Algemeen
4. Met inachtneming van de grenzen getrokken door de omvang van het geding in hoger beroep komt het Hof tot de volgende beoordeling van de zaak.
Strijd met het nemo tenetur-beginsel?
5. Het Gerecht heeft in 3.2 van zijn uitspraak de meest verstrekkende beroepsgrond van appellant terecht verworpen. Het Hof onderschrijft het oordeel van het Gerecht dat CBA het nemo tenetur-beginsel niet heeft geschonden en neemt de daaraan door het Gerecht ten grondslag gelegde overwegingen over.
Heeft CBA terecht negentien overtredingen vastgesteld?
6. CBA heeft in totaal 35, door appellant op zichzelf niet betwiste, gedragingen (handelen en nalaten) van appellant vastgesteld die volgens haar overtredingen zijn van (onderdelen van) de artikelen 10a en/of 14d van de Ltv, al dan niet in verbinding met de RIB en de CGIPP. Daarbij stelt CBA zich op het standpunt dat de RIB en de CGIPP (en andere policy papers zoals Policy Paper III.2 ‘Outsourcing Arrangements’) afzonderlijk kunnen worden overtreden, wat appellant betwist. Vervolgens heeft CBA, met overeenkomstige toepassing van de strafrechtelijke leerstukken van meerdaadse samenloop (en, zo voegt het Hof daaraan toe, voortgezette handeling) en eendaadse samenloop, het aantal overtredingen nader vastgesteld op negentien. In zeven gevallen betreft het een overtreding van (alleen) artikel 10a en/of artikel 14d van de Ltv. In tien gevallen gaat het om een overtreding van artikel 10a en/of artikel 14d van de Ltv in verbinding met de RIB. In twee gevallen is een overtreding van artikel 10a van de Ltv in verbinding met de CGIPP aangenomen.
7. Het Hof zal eerst bezien of de RIB en de CGIPP (en vergelijkbare policy papers) afzonderlijk kunnen worden overtreden. Om die vraag te kunnen beantwoorden moet allereerst het rechtskarakter van deze documenten worden bepaald. In artikel 10, eerste lid, van de Ltv staat dat CBA richtlijnen aan verzekeraars kan geven met betrekking tot hun administratieve organisatie en interne bedrijfsvoering, met inbegrip van de financiële administratie en interne controle. Op grond van de artikelen 10a, derde lid, en 14d, derde lid, van de Ltv kan CBA richtlijnen geven met betrekking tot de daarin genoemde onderwerpen. Op grond van artikel 16, eerste en tweede lid, van de Ltv kan CBA ter zake van de overtreding van bij of krachtens onder andere de artikelen 10, 10a en 14d van de Ltv gestelde voorschriften een last onder dwangsom of, per afzonderlijke overtreding, een bestuurlijke boete opleggen. Hoewel de term “richtlijnen” lijkt te wijzen in de richting van (wetsinterpreterende) beleidsregels, moet naar het oordeel van het Hof uit het gebruik van de woorden “bij of krachtens de artikelen (…) gestelde voorschriften” in artikel 16, eerste lid, van de Ltv worden afgeleid dat de – op grond van de artikelen 10, eerste lid, 10a, derde lid, en 14d, derde lid, van de Ltv vastgestelde – RIB en CGIPP, voor zover deze voorschriften inhouden, algemeen verbindende voorschriften zijn. Deze worden in die bepaling immers op één lijn gesteld met voorschriften die zelf onmiskenbaar algemeen verbindende voorschriften zijn (waaronder de artikelen 10a en 14d van de Ltv). Krachtens de artikelen 10, eerste lid, 10a, derde lid, en 14d, derde lid, van de Ltv gegeven voorschriften kunnen daarom in beginsel afzonderlijk worden overtreden en beboet. Dat deze (veelal) een specificering inhouden van een generiek wettelijk voorschrift maakt dit niet anders, waarbij dan het niet naleven van het specifieke én daarmee ook het generieke voorschrift tot slechts één overtreding leidt. Vervolgens geldt wel de beperking dat deze voorschriften alleen verbindend zijn voor zover zij blijven binnen de reikwijdte van de in de desbetreffende bepalingen aan CBA geattribueerde bevoegdheid, wat bij de RIB en de CGIPP ook zo is. Het Hof ziet steun voor het voorgaande in de rechtspraak van het College van Beroep voor het bedrijfsleven (hierna: CBb), bijvoorbeeld in de uitspraken van 28 maart 2013 (ECLI:NL:CBB:2013:BZ6866) en 2 februari 2021 (ECLI:NL:CBB:2021:101). Overigens heeft het Hof in zijn uitspraak van 9 februari 2022 (ECLI:NL:OGHACMB:2022:5) al eens aangenomen dat een voorschrift uit de RIB (zelfstandig) kan worden overtreden. Reeds vanwege het voorgaande volgt het Hof appellant niet in het betoog dat CBA had moeten volstaan met het opleggen van (slechts) twee boetes, te weten één voor het overtreden van artikel 10a van de Ltv en één voor het overtreden van artikel 14d van de Ltv.
