Specifieke taken en bijzondere verplichtingen

Compliance als knooppunt

Een compliancefunctie verzamelt informatie. Uit risicoanalyses, monitoring, interne kwaliteitsonderzoeken, gesprekken met medewerkers, ontwikkelingen in wet- en regelgeving en de dagelijkse praktijk ontstaat voortdurend nieuwe kennis over de organisatie. Die informatie heeft alleen waarde wanneer er iets mee gebeurt.

Veel daarvan kan binnen de normale bedrijfsvoering worden verwerkt. Een bevinding leidt tot aanpassing van een proces, een nieuwe regel wordt verwerkt in beleid of een geconstateerd risico wordt opgenomen in de monitoring. Andere informatie is echter van dien aard dat zij niet binnen de compliancefunctie kan blijven. Het bestuur moet ervan weten, de Raad van Commissarissen moet worden geïnformeerd of in bepaalde gevallen bestaat een verplichting om informatie buiten de organisatie te brengen.

Daarmee is compliance niet alleen een functie die risico’s onderzoekt en beoordeelt. Zij is ook een knooppunt in de informatiestromen van de organisatie.

Niet alles hoeft omhoog

Dat betekent niet dat iedere bevinding aan de Raad van Bestuur moet worden gerapporteerd. Een compliancefunctie die ieder detail naar het hoogste niveau escaleert, draagt niet bij aan betere governance maar maakt bestuurlijke aandacht tot een schaars goed dat slecht wordt besteed. De kunst is daarom niet zoveel mogelijk informatie doorgeven, maar onderscheid maken tussen informatie die op operationeel niveau kan worden afgehandeld en informatie die relevant is voor degene die verantwoordelijkheid draagt voor het grotere geheel.

Daarbij speelt materialiteit een rol, maar niet uitsluitend in financiële zin. Een relatief klein incident kan wijzen op een structureel probleem. Een individuele overtreding kan iets zeggen over cultuur. Een bevinding zonder directe schade kan een voorbode zijn van een veel groter risico. Omgekeerd hoeft een kostbare fout niet altijd bestuurlijke betekenis te hebben wanneer oorzaak en herstel volledig binnen een bestaand en goed functionerend proces passen. Compliance moet daarom niet alleen kijken naar de omvang van een probleem, maar ook naar de betekenis ervan.

Informeren, rapporteren, escaleren en melden

Niet iedere informatiestroom heeft hetzelfde karakter. Het is nuttig onderscheid te maken tussen informeren, rapporteren, escaleren en melden.

Informeren is het delen van informatie die voor een ander relevant is. Dat kan informeel gebeuren en hoeft niet noodzakelijk tot een besluit te leiden.

Rapporteren is systematischer. Compliance brengt bevindingen, risico’s en ontwikkelingen op een zodanige manier onder de aandacht van verantwoordelijke functionarissen of organen dat zij hun eigen verantwoordelijkheid kunnen uitoefenen. Een rapportage heeft daarmee een duidelijke governancefunctie.

Escaleren wordt noodzakelijk wanneer de normale behandeling van een onderwerp niet past bij de ernst of urgentie ervan, of wanneer een eerder gesignaleerd probleem onvoldoende wordt opgepakt. De informatie wordt dan bewust naar een ander of hoger niveau gebracht omdat daar een besluit of interventie nodig is.

Melden heeft een nog specifieker karakter. Daarbij bestaat een formele verplichting of een andere zwaarwegende reden om bepaalde informatie aan een aangewezen interne of externe partij door te geven. De ruimte om zelf te bepalen of informatie wordt gedeeld is dan beperkter of ontbreekt geheel.

Die begrippen kunnen in de praktijk in elkaar overlopen. Een rapportage kan tot escalatie leiden en een escalatie uiteindelijk tot een externe melding. Het onderscheid helpt echter om duidelijk te maken waarom informatie wordt gedeeld en wat van de ontvanger wordt verwacht.

Geen eigenaar van het probleem

Juist doordat veel informatie via compliance loopt, bestaat het risico dat compliance ook eigenaar wordt gemaakt van de problemen waarover zij rapporteert. Dat is meestal niet de bedoeling. Wanneer compliance constateert dat een proces onvoldoende wordt beheerst, blijft de verantwoordelijkheid voor dat proces in de eerste lijn liggen. Wanneer de risk appetite onvoldoende duidelijk is, moet het bestuur daarover beslissen. En wanneer een bestuurlijke keuze noodzakelijk is, kan compliance de risico’s analyseren en zichtbaar maken, maar de keuze niet van het bestuur overnemen.

Dat onderscheid is essentieel voor een goed functionerende tweede lijn. Wie een risico signaleert, wordt niet daardoor verantwoordelijk voor het risico zelf. Hetzelfde geldt voor rapportage. Compliance is verantwoordelijk voor de kwaliteit van de informatie die zij verstrekt en voor een adequate escalatie wanneer dat noodzakelijk is. Zij is niet verantwoordelijk voor ieder besluit dat vervolgens op basis van die informatie wordt genomen.

Daar staat tegenover dat compliance zich niet kan verschuilen achter het feit dat een ander formeel verantwoordelijk is. Wie beschikt over informatie waarvan redelijkerwijs duidelijk is dat zij voor een verantwoordelijke functionaris van betekenis is, moet ervoor zorgen dat die informatie hem ook bereikt. Daarmee ontstaat de beweging die in dit hoofdstuk centraal staat:

weten → rapporteren → escaleren → melden.

De eerste vraag is dan aan wie compliance in de normale governanceverhoudingen rapporteert. Voor de meeste onderwerpen begint dat bij degene die uiteindelijk verantwoordelijk is voor de organisatie zelf: de Raad van Bestuur.

Rapporteren aan de Raad van Bestuur

De Raad van Bestuur is verantwoordelijk voor de organisatie en daarmee ook voor de wijze waarop risico’s worden beheerst. Compliance ondersteunt die verantwoordelijkheid door relevante informatie beschikbaar te maken, maar neemt haar niet over. Dat klinkt vanzelfsprekend, maar juist in de rapportage kan het onderscheid gemakkelijk vervagen. Een compliance officer die een risico constateert, kan beschrijven wat er aan de hand is, welke regelgeving van toepassing is, welke mogelijke gevolgen bestaan en welke beheersingsmaatregelen beschikbaar zijn. Waar een harde wettelijke grens bestaat, kan compliance die uiteraard aangeven. Maar binnen de ruimte die resteert is het uiteindelijk aan het bestuur om te bepalen welke risico’s het kantoor bereid is te aanvaarden. Dat maakt rapportage aan de Raad van Bestuur meer dan het periodiek opsturen van een overzicht met bevindingen.

Van informatie naar inzicht

Een bestuur heeft zelden behoefte aan alle informatie waarover compliance beschikt. Het moet beschikken over de informatie die nodig is om zijn verantwoordelijkheid te kunnen dragen. Een lijst met aantallen dossiers, bevindingen, incidenten en openstaande acties kan daarvoor nuttig zijn, maar zegt op zichzelf weinig. De toegevoegde waarde van compliance ligt in de duiding. Neemt een risico toe of af? Komen dezelfde tekortkomingen op verschillende plaatsen terug? Zijn afgesproken maatregelen effectief? Past de feitelijke situatie nog binnen de eerder gekozen risk appetite? Is een probleem incidenteel of wijst het op een structurele oorzaak? Daarvoor zijn zowel kwantitatieve als kwalitatieve gegevens nodig. Een dashboard kan zichtbaar maken dat een norm wordt overschreden, maar niet altijd waarom dat gebeurt of welke betekenis daaraan moet worden gegeven. Omgekeerd kan een uitvoerige beschrijving van afzonderlijke casussen het zicht op een patroon ontnemen. Goede compliancerapportage reduceert daarom complexiteit zonder relevante onzekerheid weg te poetsen. Het bestuur moet na het lezen niet méér informatie hebben, maar beter begrijpen wat er in de organisatie gebeurt.

Rapporteren om te laten besluiten

Rapportage krijgt pas werkelijk betekenis wanneer duidelijk is wat van het bestuur wordt gevraagd. Soms is dat uitsluitend kennisneming. Soms moet een eerder genomen besluit worden heroverwogen, capaciteit worden vrijgemaakt, een risico expliciet worden geaccepteerd of een maatregel worden getroffen. Dat onderscheid moet zichtbaar zijn. Een onderwerp dat alleen ter informatie wordt aangeboden, krijgt bestuurlijk een andere behandeling dan een onderwerp waarover een besluit noodzakelijk is. Wanneer compliance dat niet duidelijk maakt, ontstaat gemakkelijk een situatie waarin ernstige risico’s wel in een rapportage hebben gestaan, maar niemand zich werkelijk heeft afgevraagd wat ermee moest gebeuren. Dat geldt in het bijzonder voor risico’s waarvoor geen eenvoudige norm bestaat. Compliance kan bijvoorbeeld constateren dat een bepaalde activiteit een verhoogd integriteits- of reputatierisico oplevert zonder dat zij verboden is. Het is dan niet aan compliance om zelfstandig te bepalen dat dit risico aanvaardbaar of onaanvaardbaar is. Compliance moet het risico voldoende scherp neerleggen om het bestuur die keuze bewust te laten maken. Een risk appetite die alleen op papier bestaat, heeft weinig betekenis. Zij krijgt pas inhoud wanneer het bestuur bij concrete dilemma’s bereid is te zeggen: dit risico nemen wij wel, en dat risico niet.

