Hoe structurele regie op compliance leidt tot aantoonbare beheersing, bestuurlijke zekerheid en duurzame waardecreatie.
Wet- en regelgeving worden omvangrijker en complexer, terwijl toezichthouders, klanten en ketenpartners aantoonbare naleving verwachten. Een incidentele aanpak per afzonderlijk kader volstaat niet meer. Robert van Vianen, Partner Cyber Risk Advisory bij BDO, beschrijft hoe managed compliance samenhang brengt in governance, technologie en leiderschap.
Estimated reading time: 6 minuten
In het kort
- Managed compliance verankert aantoonbare beheersing in de bedrijfsvoering door continue monitoring, tijdige signalering van afwijkingen en een integrale benadering van wettelijke en normatieve verplichtingen.
- De aanpak creëert één betrouwbaar bestuurlijk beeld, beperkt inefficiëntie en ondersteunt gerichte besluitvorming over risico’s, prioriteiten en investeringen.
- De compliance manager ontwikkelt zich van uitvoerder tot onafhankelijke regisseur. Duidelijk mandaat, bestuurlijk eigenaarschap en voldoende capaciteit zijn voorwaarden voor succes.
Wat is managed compliance en wat is het zeker niet?
Managed compliance organiseert naleving als een continu proces: verplichtingen monitoren, afwijkingen signaleren en verbetermaatregelen aantoonbaar opvolgen. Nieuwe wet- en regelgeving wordt tijdig vertaald naar acties, met oog voor de beschikbare interne capaciteit. De aanpak verbindt uiteenlopende wetten, normen en toezichtskaders. De compliance manager coördineert deze samenhang en uitvoering.
Anders dan bij periodieke controles is compliance hiermee een permanent onderdeel van de bedrijfsvoering. Door kaders integraal te beoordelen, worden overlap, afhankelijkheden en gedeelde beheersmaatregelen zichtbaar. Dat voorkomt dubbel werk en maakt investeringen doelgerichter.
Een effectieve inrichting rust op drie pijlers: deskundigheid, technologie en data governance. Specialistische kennis kan intern, extern of hybride worden georganiseerd. Technologie maakt schaalbare uitvoering, monitoring en rapportage mogelijk. Betrouwbare data vormt het fundament: alleen met volledige, actuele en juiste informatie kan het bestuur onderbouwde besluiten nemen en aantoonbaar bijsturen.
Managed compliance draagt geen verantwoordelijkheid over: de eerste lijn blijft eigenaar van processen en naleving, ook bij inzet van een externe dienstverlener. Het bestuur bepaalt de risicobereidheid, prioriteiten en middelen. Is volledige naleving niet direct haalbaar, dan brengen de risk manager en compliance manager de juridische gevolgen, risico’s en benodigde maatregelen in kaart. Het bevoegde management of bestuur besluit expliciet en gedocumenteerd over prioritering, tijdelijke mitigerende maatregelen en het tijdpad naar naleving. Risicoacceptatie ontslaat de organisatie nooit van wettelijke verplichtingen.
Een volwassen aanpak omvat zeven stappen: verplichtingen identificeren, vertalen naar beleid en beheersmaatregelen, eigenaarschap beleggen, data en bewijs verzamelen, naleving en wijzigingen monitoren, afwijkingen en maatregelen rapporteren en de werking periodiek toetsen en verbeteren. Een externe dienstverlener kan hierbij deskundigheid, technologie en capaciteit toevoegen.
Waarom managed compliance juist nu nodig is
De externe druk neemt toe. De Cyberbeveiligingswet is daarvan een duidelijk voorbeeld. Afhankelijk van de kwalificatie als essentiële of belangrijke entiteit houden toezichthouders proactief of reactief toezicht. Bij tekortkomingen kunnen herstelmaatregelen en sancties volgen. Ook het bestuur draagt een expliciete verantwoordelijkheid voor het goedkeuren van en toezien op maatregelen voor cyberrisicobeheersing. Daar komt een commercieel belang bij: organisaties die niet aantoonbaar in control zijn, lopen het risico het vertrouwen van klanten en ketenpartners te verliezen.
Masterclass Managed Compliance
De beste compliance-organisaties wachten niet op de volgende audit. Ze hebben continu en integraal grip, sturen proactief bij en leveren echte toegevoegde waarde aan de business. Wil jij daar ook naartoe?
Op 25 november organiseren BDO en Fully In Control een masterclass inclusief ontbijt over hoe je een toekomstbestendige compliance-organisatie bouwt die efficiënter werkt én effectiever stuurt.