Voor de goede orde merkt het Hof in dit verband tot slot nog op dat er geen staatsrechtelijke of rechtsstatelijke belemmering is voor de wetgever om een bevoegdheid als hier aan de orde toe te kennen aan een (bestuurs)orgaan als CBA. Voor dat laatste ziet het Hof eveneens steun in de uitspraak van het CBb van 28 maart 2013 (in 5.3.5).
8. De volgende vraag is dan of CBA, niettemin, minder dan negentien overtredingen had moeten aannemen. Bij de beantwoording van die vraag stelt het Hof voorop dat een bestuursorgaan gehouden is om, ter voorkoming van een ongeoorloofde cumulatie van boetes, op overeenkomstige wijze toepassing te geven aan de strafrechtelijke leerstukken van meerdaadse samenloop/voortgezette handeling en eendaadse samenloop.
Met betrekking tot de overtredingen I.1, I.2, I.3 en I.5 heeft het Gerecht geoordeeld dat CBA deze terecht als afzonderlijke overtredingen heeft aangemerkt. Dat oordeel heeft appellant in hoger beroep niet bestreden.
Met betrekking tot de overtredingen I.4, I.6, I.7 en I.8 heeft het Gerecht geoordeeld dat CBA deze ten onrechte als afzonderlijke overtredingen heeft aangemerkt. Dat oordeel heeft CBA in hoger beroep bestreden. Het Hof volgt CBA in het betoog dat zij met betrekking tot deze overtredingen niet had moeten volstaan met het aannemen van slechts één overtreding. Het niet hebben van eigen beleid voor Aruba omtrent beloningen (overtreding I.6), het niet hebben van een (herkenbare) Compliance Officer (overtreding I.7) en het ontbreken van doorlopende screening van integriteitsgevoelige functies zoals Management Director en Operations Officer (overtreding I.8) behelzen afzonderlijke gedragingen die in verschillende artikelen van de RIB ook worden onderscheiden. Geen systematische toetsing, evaluatie en herziening van integriteitsbeleid en procedures (overtreding I.4) heeft, zoals CBA in hoger beroep terecht naar voren heeft gebracht, betrekking op het (algemene) beleid van de [overkoepelende bedrijfsnaam]. Dat beleid werd door appellant in Aruba wel gehanteerd maar, in strijd met artikel 7, vierde, vijfde en zesde lid, van de RIB, niet “gemonitord”.
Met betrekking tot de overtredingen II.1 tot en met II.7 heeft het Gerecht geoordeeld dat CBA deze terecht als afzonderlijke overtredingen heeft aangemerkt. Dat oordeel heeft appellant in hoger beroep niet bestreden.
