primaire besluit een aanwijzing gegeven. Vervolgens heeft besluitvorming plaatsgevonden als weergegeven onder het procesverloop. 1.4 Het tegen bestreden besluit 1 ingestelde beroep is op grond van artikel 6:19, eerste lid, van de Algemene wet bestuursrecht (Awb) mede gericht tegen bestreden besluit 2. In het verweerschrift en ter zitting heeft DNB verklaard dat met bestreden besluit 2 geen wijziging is beoogd van de bij het primaire besluit opgelegde gedragslijn 4 met uitzondering van de daaraan verbonden termijn die is verlengd tot 1 mei 2021. [eiseres] heeft daarop verklaard geen belang meer te hebben bij beoordeling van bestreden besluit 2 op dat punt. 2.1 De gedragslijnen zoals gewijzigd bij bestreden besluit 2 luiden: “Beleid, procedures en maatregelen 2) [eiseres] dient uiterlijk 1 juni 2019 - met inachtneming van haar systematische integriteitsrisicoanalyse als bedoeld in onderdeel 1 - beleid, procedures en maatregelen op te stellen en te implementeren conform artikel 10, tweede lid tot en met vierde lid, van het Bpr teneinde de vereisten uit de Wwft met betrekking tot het uitvoeren van cliëntenonderzoek, transactiemonitoring en de vereisten uit de Sanctieregelgeving met betrekking tot het controleren van relaties tegen de sanctielijsten na te kunnen leven, en een integere bedrijfsvoering te waarborgen als bedoeld in artikel 3:10, eerste lid, van de Wft in samenhang bezien met artikel 3:17, eerste lid, van de Wft. Transactiemonitoringsysteem 3) [eiseres] dient uiterlijk 1 juli 2019 te beschikken over een adequaat transactiemonitoringsysteem en -proces, waarmee effectief ongebruikelijke transacties worden gedetecteerd, onderzocht en afgehandeld, zodat [eiseres] voldoet aan de eis van voortdurende controle als bedoeld in artikel 3, tweede lid, aanhef en onder d, van de Wwft en tijdig meldingen doet als bedoeld in artikel 16, eerste lid, van de Wwft. 4) [eiseres] dient uiterlijk 1 oktober 2019 aan DNB een door een onafhankelijke, externe en deskundige partij opgesteld rapport van een (model)validatie van het in onderdeel 4 bedoelde transactiemonitoringssysteem toe te zenden. Cliëntenonderzoek 5) [eiseres] dient uiterlijk 1 maart 2021 te bewerkstelligen dat - ten aanzien van alle cliënten waarmee [eiseres] de relatie aangaat of continueert - de cliëntendossiers aantoonbaar voldoen aan de eisen die de Wwft aan cliëntenonderzoek stelt. Het voorgaande brengt met zich dat de cliëntendossiers waar nodig zijn gecompleteerd en adequaat is vastgelegd welke afweging is gemaakt om een cliënt te accepteren of te behouden dan wel om de cliëntrelatie te beëindigen. a. Meer specifiek dient [eiseres] uiterlijk 1 juli 2020 de zakelijke relatie van alle door haar aangemerkte onacceptabele cliënten te zijn beëindigd. b. Meer specifiek dient [eiseres] uiterlijk 1 juli 2020 te bewerkstelligen dat - ten aanzien van alle door haar aangemerkte hoog risico cliënten waarmee [eiseres] de relatie aangaat of continueert - de cliëntendossiers aantoonbaar voldoen aan de eisen die de Wwft aan cliëntenonderzoek stelt. Het voorgaande brengt met zich dat de hoog risico cliëntendossiers waar nodig zijn gecompleteerd en adequaat is vastgelegd welke afweging is gemaakt om een cliënt te accepteren of te behouden dan wel om de cliëntrelatie te beëindigen. c. Meer specifiek dient [eiseres] uiterlijk 1 december 2020 te bewerkstelligen dat - ten aanzien van alle door haar aangemerkte complexe, niet hoog risico, cliënten waarmee [eiseres] de relatie aangaat of continueert - de cliëntendossiers aantoonbaar voldoen aan de eisen die de Wwft aan cliëntenonderzoek stelt. Het voorgaande brengt met zich dat de complexe, niet hoog risico, cliëntendossiers waar nodig zijn gecompleteerd en adequaat