Interne meldingen en integriteitssystemen

Een organisatie moet slecht nieuws kunnen ontvangen

Iedere organisatie ontvangt liever goed nieuws dan slecht nieuws. Goed nieuws bevestigt dat beleid werkt, medewerkers doen wat van hen wordt verwacht en klanten tevreden zijn. Slecht nieuws vraagt om onderzoek, ongemakkelijke gesprekken en soms kostbare maatregelen. Toch is juist het vermogen om slecht nieuws te ontvangen een belangrijk onderdeel van een beheerste organisatie. Problemen verdwijnen immers niet doordat niemand ze meldt. Ze worden alleen moeilijker zichtbaar.

Voor compliance is dat van bijzonder belang. Een belangrijk deel van haar informatie ontstaat niet uit periodieke rapportages of formele controles, maar uit afwijkingen. Een medewerker ziet gedrag dat niet klopt. Een accountant ontdekt iets vreemds in een dossier. Een leidinggevende merkt dat een collega regels omzeilt. Monitoring laat een onverwacht patroon zien. Een cliënt klaagt over het gedrag van een medewerker. Of compliance stuit tijdens andere werkzaamheden zelf op informatie die vragen oproept. Soms blijkt uiteindelijk niets aan de hand. Soms is het eerste signaal het zichtbare puntje van een veel groter probleem.

Een organisatie die dergelijke informatie wil ontvangen, heeft daarom meer nodig dan een meldregeling. Zij moet beschikken over een integriteitssysteem: het geheel van mensen, processen, bevoegdheden en waarborgen waarmee signalen over mogelijk niet-integer gedrag worden ontvangen, onderzocht en opgevolgd. Een formele interne melding is daarvan één belangrijke informatiebron, maar zeker niet de enige.

Integriteit als compliancerisico

De betrokkenheid van compliance bij integriteit kan uit verschillende bronnen voortvloeien. Wetgeving stelt eisen aan de integere bedrijfsvoering van accountantsorganisaties en kent verplichtingen rond bijvoorbeeld cliëntenonderzoek, ongebruikelijke transacties en incidenten. Ook beroepsorganisaties stellen integriteitseisen aan hun leden. Accountants hebben te maken met de VGBA, terwijl bijvoorbeeld belastingadviseurs en andere beroepsbeoefenaren binnen een accountantskantoor eigen beroepsregels kunnen kennen. Daardoor kan gedrag van een medewerker zowel voor de persoon zelf als voor de organisatie juridische of beroepsrechtelijke gevolgen hebben.

Maar wie de verantwoordelijkheid van compliance voor integriteit uitsluitend uit wetten en beroepsregels probeert af te leiden, maakt haar onnodig klein. Integriteit raakt compliance bovenal omdat niet-integer gedrag een risico voor de organisatie vormt. Fraude, belangenverstrengeling, misbruik van informatie, ongewenste beïnvloeding, oneerlijkheid tegenover klanten of collega’s en andere vormen van niet-integer handelen kunnen de kwaliteit van dienstverlening, reputatie, continuïteit en andere organisatiedoelstellingen bedreigen zonder dat onmiddellijk duidelijk is welk wetsartikel of welke beroepsregel is overtreden.

Dat past rechtstreeks binnen de bredere taak van compliance om intern toezicht te houden op de beheersing van risico’s die de organisatiedoelstellingen bedreigen. De vraag welke regel is hier precies overtreden? kan belangrijk zijn, maar is daarom niet altijd de eerste en zeker niet de enige vraag. Compliance moet ook kunnen vragen welk risico bepaald gedrag voor de organisatie oplevert en of dat risico voldoende wordt beheerst.

Integriteit is daarmee geen afzonderlijk moreel domein naast compliance. Zij is een bron van risico’s die zich juridisch, professioneel, financieel, operationeel en reputatief kunnen manifesteren.

Een melding is maar één manier om iets te weten

Dat heeft een belangrijke consequentie. Compliance hoeft niet te wachten totdat iemand een formele melding doet voordat zij zich met een integriteitskwestie mag bezighouden. Wanneer zij uit monitoring, gesprekken, dossiers, openbare informatie of andere werkzaamheden aanwijzingen krijgt dat mogelijk sprake is van een relevante integriteitskwestie, kan dat voldoende aanleiding zijn om nadere vragen te stellen of onderzoek te doen.

Dat onderzoek kan betrekking hebben op medewerkers, maar ook op de organisatie zelf. Soms ligt het probleem immers niet bij één persoon, maar in een werkwijze die breed is geaccepteerd. Wat individueel gedrag lijkt, kan bij nader onderzoek een prikkel, gewoonte of cultuur blijken die door de organisatie zelf is ontstaan of in stand wordt gehouden.

Ook derden kunnen relevant zijn. Accountantskantoren werken met klanten, leveranciers, samenwerkingspartners en andere partijen waarvan het gedrag risico’s voor de eigen organisatie kan veroorzaken. Wanneer daar voldoende aanleiding voor bestaat, kan ook onderzoek naar hun integriteit onderdeel zijn van de beheersing van het eigen risico. De rechtvaardiging daarvoor ligt niet in een algemene bevoegdheid om het gedrag van anderen te beoordelen, maar in het belang dat de eigen organisatie bij die relatie heeft.

Daarmee verschilt compliance van een opsporingsdienst. Zij heeft geen algemene opdracht uit te zoeken wie in de maatschappij wel en niet integer is. Haar blik wordt begrensd door de risico’s en verantwoordelijkheden van de organisatie waarvoor zij werkt. Een leverancier die zich elders onbehoorlijk gedraagt kan irrelevant zijn voor compliance. Hetzelfde gedrag wordt relevant wanneer het iets zegt over de risico’s die de organisatie loopt door met hem zaken te doen.

Niet ieder signaal is een beschuldiging

Juist omdat signalen uit zoveel verschillende bronnen kunnen komen, moet voorzichtig worden omgegaan met hun betekenis. Een signaal is informatie die aanleiding kan geven tot een vraag. Het is nog geen vaststelling dat iets is misgegaan. Een gerucht kan onjuist zijn. Afwijkend gedrag kan een volkomen redelijke verklaring hebben. Een medewerker die meent iets ernstigs te hebben gezien kan zich vergissen. Ook gegevens uit monitoring kunnen een patroon laten zien dat bij nader onderzoek onschuldig blijkt.

Dat maakt het signaal niet waardeloos. Het betekent alleen dat ontvangen en beoordelen twee verschillende stappen zijn. Een organisatie die ieder gerucht onmiddellijk als feit behandelt, richt schade aan. Een organisatie die alleen informatie wil ontvangen die vooraf al bewezen is, zal vrijwel niets horen. Van medewerkers kan niet worden verwacht dat zij eerst zelf onderzoek doen voordat zij hun zorgen mogen uiten.

Voor compliance begint integriteitstoezicht daarom met nieuwsgierigheid. Niet met de vraag wie schuldig is, maar met de vraag wat er aan de hand kan zijn. Soms is één gesprek voldoende om een zorg weg te nemen. Soms is een beperkte verificatie nodig. En soms ontstaat voldoende aanleiding voor een formeel integriteitsonderzoek.

Slecht nieuws is informatie

De kwaliteit van een integriteitssysteem kan daarom niet worden afgemeten aan het aantal incidenten dat het produceert. Een organisatie met weinig meldingen kan buitengewoon integer zijn. Zij kan ook een organisatie zijn waarin medewerkers hebben geleerd hun mond te houden. Omgekeerd hoeft een organisatie met veel signalen niet met een integriteitsprobleem te kampen. Het kan juist betekenen dat afwijkingen vroeg zichtbaar worden en medewerkers erop vertrouwen dat zij zorgen kunnen uiten.