Met betrekking tot de overtredingen III.1 tot en met III.4 heeft het Gerecht overwogen dat IT-riskmanagement niet wordt genoemd als onderdeel waarover beleid of richtlijnen moeten worden vastgesteld op grond van de artikelen 10a en/of 14d van de Ltv en dat dit ook niet wordt genoemd in de RIB als zelfstandig beleidsonderdeel. Het Gerecht heeft daarom geoordeeld dat er geen plaats is voor het nog eens opleggen van boetes wegens het ontbreken van een systematische analyse van IT-risico’s (overtreding III.3), het ontbreken van adequaat IT-beleid en procedures (overtreding III.1) en voor het nalaten van monitoring/controle op de beheersing van IT-risico’s (overtreding III.4). Het Gerecht heeft wel ruimte gezien voor het opleggen van een (afzonderlijke) boete voor het nalaten van controle op user access (overtreding III.2). CBA heeft in hoger beroep betoogd dat er wel degelijk ruimte is voor afzonderlijke beboeting van overtredingen in het kader van IT-riskmanagement. Het Hof volgt CBA hierin. Hierbij is in het bijzonder van belang dat IT-riskmanagement een essentieel en te onderscheiden onderdeel is van een deugdelijk ondernemingsbestuur en een adequate corporate governance en van een integere uitoefening en een beheerste bedrijfsvoering van (in dit geval) het verzekeringsbedrijf. In de toelichting bij artikel 10 van de Ltv zoals dat aanvankelijk luidde en dat toen ook nog “de bestuurlijke organisatie” van een verzekeraar omvatte, is (op blz. 27) ook vermeld dat de IT-systemen de kern zijn van de administratie van een moderne verzekeraar en dat deze systemen zodanig beveiligd dienen te zijn dat de continuïteit, betrouwbaarheid en fraudebestendigheid zo goed mogelijk zijn verzekerd. Naar het oordeel van het Hof gaat het daarbij dan ook om een te onderscheiden wettelijke verplichting die deel uitmaakt van het bepaalde in de artikelen 10a en 14d van de Ltv en ook van artikel 7 van de RIB. Het Hof stelt in dit verband ten slotte vast dat er geen grond is voor het oordeel dat CBA met betrekking tot de hier aan de orde zijnde gedragingen van appellant ten onrechte vier afzonderlijke overtredingen heeft aangenomen.
9. De (tussen)conclusie is dat CBA terecht negentien afzonderlijke overtredingen heeft aangenomen, die daarmee op zichzelf ook afzonderlijk kunnen worden beboet.
De hoogte van de boete(s)
10. Voor de wijze waarop de bestuursrechter in algemene zin de hoogte van een opgelegde bestuurlijke boete toetst, verwijst het Hof naar 6 van zijn uitspraak van 11 februari 2026 (ECLI:NL:OGHACMB:2026:18). Deze toetsing moet ertoe leiden dat een boete wordt opgelegd die evenredig is en daarmee passend en geboden.
Het Hof stelt allereerst vast dat CBA op één punt is afgeweken van haar beleid zoals neergelegd in de Leidraad en het kalibratiemodel. Dit betreft het anticumulatiebeleid uit de passendheidstoets (stap 6 van de Leidraad). Zoals op de zitting is toegelicht houdt dit beleid in dat bij drie boetes wordt gematigd met 10%, bij vier boetes met 15%, bij vijf boetes met 20%, bij zes boetes met 25% en bij zeven of meer boetes met 50%. CBA heeft in dit geval aan het anticumulatiebeleid geen toepassing gegeven. Dat heeft zij gemotiveerd met het feit dat zij niet 35 maar negentien overtredingen heeft aangenomen, als gevolg waarvan appellant al voldoende is tegemoetgekomen. Vervolgens ook nog eens toepassing geven aan het anticumulatiebeleid zou leiden tot een boete die niet meer evenredig is aan de aard en de ernst van de overtredingen van appellant en moet daarom achterwege blijven. Appellant heeft dit standpunt van CBA bestreden. Volgens appellant is er, in het bijzonder vanwege de sterke samenhang tussen de verschillende overtredingen, geen grond om af te wijken van het anticumulatiebeleid.
Het Hof overweegt in dit verband in de eerste plaats dat het feit dat CBA niet 35 maar negentien overtredingen heeft aangenomen, geen grond is om het anticumulatiebeleid niet toe te passen. Zoals hiervoor in 8 is overwogen is een bestuursorgaan immers verplicht om aan de strafrechtelijke leerstukken van meerdaadse samenloop/voortgezette handeling en eendaadse samenloop overeenkomstige toepassing te geven. Wel kent het Hof, met CBA, betekenis toe aan de aard en de ernst van de overtredingen en verder aan het stelselmatige karakter ervan en aan het gegeven dat appellant (ook) in Aruba een belangrijke systeemverzekeraar is met een grote maatschappelijke verantwoordelijkheid. Tegelijkertijd acht het Hof, evenals appellant en het Gerecht, van belang dat bij een niet onaanzienlijk deel van de overtredingen sprake is van een inhoudelijke samenhang tussen de overtreden bepalingen. Het geheel overziende is het Hof van oordeel dat het anticumulatiebeleid in dit geval wel had moeten worden toegepast, maar niet onverkort. Dit leidt ertoe dat het Hof het boetebedrag in het kader van de passendheidstoets ter voorkoming van een ongeoorloofde cumulatie van boetes (niet met 50% maar) met 25% (extra) zal verminderen.