Als compliance zelf beslist

Dat het bestuur uiteindelijk verantwoordelijk is, betekent niet dat iedere afzonderlijke beslissing door het bestuur zelf moet worden genomen. Aan compliance kunnen bevoegdheden zijn toegekend die rechtstreeks samenhangen met haar functie. Zo kan compliance een formele rol hebben in een Product Approval and Review Process of in een proces voor cliëntacceptatie en -continuatie (CEAC), inclusief de bevoegdheid een voorstel goed of af te keuren.

Daarnaast kunnen beslissingsbevoegdheden bij compliance terechtkomen omdat zij organisatorisch ergens moeten worden belegd en compliance daarvoor de meest logische plaats blijkt. Dat kan bijvoorbeeld voorkomen bij privacyvraagstukken, zoals de beslissing of bepaalde gegevens voor een specifiek doel beschikbaar mogen worden gesteld.

Daarmee verandert de rol van compliance op dat specifieke moment. Zij rapporteert dan niet alleen over besluiten van anderen, maar neemt zelf besluiten waarvoor zij verantwoordelijkheid draagt. Juist dan is rapportage aan de Raad van Bestuur van belang. Het bestuur moet kunnen zien welke bevoegdheden zijn gebruikt, welke belangrijke beslissingen zijn genomen, welke patronen daarin zichtbaar worden en waar zich dilemma’s voordoen. Delegatie verandert immers de plaats waar een besluit wordt genomen, niet de uiteindelijke bestuurlijke verantwoordelijkheid voor de organisatie. Wie bevoegdheid krijgt, moet daarom ook verantwoording afleggen over de wijze waarop die bevoegdheid wordt gebruikt.

Slecht nieuws moet sneller reizen

Periodieke rapportages zijn noodzakelijk, maar niet ieder onderwerp kan wachten tot de volgende rapportagecyclus. Naarmate een risico ernstiger of urgenter is, moet de weg naar het bestuur korter worden.
Dat vraagt vooraf om duidelijke afspraken. Welke gebeurtenissen worden onmiddellijk gemeld? Welke kunnen worden opgenomen in de reguliere rapportage? Wanneer moet de voorzitter of een individueel bestuurslid tussentijds worden geïnformeerd? En wie bepaalt dat? Daarbij bestaat een begrijpelijke neiging eerst volledige zekerheid te willen hebben. Een onderzoek loopt nog, feiten zijn niet allemaal vastgesteld en compliance wil voorkomen dat een bestuurder op basis van onvolledige informatie conclusies trekt. Maar wachten op zekerheid kan eveneens een risico zijn. Het bestuur kan alleen handelen op basis van informatie die het heeft.

Een Early Warning kan daarvoor een specifieke rapportagevorm zijn. Compliance maakt dan expliciet duidelijk dat een onderzoek nog niet is afgerond of dat relevante feiten nog ontbreken, maar dat de reeds zichtbare rode vlaggen van zodanige betekenis of urgentie zijn dat het bestuur daarvan nu kennis moet nemen. Een Early Warning is daarmee geen voorlopige conclusie die later stilzwijgend definitief wordt, maar een bewuste melding van een mogelijk ernstig risico onder vermelding van de onzekerheden die nog bestaan. Dat vraagt discipline in de formulering. Wat weten we? Wat denken we? Wat weten we nog niet? Welke vervolgstappen worden gezet? En waarom kan de uitkomst daarvan niet worden afgewacht voordat het bestuur wordt geïnformeerd? Onvolledige informatie is niet hetzelfde als onbetrouwbare informatie, zolang duidelijk is wat nog niet bekend is.

Rapporteren begint niet met een rapport

Formele rapportages vormen slechts een deel van de communicatie tussen compliance en bestuur. Regelmatige informele afstemming kan veel smeerolie toevoegen aan die relatie. Een periodieke bilaterale bespreking met bijvoorbeeld de voorzitter van de Raad van Bestuur maakt het mogelijk ontwikkelingen vroegtijdig te bespreken, context te geven bij onderwerpen die later formeel worden gerapporteerd en wederzijds te begrijpen welke kwesties aandacht vragen. Dat informele contact mag de formele rapportagelijnen niet vervangen. Materiële bevindingen verdwijnen niet uit een rapportage omdat zij al eens bij de koffie zijn besproken. Evenmin mag afhankelijkheid van een persoonlijke relatie ertoe leiden dat andere bestuursleden relevante informatie niet ontvangen. Juist wanneer beide vormen naast elkaar bestaan, kunnen zij elkaar versterken. De formele rapportage zorgt voor vastlegging, volledigheid en bestuurlijke verantwoording. Informele afstemming zorgt ervoor dat rapportage geen periodieke uitwisseling van documenten wordt tussen mensen die elkaar verder nauwelijks spreken. Een goede compliancefunctie moet daarom niet alleen toegang hebben tot het bestuur wanneer er iets misgaat. Een bestaande werkrelatie maakt het juist gemakkelijker slecht nieuws te brengen wanneer dat noodzakelijk wordt.

Ook de reactie is informatie

De verantwoordelijkheid van compliance eindigt niet noodzakelijk op het moment dat een rapportage is verzonden. Ook wat vervolgens met de bevindingen gebeurt, is relevant voor het risicobeeld. Worden maatregelen daadwerkelijk uitgevoerd? Leidt een terugkerende bevinding tot een structurele oplossing? Worden deadlines telkens verschoven? Accepteert het bestuur bewust een restrisico, of blijft een besluit eenvoudig uit? Compliance moet daarom de opvolging van materiële bevindingen kunnen volgen. Niet omdat compliance verantwoordelijk wordt voor de uitvoering van de maatregelen, maar omdat het uitblijven daarvan nieuwe informatie oplevert over de beheersing van de organisatie. Daarmee kan ook de aard van de informatiestroom veranderen. Wat aanvankelijk een gewone bevinding was, kan door onvoldoende opvolging een onderwerp worden dat opnieuw en nadrukkelijker moet worden gerapporteerd. Uiteindelijk kan verdere escalatie noodzakelijk zijn.

Rapporteren aan de Raad van Bestuur is daarom geen eindstation. Het is de normale route waarlangs compliance het bestuur ondersteunt zijn verantwoordelijkheid te dragen. Maar juist wanneer het onderwerp het functioneren van het bestuur zelf raakt, of wanneer noodzakelijke opvolging uitblijft, kan een tweede route noodzakelijk worden: die naar de Raad van Commissarissen.

De Raad van Commissarissen informeren

De Raad van Commissarissen heeft een andere verantwoordelijkheid dan de Raad van Bestuur. Het bestuur bestuurt de organisatie; de RvC houdt toezicht op het bestuur en op de algemene gang van zaken. Dat verschil heeft gevolgen voor de informatie die compliance verstrekt. Een kopie van iedere rapportage aan de Raad van Bestuur doorsturen naar de RvC is geen vanzelfsprekend goede governance. Commissarissen hebben informatie nodig die past bij hun toezichthoudende rol.

Compliance kan daaraan een belangrijke bijdrage leveren. De functie beschikt over informatie over risico’s, naleving, kwaliteit en de werking van beheersingsmaatregelen en kan bovendien zien hoe het bestuur met bevindingen omgaat. Daarmee kan compliance de RvC inzicht geven in onderwerpen die relevant zijn voor het toezicht op zowel de organisatie als het bestuur. De rapportage zal doorgaans meer op hoofdlijnen plaatsvinden dan richting de RvB. Structurele ontwikkelingen, belangrijke risico’s, ernstige incidenten, de werking van het compliance framework en de opvolging van materiële bevindingen zijn daarbij relevanter dan operationele details.

Een eigen informatiestroom

De RvC moet voor zijn informatie over compliance niet volledig afhankelijk zijn van het bestuur waarop hij toezicht houdt. Wanneer alle informatie van compliance uitsluitend via de Raad van Bestuur bij commissarissen terechtkomt, kan juist een probleem ontstaan wanneer het handelen of nalaten van het bestuur zelf onderdeel van het risicobeeld is.

Daarom is het verstandig dat compliance een rechtstreekse rapportagelijn of ten minste rechtstreeks toegangsrecht tot de RvC heeft. Hoe dat precies wordt ingericht, hangt af van de governance van de organisatie. Periodieke rapportage aan de voltallige RvC, een audit- of riskcommissie, een aangewezen commissaris of een combinatie daarvan kan allemaal passend zijn. Belangrijker dan de vorm is dat compliance de mogelijkheid heeft relevante informatie ongefilterd bij het interne toezicht te brengen.