Dat maakt de reactie op slecht nieuws minstens zo belangrijk als het nieuws zelf. Wanneer een medewerker na een melding als lastig wordt beschouwd, wanneer degene over wie wordt gemeld onmiddellijk als schuldige wordt behandeld of wanneer een leidinggevende ieder probleem eerst probeert klein te houden, leert de organisatie daarvan. Niet uit een beleidsdocument, maar uit wat zij ziet gebeuren.

Een integriteitssysteem begint daarom niet met de vraag waar de meldknop staat. Het begint met de vraag wat er gebeurt wanneer iemand erop drukt.

Van speak-up naar listen-up

Veel organisaties willen een speak-upcultuur. Medewerkers worden aangemoedigd zorgen uit te spreken, ongewenst gedrag te melden en elkaar aan te spreken. Daarvoor worden meldregelingen opgesteld, vertrouwenspersonen benoemd en digitale meldkanalen ingericht. Dat is nuttig, maar het moeilijkste deel begint pas wanneer iemand daadwerkelijk iets zegt.

Een medewerker die een melding overweegt, maakt immers een andere afweging dan degene die de meldregeling heeft geschreven. Wat gebeurt er met mij? Wie krijgt dit te horen? Komt mijn naam bij mijn leidinggevende terecht? Word ik straks gezien als degene die een collega heeft verraden? Wordt mijn contract nog verlengd? Krijg ik nog promotie? En gebeurt er eigenlijk iets met mijn melding? Een formeel verbod op benadeling neemt die vragen niet automatisch weg. Medewerkers kijken vooral naar wat de organisatie in eerdere gevallen daadwerkelijk heeft gedaan.

Daarom is naast speak-up ook listen-up nodig. Een organisatie moet niet alleen uitnodigen om problemen te melden, maar aantoonbaar in staat zijn die informatie zorgvuldig te ontvangen. Dat vraagt om toegankelijke kanalen, duidelijke verantwoordelijkheden, vertrouwelijkheid, bescherming tegen benadeling en een proces waarin een melding serieus wordt beoordeeld zonder dat de uitkomst vooraf vaststaat.

De formele meldregeling

Voor organisaties waarop de wettelijke verplichtingen rond interne meldkanalen van toepassing zijn, stelt de Wet bescherming klokkenluiders eisen aan de wijze waarop meldingen kunnen worden gedaan en behandeld. Maar een goed intern meldsysteem hoeft zich niet te beperken tot situaties die juridisch precies onder het begrip misstand of een andere wettelijke categorie vallen. Een medewerker die zich zorgen maakt over mogelijk niet-integer gedrag zou niet eerst juridisch hoeven kwalificeren wat hij heeft gezien voordat hij weet waar hij ermee terechtkan.

Dat betekent niet dat iedere klacht, ieder arbeidsconflict en ieder meningsverschil automatisch een integriteitsmelding wordt. Verschillende soorten signalen kunnen verschillende routes vragen. Een klacht over de beoordeling door een leidinggevende is iets anders dan een vermoeden van fraude. Ongewenst gedrag kan een andere behandeling vragen dan een mogelijke overtreding van de Wwft. De kunst is niet alles in één procedure te persen, maar ervoor te zorgen dat signalen bij de juiste functie terechtkomen zonder dat de melder zelf het organisatieschema hoeft te begrijpen.

Daarbij moet ook duidelijk zijn welke rol een vertrouwenspersoon, HR, compliance, Legal en eventuele andere functies hebben. Een vertrouwenspersoon kan bijvoorbeeld primair naast de melder staan, terwijl compliance vanuit het belang van de organisatie moet beoordelen wat met de ontvangen informatie moet gebeuren. Die rollen kunnen elkaar ondersteunen, maar zijn niet hetzelfde. Wie met een medewerker spreekt, moet daarom ook duidelijk kunnen maken vanuit welke rol hij dat doet en welke vertrouwelijkheid daarbij hoort.

Anonimiteit moet iets betekenen

Vertrouwelijkheid en anonimiteit worden gemakkelijk in één adem genoemd, maar zijn niet hetzelfde. Bij een vertrouwelijke melding kent degene die de melding behandelt de identiteit van de melder, maar wordt die niet zonder noodzaak verder gedeeld. Bij een anonieme melding is de identiteit niet bekend of wordt zij zodanig afgeschermd dat anderen haar niet kunnen achterhalen. In beide gevallen moet vooraf duidelijk zijn welke bescherming de organisatie werkelijk kan bieden.

Wanneer compliance toezegt dat de identiteit van een melder geheim blijft, moet die toezegging vervolgens bijzonder zwaar wegen. De naam van de melder wordt niet alsnog prijsgegeven omdat dat voor HR gemakkelijker is, omdat een bestuurder wil weten wie er achter een melding zit of omdat bekendmaking de bewijspositie in een arbeidsrechtelijk geschil zou versterken. Alleen een concrete wettelijke verplichting tot verstrekking kan uiteindelijk grenzen stellen aan wat de organisatie zelf heeft toegezegd.

Dat kan consequenties hebben. Soms zou een arbeidsrechtelijke zaak sterker zijn wanneer de identiteit van een melder of vertrouwelijke bron bekend wordt gemaakt. De organisatie kan dan voor de keuze komen te staan tussen het prijsgeven van die identiteit en het accepteren dat een bepaalde maatregel moeilijker of zelfs niet kan worden gerealiseerd. Het belang van één zaak moet dan worden afgewogen tegen het belang van het gehele integriteitssysteem.

Wie vandaag een vertrouwelijke bron prijsgeeft omdat dat in één procedure goed uitkomt, moet er rekening mee houden dat morgen niemand meer vertrouwelijk bron wil zijn.

De melder is geen bewijsmiddel

Daarachter ligt een fundamenteler uitgangspunt. Wie informatie in vertrouwen aan compliance verstrekt, geeft de organisatie informatie. Hij levert zichzelf niet uit als bewijsmiddel. Compliance moet daarom vanaf het begin nadenken over de vraag hoe een melding kan worden onderzocht zonder onnodig afhankelijk te worden van de identiteit van degene die haar heeft gedaan.

Dat betekent bijvoorbeeld zoeken naar documenten, transacties, berichten, systeeminformatie, andere getuigen of andere zelfstandig verifieerbare feiten. Hoe beter het onderzoek de melding kan omzetten in onafhankelijk vaststelbare informatie, hoe kleiner de spanning tussen bescherming van de melder en de mogelijkheid om tegen een geconstateerde integriteitsschending op te treden.

Soms lukt dat niet. Een gebeurtenis kan slechts door twee personen zijn waargenomen of de identiteit van de melder kan uit de omstandigheden gemakkelijk worden afgeleid. Een organisatie mag daarom geen absolute anonimiteit beloven die zij feitelijk niet kan waarmaken. Wel kan zij absolute discipline betrachten in haar eigen omgang met de identiteit: niemand krijgt die informatie uitsluitend omdat hij belangrijk genoeg is om ernaar te vragen.

Ook de AVG speelt daarbij een rol. Een integriteitsmelding en het daaropvolgende onderzoek kunnen grote hoeveelheden persoonsgegevens bevatten, waaronder gevoelige informatie over melders, betrokkenen en derden. Dat vraagt om doelbinding, dataminimalisatie, passende beveiliging en beperkte toegang. Het bestaan van een gerechtvaardigd onderzoeksdoel maakt niet iedere verwerking of verspreiding van persoonsgegevens vanzelf gerechtvaardigd.

De melder verliest de regie

Bescherming van de melder betekent niet dat de melder eigenaar wordt van het onderzoek. Zodra de organisatie kennis heeft gekregen van informatie over een mogelijk ernstig integriteitsprobleem, ontstaat een eigen verantwoordelijkheid om te bepalen wat daarmee moet gebeuren. Een melder kan aanvullende informatie geven, zijn zorgen toelichten en in sommige gevallen besluiten niet verder aan een onderzoek mee te werken. Hij kan echter niet noodzakelijk verlangen dat de organisatie informatie die zij inmiddels kent weer vergeet.