Voor verdere correcties is geen aanleiding. Met CBA is het Hof van oordeel dat er geen reden is om de boete wegens de duur van het onderzoek verder te matigen. De gang van zaken in de procedure van appellant is niet vergelijkbaar met die in de procedure van de Managing Director.
Dit alles leidt tot een door het Hof passend en geboden geachte boete van Afl. 4.281.875,-. Deze is als volgt opgebouwd. Tot en met stap 5 van het kalibratiemodel is het boetebedrag door CBA terecht bepaald op Afl. 7.750.000,-. In het kader van de passendheidstoets (stap 6) wordt dit bedrag verminderd met in totaal 35% (10% wegens getoonde verbeterbereidheid en 25% ter voorkoming van een ongeoorloofde cumulatie van boetes). Dat leidt tot een bedrag van Afl. 5.037.500,-. Dat bedrag wordt ten slotte verminderd met 15% wegens de subjectieve draagkracht van appellant.
De redelijke termijn
Conclusie
11. Gelet op de uitspraak van het Hof van 14 januari 2026 (ECLI:NL:OGHACMB:2026:5) had het Gerecht de boete moeten matigen met Afl. 2.500,-. CBA heeft de matiging door het Gerecht met Afl. 5.000,- in hoger beroep niet aangevochten. Appellant vraagt in hoger beroep tevergeefs om matiging met meer dan Afl. 5.000,-. In deze omstandigheden zal het Hof de door het Gerecht toegepaste matiging in stand laten.
12. Het hoger beroep van appellant slaagt niet. Het hoger beroep van CBA slaagt gedeeltelijk. De uitspraak van het Gerecht wordt vernietigd voor zover het Gerecht het boetebedrag heeft vastgesteld op Afl. 2.195.000,-. Het Hof zal zelf in de zaak voorzien en het boetebedrag vaststellen op Afl. 4.276.875,-.
CBA hoeft geen proceskosten in hoger beroep te vergoeden.
Beslissing
Het Gemeenschappelijk Hof van Justitie van Aruba, Curaçao, Sint Maarten en van Bonaire, Sint Eustatius en Saba:
I. vernietigt de uitspraak van het Gerecht in eerste aanleg van Aruba van 29 januari 2025 in zaak nr. AUA202303886 voor zover daarbij de bestuurlijke boete is vastgesteld op tweemaal Afl. 1.095.000,- en is bepaald dat de uitspraak in de plaats treedt van de vernietigde beschikking van 21 september 2023;
II. stelt de bestuurlijke boete vast op tweemaal Afl. 2.138.437,50;
III. bepaalt dat deze uitspraak in de plaats treedt van de vernietigde beschikking van 21 september 2023.
Aldus vastgesteld door mr. T.G.M. Simons, voorzitter, en mr. E.J. Daalder en mr. G.T.J.M. Jurgens, leden, in tegenwoordigheid van mr. M. Buntjer, griffier.
w.g. Simons
voorzitter
w.g. Buntjer
griffier
Uitgesproken in het openbaar op 23 september 2026.
BIJLAGE 1
Landsverordening toezicht verzekeringsbedrijf
Artikel 101. De Bank kan richtlijnen geven aan verzekeraars met betrekking tot hun administratieve organisatie en interne bedrijfsvoering, met inbegrip van de financiële administratie en interne controle.2. De richtlijnen, bedoeld in het eerste lid, kunnen betrekking hebben op de uitvoering van voorschriften in andere landsverordeningen.3. De Bank kan aan een verzekeringsbedrijf aanwijzingen geven met betrekking tot de wijze waarop aan richtlijnen als bedoeld in het eerste lid, uitvoering wordt gegeven.