Dat betekent niet dat de RvB daarbij standaard moet worden gepasseerd. Normale governance veronderstelt juist transparantie tussen bestuur, toezicht en compliance. In veel gevallen kan dezelfde materiële informatie zowel aan RvB als RvC worden verstrekt, waarbij die informatie vanuit verschillende verantwoordelijkheden wordt bekeken. Rechtstreekse toegang tot de RvC is geen alternatieve route die compliance gebruikt zodra zij het niet met het bestuur eens is. Zij is een waarborg voor situaties waarin de normale route onvoldoende is.

Zonder bestuur aan tafel

Ook buiten formele rapportages kan rechtstreeks contact tussen compliance en commissarissen waardevol zijn. Een periodiek gesprek met de RvC of een relevante commissie zonder aanwezigheid van de Raad van Bestuur kan ruimte bieden om onderwerpen te bespreken die in de normale governanceverhoudingen moeilijker aan de orde komen. Dat hoeft niet te betekenen dat er een conflict bestaat. De mogelijkheid om vrijuit te spreken heeft op zichzelf al waarde.

Zo’n gesprek kan bijvoorbeeld gaan over de ruimte die compliance ervaart om haar functie uit te oefenen, de kwaliteit van de informatievoorziening, de opvolging van bevindingen, de beschikbare capaciteit of eventuele druk vanuit de organisatie. Ook kan de RvC zich zo een zelfstandig beeld vormen van de positie en effectiviteit van de compliancefunctie.

Daarbij is enige terughoudendheid nodig. Een compliance officer die ieder verschil van inzicht met het bestuur bij commissarissen neerlegt, ondergraaft de normale bestuurlijke verhoudingen. Omgekeerd heeft een rechtstreeks toegangsrecht weinig betekenis wanneer compliance het alleen zou mogen gebruiken nadat het bestuur daarvoor toestemming heeft gegeven. De waarde zit juist in het bestaan van een onafhankelijke route die in normale omstandigheden rustig kan functioneren en in uitzonderlijke omstandigheden daadwerkelijk beschikbaar is.

Toezicht op opvolging

Voor de RvC is niet alleen van belang welke risico’s compliance constateert, maar ook hoe het bestuur daarop reageert. Daarmee krijgt dezelfde informatie een andere betekenis dan in de rapportage aan de RvB. Waar het bestuur een bevinding ontvangt om te kunnen besluiten of handelen, kan de RvC die bevinding gebruiken om te beoordelen of het bestuur zijn verantwoordelijkheid adequaat neemt.

Dat maakt de opvolging van bevindingen opnieuw belangrijk. Wanneer een materieel risico tijdig is gerapporteerd, maar noodzakelijke maatregelen structureel uitblijven, is dat niet langer uitsluitend informatie over het oorspronkelijke risico. Het wordt ook informatie over de kwaliteit van de governance. De reactie op een probleem kan uiteindelijk belangrijker worden dan het probleem waarmee het begon.

Compliance moet daarbij wel oppassen niet de beoordelaar van het bestuur te worden. Het is aan de RvC om toezicht te houden op de Raad van Bestuur. Compliance levert informatie waarmee de RvC dat toezicht kan uitoefenen. Ook hier blijft het onderscheid tussen informeren en verantwoordelijkheid dragen essentieel.

De RvC als werkgever

De verhouding tussen RvC en bestuur gaat bovendien verder dan toezicht alleen. Afhankelijk van de juridische en organisatorische inrichting vervult de RvC ook een rol bij benoeming, beoordeling, beloning en ontslag van bestuurders. Daarvoor kan informatie nodig zijn die niet rechtstreeks over een compliancekwestie gaat, maar over het functioneren van een bestuurder.

Binnen een organisatie zijn niet veel functies vanzelfsprekend in staat dergelijke informatie onafhankelijk van de Raad van Bestuur te verschaffen. Veel medewerkers zijn direct of indirect van het bestuur afhankelijk. De compliancefunctie kan door haar positie, toegang tot informatie en onafhankelijke rapportagelijn een van de functies zijn die de RvC wel een aanvullend beeld kan geven.

Dat maakt compliance niet tot personeelsbeoordelaar van de Raad van Bestuur. De beoordeling blijft aan de RvC. Evenmin hoort compliance algemene indrukken of geruchten over bestuurders te verzamelen. Maar wanneer de functie vanuit haar normale werkzaamheden beschikt over relevante feitelijke informatie over bijvoorbeeld gedrag, omgang met risico’s, opvolging van bevindingen of respect voor interne beheersing, kan die informatie voor de RvC ook in zijn werkgeversrol relevant zijn.

Dezelfde waarneming kan daarmee verschillende betekenissen hebben. Het negeren van een belangrijke compliancebevinding is voor de organisatie een risico. Voor de RvC kan de wijze waarop een bestuurder daarmee omgaat tegelijkertijd informatie zijn over diens functioneren.

De onafhankelijkheid van de compliance officer

Onafhankelijkheid moet niet alleen bestaan in rapportagelijnen, maar ook in de positie van degene die de compliancefunctie leidt. Wanneer de compliance officer informatie over het handelen van de Raad van Bestuur rechtstreeks aan de RvC moet kunnen rapporteren, ontstaat een kwetsbaarheid wanneer diezelfde Raad van Bestuur zelfstandig over zijn benoeming en ontslag kan beslissen.

Afhankelijk van de inrichting van de organisatie kan het daarom aanbeveling verdienen de bevoegdheid tot benoeming en ontslag van de compliance officer bij de RvC te beleggen. Benoeming kan plaatsvinden op voordracht van de Raad van Bestuur, zodat het bestuur een belangrijke rol houdt bij de selectie van degene met wie het intensief moet samenwerken. Bij een voorgenomen ontslag behoort de compliance officer vooraf zelf door de RvC te kunnen worden gehoord.

Dat laatste is meer dan procedurele hoffelijkheid. Een conflict tussen bestuur en compliance kan immers juist zijn ontstaan doordat de compliance officer een onderwerp heeft gerapporteerd dat het bestuur onwelgevallig is. De RvC moet kunnen vaststellen of een voorgenomen ontslag voortkomt uit normaal functioneren van de organisatie of samenhangt met de onafhankelijke taakuitoefening van compliance.

Een dergelijke constructie maakt de compliance officer niet onafhankelijk van iedere beoordeling. Integendeel: wie een bijzondere institutionele bescherming krijgt, moet ook aanspreekbaar zijn op de kwaliteit van zijn eigen functioneren. Zij zorgt er alleen voor dat degene over wie compliance zo nodig moet kunnen rapporteren, niet zonder tussenkomst van het interne toezicht kan beslissen dat de rapporteur moet vertrekken.

Onafhankelijkheid moet praktisch bestaan

Formele bepalingen over de onafhankelijkheid van compliance hebben weinig waarde wanneer de functie in de praktijk niet vrij kan rapporteren. Een charter kan bepalen dat de compliance officer toegang heeft tot de RvC, maar die toegang is weinig waard wanneer ieder contact als een daad van wantrouwen tegenover het bestuur wordt beschouwd. Omgekeerd is onafhankelijkheid ook niet hetzelfde als afstandelijkheid. Een compliancefunctie die een goede werkrelatie met de RvB onderhoudt, verliest daardoor niet haar onafhankelijkheid.

De kwaliteit van de governance blijkt juist uit het naast elkaar kunnen bestaan van beide relaties. Compliance moet voldoende nabij het bestuur staan om te begrijpen wat er speelt en voldoende onafhankelijk zijn om ook informatie te kunnen rapporteren die het bestuur liever niet ontvangt.

De rechtstreekse lijn naar de RvC is daarom geen teken dat de normale governance heeft gefaald. Zij is onderdeel van die normale governance. Pas wanneer zij nodig is en niet gebruikt kan worden, blijkt hoe belangrijk het was haar vooraf goed te organiseren.

In gesprek met de toezichthouder

Accountantskantoren kunnen met verschillende toezichthouders te maken hebben. Welke dat zijn en waarop zij toezicht houden is eerder in dit boek besproken. Voor de compliancefunctie ontstaat daarmee een andere vraag: hoe onderhoudt een organisatie een professionele relatie met een toezichthouder?

Die relatie verschilt fundamenteel van de verhouding met een cliënt, leverancier of andere zakelijke relatie. Een toezichthouder vertegenwoordigt een publiek belang en beschikt over bevoegdheden die gevolgen kunnen hebben voor de organisatie. Tegelijkertijd is toezicht geen incidentele confrontatie die pas begint wanneer een onderzoek wordt aangekondigd. Zeker bij organisaties die structureel onder toezicht staan, is sprake van een doorlopende relatie waarin informatie wordt uitgewisseld en verwachtingen over en weer ontstaan.

Compliance kan daarin een belangrijke rol spelen. De functie kent de regelgeving, heeft zicht op de beheersing van de organisatie en kan vaak de verbinding leggen tussen vragen van de toezichthouder en de onderdelen van het kantoor die over de benodigde informatie beschikken. Dat maakt compliance een logisch aanspreekpunt of coördinatiepunt, zonder dat daarmee iedere communicatie met een toezichthouder uitsluitend via compliance hoeft te verlopen.