Dat wordt vooral zichtbaar wanneer een melding wordt ingetrokken. Daar kunnen allerlei redenen voor bestaan. De melder kan zich hebben vergist, tot een andere beoordeling zijn gekomen, bang zijn geworden voor de gevolgen of inmiddels met de betrokkene tot een oplossing zijn gekomen. Die omstandigheden zijn relevant, maar bepalen niet automatisch wat de organisatie vervolgens moet doen. Wanneer voldoende aanwijzingen bestaan voor een ernstig risico, kan nader onderzoek noodzakelijk blijven.

Omgekeerd bepaalt de melder ook niet welke conclusie het onderzoek moet hebben of welke maatregel tegen een ander wordt genomen. Een meldsysteem geeft iemand een veilige mogelijkheid relevante informatie bij de organisatie te brengen. Het draagt de verantwoordelijkheid voor de beoordeling daarvan vervolgens juist over aan de organisatie.

Geen meldingen is geen KPI

Het aantal meldingen zegt op zichzelf weinig over de integriteit van een organisatie. Toch ontstaat gemakkelijk de verleiding een dalend aantal meldingen als positief resultaat te presenteren. Dat kan terecht zijn wanneer onderliggende problemen aantoonbaar zijn verminderd. Zonder die context is het getal vrijwel betekenisloos.

Interessanter is hoe het systeem functioneert. Weten medewerkers waar zij terechtkunnen? Vertrouwen zij erop dat vertrouwelijkheid wordt gerespecteerd? Worden signalen tijdig opgepakt? Hoe lang duren onderzoeken? Worden melders beschermd tegen benadeling? Komen dezelfde soorten problemen terug? En wat vertellen medewerkeronderzoeken, exitgesprekken en andere informatiebronnen over de bereidheid problemen bespreekbaar te maken?

Daarbij verdient ook de ervaring van melders aandacht. Dat iemand uiteindelijk ongelijk krijgt, betekent niet dat zijn melding verkeerd was. Een medewerker kan te goeder trouw een ernstig probleem vermoeden dat na zorgvuldig onderzoek niet blijkt te bestaan. Wanneer hij vervolgens het gevoel overhoudt dat hij beter zijn mond had kunnen houden, heeft het systeem mogelijk toch gefaald.

Een speak-upcultuur ontstaat daarom niet doordat het bestuur medewerkers vertelt dat zij zich moeten uitspreken. Zij ontstaat wanneer medewerkers zien wat er gebeurt met degenen die dat daadwerkelijk doen. Iedereen die een melding overweegt, kijkt naar de mensen die hem voorgingen.

Onderzoeken zonder aanklager te worden

Een melding kan aanleiding zijn voor een integriteitsonderzoek, maar is daarvoor geen noodzakelijke voorwaarde. Zoals hiervoor beschreven kan compliance ook uit eigen waarneming, monitoring, dossieronderzoek, gesprekken of andere informatie voldoende aanleiding krijgen om nader onderzoek te doen. Dat hoort bij haar taak. Wie intern toezicht houdt op de beheersing van compliancerisico’s moet kunnen onderzoeken of een risico zich daadwerkelijk voordoet.

Compliance kan daarbij zelf de onderzoeker zijn. Er bestaat geen algemene reden om onderzoek naar integriteitskwesties per definitie bij een andere functie of externe partij neer te leggen. Integendeel: compliance beschikt vaak over relevante kennis van regelgeving, interne processen, eerdere incidenten en de organisatie. Bovendien kan zelfstandig onderzoek juist onderdeel zijn van de onafhankelijke positie die in het compliancestatuut is vastgelegd.

Dat betekent niet dat compliance ieder onderzoek zelf moet uitvoeren. De aard van het vermoeden, de positie van betrokkenen, benodigde deskundigheid en mogelijke belangenconflicten kunnen aanleiding zijn iemand anders in te schakelen. Een onderzoek naar een lid van de Raad van Bestuur stelt andere eisen aan onafhankelijkheid dan een beperkte verificatie van een signaal over een medewerker. Forensische IT, ingewikkelde arbeidsrechtelijke vragen of vermoedens van strafbare feiten kunnen specialistische expertise vragen. Soms is externe uitvoering daarom verstandiger. De relevante vraag is niet wie integriteitsonderzoek behoort te doen, maar wie dit onderzoek onafhankelijk, deskundig en zorgvuldig kan uitvoeren.

Begin met een vraag

Een integriteitsonderzoek begint niet met bewijs verzamelen, maar met bepalen wat moet worden onderzocht. Een te ruime onderzoeksvraag leidt gemakkelijk tot een zoektocht naar alles wat mogelijk niet deugt. Een te smalle vraag kan juist verhinderen dat relevante samenhang zichtbaar wordt. De onderzoeksvraag moet daarom aansluiten bij de aanleiding en gedurende het onderzoek kunnen worden aangepast wanneer nieuwe feiten daartoe aanleiding geven.

Daarbij moet onderscheid worden gemaakt tussen het signaal en de hypothese die daaruit ontstaat. De mededeling dat een medewerker steekpenningen zou hebben aangenomen is informatie die aanleiding kan geven tot onderzoek. Zij is niet het vertrekpunt dat vervolgens alleen nog bewezen hoeft te worden. Een goede onderzoeksvraag is eerder of, en zo ja onder welke omstandigheden, betalingen of voordelen zijn ontvangen die strijdig kunnen zijn met de regels of belangen van de organisatie.

Dat verschil lijkt semantisch, maar bepaalt hoe het onderzoek wordt uitgevoerd. Wie probeert te bewijzen dat iemand iets heeft gedaan, zoekt gemakkelijk naar bevestiging. Wie probeert vast te stellen wat er is gebeurd, moet ook informatie serieus nemen die de oorspronkelijke verdenking tegenspreekt.

Hoor en wederhoor

Daarom is hoor en wederhoor een noodzakelijk onderdeel van zorgvuldig integriteitsonderzoek. Niet omdat binnen een intern onderzoek dezelfde onschuldpresumptie geldt als in het strafrecht. Een organisatie voert geen strafproces en compliance is geen rechter. De noodzaak ligt fundamenteler.

In de eerste plaats gaat het om menselijke waardigheid. Een onderzoek kan grote gevolgen hebben voor iemands positie, loopbaan, reputatie en persoonlijke verhoudingen. Wie onderwerp is van zo’n onderzoek moet een reële mogelijkheid krijgen te begrijpen welke relevante feiten of verwijten voorliggen en daarop te reageren. Dat betekent meer dan aan het einde van het onderzoek een vrijwel voltooid rapport toesturen met het verzoek binnen twee dagen eventuele feitelijke onjuistheden aan te wijzen.

Hoor en wederhoor is bovendien een onderzoeksmethode. De onderzochte persoon kan informatie hebben die ontbreekt, documenten anders kunnen verklaren of wijzen op omstandigheden waaraan de onderzoeker niet heeft gedacht. Daarom moet compliance niet alleen bereid zijn een reactie aan te horen, maar ook werkelijk openstaan voor alternatieve verklaringen. Nieuwe informatie die het voorlopige beeld kan veranderen, moet worden onderzocht.

Dat betekent niet dat iedere verklaring even aannemelijk is. Na onderzoek mag compliance concluderen dat een verklaring niet wordt ondersteund door de feiten, innerlijk tegenstrijdig is of om andere redenen niet overtuigt. Zorgvuldigheid vereist dat een alternatieve verklaring serieus wordt onderzocht, niet dat zij uiteindelijk wordt geloofd.

Alle collega’s kijken mee

Hoor en wederhoor dient daarnaast een rechtstreeks organisatiebelang. Een integriteitsonderzoek speelt zich misschien af tussen enkele betrokkenen, maar de organisatie kijkt mee. Collega’s merken dat iemand wordt geïnterviewd, tijdelijk andere werkzaamheden verricht of plotseling vertrekt. Zij horen verhalen bij de koffieautomaat en vormen zich een beeld van de manier waarop hun werkgever met beschuldigingen en fouten omgaat.

