Je hebt de controles uitgevoerd. Het bedrijf bestond echt, de eigenaren waren bekend, alle documenten klopten en het dossier werd keurig afgesloten met een vinkje bij ‘goedgekeurd’. Daarna ging iedereen verder, zoals dat gaat zodra een deal rond is. Dat is precies wat niemand graag toegeeft: de goedkeuring had een houdbaarheidsdatum, maar niemand had die vastgelegd.
Verreweg het meeste compliancewerk gebeurt bij de voordeur. De aanvraag, de documenten, de screening, de goedkeuring: alles draait om het moment waarop de relatie begint. Maar de relatie eindigt niet bij de onboarding; daar begint die juist. De leverancier die je in januari hebt goedgekeurd, is in november nog steeds je leverancier, inclusief alles wat er in de tussentijd is gebeurd. Onboarding vertelt je wie iemand was op de dag dat je diegene leerde kennen. Het zegt helemaal niets over wie diegene sindsdien is geworden.
Je kunt het zo bekijken: een onboardingcontrole is een foto. Doorlopende monitoring is een livebeeld. Een foto is volkomen nauwkeurig en volkomen statisch. Hoe langer die in je la ligt, hoe minder die zegt over de persoon die nu voor je staat. Daar draait dit artikel om: de kloof tussen de foto en het livebeeld, waarom die veel belangrijker is dan de meeste teams beseffen en wat er in de praktijk nodig is om die te dichten.
De momentopname bij onboarding veroudert zodra je die maakt
Een controle op één moment heeft een beperkte houdbaarheid, en die is korter dan je denkt. De gegevens die je verzamelde, waren correct op de dag dat je ze verzamelde. Het probleem is dat de wereld daarna niet stilstond. Eigendomsverhoudingen veranderen, mensen veranderen, omstandigheden veranderen. En bij geen van die veranderingen krijg je een keurige e-mail met de boodschap: “Beoordeel dit dossier opnieuw.”
Dat is de weinig opvallende zwakke plek in het hele idee van ‘due diligence als toegangspoort’. Door een poort ga je één keer, met als impliciete aanname: ‘We zijn erdoor, dus we zitten veilig.’ Risico is echter geen poort. Het is een toestand die gedurende de hele relatie bestaat. Een tegenpartij met een laag risico bij onboarding kan in de loop van de tijd geleidelijk of plotseling een hoog risico gaan vormen, zonder dat je dossier daar ook maar iets van laat zien. Daar is je dossier niet voor ontworpen. Het is ontworpen om één keer een besluit te nemen en daarna te blijven liggen.
Wat er na de onboarding daadwerkelijk verandert
Het helpt om dit concreet te maken, want bij “risico kan veranderen” knik je gemakkelijk instemmend, om het vervolgens te negeren. Dit kan er binnen een relatie daadwerkelijk verschuiven nadat de deal rond is:
- Eigendom en zeggenschap. Een bedrijf waar niets op aan te merken was, wordt overgenomen, geherstructureerd of stilletjes verkocht. De nieuwe partij erachter lijkt in niets op de partij die je hebt onderzocht. De naam op het contract blijft gelijk, maar de mensen met zeggenschap zijn compleet anders.
- Een nieuwe vermelding op een sanctielijst. Watchlists veranderen voortdurend en een tegenpartij, of een van haar eigenaren, kan er plotseling op terechtkomen. Sancties kunnen via de eigendomsstructuur ook op een entiteit van toepassing zijn. Je kunt er dus mee te maken krijgen zonder dat je de relevante verandering zelf ooit opmerkt.
- Nieuwe negatieve media. Een fraudeonderzoek, een maatregel van een toezichthouder, een ernstige beschuldiging. Zaken die de onboarding volledig zouden hebben tegengehouden, maar zes maanden te laat naar buiten komen om nog enig effect te hebben, tenzij iemand blijft opletten.
- Veranderingen in de betrokken personen. Een bestuurder met een bestuursverbod treedt toe tot het bestuur. Een belangrijke eigenaar met een problematisch verleden stapt in. Een bedrijf is nooit betrouwbaarder dan de mensen die het leiden, en die bezetting ligt niet vast.