is vastgelegd welke afweging is gemaakt om een cliënt te accepteren of te behouden dan wel om de cliëntrelatie te beëindigen. d. Meer specifiek dient [eiseres] uiterlijk 1 maart 2021 te bewerkstelligen dat - ten aanzien van alle door haar aangemerkte niet complexe, niet hoog risico, cliënten waarmee [eiseres] de relatie aangaat of continueert - de cliëntendossiers aantoonbaar voldoen aan de eisen die de Wwft aan cliëntenonderzoek stelt. Het voorgaande brengt met zich dat de niet complexe, niet hoog risico, cliëntendossiers waar nodig zijn gecompleteerd en adequaat is vastgelegd welke afweging is gemaakt om een cliënt te accepteren of te behouden dan wel om de cliëntrelatie te beëindigen. Sanctiescreening 6) [eiseres] dient uiterlijk 1 maart 2021 al haar relaties als bedoeld in de Regeling toezicht Sanctiewet 1977 te hebben geïdentificeerd en gecontroleerd tegen de op basis van de Sanctieregelgeving geldende sanctielijsten. Interne en externe validatie 7) [eiseres] laat haar interne audit de resultaten en kwaliteit van haar werkzaamheden ter uitvoering van de onderdelen 2 (beleid, procedures en maatregelen), 5 (cliëntenonderzoek) en 6 (sanctiescreening) van de gedragslijn, als bedoeld in de besluiten van 13 maart 2019, 26 september 2019 en het onderhavige besluit, beoordelen. De door de interne audit verrichte werkzaamheden worden door een met instemming van DNB geselecteerde onafhankelijke, externe en deskundige partij gecontroleerd op de juistheid daarvan. Ook dient [eiseres] in dit verband een door een onafhankelijke, externe en deskundige partij opgesteld rapport van een (model)validatie van het transactiemonitoringssysteem, zoals bedoeld in onderdeel 3 en 4 (transactiemonitoringssysteem) van de gedragslijn, die is opgenomen in de besluiten van 13 maart 2019 en 26 september 2019, te overleggen. 6. Gelet op wat is overwogen onder 5.6 is het beroep gegrond. De rechtbank zal bestreden besluit 1 en bestreden besluit 2 vernietigen voor zover deze betrekking hebben op de externe validatie van de uitvoering van de aanwijzing. Verder zal de rechtbank zelf in de zaak voorzien door het primaire besluit in zoverre te herroepen. Dit betekent dat onderdeel 4 helemaal en onderdeel 7 wat betreft de externe validatie van de (gewijzigde) aanwijzing komen te vervallen. 7. Omdat de rechtbank het beroep gegrond verklaart, zal zij bepalen dat DNB aan [eiseres] het door haar betaalde griffierecht vergoedt. 8. De rechtbank veroordeelt DNB in de door [eiseres] gemaakte proceskosten. Deze kosten stelt de rechtbank op grond van het Besluit proceskosten bestuursrecht voor de door een derde beroepsmatig verleende rechtsbijstand vast op € 3.204,- (1 punt voor het indienen van het bezwaarschrift, 1 punt voor het verschijnen op de hoorzitting, 1 punt voor het indienen van het beroepschrift en 1 punt voor het verschijnen ter zitting met een waarde per punt van € 534,- en wegingsfactor 1,5). DNB ontvangt uiterlijk 1 mei 2021 voornoemde validatierapporten tezamen met een schriftelijke verklaring waarin het bestuur van [eiseres] aan DNB bevestigt dat voldaan is aan alle onderdelen van de onderhavige gedragslijn. Voortgang 8) [eiseres] dient uiterlijk 15 januari 2020, 15 maart 2020, 15 mei 2020, 15 juli 2020, 15 september 2020, 15 november 2020, 15 januari 2021, en 15 maart 2021 DNB schriftelijk en/of per e-mail te hebben geïnformeerd over de voortgang van het opvolgen van (de desbetreffende onderdelen van) deze gedragslijn.” 3. Het wettelijk kader is opgenomen in de bijlage van deze uitspraak. Opportuniteit van een aanwijzing in dit geval 4.1 [eiseres] heeft de (nog resterende) overtredingen niet betwist. [eiseres] betoogt dat DNB niettemin in dit geval gelet op de hierna te bespreken omstandigheden in redelijkheid niet kon overgaan tot het geven van een aanwijzing. 