Daaruit trekken zij conclusies voor hun eigen toekomstige gedrag. Zal ik eerlijk worden behandeld wanneer ooit een melding over mij wordt gedaan? Heeft het zin mijn kant van het verhaal te vertellen? Kan ik aan een onderzoek meewerken zonder dat iedere onhandige formulering tegen mij wordt gebruikt? Maar ook: durf ik iets over een collega te melden wanneer ik weet dat de organisatie zorgvuldig onderzoekt en niet onmiddellijk veroordeelt?

De manier waarop één onderzoek wordt uitgevoerd beïnvloedt daarmee de bereidheid van anderen om aan toekomstige onderzoeken mee te werken en om zelf problemen te melden. Procedurele zorgvuldigheid is dus niet alleen bescherming van de onderzochte persoon. Zij bouwt vertrouwen in het integriteitssysteem.

Proportionaliteit geldt ook voor onderzoekers

De bevoegdheid om onderzoek te doen is geen vrijbrief om alle beschikbare informatie te verzamelen. Een onderzoek moet in verhouding staan tot de aanleiding en het doel. Dat geldt voor de omvang van het onderzoek, de personen die worden betrokken en de gegevens die worden geraadpleegd.

Dat is mede een privacyvraagstuk. E-mail, chatberichten, toegangsgegevens, personeelsinformatie en andere digitale bronnen kunnen een gedetailleerd beeld van iemands handelen geven en tegelijkertijd grote hoeveelheden informatie bevatten die niets met het onderzoek te maken heeft. Dat technisch toegang tot die informatie bestaat, betekent niet dat iedere vorm van gebruik gerechtvaardigd is. Ook een compliance officer met een ruim recht op toegang tot informatie moet zichzelf de vraag blijven stellen welke informatie voor het onderzoek daadwerkelijk nodig is.

Hetzelfde geldt voor de kring van personen die van het onderzoek weten. Soms is betrokkenheid van HR, Legal, IT, bestuur of externe deskundigen noodzakelijk. Dat betekent niet dat iedereen voortdurend over alle informatie hoeft te beschikken. Need to know is bij integriteitsonderzoek niet alleen een beveiligingsprincipe, maar ook bescherming van de reputatie en persoonlijke levenssfeer van alle betrokkenen.

Het dossier moet kunnen spreken

Een zorgvuldig onderzoek moet achteraf reproduceerbaar zijn. Dat is niet alleen van belang voor de interne besluitvorming. Een integriteitsonderzoek kan later onderwerp worden van een arbeidsrechtelijke procedure, tuchtzaak, aansprakelijkheidskwestie of onderzoek door een toezichthouder. Dan moet kunnen worden gereconstrueerd welke informatie beschikbaar was, welke onderzoekshandelingen zijn verricht, welke verklaringen zijn afgelegd, welke alternatieve verklaringen zijn onderzocht en hoe uiteindelijk tot bevindingen en conclusies is gekomen.

Goede dossiervorming begint daarom tijdens het onderzoek. Achteraf een sluitend verhaal schrijven is iets anders dan vastleggen hoe het onderzoek werkelijk is verlopen. Ook informatie die een oorspronkelijke hypothese tegenspreekt hoort in het dossier. Hetzelfde geldt voor wezenlijke wijzigingen van de onderzoeksvraag en voor reacties in het kader van hoor en wederhoor. Een dossier dat alleen materiaal bevat dat de uiteindelijke conclusie ondersteunt, is eerder een pleitnota dan een onderzoeksdossier.

Tegelijkertijd is een onderzoeksdossier geen archief waarin alles wat tijdens het onderzoek langskomt onbeperkt wordt bewaard. Ook hier gelden doelbinding, dataminimalisatie en bewaartermijnen. Reproduceerbaarheid vraagt voldoende informatie; zij rechtvaardigt geen verzameldrift.

Het dossier is van compliance

Dossiervorming heeft nog een tweede, bijna tegengestelde functie: afscherming. Een integriteitsdossier kan verklaringen van melders en getuigen bevatten, persoonlijke gegevens van degene die wordt onderzocht, vermoedens die later ongegrond blijken en informatie over derden die uiteindelijk weinig of niets met de kwestie te maken hebben. Juist omdat het dossier volledig genoeg moet zijn om het onderzoek te reconstrueren, bevat het informatie die niet breed door de organisatie mag gaan circuleren.

Het onderzoeksdossier blijft daarom onder beheer van compliance. Dat de Raad van Bestuur verantwoordelijk is voor de organisatie of de Raad van Commissarissen toezicht houdt op het bestuur, geeft deze organen niet zonder meer recht op toegang tot het onderliggende dossier. Zij moeten de informatie krijgen die zij nodig hebben om hun eigen verantwoordelijkheid uit te oefenen: relevante feiten, bevindingen, conclusies, onzekerheden en waar nodig aanbevelingen. Daaruit volgt niet automatisch een recht op gespreksverslagen, werkdocumenten, onderzoekshypothesen, de identiteit van vertrouwelijke bronnen of informatie die uiteindelijk niet relevant bleek.

Dat onderscheid is essentieel voor de geloofwaardigheid van de geheimhouding door compliance. Een medewerker die vertrouwelijke informatie verstrekt moet er niet achteraf achter komen dat het volledige gespreksverslag via de compliance officer alsnog op de bestuurstafel is beland. Hetzelfde belang heeft degene tegen wie een vermoeden uiteindelijk ongegrond blijkt. Een beschuldiging die niet is bevestigd, hoort niet jarenlang door informele bestuurs- en personeelsdossiers te blijven zwerven.

Alleen waar een concrete wettelijke verplichting tot verstrekking bestaat, kan die afscherming moeten wijken. Ook dan moet worden beoordeeld welke informatie daadwerkelijk moet worden verstrekt. De noodzaak één gegeven te delen maakt niet vanzelf het gehele onderzoeksdossier openbaar.

Onderzoek is geen vervolging

Een compliance officer die onderzoek doet, moet uiteindelijk conclusies kunnen trekken. Zorgvuldigheid betekent niet besluiteloosheid. Wanneer de feiten voldoende duidelijk zijn, mag worden vastgesteld dat gedrag wel of niet heeft plaatsgevonden, welke regels of normen daarbij relevant zijn en welke risico’s daaruit voor de organisatie voortvloeien.

Maar de onderzoeker moet zich bewust blijven van zijn rol. Het doel is vaststellen wat er is gebeurd en wat dat voor de organisatie betekent. Niet iemand betrappen, een zaak winnen of een vooraf gevormde verdenking bevestigen. Juist een compliancefunctie met ruime onderzoeksbevoegdheden moet daarom bereid zijn een onderzoek ook met een voor de onderzochte persoon gunstige conclusie af te sluiten.

De kwaliteit van een integriteitsonderzoek blijkt niet uit het aantal bevestigde meldingen. Zij blijkt uit de betrouwbaarheid van de conclusies, ook wanneer de conclusie luidt dat er niets aan de hand was.

Bescherm ook degene over wie wordt gemeld

Veel aandacht in integriteitssystemen gaat terecht uit naar de bescherming van melders. Wie een probleem aan de orde stelt, moet erop kunnen vertrouwen dat vertrouwelijkheid wordt gerespecteerd en dat hij niet wordt benadeeld omdat hij een melding heeft gedaan. Maar een zorgvuldig integriteitssysteem beschermt meer mensen. Ook degene over wie wordt gemeld heeft belangen die de organisatie moet respecteren.