Open, maar niet onvoorbereid

Een professionele verhouding met een toezichthouder vraagt om openheid. Problemen verbergen, informatie strategisch versnipperen of antwoorden zo formuleren dat zij formeel juist maar materieel misleidend zijn, passen niet bij een organisatie die serieus invulling wil geven aan compliance. Openheid betekent echter niet dat ieder voorlopig vermoeden onmiddellijk als vaststaand feit moet worden gepresenteerd.

Ook hier is het onderscheid tussen feiten, vermoedens en conclusies belangrijk. Wanneer een onderzoek nog loopt, kan dat worden gezegd. Wanneer informatie voorlopig is, moet dat duidelijk zijn. En wanneer het kantoor een andere interpretatie van regelgeving heeft dan de toezichthouder, hoeft dat verschil niet te worden verhuld. Een professionele relatie verdraagt verschil van inzicht zolang duidelijk en inhoudelijk wordt uitgelegd waarop het standpunt van het kantoor berust.

Dat vraagt voorbereiding. Voordat informatie wordt verstrekt, moet duidelijk zijn wat de vraag is, welke gegevens beschikbaar zijn, wie inhoudelijk verantwoordelijk is voor het antwoord en of verschillende onderdelen van de organisatie hetzelfde feitenbeeld hanteren. Niet om de werkelijkheid glad te strijken, maar om te voorkomen dat onzorgvuldige of tegenstrijdige communicatie zelf een nieuw probleem creëert.

Eén werkelijkheid

Een toezichthouder kan informatie uit verschillende delen van de organisatie ontvangen. Bestuurders, compliance officers, accountants, juristen en andere medewerkers kunnen allemaal bij een toezichtsgesprek betrokken raken. Wanneer ieder vanuit zijn eigen dossier en perspectief antwoordt, kunnen verschillen ontstaan die voor de organisatie intern verklaarbaar zijn maar extern de indruk wekken dat niemand precies weet wat er speelt.

Daarom is coördinatie van belang. Dat betekent niet dat alle antwoorden uit één mond moeten komen of dat medewerkers een ingestudeerd verhaal moeten vertellen. Het betekent wel dat feiten worden gecontroleerd, verantwoordelijkheden duidelijk zijn en relevante informatie binnen de organisatie wordt gedeeld voordat zij naar buiten gaat. Een organisatie hoeft niet één mening te hebben, maar behoort wel één werkelijkheid te hebben.

Juist compliance kan helpen dat onderscheid te bewaken. Een inhoudelijk verschil van inzicht mag zichtbaar zijn. Tegenstrijdige feitelijke verklaringen over bijvoorbeeld de werking van een proces, het moment waarop een incident bekend werd of de maatregelen die zijn genomen, vragen daarentegen om nader onderzoek voordat zij als antwoord worden verstrekt.

Geen verkoopgesprek

De neiging om de eigen organisatie positief te presenteren is menselijk. Bestuurders en professionals zijn gewend uit te leggen wat goed gaat en waarom gemaakte keuzes verstandig waren. In een gesprek met een toezichthouder kan die reflex averechts werken.

Een toezichthouder vraagt niet om een pitch. Wanneer een probleem bestaat, draagt een uitvoerige beschrijving van alles wat verder goed gaat niet noodzakelijk bij aan vertrouwen. Geloofwaardigheid ontstaat eerder door problemen te herkennen, feiten correct te presenteren, onzekerheden te benoemen en duidelijk te maken wat ermee wordt gedaan.

Dat betekent ook dat compliance niet moet proberen iedere bevinding onmiddellijk te relativeren. Een bevinding kan feitelijk onjuist of buiten proportie zijn en dan mag zij stevig worden weersproken. Maar reflexmatig verdedigen omdat kritiek van buiten komt, maakt compliance onderdeel van de verdediging van de organisatie in plaats van bewaker van een zorgvuldige omgang met het toezicht. Openheid is daarbij niet hetzelfde als onderdanigheid. Een professioneel accountantskantoor mag van een toezichthouder verwachten dat ook deze zorgvuldig handelt, zijn conclusies onderbouwt en ruimte laat voor een inhoudelijke reactie. Compliance kan daarom tegelijkertijd coöperatief en kritisch zijn.

Niet de vooruitgeschoven post

Voor de compliance officer bestaat in de relatie met de toezichthouder nog een bijzonder spanningsveld. Van hem mag volledige eerlijkheid worden verwacht. Een compliance officer mag niet liegen tegen een toezichthouder, geen relevante feiten verdraaien en niet bewust een misleidend beeld creëren. Juist vanuit zijn functie zou dergelijk gedrag het vertrouwen in zowel de compliancefunctie als de organisatie ernstig beschadigen. Daaruit volgt echter niet dat de compliance officer een vooruitgeschoven post van de toezichthouder binnen de eigen organisatie is. Hij werkt voor het accountantskantoor en vervult binnen die organisatie een onafhankelijke functie. Zijn taak is de organisatie te helpen haar compliance- en integriteitsrisico’s te beheersen, niet om namens de toezichthouder intern toezicht uit te oefenen.

Dat onderscheid kan ongemakkelijk zijn. Een toezichthouder kan de onafhankelijkheid van compliance gemakkelijk verbinden met de verwachting dat de compliance officer zich ook tegenover zijn eigen organisatie als een verlengstuk van het externe toezicht opstelt. Dat is niet noodzakelijk de juiste verhouding. Onafhankelijkheid betekent dat de compliance officer zijn professionele oordeel niet laat bepalen door commerciële of bestuurlijke druk. Zij betekent niet dat zijn loyaliteit aan de organisatie verdwijnt.

Die loyaliteit heeft uiteraard grenzen. Zij rechtvaardigt nooit liegen, misleiden, informatie achterhouden die op grond van een verplichting moet worden verstrekt of belemmeren van toezicht. Maar binnen die grenzen mag een compliance officer de gerechtvaardigde belangen van zijn organisatie behartigen. Hij mag een standpunt van de toezichthouder bestrijden, de organisatie voorbereiden op een toezichtsonderzoek, kritisch zijn op informatieverzoeken en erop toezien dat voorlopige bevindingen niet als vaststaande feiten worden behandeld. Daarmee is de verhouding niet die van bondgenoot of tegenstander. De compliance officer hoeft niet te kiezen tussen loyaliteit aan zijn organisatie en professionele integriteit zolang beide verenigbaar zijn. Juist zijn positie binnen de organisatie maakt hem voor de toezichthouder waardevol: hij kent het kantoor, begrijpt zijn belangen en kan tegelijkertijd voldoende onafhankelijk oordelen om slecht nieuws niet weg te poetsen. De compliance officer moet betrouwbaar zijn voor de toezichthouder. Hij werkt er niet voor.

De toezichthouder is geen adviseur

Een subtieler risico ontstaat wanneer het kantoor de toezichthouder gaat gebruiken om moeilijke eigen beslissingen te nemen. Bij onzekerheid kan de verleiding bestaan een voorgenomen werkwijze voor te leggen en te vragen of de toezichthouder daarmee akkoord gaat. Overleg kan nuttig zijn en een toezichthouder kan uiteraard duidelijkheid geven over zijn interpretatie of verwachtingen. Maar de verantwoordelijkheid voor de inrichting en beheersing van het kantoor blijft bij het kantoor zelf. Het ontbreken van bezwaar van een toezichthouder verandert een bestuurlijke keuze niet in een besluit van de toezichthouder.

Dat is ook van belang voor compliance. De toezichthouder is geen externe chief compliance officer aan wie ingewikkelde afwegingen kunnen worden uitbesteed. Wanneer regelgeving ruimte laat voor een keuze, moet de organisatie die keuze zelf maken, onderbouwen en dragen. Een toezichtsgesprek moet daarom niet worden gebruikt om achteraf te kunnen zeggen: de toezichthouder vond het goed. De betere vraag is of het kantoor zelf kan uitleggen waarom het zijn keuze verantwoord vond.

Geen verrassingen

In een duurzame toezichtrelatie speelt ten slotte timing een belangrijke rol. Een toezichthouder die een materieel probleem pas ontdekt via een incident, een derde of een reguliere informatie-uitvraag kan zich terecht afvragen wanneer het kantoor er zelf van wist en waarom het niet eerder is besproken.

Niet ieder probleem hoeft onmiddellijk extern te worden gedeeld. Daarvoor bestaan wettelijke meldplichten, afspraken met toezichthouders en professionele afwegingen die per situatie kunnen verschillen. Maar ook wanneer geen formele meldplicht bestaat, kan tijdige communicatie verstandig zijn. De mogelijke impact, de mate waarin het feitenbeeld vaststaat, de maatschappelijke betekenis en de verwachting dat de kwestie later toch relevant wordt voor het toezicht kunnen daarbij een rol spelen.