4.2 Het feit dat DNB niet eerst informeel heeft gepoogd tot beëindiging van de overtredingen door [eiseres] te komen, noopt niet tot de conclusie dat aan [eiseres] daarom geen aanwijzing mocht worden opgelegd. DNB heeft zich op grond van haar handhavingsbeleid niet verplicht om eerst informeel op te treden voordat een aanwijzing wordt gegeven. Ook de omstandigheid dat DNB het toezicht op naleving van de Wwft en de Sw de laatste jaren mogelijk heeft geïntensiveerd, doet niet af aan haar bevoegdheid een aanwijzing op te leggen. Overigens heeft DNB er in het verweerschrift terecht op gewezen dat deze intensivering niet van recente datum is nu, zoals blijkt uit de jaarverslagen van DNB en de gepubliceerde rechtspraak, er in de jaren voorafgaand aan de besluitvorming in deze zaak meer dan incidenteel sancties door DNB zijn opgelegd voor overtredingen die vergelijkbaar zijn met de overtredingen in deze zaak. 4.3 Ook de omstandigheid dat [eiseres] reeds voordat de aanwijzing is opgelegd herstelacties heeft opgestart, betekent niet dat DNB van het opleggen van een aanwijzing had behoren af te zien. Reeds vanaf het auditrapport van EY van 31 oktober 2017 was duidelijk dat [eiseres] niet voldeed aan de wettelijke verplichtingen voor identificatie van haar klanten. Bij brief van 6 juli 2018 heeft DNB de definitieve bevindingen van het onderzoek vastgesteld, waarin een aantal overtredingen zijn geconstateerd. Ten tijde van het opleggen van de aanwijzing (13 maart 2019) werden de door [eiseres] opgestarte projecten door DNB als langdurig en niet efficiënt ervaren en bleek uit het door [eiseres] overgelegde memorandum “Voortgang Know Your Customer” en Plan van Aanpak onvoldoende duidelijk wanneer alle overtredingen zouden worden beëindigd. Door DNB is wel erkend dat [eiseres] forse financiële investeringen heeft gedaan, dat zij haar risk- en compliance afdeling (verder) heeft versterkt en dat zij externe expertise heeft ingehuurd, maar de overtredingen waren daarmee nog steeds niet beëindigd en evenmin was duidelijk wanneer dat wel het geval zou zijn. Daarnaast bestond bij [eiseres] onduidelijkheid over de hoeveelheid klantendossiers die opnieuw moest worden beoordeeld (gereboarded). In eerste instantie werd gesproken over 30.000 dossiers, later bleek het om ongeveer 51.000 dossiers te gaan. Het ging hierbij dus hoe dan ook om een groot aantal dossiers dat opnieuw moest worden beoordeeld. Dat [eiseres] echter ook geruime tijd na het auditrapport van EY nog altijd onvoldoende zicht had op het aantal dossiers dat gereboarded moest worden, heeft DNB reden voor twijfel mogen geven aan de effectiviteit en de voortvarendheid van de door [eiseres] gevolgde aanpak. DNB heeft verder mogen meewegen dat [eiseres] in haar plan van aanpak nog geen datum had bepaald waarop het reboarden zou zijn afgerond. Pas na de beslissing op bezwaar heeft [eiseres] DNB met een concreet tijdspad gevraagd om verlenging van de in de aanwijzing gestelde termijnen. 4.4 DNB heeft de overtredingen verder, anders dan [eiseres] meent, in redelijkheid als ernstig kunnen aanmerken nu het om verschillende, langdurige overtredingen gaat van de kernbepalingen van de wet- en regelgeving op het gebied van beheerste en integere bedrijfsvoering die bedoeld is ter voorkoming van witwassen en financiering van terrorisme. Gelet daarop en op de grote rol die [eiseres] speelt in het betalingsverkeer, heeft DNB voldoende gemotiveerd dat sprake is van ernstige overtredingen. De omstandigheid dat de ondernemingen die klant zijn bij [eiseres] ook al door een bank zijn gescreend, ontslaat [eiseres] niet van haar eigen wettelijke