Artikel 10a1. Een verzekeraar voert een adequaat beleid voor een deugdelijk ondernemingsbestuur, en richt haar corporate governance structuur zodanig in dat een deugdelijk ondernemingsbestuur is gewaarborgd.2. Het beleid en de structuur als bedoeld in het eerste lid, gaan in ieder geval in op:a. de vastlegging en invulling van de taken, verantwoordelijkheden en werkwijze van het bestuur en de raad van commissarissen;b. de geschiktheid, zowel individueel als collectief, van de bestuurders en commissarissen;c. de vaststelling en uitvoering van een heldere strategie en doelstellingen;d. de vaststelling, uitvoering, monitoring en waar nodig bijstelling van het algehele risicobeleid;e. de systematische controle op de beheersing van de risico’s die met de bedrijfsactiviteiten samenhangen;f. de adequate informatievoorziening aan het bestuur en de raad van commissarissen;g. een zorgvuldige en integere besluitvorming;h. de bezoldiging van de bestuurders en commissarissen;i. de onafhankelijkheid van de commissarissen;j. de rol en verantwoordelijkheden van de aandeelhouders van de vennootschap.3. De Bank kan aan verzekeraars richtlijnen geven met betrekking tot het beleid en de structuur als bedoeld in het eerste lid.
Artikel 14d 1. Een verzekeraar voert een adequaat beleid voor een integere uitoefening van haar bedrijf en richt haar bedrijfsvoering zodanig in, dat de integere uitoefening van haar bedrijf is gewaarborgd. 2. Het beleid en de bedrijfsvoering, bedoeld in het eerste lid, zijn in ieder geval gericht op: a. het tegengaan van belangenverstrengeling; b. het tegengaan van witwassen van geld en terrorismefinanciering; c. de naleving van de bij of krachtens de Landsverordening voorkoming en bestrijding van witwassen en terrorismefinanciering en andere wettelijke regelingen ter zake van de voorkoming en bestrijding van witwassen en terrorismefinanciering gestelde regels; d. het tegengaan van strafbare feiten of andere wetsovertredingen door de verzekeraar of haar werknemers, die het vertrouwen in de onderneming of in de financiële markten kunnen schaden; e. het tegengaan van relaties met cliënten of andere zakelijke relaties die het vertrouwen in de onderneming of in de financiële markten kunnen schaden; f. het tegengaan van andere handelingen door de verzekeraar of haar werknemers, die zodanig ingaan tegen hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betaamt dat daardoor het vertrouwen in de onderneming of in de financiële markten kan worden geschaad. 3. De Bank kan aan verzekeraars richtlijnen geven met betrekking tot: a. de integere uitoefening van het verzekeringsbedrijf. b. de wijze waarop wordt vastgesteld of de betrouwbaarheid van een persoon, bedoeld in artikel 6, eerste lid, onderdeel a, buiten twijfel staat en of deze persoon geschikt is en welke feiten en omstandigheden daarbij in aanmerking worden genomen. 4. De richtlijnen, bedoeld in het derde lid, kunnen betrekking hebben op de uitvoering van de voorschriften in andere landsverordeningen. Zij worden slechts gegeven of gewijzigd na overleg met de daarbij betrokken representatieve organisatie.