Ook hier kan een vorm van vroege communicatie passend zijn waarbij expliciet wordt gemaakt dat onderzoek nog loopt. Dezelfde discipline als bij een interne Early Warning geldt dan: onderscheid maken tussen wat bekend is, wat nog wordt onderzocht en welke maatregelen ondertussen zijn genomen.

Een goede relatie met een toezichthouder betekent niet dat er nooit slecht nieuws is. Bij een grote professionele organisatie zou dat zelfs weinig geloofwaardig zijn. Zij betekent dat de organisatie problemen zelf probeert te herkennen, daar aantoonbaar verantwoordelijkheid voor neemt en de toezichthouder niet onnodig laat ontdekken wat het kantoor zelf al had behoren te vertellen. Een toezichthouder hoeft niet altijd tevreden te zijn met wat hij hoort. Hij moet erop kunnen vertrouwen dat hij hoort wat ertoe doet.

Als informeren melden wordt

Tot nu toe ging het vooral over informatie waarvan compliance moet beoordelen wie haar nodig heeft. Soms verdwijnt die afweging grotendeels. Wet- en regelgeving kan voorschrijven dat bepaalde informatie aan een aangewezen partij moet worden gemeld. Dan verandert communicatie in een verplicht proces met eigen voorwaarden, termijnen en verantwoordelijkheden.

Accountantskantoren kunnen met een opvallend breed scala aan dergelijke verplichtingen te maken krijgen. De Wwft kent de melding van ongebruikelijke transacties. Vanuit de Wta kunnen bijvoorbeeld incidentmeldingen aan de AFM aan de orde zijn. De AVG kent onder voorwaarden de verplichting datalekken te melden aan de Autoriteit Persoonsgegevens en soms ook aan betrokkenen. Binnen Horizontaal Toezicht kunnen afspraken bestaan over het actief afstemmen van relevante fiscale kwesties met de Belastingdienst. En een kantoor dat kennis krijgt van mogelijke mededingingsrechtelijke problemen kan zelfs voor de vraag komen te staan of en hoe de ACM moet worden benaderd. Die voorbeelden verschillen juridisch sterk van elkaar. Niet iedere informatieverstrekking is bovendien in dezelfde betekenis een wettelijke melding: soms bestaat een harde meldplicht, soms een verplichting uit een toezichtarrangement en soms een afweging of vrijwillig contact met een autoriteit noodzakelijk of verstandig is. Voor compliance is juist dat verschil belangrijk. Het kantoor moet niet alleen weten wat het weet, maar ook welk regime op die informatie van toepassing is en wat daar vervolgens uit voortvloeit.

Het is niet de bedoeling al die verplichtingen hier afzonderlijk te behandelen. Voor compliance is vooral de vraag van belang hoe een kantoor ervoor zorgt dat een mogelijke meld- of informatieverplichting wordt herkend, juridisch juist wordt gekwalificeerd en vervolgens correct wordt uitgevoerd.

Eerst moet iemand het zien

Een meldprocedure heeft weinig waarde wanneer de informatie die tot een melding zou moeten leiden haar nooit bereikt. De eerste beheersingsvraag ligt daarom niet bij het formulier waarmee wordt gemeld, maar bij de organisatie die moet herkennen dat zich mogelijk een meldingswaardige situatie voordoet. Dat is ingewikkelder dan één centrale instructie meld bijzonderheden bij compliance. De medewerker die een ongebruikelijke transactie ziet, hoeft niet tevens deskundig te zijn in de Wta, de AVG of het mededingingsrecht. Andersom kan een datalek ontstaan op een plaats in de organisatie waar niemand dagelijks met compliancewetgeving bezig is. Het kantoor moet daarom organiseren dat medewerkers afwijkingen en incidenten herkennen zonder van hen te verwachten dat zij onmiddellijk de juiste juridische kwalificatie kunnen geven.

Vervolgens moet het signaal terechtkomen bij iemand die dat wel kan of de juiste deskundigheid kan inschakelen. Eenzelfde gebeurtenis kan bovendien meerdere regimes raken. Een incident rond een cliëntdossier kan bijvoorbeeld tegelijk vragen oproepen over privacy, toezicht, beroepsregels en de relatie met de cliënt. De vraag is dan niet welke procedure moet worden gekozen alsof er maar één kan gelden, maar welke verplichtingen naast elkaar bestaan. Juist bij een accountantskantoor kan relevante informatie op veel plaatsen ontstaan. Een accountant ziet iets tijdens een opdracht, een fiscalist ontdekt een opmerkelijke transactie, salarisadministratie signaleert een ongebruikelijke betaling, IT constateert dat gegevens toegankelijk zijn geweest voor onbevoegden of een medewerker ontdekt gedrag dat mogelijk ook buiten de eigen organisatie juridische betekenis heeft. Een meldplicht kan daarom niet uitsluitend worden beheerst door degenen die uiteindelijk de melding doen. De kwaliteit van het meldproces wordt voor een belangrijk deel bepaald vóórdat compliance weet dat er iets te melden zou kunnen zijn.

Van signaal naar beslissing

Niet ieder signaal leidt tot een melding. Tussen het waarnemen van iets ongebruikelijks en het daadwerkelijk melden kan een beoordeling nodig zijn. Die beoordeling moet voldoende deskundig, tijdig en reproduceerbaar plaatsvinden. Daarbij moet duidelijk zijn wie beslist. Een procedure waarin iedereen verantwoordelijk is voor melden, kan er in de praktijk toe leiden dat niemand zich verantwoordelijk voelt voor de uiteindelijke beslissing. Het kantoor moet daarom bepalen wie signalen beoordeelt, wie aanvullende informatie verzamelt, wie de formele beslissing neemt en wie de melding uitvoert.

Ook een beslissing om niet te melden kan relevant zijn. Zeker wanneer een serieus signaal is onderzocht en vervolgens is geconcludeerd dat geen meldplicht bestaat, moet achteraf kunnen worden gereconstrueerd waarom die conclusie redelijk was. Dat betekent niet dat iedere vluchtige twijfel een uitgebreid dossier vereist. Naarmate het signaal ernstiger is en de beoordeling ingewikkelder, neemt het belang van vastlegging toe. Compliance kan in dat proces verschillende rollen vervullen. Zij kan het proces ontwerpen en bewaken, inhoudelijk adviseren of zelf beslissingsbevoegd zijn. Welke keuze wordt gemaakt is minder belangrijk dan dat verantwoordelijkheden duidelijk zijn en de werking van het proces kan worden getoetst.

Tijd is een beheersingsmaatregel

Meldplichten kennen vaak termijnen of vereisen dat zonder onnodige vertraging wordt gehandeld. Daarmee wordt tijd zelf onderdeel van de beheersing. Een inhoudelijk juiste melding die te laat wordt gedaan kan nog steeds een tekortkoming zijn. Dat vraagt meer dan een termijn opnemen in een procedure. De organisatie moet ervoor zorgen dat een signaal snel genoeg bij de juiste persoon terechtkomt, dat onderzoek niet onnodig blijft liggen en dat duidelijk is wanneer de klok begint te lopen. Afwezigheid van één functionaris mag niet betekenen dat een wettelijke verplichting tijdelijk niet kan worden uitgevoerd.

Dat is vooral relevant bij meldingen die weinig voorkomen. Routinematige processen worden door herhaling vanzelf geoefend. Een bijzondere meldplicht kan zich pas na jaren voor het eerst voordoen. Juist dan moet de organisatie erop kunnen vertrouwen dat verantwoordelijkheden, vervanging, toegang tot systemen en benodigde kennis vooraf zijn geregeld.

Melden is soms ook zwijgen

Sommige meldplichten brengen beperkingen mee voor wat vervolgens met anderen mag worden gedeeld. Het bekendste voorbeeld is het verbod om een cliënt op de hoogte te brengen van bepaalde meldingen of onderzoeken in het kader van de Wwft. Een goed meldproces moet daarom niet alleen regelen welke informatie naar buiten gaat, maar ook wie intern van de melding mag weten en wat daarover tegen de cliënt of anderen kan worden gezegd. Dat kan botsen met normale professionele reflexen. Een adviseur is gewend vragen van zijn cliënt te beantwoorden en uit te leggen waarom bepaalde informatie nodig is of waarom werkzaamheden anders verlopen dan verwacht. Wanneer een geheimhoudings- of tipping-offverbod geldt, kan juist terughoudendheid noodzakelijk zijn.

Ook intern verdient verspreiding aandacht. Niet iedere medewerker hoeft te weten dat een melding is gedaan. Informatie moet beschikbaar zijn voor degenen die haar nodig hebben om hun verantwoordelijkheid uit te oefenen, maar onnodige verspreiding kan zowel juridische als operationele risico’s creëren. Een meldproces regelt daarom twee informatiestromen tegelijk: wat verplicht moet worden gedeeld en wat juist niet mag worden gedeeld.