verplichtingen en maakt niet dat de door [eiseres] begane overtredingen als minder ernstig moeten worden beoordeeld. Dat [eiseres] voor het hersteltraject deels afhankelijk is van externe partijen en medewerkers open en meewerkend zijn geweest tijdens het onderzoek, levert geen verminderde verwijtbaarheid op. Het is uitdrukkelijk verboden om zakelijke relaties aan te gaan en transacties uit te voeren voor klanten als geen of onvoldoende cliëntonderzoek is verricht. [eiseres] wist dat of behoorde dat te weten. Dat het huidige bestuur pas in het voorjaar van 2016 is aangetreden, doet aan het voorgaande niet af. Overigens was dat bestuur door de rapportage van EY op zijn minst vanaf oktober 2017 bekend met de tekortkomingen. 4.5 De omstandigheden die [eiseres] heeft aangevoerd, leiden evenmin tot het oordeel dat het inzetten van een aanwijzing hier onevenredig is. DNB heeft zich op het standpunt kunnen stellen dat de omstandigheden dat de aanwijzing financiële gevolgen heeft en een toezichtantecedent voor de bestuurders oplevert, niet opwegen tegen het zwaarwegende belang bij handhaving van de genoemde artikelen gelet op de ernst en verwijtbaarheid van de geconstateerde overtredingen. 4.6 Het betoog faalt. Inhoud van de aanwijzing 5.1 [eiseres] betoogt dat het vereiste van externe validatie geen wettelijke grondslag kent en daarom niet kon worden opgenomen als de gedragslijn bij de aanwijzing. DNB verschuift hiermee haar wettelijke toezicht rol naar een derde, commerciële, partij. Dit brengt extra kosten en onzekerheid voor [eiseres] mee en kan voor vertraging zorgen in het proces. Daarnaast biedt de Wet bekostiging financieel toezicht 2019 volgens [eiseres] geen grondslag voor het doorbelasten van de kosten van controle door een externe partij. 5.2 DNB stelt zich op het standpunt dat in de Wft, Sw en Wwft niet is bepaald welke gedragslijnen kunnen worden opgelegd. DNB meent dat een wettelijke grondslag is gelegen in de artikelen 1:75 van de Wft, artikel 28 van de Wwft en artikel 10ba van de Sw. De bevoegdheid is alleen ingekaderd door de algemene beginselen van behoorlijke bestuur en de gedragslijn mag op grond van artikel 1:75, derde lid, Wft (oud) niet strekken tot aantasting van overeenkomsten. DNB vindt het aangewezen om [eiseres] een rapport op te laten stellen door een externe en deskundige partij. In het verweerschrift heeft DNB uiteen gezet dat het voorschrijven van een validatie bepaald niet uitzonderlijk is en bijdraagt aan versterking van de effectiviteit van de maatregel. Het is haar ervaring dat instellingen al in een vroeg stadium interne of externe auditors of andere deskundigen inschakelen om met hen af te stemmen wat de instellingen precies moeten bewerkstelligen om later een positief oordeel te krijgen hetgeen sneller tot normconform gedrag leidt. Zij betwist haar toezichttaak te verleggen naar een externe partij. Zij ziet namelijk toe op de volledige naleving van de aanwijzing. Zij zal de totstandkoming en inhoud van de auditrapporten analyseren. Dat de kosten voor externe validatie door [eiseres] gedragen moeten worden miskent DNB niet, maar hetzelfde geldt voor andere maatregelen die [eiseres] dient te treffen om compliant te worden. De Wet bekostiging financieel toezicht 2019 staat daaraan niet in de weg. Deze ziet slechts op de jaarlijkse bijdrage die DNB van onder toezicht staande instellingen verlangt. 