Dat uitgangspunt kan ongemakkelijk voelen wanneer het onderzoek ernstig wangedrag aan het licht brengt. Toch verandert de vaststelling dat iemand niet-integer heeft gehandeld niet met terugwerkende kracht de eisen die aan het onderzoek en de omgang met zijn persoonsgegevens worden gesteld. Zorgvuldigheid is geen beloning voor goed gedrag. Zij is een norm waaraan de organisatie zichzelf houdt.

Dat geldt des te sterker zolang het onderzoek nog loopt. Een melding is geen bewijs en het openen van een onderzoek is geen vaststelling van schuld. De organisatie mag maatregelen treffen die nodig zijn om het onderzoek mogelijk te maken of risico’s tijdens het onderzoek te beperken, maar moet zich bewust blijven van het voorlopige karakter daarvan.

Bescherm reputaties zolang de feiten nog niet vaststaan

Integriteitsonderzoek heeft een vervelende eigenschap: het bestaan van het onderzoek kan op zichzelf al reputatieschade veroorzaken. Een medewerker wordt tijdelijk van een cliënt gehaald, heeft gesprekken met compliance of is enige tijd niet op kantoor en collega’s trekken hun conclusies. Soms is enige zichtbaarheid onvermijdelijk. Dat is geen reden om de schade groter te maken dan noodzakelijk.

Informatie over een lopend onderzoek behoort daarom slechts beschikbaar te zijn voor degenen die haar nodig hebben. Leidinggevenden hoeven niet automatisch te weten wat iemand precies wordt verweten. Collega’s hebben geen recht op uitleg omdat zij nieuwsgierig zijn. Ook binnen RvB en RvC hoeft informatie niet breder te worden verspreid dan voor de uitoefening van hun verantwoordelijkheid noodzakelijk is.

Dat beschermt niet alleen de onderzochte persoon. Het beschermt ook het onderzoek. Hoe breder vermoedens circuleren, hoe groter de kans dat verklaringen elkaar beïnvloeden, informatie verdwijnt of betrokkenen hun gedrag aanpassen. Vertrouwelijkheid is daarmee tegelijk een menselijke en een onderzoeksmatige waarborg.

Ook de AVG blijft gelden

Een integriteitsonderzoek kan diep ingrijpen in de persoonlijke levenssfeer. Personeelsgegevens, e-mail, agenda’s, chatberichten, financiële informatie en andere gegevens kunnen relevant worden. De ernst van een verdenking maakt de AVG niet buiten toepassing. Ook tijdens integriteitsonderzoek moet een grondslag bestaan voor de verwerking van persoonsgegevens en blijven beginselen als doelbinding, dataminimalisatie, juistheid, beveiliging en beperkte bewaartermijnen relevant.

Dat vraagt discipline, juist omdat de technische mogelijkheden vaak veel ruimer zijn dan wat voor het onderzoek nodig is. Wie toegang heeft tot een mailbox kan gemakkelijk jaren correspondentie doorzoeken. Wie een telefoon of laptop onderzoekt kan informatie tegenkomen over gezondheid, relaties, privéproblemen of andere onderwerpen die niets met de onderzoeksvraag te maken hebben. Dat informatie tijdens een rechtmatig onderzoek zichtbaar wordt, maakt haar niet automatisch relevant voor de organisatie.

Hetzelfde geldt na afloop. Niet iedere beschuldiging of ieder detail uit een onderzoek hoeft onderdeel te worden van een personeelsdossier. Zeker wanneer een vermoeden niet wordt bevestigd, moet worden voorkomen dat de beschuldiging via andere dossiers alsnog een permanent informeel leven gaat leiden.

Een niet-integer mens houdt rechten

Ook wanneer het onderzoek de integriteitsschending wél bevestigt, verandert dat uitgangspunt niet. De organisatie kan concluderen dat iemand niet langer een bepaalde functie kan vervullen of zelfs dat voortzetting van de arbeids- of samenwerkingsrelatie onmogelijk is. Zij kan daarnaast verplicht zijn informatie aan een toezichthouder, beroepsorganisatie, opsporingsinstantie of andere bevoegde partij te verstrekken. Waar zulke verplichtingen bestaan, moeten zij worden nagekomen.

Maar uit de conclusie dat iemand uit de organisatie moet vertrekken volgt niet dat de organisatie hem vervolgens zoveel mogelijk schade moet berokkenen. De verantwoordelijkheid van compliance is niet iemand te straffen voor zijn karakter of ervoor te zorgen dat hij nooit meer ergens kan werken. Ook iemand die ernstig verkeerd heeft gehandeld behoudt aanspraak op bescherming van persoonsgegevens, vertrouwelijkheid en een proportionele behandeling.

Daarbij hoort ook zorgvuldigheid in externe communicatie. De organisatie mag derden niet misleiden wanneer zij informatie moet of besluit te verstrekken. Maar dat is iets anders dan actief informatie verspreiden waarvoor geen goede grond bestaat. Het vertrek van een medewerker wegens een integriteitskwestie creëert geen algemene waarschuwingsplicht tegenover de rest van de maatschappij.

Geen publieke schandpaal

Dat onderscheid wordt belangrijk wanneer emoties oplopen. Ernstig niet-integer gedrag kan collega’s, klanten en bestuurders terecht boos maken. Zeker wanneer de organisatie financieel of reputatief schade heeft geleden, kan de behoefte ontstaan om duidelijk te laten zien dat het gedrag niet wordt getolereerd. Een stevige interne reactie kan noodzakelijk zijn. Een publieke afrekening is iets anders.

Compliance moet daarin juist afstand bewaren. De vraag is niet welke straf iemand moreel verdient, maar welke maatregelen noodzakelijk zijn om de belangen en risico’s van de organisatie te beheersen en welke verplichtingen uit wet- en regelgeving of beroepsregels voortvloeien. Voor zover die belangen en verplichtingen geen verdere actie vragen, bestaat er geen zelfstandige complianceopdracht om het leven van de betrokkene buiten de organisatie moeilijker te maken.

Dat is geen zachtheid tegenover integriteitsschendingen. Het is rolvastheid. Compliance beschermt de organisatie. Zij is geen rechter over iemands maatschappelijke toekomst.

De manier waarop je afscheid neemt telt ook

Zelfs wanneer ontslag uiteindelijk onvermijdelijk is, blijft de manier waarop dat gebeurt relevant voor de integriteitscultuur. Ook hier kijken collega’s mee. Zij kunnen het gedrag dat tot het ontslag leidde scherp afkeuren en tegelijkertijd beoordelen of de organisatie zorgvuldig met de betrokkene omgaat.

Een organisatie die eerst zegt menselijke waardigheid, privacy en zorgvuldigheid belangrijk te vinden en die principes laat vallen zodra iemand ernstig in de fout gaat, geeft daarmee eveneens een boodschap over haar integriteit. Waarden zijn gemakkelijk toe te passen op mensen die zich gedragen zoals de organisatie graag ziet. Hun betekenis blijkt juist bij degenen bij wie dat niet het geval is.

Een integriteitssysteem moet de organisatie beschermen tegen niet-integer gedrag. Het is geen systeem voor de bestraffing van niet-integere mensen.

Wat doen we als de feiten vast staan?

Een zorgvuldig integriteitsonderzoek eindigt met bevindingen. Daarmee is het probleem nog niet opgelost. Wanneer een integriteitsschending is vastgesteld, moet de organisatie bepalen welke gevolgen zij daaraan verbindt. Dat kan variëren van een gesprek of aanvullende begeleiding tot beperking van bevoegdheden, disciplinaire maatregelen of beëindiging van de arbeids- of samenwerkingsrelatie.

De verleiding bestaat om daarvoor één eenvoudige regel te hanteren: wie niet integer handelt, kan niet bij een professionele organisatie werken. Die regel klinkt krachtig, maar helpt in de praktijk weinig. Integriteitsschendingen verschillen te sterk in aard en ernst. Een medewerker die één keer een geschenk ten onrechte niet registreert, een accountant die bewust informatie vervalst en een bestuurder die zichzelf ten koste van de organisatie verrijkt, hebben alle drie mogelijk een integriteitsnorm geschonden. Daarmee zijn de gedragingen nog niet vergelijkbaar.