Melden neemt verantwoordelijkheid niet weg

Een externe melding kan psychologisch als eindpunt voelen. Het kantoor heeft het probleem bij de bevoegde instantie neergelegd en daarmee lijkt de eigen taak voltooid. Dat is niet noodzakelijk het geval. Een melding verandert op zichzelf niets aan de verantwoordelijkheid van het kantoor voor zijn eigen dienstverlening en risicobeheersing. Een Wwft-melding beantwoordt bijvoorbeeld niet automatisch de vraag of een cliëntrelatie kan worden voortgezet. Evenmin maakt het informeren van een toezichthouder verdere interne maatregelen overbodig. De externe verplichting en de eigen verantwoordelijkheid bestaan naast elkaar.

Compliance moet daarom voorkomen dat gemeld wordt verward met opgelost. Na een melding kunnen aanvullende beslissingen nodig zijn over cliëntacceptatie of -continuatie, dienstverlening, risicoclassificatie, interne beheersing of verdere escalatie. Welke beslissingen dat zijn hangt af van de situatie, maar zij blijven beslissingen van de organisatie zelf. Andersom geldt hetzelfde. Dat het kantoor intern maatregelen heeft getroffen, heft een bestaande externe meldplicht niet op. Een probleem zelf oplossen en een probleem verplicht melden zijn verschillende dingen.

Een melding behoort bovendien vrijwel altijd aanleiding te zijn voor ten minste twee vervolgvragen. De eerste is waarom het probleem heeft kunnen ontstaan. De tweede is of hetzelfde probleem zich ook elders binnen de organisatie kan voordoen of al heeft voorgedaan. Daarmee komen respectievelijk een Root Cause Analysis (RCA) en een zogenoemd olievlekonderzoek in beeld. Niet iedere melding rechtvaardigt automatisch een uitgebreid onderzoek, maar de afweging óf dergelijke onderzoeken nodig zijn moet wel bewust worden gemaakt en vastgelegd. Wanneer de aard of ernst van het incident daartoe aanleiding geeft, moeten zij vervolgens ook daadwerkelijk worden uitgevoerd.

Bij een RCA gaat het niet alleen om de directe oorzaak van het incident. Dat medewerker X een fout heeft gemaakt of procedure Y niet heeft gevolgd, verklaart zelden voldoende waarom de beheersing heeft gefaald. Interessanter is welke omstandigheden het mogelijk maakten dat de fout ontstond, niet werd voorkomen of niet eerder werd ontdekt. Het olievlekonderzoek stelt een andere vraag: als deze oorzaak hier tot een probleem heeft geleid, waar kan hetzelfde mechanisme dan nog meer werkzaam zijn? Een incident in één dossier kan aanleiding zijn om vergelijkbare dossiers, teams, vestigingen, cliëntgroepen of processen te onderzoeken.

Die vragen zullen ook buiten compliance worden gesteld. Een toezichthouder die over een incident wordt geïnformeerd, zal willen weten of de oorzaak is onderzocht, hoe breed het probleem mogelijk is en welke maatregelen worden getroffen. Een goed functionerende Raad van Bestuur en Raad van Commissarissen behoren in wezen dezelfde vragen te stellen. De organisatie moet die onderzoeken daarom niet uitsluitend uitvoeren omdat een toezichthouder erom vraagt. Zij heeft zelf belang bij het antwoord.

Daarmee krijgt een melding ook een diagnostische functie. Zij vertelt niet alleen dat ergens iets is misgegaan, maar biedt een ingang om te onderzoeken wat het incident zegt over de rest van de organisatie. De waarde van een goed meldproces zit daarom uiteindelijk niet alleen in het tijdig informeren van de juiste instantie, maar ook in wat de organisatie vervolgens over zichzelf leert.

De uitzondering moet werken

Bij formele meldplichten wordt de kwaliteit van het systeem uiteindelijk zichtbaar op het moment dat zich een uitzondering voordoet. Procedures, schema’s en verantwoordelijkheidsmatrices kunnen jarenlang correct op papier staan zonder werkelijk te worden getest. Daarom moet compliance niet alleen vaststellen dat een meldprocedure bestaat, maar ook onderzoeken of signalen daadwerkelijk op de juiste plaats terechtkomen, beslissingen tijdig worden genomen, vastlegging voldoende is en meldingen correct worden uitgevoerd. Incidenten en bijna-incidenten kunnen daarbij waardevolle informatie opleveren over zwakke plekken in het proces.

De paradox is dat juist de minst frequente verplichtingen soms de meest robuuste voorbereiding vragen. Wanneer een melding iedere dag wordt gedaan, weet iedereen hoe het proces werkt. Wanneer zij eens in de vijf jaar nodig is, moet het proces werken zonder dat iemand op routine kan vertrouwen. Bij rapporteren en informeren bestaat vaak ruimte voor professioneel oordeel over timing, vorm en doelgroep. Bij een formele meldplicht kan die ruimte aanzienlijk kleiner zijn. Dan moet de organisatie vooraf hebben geregeld wat er gebeurt wanneer het moment daar is. Een meldplicht die pas wordt georganiseerd wanneer er iets te melden valt, is geen beheersingsmaatregel maar improvisatie.

Escaleren als niemand wil luisteren

De meeste compliancekwesties worden opgelost zonder escalatie. Een probleem wordt gesignaleerd, besproken en waar nodig hersteld. Soms bestaat verschil van inzicht over de ernst, de oorzaak of de gewenste maatregel, maar ook dat behoort tot het normale functioneren van een organisatie. Compliance heeft niet automatisch gelijk omdat compliance iets vindt, en het bestuur hoeft een advies van de compliance officer niet over te nemen alleen omdat het van compliance afkomstig is.

Maar soms blijft na discussie een probleem bestaan dat de compliance officer materieel vindt, terwijl degene die verantwoordelijk is voor het nemen van maatregelen niet handelt. Misschien wordt het risico anders ingeschat. Misschien zijn de maatregelen kostbaar of commercieel onaantrekkelijk. Misschien ligt het onderwerp bestuurlijk gevoelig. En soms wil iemand eenvoudigweg niet horen wat compliance te vertellen heeft. Dan verandert rapporteren in escaleren.

Verschil van inzicht is nog geen escalatie

Een onafhankelijke compliancefunctie veronderstelt niet dat haar oordeel boven dat van anderen staat. De eerste stap bij een serieus verschil van inzicht is daarom niet het beklimmen van de hiërarchie, maar het onderzoeken van het verschil. Zijn de feiten dezelfde? Wordt dezelfde regelgeving gehanteerd? Verschilt de inschatting van kans of impact? Of bestaat overeenstemming over het risico, maar kiest het bestuur bewust voor acceptatie ervan?

Vooral dat laatste onderscheid is belangrijk. Het bestuur mag risico’s nemen. Dat is zelfs een wezenlijk onderdeel van besturen. Compliance kan adviseren dat een bepaald risico groot is, maatregelen voorstellen en waarschuwen voor mogelijke gevolgen. Wanneer het risico binnen de wettelijke grenzen valt, kan het bestuur uiteindelijk besluiten het risico toch te accepteren. De compliance officer hoeft het daarmee niet eens te zijn.

Anders wordt het wanneer een wettelijke grens wordt overschreden, een besluit buiten de vastgestelde risk appetite valt zonder dat die afwijking bevoegd wordt geaccepteerd, essentiële informatie wordt genegeerd of de gekozen handelwijze de integere bedrijfsvoering ernstig bedreigt. Dan kan de compliance officer niet volstaan met de constatering dat het bestuur nu eenmaal verantwoordelijk is. Onafhankelijkheid zou weinig voorstellen wanneer zij eindigt zodra iemand met meer formele macht nee zegt.

Maak het verschil zichtbaar

Voordat verder wordt geëscaleerd, moet helder zijn waarover het verschil precies gaat. Mondelinge discussies hebben de neiging achteraf verschillende herinneringen op te leveren. Bij een materieel verschil van inzicht moet compliance daarom vastleggen wat zij heeft geconstateerd, welke risico’s zij ziet, welk advies zij heeft gegeven en welk besluit vervolgens is genomen. Dat is geen administratieve indekking. Het dwingt alle betrokkenen om scherp te formuleren waar zij het over eens en oneens zijn. Misschien blijkt het verschil kleiner dan gedacht. Misschien blijkt het bestuur bereid het risico expliciet te accepteren zodra het zwart op wit staat. En misschien wordt juist zichtbaar dat een grens wordt overschreden die niet door een bestuurlijk besluit kan worden weggenomen.

Ook hier geldt dat compliance onderscheid moet maken tussen feiten, professionele beoordeling en uiteindelijk besluit. Een goede escalatie is geen steeds luider herhaalde versie van hetzelfde bezwaar. Zij maakt duidelijk waarom een kwestie op het volgende niveau moet worden beoordeeld.

De volgende trede

Escalatie behoort vooraf te zijn georganiseerd. Een compliance officer moet niet tijdens een crisis voor het eerst bedenken bij wie hij terechtkan wanneer zijn normale rapportagelijn niet functioneert. Afhankelijk van de governance kan een onderwerp eerst bij de voltallige Raad van Bestuur worden gebracht wanneer het aanvankelijk met één bestuurder is besproken. Daarna kan rechtstreekse rapportage aan de Raad van Commissarissen of een relevante commissie aan de orde zijn.