5.3 Voorafgaand aan de zitting heeft de rechtbank de volgende rechtsoverweging uit een (nog niet gepubliceerde) uitspraak van deze rechtbank van 5 februari 2021 met zaaknummer ROT 20/1512 geanonimiseerd aan partijen voorgelegd: “De rechtbank stelt voorop dat een aanwijzing erop is gericht dat een overtreding wordt beëindigd. Binnen dat kader dient de te volgen gedragslijn te worden vormgegeven. Een verplichte validatie kan in de visie van DNB nuttig zijn, maar is naar het oordeel van de rechtbank niet noodzakelijk om de overtreding te beëindigen en valt daarom niet binnen het kader. Bovendien wordt naast de beoordeling van het validatieonderzoek dat [partij] door een interne of externe auditor moet laten verrichten, door DNB een eigen validatieonderzoek uitgevoerd bij [partij]. Dat onderzoek is recent gestart en zal DNB in staat stellen zich een eigen oordeel te vormen omtrent de naleving van de aanwijzing door [partij]. Dat brengt mee dat het door [partij] uit te voeren validatieonderzoek niet noodzakelijk is om de overtreding te beëindigen. Dit gedeelte van de aanwijzing is dan ook ten onrechte gegeven.” 5.4 Ter zitting heeft DNB aangevoerd dat de rechtbank in die uitspraak ten onrechte een noodzakelijkheidsmaatstaf heeft gehanteerd, omdat dit niet volgt uit artikel 28 van de Wwft waarin een discretionaire bevoegdheid besloten ligt. De gedragslijnen zijn, in samenhang bezien, in het geheel gericht op het beëindigen van de overtredingen. Daarnaast is er geen strijd met de algemene beginselen van behoorlijk bestuur en heeft DNB haar toezichtstaak niet verlegd. DNB bepaalt per opgelegde aanwijzing of DNB een eigen validatieonderzoek uitvoert of dat er aanleiding bestaat een validatieonderzoek door een interne of externe auditor door de onderneming te laten uitvoeren. DNB controleert vervolgens of het rapport en de bevindingen op de juiste gronden tot stand zijn gekomen. Met betrekking tot de kosten heeft DNB betoogt dat [eiseres] ook jarenlang minder uitgaven heeft gedaan dan andere ondernemers om aan de wetgeving te voldoen. 5.5 Uit de memorie van toelichting (TK 2003–2004, 29 708, nr. 3, p. 42) bij artikel 1:58 van de Wft (de voorloper van artikel 1:75 van de Wft en equivalent van artikel 28 van de Wwft) volgt dat het doel waarvoor de discretionaire bevoegdheid tot het opleggen van een aanwijzing wordt gebruikt, is het bewerkstelligen dat de financiële onderneming zich aan de gestelde regels houdt. Deze gedragslijn kan geen andere normen bevatten dan welke reeds uit de wet of uit een vergunning blijken. Slechts het handelen dat tot realisering (naleving) van die normen strekt, wordt nader aangegeven. De strekking van de aanwijzing is om de aangeschrevene aan te zetten om (weer) te voldoen aan hetgeen bij of krachtens de wet is bepaald en dus de overtreding te beëindigen. 5.6 Ter zitting is gebleken dat DNB de externe auditor met name van belang vindt omdat deze in een vroegtijdig stadium kan adviseren over de te nemen maatregelen om de overtredingen op te heffen en deze gedurende het traject de onderneming kan bijsturen om te voldoen aan de aanwijzing. [eiseres] heeft echter beargumenteerd dat een externe auditor nimmer als adviseur bij het traject betrokken mag zijn. Hij mag slechts achteraf beoordelen of de overtredingen zijn beëindigd. Ter zitting is daarnaast door [eiseres] gesteld en door DNB niet betwist dat DNB de door [eiseres] aan een externe auditor gegeven opdracht tot beoordeling of de overtredingen zijn beëindigd, heeft goedgekeurd. De auditor zal deze opdracht in de periode vanaf maart 2021 uitvoeren en eind mei 2021 afronden met een rapportage die aan DNB wordt gestuurd. Vervolgens beoordeelt DNB zijn rapportage. Daarmee is de in de aanwijzing opgelegde externe validatie een controle-instrument om achteraf te bepalen of de overtredingen zijn beëindigd. De aanwijzing is in zoverre niet direct gericht op beëindiging van de overtreding(en). Gelet hierop is de eis van externe validatie ten onrechte als onderdeel (gedragslijn) van de aanwijzing opgelegd.