Automatisch ontslag heeft bovendien een prijs. Wanneer iedere integriteitsfout per definitie het einde van de loopbaan binnen de organisatie betekent, wordt eerlijkheid gevaarlijk. Medewerkers krijgen een sterke prikkel fouten te verbergen, collega’s kunnen terughoudender worden met melden en leidinggevenden kunnen proberen problemen informeel op te lossen voordat compliance ervan hoort. Een organisatie die iedere integriteitsschending maximaal bestraft, kan daarmee haar eigen zicht op integriteitsproblemen verminderen.

Niet de regel, maar het vertrouwen

Bij de beoordeling van een integriteitsschending zijn verschillende factoren relevant. De ernst en gevolgen van het gedrag spelen vanzelfsprekend een rol. Daarnaast kunnen onder meer opzet, persoonlijk voordeel, duur en herhaling, de positie en verantwoordelijkheid van betrokkene en eventuele eerdere incidenten van belang zijn. Van iemand met een bijzondere vertrouwenspositie of leidinggevende verantwoordelijkheid mag meer worden verwacht dan van een onervaren medewerker die een verkeerde inschatting heeft gemaakt.

Ook de reactie nadat het gedrag aan het licht komt, zegt iets. Er bestaat een wezenlijk verschil tussen iemand die zelf meldt dat hij een ernstige fout heeft gemaakt en iemand bij wie dezelfde feiten na langdurig onderzoek boven tafel moeten worden gehaald. Zelfmelding maakt een integriteitsschending niet ongedaan en levert geen automatisch recht op een tweede kans op. Maar openheid, verantwoordelijkheid nemen en bereidheid schade te herstellen zijn wel relevante informatie bij de vraag of vertrouwen kan worden hersteld.

Het omgekeerde geldt eveneens. Liegen tijdens een onderzoek, documenten verwijderen, collega’s beïnvloeden of bewust onjuiste verklaringen afleggen kunnen de situatie aanzienlijk ernstiger maken. Soms kan de reactie op het onderzoek uiteindelijk meer zeggen over iemands integriteit dan de oorspronkelijke gebeurtenis. Een fout kan herstelbaar zijn. De bewuste poging de organisatie daarna opnieuw te misleiden kan duidelijk maken dat het noodzakelijke vertrouwen ontbreekt.

Daarmee komt de kernvraag vaak niet neer op de abstracte vraag of iemand integer of niet-integer is. Mensen zijn geen binaire categorieën. De praktisch relevante vraag is of de organisatie deze persoon, eventueel onder voorwaarden, nog voldoende kan vertrouwen voor de rol die hij vervult.

Herstel kent meer vormen dan ontslag

Wanneer vertrouwen kan worden hersteld, bestaan meer mogelijkheden dan niets doen of ontslaan. Een waarschuwing, aanvullende opleiding, coaching, tijdelijke of permanente beperking van bevoegdheden, intensiever toezicht, functiewijziging of het wegnemen van een specifiek belangenconflict kunnen afhankelijk van de omstandigheden passende maatregelen zijn. Ook herstel richting een benadeelde cliënt, collega of andere partij kan nodig zijn.

Daarbij moet de maatregel aansluiten bij het risico. Iemand kan bijvoorbeeld inhoudelijk uitstekend functioneren maar hebben laten zien dat hij bepaalde financiële bevoegdheden niet zelfstandig behoort uit te oefenen. Dan kan aanpassing van die bevoegdheden een betere beheersingsmaatregel zijn dan beëindiging van het dienstverband. In een andere situatie kan juist de aard van de functie maken dat zelfs een eenmalige ernstige schending het noodzakelijke vertrouwen definitief vernietigt.

Een tweede kans is daarmee geen recht en evenmin een teken van zwakke handhaving. Zij kan een verantwoorde keuze zijn wanneer het risico voldoende kan worden beheerst en herstel van vertrouwen realistisch is. Maar er zijn ook gedragingen waarbij de organisatie redelijkerwijs tot de conclusie kan komen dat voortzetting onmogelijk is. Proportionaliteit betekent niet dat iedere uitkomst ergens in het midden moet liggen.

Gelijke gevallen en uitlegbare verschillen

Beslissingen over integriteit hebben ook een collectieve werking. Medewerkers vergelijken wat met collega’s gebeurt. Wanneer de ene medewerker voor bepaald gedrag wordt ontslagen terwijl een partner of bestuurder voor vergelijkbaar gedrag slechts wordt aangesproken, ontstaat onmiddellijk een integriteitsprobleem van een andere orde.

Dat betekent niet dat iedere ogenschijnlijk vergelijkbare schending tot precies dezelfde maatregel moet leiden. Omstandigheden verschillen. Positie, opzet, schade, voorgeschiedenis en reactie kunnen een andere uitkomst rechtvaardigen. Maar die verschillen moeten uitlegbaar zijn. Juist bij senior medewerkers en bestuurders kan hun positie aanleiding zijn strenger te oordelen in plaats van soepeler: zij hebben meer verantwoordelijkheid, meer invloed op de cultuur en vaak meer kennis van de normen die zij overtreden.

Consistentie betekent daarom niet een mechanische sanctietabel. Zij betekent dat dezelfde relevante factoren op een vergelijkbare manier worden gewogen en dat afwijkingen kunnen worden verklaard.

Wie beslist?

Compliance hoeft niet degene te zijn die de arbeidsrechtelijke of organisatorische maatregel oplegt. Dat zal afhankelijk van de governance en de positie van de betrokkene bijvoorbeeld bij een leidinggevende, HR, de Raad van Bestuur of de Raad van Commissarissen liggen. Compliance kan wel een belangrijke rol hebben bij de beoordeling van de integriteitsrisico’s en de vraag welke maatregelen nodig zijn om die risico’s te beheersen.

Dat onderscheid moet helder blijven. Wanneer compliance zelf onderzoek heeft gedaan, de feiten heeft vastgesteld, de kwalificatie heeft gegeven én vervolgens zelfstandig de sanctie bepaalt, komen veel rollen bij dezelfde functie terecht. Dat is niet per definitie onmogelijk, maar vraagt extra aandacht voor bevoegdheden en checks-and-balances. Vaak is het zuiverder dat compliance adviseert over de integriteits- en risicogevolgen en het bevoegde orgaan vervolgens de personele of contractuele beslissing neemt.

Daarmee eindigt de verantwoordelijkheid van compliance niet noodzakelijk bij het besluit. Als wordt gekozen voor behoud van de medewerker onder voorwaarden, moet kunnen worden gevolgd of die voorwaarden worden nageleefd en of het veronderstelde herstel daadwerkelijk plaatsvindt. Een tweede kans zonder opvolging is geen beheersingsmaatregel maar hoop.

De verkeerde vraag

Bij ernstige integriteitsschendingen ligt de vraag wat verdient deze persoon? voor de hand. Voor compliance is dat meestal de verkeerde vraag. Zij veronderstelt een bestraffende rol die niet bij de functie hoort.

De relevante vragen zijn andere. Welk risico bestaat na wat we nu weten? Is het noodzakelijke vertrouwen nog aanwezig of herstelbaar? Welke schade moet worden hersteld? Welke maatregelen zijn nodig om herhaling te voorkomen? Welke wettelijke, beroepsrechtelijke of contractuele gevolgen zijn er? En kan de organisatie haar doelstellingen nog verantwoord realiseren wanneer de relatie met deze persoon wordt voortgezet?

Soms leiden die vragen tot ontslag. Soms juist niet. Het doel is niet de zwaarste sanctie te vinden die verdedigbaar is, maar de maatregel die de integriteit en belangen van de organisatie daadwerkelijk beschermt.