Daarmee krijgt de eerder besproken directe toegang tot de RvC praktische betekenis. Zolang alles goed gaat, kan zo’n lijn bijna ceremonieel lijken. Haar werkelijke waarde blijkt wanneer de compliance officer informatie moet delen over een kwestie waarin de Raad van Bestuur zelf onderdeel van het probleem is of onvoldoende maatregelen neemt.

Escaleren is daarbij iets anders dan gelijk proberen te krijgen. De compliance officer legt het probleem bij een orgaan dat vanuit zijn eigen verantwoordelijkheid een oordeel moet vormen. De RvC kan vervolgens tot dezelfde conclusie komen als de RvB. Ook dat is een mogelijke uitkomst. Onafhankelijkheid geeft compliance het recht en soms de plicht om een kwestie verder te brengen; zij geeft geen recht op de gewenste uitkomst.

Als de governance zelf het probleem wordt

Escalatie veronderstelt dat de governance nog functioneert. Wanneer een probleem met een bestuurder niet kan worden opgelost, kan het naar de voltallige Raad van Bestuur of de Raad van Commissarissen worden gebracht. Maar wat gebeurt er wanneer juist tussen die organen een conflict bestaat? Of wanneer aandeelhouders of partners tegenover het bestuur staan, commissarissen onderling verdeeld zijn en verschillende partijen proberen compliance in hun conflict te betrekken?

Voor een compliance officer kan dat een van de moeilijkste situaties zijn. Niet noodzakelijk omdat de regelgeving ingewikkeld is, maar omdat iedere handeling politieke betekenis krijgt. Met wie wordt gesproken, welke informatie wordt gedeeld, wie een rapport als eerste ontvangt en zelfs welke woorden daarin worden gebruikt, kunnen worden uitgelegd als steun aan de ene of de andere partij. De normale governanceverhoudingen bieden dan minder houvast, terwijl juist meer behoefte bestaat aan onafhankelijke informatie.

Regel je positie als het nog rustig is

Wie tijdens een governancecrisis voor het eerst zijn onafhankelijkheid moet bevechten, is te laat. Juist wanneer er niets aan de hand is, moet de positie van compliance daarom helder worden vastgelegd in een compliancestatuut. Dat statuut is geen beschrijving van goede bedoelingen, maar regelt de bevoegdheden die de functie nodig heeft wanneer de normale verhoudingen onder druk komen te staan. De RvB en RvC moeten die positie vooraf kennen en onderschrijven.

Daarbij hoort allereerst een onbelemmerd recht op toegang tot alle informatie en alle ruimten van de organisatie voor zover compliance die voor de uitoefening van haar taak nodig acht. De compliance officer moet niet afhankelijk zijn van toestemming van degene wiens handelen mogelijk onderwerp van onderzoek is. Hetzelfde geldt voor personen: medewerkers moeten beschikbaar kunnen zijn voor onderzoek en gesprekken met compliance.

Daarnaast moet compliance informatie in volstrekte vertrouwelijkheid kunnen ontvangen en behandelen, behoudens waar de wet tot verstrekking verplicht. Een medewerker, bestuurder of commissaris moet met compliance kunnen spreken zonder dat een andere functionaris op grond van zijn hiërarchische positie automatisch aanspraak kan maken op de inhoud van dat gesprek. Zonder die mogelijkheid wordt de informatiepositie van compliance juist zwakker op het moment dat de organisatie haar het hardst nodig heeft.

Het statuut moet compliance ook de vrijheid geven zelfstandig onderzoek te initiëren en over onderwerpen te rapporteren die zij vanuit haar functie relevant acht. Daar hoort de spiegelbeeldige bevoegdheid bij om een onderzoek of rapportage te weigeren. Compliance is geen interne onderzoeksafdeling die iedere bestuurder, commissaris of aandeelhouder voor zijn eigen doeleinden kan inzetten. Juist in een governanceconflict is het essentieel dat de compliance officer kan zeggen: dit onderzoek behoort niet tot mijn taak, ik kan het niet onafhankelijk uitvoeren of ik laat mij hiervoor niet gebruiken.

Formele bevoegdheden hebben weinig betekenis zonder middelen. De compliancefunctie moet daarom over een eigen, toereikend onderzoeksbudget kunnen beschikken waarmee zo nodig externe juridische, forensische of andere deskundigheid kan worden ingeschakeld zonder dat degene die onderwerp van het onderzoek is feitelijk de geldkraan kan dichtdraaien. Ook de structurele bemensing van compliance moet voldoende zijn voor de verantwoordelijkheid die aan de functie wordt toegekend. Medewerkers die deel uitmaken van de compliancefunctie behoren daarbij functioneel onder de verantwoordelijkheid van de compliance officer te vallen. Een compliance officer kan moeilijk onafhankelijk verantwoordelijk zijn voor werkzaamheden wanneer anderen bepalen wat zijn medewerkers onderzoeken, waaraan zij hun tijd besteden of wat zij rapporteren.

Een compliancestatuut voorkomt een governancecrisis niet. Het voorkomt zelfs niet dat tijdens zo’n crisis geprobeerd wordt de positie van compliance ter discussie te stellen. Maar het verandert wel het vertrekpunt. De discussie gaat dan niet meer over welke bevoegdheden de compliance officer zichzelf in een conflict probeert toe te eigenen, maar over bevoegdheden die de organisatie hem heeft gegeven toen nog niemand wist wie er ooit last van zou kunnen krijgen.

Kies niet voor een kamp

De eerste opdracht voor compliance is dan eenvoudig te formuleren en moeilijk uit te voeren: kies geen partij in een governanceconflict wanneer dat conflict zelf niet over een compliancevraag gaat. De compliance officer werkt voor de organisatie en niet voor een individuele bestuurder, commissaris, aandeelhouder of partner. Dat blijft ook zo wanneer een van die partijen ervan overtuigd is dat het belang van de organisatie volledig samenvalt met zijn eigen positie.

Neutraliteit betekent daarbij niet passiviteit. Wanneer een partij regels overtreedt, informatie achterhoudt of de integere bedrijfsvoering bedreigt, moet compliance dat benoemen. Dat kan ertoe leiden dat een standpunt van compliance feitelijk nadelig is voor één van de strijdende partijen. Daarmee heeft compliance nog niet voor de andere partij gekozen. De relevante vraag is steeds of de functie vanuit haar eigen verantwoordelijkheid tot hetzelfde oordeel zou zijn gekomen wanneer het governanceconflict niet had bestaan.

Juist in zo’n periode moet compliance oppassen voor verzoeken die ogenschijnlijk normaal zijn maar onderdeel kunnen zijn van de strijd. Een verzoek om een feitenonderzoek, een juridische analyse, toegang tot dossiers of een overzicht van eerdere besluitvorming kan volkomen gerechtvaardigd zijn, maar ook bedoeld zijn om munitie te verzamelen tegen een andere partij. Compliance hoeft de motieven van iedereen niet te doorgronden, maar moet wel vaststellen of het verzoek past binnen de bevoegdheden van degene die het doet en binnen de eigen taak van compliance.

Houd feiten, oordelen en belangen uit elkaar

In een governanceconflict ontstaat snel strijd over het verhaal van wat er is gebeurd. Juist dan moet compliance bijna obsessief onderscheid maken tussen feiten, professionele oordelen en belangen. Wat weten we? Waarop is dat gebaseerd? Wat weten we nog niet? Welke conclusie trekt compliance daar zelf uit? En welke interpretaties worden door andere betrokkenen gegeven?

Dat vraagt ook discipline in verslaglegging. Mondelinge afspraken die in normale omstandigheden probleemloos zouden functioneren, kunnen tijdens een conflict later onderwerp worden van discussie. Belangrijke opdrachten, besluiten, informatieverzoeken en rapportages verdienen daarom een duidelijker schriftelijk spoor dan gebruikelijk. Niet om alvast een procesdossier voor de volgende rechtszaak te bouwen, maar omdat een betrouwbare reconstructie bescherming biedt aan zowel de organisatie als de compliancefunctie.

Dezelfde voorzichtigheid geldt voor taal. Een compliance officer moet niet ongemerkt de terminologie van één kamp overnemen. Wie in een rapport schrijft over machtsmisbruik, een coup, obstructie of juist noodzakelijk ingrijpen, heeft mogelijk al een conclusie geïmporteerd die niet van compliance zelf is. Beschrijf eerst wat iemand heeft gedaan, welke bevoegdheden gelden en welk risico daaruit voortvloeit. De kwalificatie volgt daarna, wanneer zij voor de taak van compliance daadwerkelijk nodig is.

Bewaak wie waarvan opdrachtgever is

Bij ernstige governanceconflicten kunnen verschillende organen tegelijkertijd opdrachten willen geven. De RvB vraagt compliance iets te onderzoeken, terwijl de RvC informatie verlangt over hetzelfde onderwerp en aandeelhouders of partners eveneens antwoorden eisen. Dan kan onduidelijk worden namens wie compliance eigenlijk handelt.