Artikel 161. Ter zake van de overtreding van de bij of krachtens de artikelen 4, 5, eerste lid, 9, tweede lid, 10 tot en met 15b, 17, 22, eerste en derde lid, 24b, derde, vierde en vijfde lid, 25, zesde lid, en 27a, eerste lid, 27b gestelde voorschriften, kan de Bank een last onder dwangsom opleggen. 2. Ter zake van de in het eerste lid bedoelde feiten kan de Bank ook een bestuurlijke boete opleggen van ten hoogste Afl. 1.000.000,- per afzonderlijke overtreding.[…]4. De Bank stelt richtsnoeren vast voor de toepassing van de bevoegdheden, bedoeld in het eerste en tweede lid, en legt deze vast in een beleidsdocument. Het beleidsdocument bevat in ieder geval een beschrijving van de te volgen procedures bij de toepassing van de bevoegdheden, bedoeld in het eerste en tweede lid. Het beleidsdocument, bedoeld in de eerste volzin, wordt, evenals alle nadien daarin aan te brengen wijzigingen, vooraf bekend gemaakt op een door de Bank te bepalen wijze.5. Bij landsbesluit, houdende algemene maatregelen, worden regels gesteld met betrekking tot de grondslagen voor de vaststelling van de hoogte van de last onder dwangsom en de bestuurlijke boete per overtreding. De overtredingen worden gerangschikt in categorieën naar zwaarte van de overtreding met de bijbehorende basisbedragen, minimumbedragen en maximumbedragen.[…]
BIJLAGE 2
Gedraging
Bepa-ling
Ernst (en duur)
Verwijt-baar-heid
Bedrag
I.1
Geen systematische analyse van integriteitsrisico’s
Art. 14d lid 1 Ltv en art. 7 lid 1 RIB
+50%
+25%
875.000
I.2
Beleid, procedures en maatregelen hoofdzakelijk afkomstig van groep en aldus niet toegesneden op de Arubaanse entiteiten
Art. 14d lid 1 Ltv en art. 7 lid 2 RIB
+50%
+25%
875.000
I.3
Zeer gebrekkige informatievoorziening over beleid en procedures naar alle relevante bedrijfsonderdelen
Art. 14d lid 1 Ltv en art. 7 lid 3 RIB
+50%
+25%
875.000
I.4
Geen systematische toetsing, evaluatie en herziening van integriteitsbeleid en procedures
Art. 14d lid 1 Ltv en art. 7 lid 4, 5 en 6 RIB
+50%
+25%
875.000
I.5
Ernstige verstrengeling van belangen binnen de Arubaanse entiteiten
Art. 14d lid 1 en 2 onder a, e en f Ltv en artt. 8 en 10 RIB
+50%
+50%
1.000.000
I.6
Geen (eigen) beleid omtrent beloningen voor de Arubaanse entiteiten
Art. 14d lid 1 Ltv en art. 9 RIB
+50%
+25%
875.000
I.7
Geen (kenbare) Compliance Officer
Art. 14d lid 1 Ltv en artt. 13 en 14 RIB
+50%
+50%
1.000.000
I.8
Het ontbreken van doorlopende screening van integriteitsgevoelige functies zoals Managing Director en Operations Manager
Art. 14d lid 1 Ltv en art. 16 RIB
+50%
+50%
1.000.000
II.1
Geen doorlopend toezicht door RvC op geschiktheid van Managing Director
Art. 10a lid 2 onder b Ltv en par. 3.1 CGIPP
+50%
+25%
875.000
II.2
Geen zorgvuldige en integere besluitvorming door samengaan van functies CEO van groep en Management Director van de Arubaanse entiteiten
Art. 10a lid 2 onder g Ltv (en art. 14d lid 2 onder a Ltv)
+25%
+25%
750.000
II.3
Geen onafhankelijkheid van de RvC (independence in state)
Art. 10a lid 2 onder i Ltv (en art. 14d lid 2 onder a Ltv)
+25%
+25%
750.000
II.4
Zeer gebrekkig toezicht op gehele bedrijfsvoering door RvC
Art. 10a Ltv en par. 3 CGIPP
+50%
+25%
875.000
II.5
Geen adequate informatievoorziening door bestuur aan RvC
Art. 10a lid 2 onder f Ltv
+25%
0%
625.000
II.6
Geen adequate vastlegging van werkwijze van RvC
Art. 10a lid 2 onder a Ltv
0%
0%
500.000
II.7
Zeer gebrekkige monitoring van risico’s met betrekking tot bedrijfsactiviteiten
Art. 10a lid 2 onder e Ltv
+50%
+25%
875.000
III.1
Afwezigheid van (adequaat) beleid en procedures op gebied van informatietechnologie en informatieveiligheid
Art. 10a lid 2 onder d Ltv en art. 14d lid 1 Ltv en art. 7 lid 2, 4, 5 en 6 RIB
+50%
+25%
875.000
III.2
Geen controle op user access (ongeautoriseerde toegang mogelijk; schending privacy)
Art. 10a lid 2 onder e Ltv en art. 14d lid 2 onder d en f Ltv
+50%
+50%
1.000.000
III.3
Geen systematische analyse van de IT- integriteitsrisico’s
Art. 14d lid 1 Ltv en art. 7 lid 1 RIB
0%
0%
500.000
III.4
Geen systematische controle op beheersing van IT-risico’s
Art. 10a lid 2 onder e Ltv
0%
0%
500.000