De organisatie is de grens

Compliance houdt zich bezig met integriteit omdat niet-integer gedrag risico’s voor de organisatie kan veroorzaken. Dat uitgangspunt bepaalt niet alleen wanneer compliance onderzoek doet, maar ook waar haar verantwoordelijkheid ophoudt. De compliance officer heeft geen algemene opdracht de maatschappij te beschermen tegen iedereen die zich niet integer gedraagt.

Dat onderscheid wordt vooral relevant wanneer een integriteitsschending is vastgesteld en de organisatie haar eigen risico heeft beheerst. Een medewerker kan bijvoorbeeld wegens ernstig niet-integer gedrag worden ontslagen. Daarmee kan het directe risico voor de organisatie zijn verdwenen. De vraag kan vervolgens ontstaan wat compliance moet doen om te voorkomen dat dezelfde persoon elders opnieuw vergelijkbaar gedrag vertoont.

Het antwoord begint bij eventuele verplichtingen. Wet- en regelgeving, beroepsregels of andere bindende afspraken kunnen voorschrijven dat informatie aan een toezichthouder, beroepsorganisatie, opsporingsinstantie of andere partij moet worden verstrekt. Ook kunnen omstandigheden bestaan waarin de organisatie zelf slachtoffer is van mogelijk strafbaar handelen en moet worden besloten of aangifte wordt gedaan. Zulke vragen moeten afzonderlijk en zorgvuldig worden beoordeeld.

Maar waar geen dergelijke verplichting of andere voldoende grond voor verstrekking bestaat, ontstaat niet vanzelf een maatschappelijke waarschuwingsplicht. Compliance is geen register van mensen die elders mogelijk opnieuw een risico zouden kunnen vormen.

Loyaliteit aan de eigen opdracht

Die begrenzing lijkt misschien moeilijk te verenigen met het publieke belang dat accountantskantoren mede dienen. Ook dat publieke belang maakt compliance echter niet tot een algemene toezichthouder op personen buiten de eigen organisatie. De organisatie en haar professionals kunnen bijzondere maatschappelijke verantwoordelijkheden hebben, maar daaruit volgt niet dat de compliancefunctie iedere mogelijke toekomstige werkgever, klant of zakenpartner tegen een voormalig medewerker moet beschermen.

De loyaliteit van compliance ligt bij de organisatie en de verantwoordelijkheden die zij zelf draagt. Dat betekent niet dat die organisatie anderen mag misleiden. Wanneer informatie wordt verstrekt, moet die informatie zorgvuldig en waarheidsgetrouw zijn. Ook mag een vertrekregeling niet worden gebruikt om wettelijke meldplichten te omzeilen of relevante feiten te verbergen voor een partij die daarop recht heeft.

Er bestaat echter een verschil tussen niet misleiden en actief waarschuwen. Dat iemand wegens een integriteitsschending niet langer binnen de eigen organisatie kan functioneren, betekent niet automatisch dat compliance moet proberen te verhinderen dat hij ooit elders nog een functie krijgt.

Deel niet omdat het misschien nuttig is

Integriteitsinformatie is vaak buitengewoon gevoelig. Zij kan persoonsgegevens, beschuldigingen, verklaringen van anderen en conclusies over iemands professionele gedrag bevatten. De AVG, geheimhoudingsverplichtingen en het beginsel van doelbinding verdwijnen niet zodra een onderzoek is afgerond.

Dat vraagt terughoudendheid bij verzoeken van derden. Een toekomstige werkgever kan bijvoorbeeld graag willen weten waarom iemand werkelijk is vertrokken. Dat belang creëert niet automatisch een recht op het integriteitsdossier of op alle informatie die de voormalige werkgever bezit. Ook informele contacten verdienen aandacht. Een telefoontje tussen twee partners of bestuurders kan juridisch en reputatief net zo goed informatieoverdracht zijn als een formele brief.

Compliance moet daarom steeds kunnen uitleggen waarom informatie buiten de organisatie wordt gedeeld, welke grond daarvoor bestaat en waarom juist deze informatie noodzakelijk is. Het kan voor de ontvanger nuttig zijn is daarvoor geen zelfstandig criterium.

Geen geheime zwarte lijst

Dezelfde terughoudendheid geldt voor interne informatie die na een vertrek beschikbaar blijft. Natuurlijk moet de organisatie voldoende vastleggen om genomen besluiten te kunnen reconstrueren en aan wettelijke bewaarplichten te voldoen. Dat rechtvaardigt niet dat informele zwarte lijsten ontstaan van voormalige medewerkers die als niet-integer worden beschouwd.

Dat risico is groter dan het lijkt. Een aantekening in een systeem, een gedeeld spreadsheet of de herinnering dat iemand nooit meer binnen mag komen kan jaren later beslissingen beïnvloeden zonder dat nog duidelijk is waarop het oordeel was gebaseerd, welke context gold en of de informatie nog juist en relevant is. Juist integriteitsinformatie vraagt daarom om duidelijke bewaartermijnen, beperkte toegang en een helder doel.

Hetzelfde geldt voor klanten, leveranciers en andere relaties. Wanneer een relatie wegens integriteitsrisico’s wordt beëindigd, kan het noodzakelijk zijn te voorkomen dat dezelfde partij de volgende dag via een andere vestiging opnieuw wordt geaccepteerd. Dat is risicobeheersing voor de eigen organisatie. Het is iets anders dan die informatie zonder voldoende grond met andere ondernemingen delen om te voorkomen dat zij met dezelfde partij zaken doen.

Niet alles wat mag, moet

Bij integriteitskwesties wordt gemakkelijk juridisch gedacht: mogen we deze informatie verstrekken? Dat is een noodzakelijke vraag, maar niet altijd voldoende. Dat een verwerking of verstrekking juridisch mogelijk is, betekent nog niet dat zij vanuit complianceperspectief noodzakelijk of verstandig is.

De volgende vraag behoort daarom te zijn welk organisatiebelang met de verstrekking wordt gediend. Is dat belang er niet meer, dan moet compliance terughoudend zijn. Daarmee wordt ook voorkomen dat boosheid of morele verontwaardiging na een ernstig incident wordt vermomd als risicobeheersing. Die begrenzing beschermt bovendien de geloofwaardigheid van de compliancefunctie. Medewerkers moeten weten dat informatie die tijdens een integriteitsonderzoek wordt verzameld wordt gebruikt voor het doel waarvoor zij nodig is. Wanneer zij het risico lopen dat die informatie later zonder duidelijke noodzaak buiten de organisatie circuleert, wordt medewerking aan toekomstige onderzoeken minder vanzelfsprekend.

De grens ontslaat niet van verantwoordelijkheid

De organisatie als grens nemen betekent niet dat compliance de ogen sluit voor gevolgen buiten de organisatie. Waar wettelijke of beroepsrechtelijke verplichtingen bestaan, moeten die worden nagekomen. Waar de organisatie zelf schade aan anderen heeft veroorzaakt, kan herstel noodzakelijk zijn. Waar een risico via een klant, leverancier of andere relatie terugwerkt op de eigen organisatie, blijft het relevant. En waar informatie aan derden wordt verstrekt, mag die informatie niet bewust misleidend zijn.

Maar compliance hoeft geen verantwoordelijkheid naar zich toe te trekken die haar niet is gegeven. Zij onderzoekt en beheerst integriteitsrisico’s omdat de organisatie daarvoor verantwoordelijkheid draagt. Wanneer die verantwoordelijkheid ophoudt, moet compliance niet uit morele gedrevenheid een nieuwe opdracht voor zichzelf creëren. Juist een functie die regelmatig over grenzen waakt, moet ook haar eigen grens kennen.

Van incident naar inzicht

Een integriteitskwestie lijkt afgerond wanneer het onderzoek is voltooid en over de betrokken persoon een besluit is genomen. De melding is onderzocht, de feiten zijn vastgesteld, eventuele schade is hersteld en waar nodig is iemand aangesproken, van functie veranderd of vertrokken. Het dossier kan dicht. Voor compliance begint dan nog een laatste vraag: waarom kon dit gebeuren?