Die vraag moet vóór aanvang van gevoelige werkzaamheden expliciet worden gemaakt. Wie is opdrachtgever? Op welke bevoegdheid berust die opdracht? Wie ontvangt het resultaat? Wie mag tussentijds informatie ontvangen? En kan compliance de opdracht onafhankelijk uitvoeren? Wanneer die vragen niet helder kunnen worden beantwoord, is dat op zichzelf een waarschuwingssignaal.

Soms kan compliance een onderzoek zelf uitvoeren. In andere gevallen is dat juist onverstandig. Wanneer het handelen van bestuurders, commissarissen of aandeelhouders onderwerp van onderzoek is en de compliance officer van diezelfde partijen afhankelijk is voor informatie, positie of middelen, kan externe ondersteuning noodzakelijk zijn. Een onafhankelijke advocaat, onderzoeker of andere deskundige kan dan niet alleen aanvullende expertise bieden, maar ook afstand creëren tot het conflict. Compliance hoeft niet ieder gevecht zelf te onderzoeken alleen omdat het probleem op haar bureau is beland.

Laat je niet als wapen gebruiken

In een governanceoorlog kan het gezag van compliance aantrekkelijk worden. Een partij die kan zeggen dat compliance dit ook vindt, versterkt daarmee haar eigen positie. De compliance officer moet daarom alert zijn op selectief citeren, voortijdig verspreiden van conceptbevindingen en het gebruiken van vertrouwelijke gesprekken als politieke munitie.

Dat betekent ook dat compliance zorgvuldig moet omgaan met informele contacten. De bestaande bila met een bestuursvoorzitter of het rechtstreekse gesprek met een commissaris kan in normale tijden uitstekend functioneren. In een conflict kan hetzelfde contact door anderen worden gezien als een geheim overleg met het andere kamp. Dat hoeft geen reden te zijn het contact te beëindigen, maar kan wel aanleiding zijn formeler te werken en scherper vast te leggen wat het doel van het gesprek was en welke informatie is gedeeld.

Soms moet de compliance officer bovendien eenvoudig weigeren. Niet iedere vraag die door een bestuurder of commissaris wordt gesteld, hoeft door compliance te worden beantwoord. Een verzoek kan buiten de bevoegdheid van de verzoeker vallen, vertrouwelijke informatie betreffen of compliance dwingen een rol te vervullen die niet bij de functie hoort. Onafhankelijkheid bestaat dan niet uit het kiezen van de juiste partij, maar uit het weigeren onderdeel te worden van de strijd.

Zoek zelf een veilige lijn

Wanneer de normale governanceverhoudingen ernstig zijn verstoord, kan ook de vraag ontstaan bij wie de compliance officer zelf terechtkan. Juist dan is het gevaarlijk wanneer de functie volledig afhankelijk is van één bestuurder of één commissaris. Een vooraf geregelde toegang tot verschillende governanceorganen helpt, maar lost niet ieder probleem op wanneer die organen onderling in oorlog zijn.

Het kan dan verstandig zijn zelfstandig juridisch of professioneel advies te organiseren, voor zover de governance en bevoegdheden dat toelaten. Niet om een eigen machtscentrum te creëren, maar om te kunnen beoordelen welke verplichtingen de compliancefunctie zelf heeft en hoe zij haar onafhankelijkheid kan bewaren. Het vooraf geregelde onderzoeksbudget is juist in zo’n situatie van belang: externe bijstand moet beschikbaar kunnen zijn zonder eerst toestemming te vragen aan een partij die zelf bij het conflict betrokken is.

De belangrijkste bescherming blijft uiteindelijk rolvastheid. Compliance hoeft het governanceconflict niet op te lossen. Zij hoeft niet vast te stellen wie de onderneming zou moeten leiden wanneer dat niet tot haar taak behoort. Zij moet ervoor zorgen dat haar eigen verantwoordelijkheden worden vervuld, relevante risico’s worden benoemd, noodzakelijke informatie bij bevoegde organen terechtkomt en wettelijke grenzen worden bewaakt.

Wanneer de governance zelf in brand staat, is de verleiding groot om brandweerman te worden. Voor de compliance officer is het vaak verstandiger ervoor te zorgen dat hij niet zelf als brandstof wordt gebruikt.

Wanneer intern niet meer genoeg is

Er kunnen situaties ontstaan waarin ook interne escalatie het probleem niet oplost. Dan wordt de vraag of informatie buiten de organisatie moet worden gebracht onvermijdelijk. Soms is het antwoord eenvoudig omdat een wettelijke meldplicht bestaat. In andere gevallen is het aanzienlijk ingewikkelder en moet worden beoordeeld welke professionele, contractuele en wettelijke verplichtingen tegenover elkaar staan.

Juist hier moet de compliance officer voorzichtig zijn met twee tegenovergestelde reflexen. De eerste is absolute loyaliteit: ik werk voor deze organisatie, dus wat intern gebeurt blijft intern. Die opvatting kan onhoudbaar worden wanneer de organisatie wettelijke verplichtingen schendt of externe informatieverplichtingen negeert. De andere reflex is zichzelf te gaan zien als ultieme hoeder van het publieke belang die zelfstandig mag bepalen wanneer interne besluitvorming terzijde wordt geschoven. Ook dat past niet bij de positie van compliance.

De route naar buiten moet daarom niet ontstaan uit persoonlijke verontwaardiging, maar uit de toepasselijke verplichtingen en een zorgvuldige professionele afweging. Waar nodig hoort daarbij juridisch advies. De compliance officer moet bovendien scherp onderscheiden tussen een eigen meldplicht, een meldplicht van de organisatie en een situatie waarin geen formele meldplicht bestaat maar externe communicatie om andere redenen wordt overwogen.

En als dat ook niet werkt?

Er bestaat uiteindelijk een grens aan wat een compliance officer binnen een organisatie kan bereiken. Hij beschikt meestal niet over de bevoegdheid om een bestuur te dwingen zijn advies te volgen. Hij kan onderzoeken, adviseren, rapporteren en escaleren. Hij kan zorgen dat de juiste organen over de juiste informatie beschikken en dat wettelijke meldplichten worden nagekomen. Maar wanneer alle bevoegde organen geïnformeerd zijn en desondanks bewust een koers kiezen die de compliance officer professioneel niet meer kan verenigen met zijn functie, resteert een ongemakkelijke conclusie.

Soms moet de compliance officer dan vertrekken.

Dat is geen extra escalatietrede waarmee alsnog druk op het bestuur wordt uitgeoefend. Ontslag nemen is ook geen overwinning van compliance op de organisatie. Het is de uiterste consequentie van het feit dat onafhankelijkheid niet alleen een organisatorische positie is, maar uiteindelijk ook een persoonlijke verantwoordelijkheid. Wie formeel verantwoordelijk blijft voor een compliancefunctie terwijl hij weet dat hij die functie feitelijk niet meer naar behoren kan uitoefenen, kan niet onbeperkt naar zijn eerdere waarschuwingen blijven verwijzen.

Juist daarom verdient ook een eventueel vertrek zorgvuldigheid. Lopende wettelijke verplichtingen verdwijnen niet doordat de compliance officer ontslag neemt. Relevante informatie moet correct worden overgedragen en waar nodig moet de RvC begrijpen waarom de functionaris vertrekt. De eerder besproken bescherming rond ontslag werkt hier de andere kant op: ook wanneer de compliance officer zelf vertrekt, behoort duidelijk te zijn of dat vertrek samenhangt met een fundamenteel verschil over de uitoefening van zijn functie.

Escalatie is onderdeel van het systeem

Een organisatie waarin nooit wordt geëscaleerd, hoeft geen bijzonder goede compliancecultuur te hebben. Het kan ook een organisatie zijn waarin compliance alleen kwesties aan de orde stelt waarvan vooraf duidelijk is dat het bestuur ze wil horen. Omgekeerd is een organisatie waarin voortdurend wordt geëscaleerd waarschijnlijk evenmin gezond. Escalatie behoort uitzonderlijk te zijn, maar de mogelijkheid ertoe moet normaal zijn.

Daarom moeten rapportagelijnen, rechtstreeks toegang tot de RvC, formele meldprocedures en de onafhankelijke positie van de compliance officer niet pas relevant worden wanneer de pleuris uitbreekt. Zij worden in rustige tijden ingericht zodat zij functioneren wanneer de verhoudingen onder druk komen te staan.

Rapporteren zonder escalatiemogelijkheid is uiteindelijk alleen informeren. Een volwassen compliancefunctie moet meer kunnen dan vertellen wat er misgaat. Zij moet ervoor kunnen zorgen dat informatie terechtkomt bij degene die verantwoordelijkheid kan en moet nemen, ook wanneer niet iedereen daar op zit te wachten.

Terug naar de inhoudsopgave

Klik hier voor de inhoudsopgave.