Meld je aan voor de masterclass →
De inzet gaat verder dan formele naleving: ontoereikende cyberbeheersing kan de continuïteit, reputatie en bestuurlijke aansprakelijkheid raken. Beheersmaatregelen moeten daarom ook aantoonbaar bijdragen aan de weerbaarheid van de organisatie.
Intern vergroot verspreide informatieaanlevering het risico op onvolledige, te late of inconsistente rapportages. Dat vraagt om centrale coördinatie en duidelijke afspraken over datakwaliteit.
Van compliance-informatie naar bestuurlijke stuurinformatie
Eén rapportagecyclus met een beperkte set relevante KPI’s geeft het bestuur inzicht in beheersing, afwijkingen en verbetermaatregelen. Dit ondersteunt risicoafwegingen, gerichte inzet van middelen en sturing op strategische ambities. De frequentie volgt uit de verplichtingen, het risicoprofiel, incidenten, wettelijke meldtermijnen en de informatiebehoefte van bestuur en toezichthouders. Managementrapportages kunnen aansluiten op het reguliere overleg of de planning-en-controlcyclus, maar vervangen nooit wettelijk vereiste incident- of afwijkingsmeldingen.
Heldere procedures, expliciet eigenaarschap, onafhankelijke compliancerapportage en zichtbare bestuurlijke bijsturing versterken het vertrouwen van auditors, klanten en andere stakeholders. Afhankelijk van hun informatiebehoefte kan aanvullende onafhankelijke assurance nodig blijven.
Afwijkingen bieden bovendien aanknopingspunten voor verbetering van processen, verantwoordelijkheden, technologie en data governance. Zo ondersteunt compliance ook de verdere professionalisering van de organisatie.
De compliance manager als regisseur
De compliance manager verschuift van uitvoerder naar onafhankelijke regisseur: deze bundelt informatieverzoeken, controles en rapportages, ondersteunt en monitort verantwoordelijken en biedt tegenspraak zonder hun eigenaarschap over te nemen. De CISO levert vanuit zijn expertise de onderbouwing voor cyberverplichtingen; de kwaliteitsmanager doet dat bijvoorbeeld voor ISO 9001. Samenwerking met de risk manager en proceseigenaren is essentieel. Internal audit kan onafhankelijk beoordelen of de opzet en werking toereikend zijn.
Veelvoorkomende valkuilen
De belangrijkste valkuil is dat de compliance manager te veel uitvoerende taken naar zich toetrekt en daardoor onvoldoende ruimte houdt voor regie, onafhankelijke monitoring en escalatie. Andere structurele aandachtspunten zijn:
- compliance wordt primair als controlemechanisme gepositioneerd, in plaats van als randvoorwaarde voor beheerste en verantwoorde bedrijfsvoering;
- de functie beschikt over onvoldoende onafhankelijkheid en escalatiemogelijkheden;
- kennis, capaciteit en continuïteit zijn geconcentreerd bij één functionaris;
- de nadruk ligt op formele regels in plaats van op materiële risico’s en aantoonbare beheersing;
- technologische ondersteuning voor monitoring, bewijsvoering en rapportage is ontoereikend;
- rollen, taken, verantwoordelijkheden en escalatielijnen zijn onvoldoende vastgelegd;
- de aansluiting met directie en bestuur is onvoldoende structureel;
- wijzigingen in wet- en regelgeving worden niet tijdig vertaald naar beleid en beheersmaatregelen.
Tijdige signalering van wetswijzigingen vraagt daarbij om actuele kennis en betrouwbare informatie uit de organisatie.
Begin met mandaat en een gedeeld vertrekpunt
Bestuurlijk eigenaarschap krijgt vorm in een helder mandaat, passende financiële en personele middelen en directe toegang tot directie en bestuur. Daarmee kan de compliance manager verantwoordelijken aanspreken, onafhankelijk oordelen en zo nodig escaleren. Het bestuur stelt het gewenste beheersingsniveau en de prioriteiten vast, binnen de grenzen van verplichtingen die niet ter vrije afweging staan.
Begin met een gerichte werksessie met de relevante functionarissen, waaronder waar passend de kwaliteitsmanager. Leg doel en beoogde waarde, verantwoordelijkheden en afspraken over besluitvorming, rapportage en escalatie vast. Zo ontstaat een gedeeld vertrekpunt met concreet commitment voor uitvoering en opvolging.
Over Robert van Vianen
Robert is als Partner Cyber Risk Advisory bij BDO Nederland actief op het snijvlak van organisatiekunde, bedrijfseconomie en automatisering. Hij heeft uitgebreide (nationale en internationale) ervaring op het gebied van IT Strategie, IT Risk Management (cyber security) en IT Governance in verschillende industrieën.