Die vraag is wezenlijk anders dan de vraag wie verantwoordelijk was. Een medewerker kan volledig verantwoordelijk zijn voor zijn eigen gedrag en toch hebben geprofiteerd van omstandigheden die het gedrag mogelijk maakten of lang onzichtbaar hielden. Een gebrekkige functiescheiding veroorzaakt geen fraude. Een hoge commerciële druk dwingt niemand tot het overtreden van regels. Een zwakke leidinggevende neemt niet de beslissing van een medewerker over. Maar zulke omstandigheden kunnen wel verklaren waarom gedrag mogelijk was, waarom het aantrekkelijk werd of waarom niemand eerder ingreep. Wie na ieder incident uitsluitend de schuldige verwijdert, loopt daarom het risico dezelfde omstandigheden voor diens opvolger intact te laten.

Root cause analysis

Daarom kan na een integriteitsincident een root cause analysis nodig zijn. Niet ieder incident rechtvaardigt een omvangrijk onderzoek naar achterliggende oorzaken. Soms is een gebeurtenis werkelijk geïsoleerd en is voldoende duidelijk waarom zij heeft plaatsgevonden. Maar naarmate de schending ernstiger is, langer heeft kunnen voortbestaan of meer raakt aan bestaande beheersingsmaatregelen, wordt de vraag naar de achterliggende oorzaken belangrijker.

Een goede RCA stopt niet bij de constatering dat iemand de regels heeft overtreden. Dat wisten we immers al. Zij vraagt waarom bestaande beheersingsmaatregelen het gedrag niet hebben voorkomen of tijdig zichtbaar gemaakt. Waren bevoegdheden te ruim? Ontbrak controle? Waren signalen eerder aanwezig maar niet herkend? Was de norm onduidelijk? Wisten collega’s wat er gebeurde maar durfden zij niets te zeggen? Werd afwijkend gedrag door een succesvolle medewerker te gemakkelijk geaccepteerd? Of stimuleerden doelstellingen en beloningsprikkels onbedoeld precies het gedrag dat de organisatie formeel afkeurde?

Daarbij moet ook worden opgepast voor comfortabele oorzaken. Onvoldoende awareness is bijvoorbeeld een aantrekkelijke conclusie omdat de oplossing eenvoudig is: nog een training. Maar wanneer iemand heel goed wist dat zijn gedrag niet was toegestaan, lost extra awareness weinig op. Een beheersingsmaatregel die niet aansluit bij de werkelijke oorzaak is hooguit bestuurlijke geruststelling.

Hoe groot is de olievlek?

Naast de diepte van een RCA staat de breedte van het olievlekonderzoek. Wanneer bij één medewerker, klant, dossier of vestiging een probleem wordt gevonden, rijst de vraag of dezelfde omstandigheden elders aanwezig kunnen zijn.

Dat betekent niet dat ieder incident onmiddellijk tot organisatiebreed onderzoek moet leiden. Ook hier geldt proportionaliteit. Maar de vraag moet bewust worden gesteld. Als een fout mogelijk werd gemaakt door een centraal systeem, een standaardwerkwijze, een breed gebruikte interpretatie of een algemene bevoegdhedenstructuur, is er weinig reden om aan te nemen dat het probleem toevallig tot één geval beperkt bleef. Hetzelfde geldt wanneer gedrag samenhangt met commerciële prikkels of een managementpraktijk die ook elders bestaat.

RCA en olievlekonderzoek beantwoorden daarmee twee verschillende vragen. RCA gaat de diepte in: waardoor kon dit gebeuren? Het olievlekonderzoek gaat de breedte in: waar kan dit nog meer zijn gebeurd? Samen voorkomen zij dat een organisatie een incident oplost zonder het onderliggende risico te beheersen.

Kijk ook naar wat vóór de melding gebeurde

Een integriteitsincident levert bovendien informatie op over het integriteitssysteem zelf. Niet alleen het gedrag waarop de melding betrekking had verdient analyse, maar ook de manier waarop het probleem zichtbaar werd. Wie wist wanneer wat? Waren er eerdere signalen? Had iemand vragen gesteld die niet zijn opgepakt? Was er informatie beschikbaar in monitoring, klachten, personeelsverloop of andere bronnen waaruit achteraf een patroon blijkt? Hoe lang zat er tussen het eerste signaal en de formele melding? En waarom kwam iemand uiteindelijk wel naar voren?

Daarmee moet voorzichtig worden omgegaan. Achteraf zijn patronen gemakkelijker te zien dan vooraf. Het doel is niet collega’s verwijten dat zij met de kennis van vandaag gisteren iets hadden moeten begrijpen. Het doel is ontdekken welke signalen in de toekomst eerder herkenbaar kunnen worden gemaakt. Soms blijkt juist dat het systeem goed heeft gewerkt. Een medewerker zag iets, wist waar hij terechtkon, meldde het vroeg en de organisatie kon ingrijpen voordat grote schade ontstond. Ook dat is leerinformatie. Compliance hoeft niet alleen te onderzoeken waarom beheersingsmaatregelen faalden; zij moet ook begrijpen waarom zij werkten.

Een incident verandert het risicobeeld

De uitkomst van een integriteitsonderzoek hoort daarom niet uitsluitend in het onderzoeksdossier thuis. Relevante inzichten moeten terugvloeien naar de bredere risicobeheersing. Een incident kan aanleiding zijn om een risicoanalyse aan te passen, beheersingsmaatregelen te versterken, monitoring anders in te richten, bevoegdheden te wijzigen, een PARP opnieuw uit te voeren of een onderwerp in een IKO mee te nemen. Ook beleid, opleiding of leiderschap kunnen aandacht vragen.

Daarmee ontstaat dezelfde terugkoppeling die in eerdere hoofdstukken steeds terugkeerde. Compliance verzamelt informatie over de werking van de organisatie, beoordeelt wat die informatie betekent voor de risico’s en gebruikt dat inzicht om de beheersing te verbeteren. Een integriteitsmelding is vanuit dat perspectief geen afzonderlijk verschijnsel. Zij is één van de manieren waarop de werkelijkheid informatie teruggeeft aan het systeem dat haar probeert te beheersen. Dat geldt ook voor rapportage aan bestuur en toezicht. Zij hoeven niet noodzakelijk ieder detail van ieder incident te kennen. Wel moeten zij voldoende informatie krijgen om patronen, structurele tekortkomingen en veranderingen in het risicoprofiel te kunnen begrijpen. Wanneer vijf op zichzelf kleine incidenten dezelfde oorzaak hebben, kan die samenhang bestuurlijk relevanter zijn dan één spectaculaire casus.

Sluit de cirkel

Een integriteitsonderzoek is daarom pas werkelijk afgerond wanneer niet alleen naar de betrokken persoon is gekeken, maar ook naar de organisatie die het gedrag mogelijk maakte, ontdekte en behandelde. Dat kan tot de conclusie leiden dat niets structureels hoeft te veranderen. Ook dat is een geldige uitkomst, mits zij bewust is bereikt.

Waar wel verbetering nodig is, moet worden gevolgd of die verbetering daadwerkelijk wordt uitgevoerd en werkt. Anders eindigt een RCA in een rapport, een olievlekonderzoek in een spreadsheet en een verbeterplan in een actielijst waarvan zes maanden later niemand meer precies weet waarom zij bestond.

Integriteitsincidenten zijn kostbaar. Zij kosten tijd, vertrouwen, geld en soms reputatie. Het minste wat een organisatie ervoor terug kan krijgen is kennis. Een goed integriteitssysteem maakt van een incident daarom geen verhaal over een slecht mens. Het maakt er informatie van over de organisatie.

Terug naar de inhoudsopgave

Klik hier voor de inhoudsopgave.