- Financiële problemen. Insolventieaanvragen, verzoeken tot liquidatie, een bedrijf dat in stilte ten onder gaat. Een leverancier die op instorten staat, is een heel andere tegenpartij dan het gezonde bedrijf waarmee je een contract sloot.
- Nieuwe rechtszaken. Een patroon van rechtszaken laat zien hoe een bedrijf zich gedraagt als er iets misgaat. Dat patroon ontstaat vaak pas nadat je je al hebt verbonden.
Elk van deze ontwikkelingen kan een relatie waar je je goed bij voelde veranderen in een relatie die je nooit zou zijn aangegaan. De ongemakkelijke waarheid is dat je daar bij controles op vaste momenten meestal bij toeval achter komt, of doordat je de gevolgen ondervindt.
Momentopnamen tegenover doorlopende monitoring
Dit zijn de twee modellen, en het verschil ertussen is de kern van het verhaal. Screening op vaste momenten controleert een tegenpartij op een bepaald moment, meestal bij onboarding, en daarna eventueel weer bij een geplande herbeoordeling, bijvoorbeeld elke één tot drie jaar. In de tussentijd vlieg je blind. Je vertrouwt erop dat er niets wezenlijks is gebeurd in een periode die lang genoeg is om heel veel te laten gebeuren.
Doorlopende monitoring draait het model om. Je controleert niet volgens een kalender, maar één keer bij onboarding, waarna je continu blijft volgen. Je krijgt een melding zodra zich een wezenlijke verandering voordoet, in plaats van bij de volgende geplande herbeoordeling. De sector heeft een term voor de verder ontwikkelde vorm hiervan: perpetual KYC (continue due diligence), waarbij je een klant- of tegenpartijdossier in feite nooit ‘sluit’. Het is eigenlijk helemaal geen nieuw model. Je erkent alleen dat risico doorlopend aanwezig is en dat de monitoring ervan dus ook doorlopend moet zijn.
Het praktische verschil zit in de timing. Bij het periodieke model vraag je: “Wanneer moet deze tegenpartij weer worden beoordeeld?” Bij continue monitoring verdwijnt die vraag vrijwel, omdat het antwoord ‘voortdurend’ is. Je krijgt geen melding omdat een datum nadert, maar omdat een feit is veranderd. Dat is de hele bedoeling, en daarom signaleert continue monitoring zaken weken of maanden eerder dan zelfs een uitstekend uitgevoerd periodiek proces.
Toezichthouders verwachten dit al
Dit klinkt misschien alsof je meer doet dan nodig is, maar dat is het niet. Doorlopende monitoring is geen premiumuitbreiding op due diligence; het maakt deel uit van de definitie. De wereldwijde norm, FATF-aanbeveling 10, omvat uitdrukkelijk doorlopende due diligence op de zakelijke relatie en het nauwlettend onderzoeken van transacties gedurende de hele looptijd, niet alleen bij de start. Het hoort bij de basis en is geen toevoeging achteraf.
Diezelfde verwachting staat in nationale regels. In de VS maakt de CDD-regel van FinCEN doorlopende monitoring tot een van de kernonderdelen van de vereisten. Ook het onderzoekshandboek van FFIEC behandelt continue monitoring als een fundamentele verwachting van de toezichthouder, niet als een optionele aanvulling. Brancheorganisaties wijzen allemaal in dezelfde richting. Zo beschrijft de Wolfsberg Group effectieve beheersing van financiële criminaliteit al geruime tijd als iets dat gedurende de hele relatie plaatsvindt. Wat sancties betreft, herinnert de leidraad van OFAC over entiteiten die eigendom zijn van geblokkeerde personen eraan dat blootstelling via eigendom kan ontstaan. Dat merk je alleen op als je actief blijft monitoren. Over de hele linie is de ontwikkeling hetzelfde: duidelijk weg van de eenmalige controle.
De verborgen kosten van niet monitoren
Het gevaarlijke aan risico na onboarding is dat het zich in stilte ontwikkelt. Als de relatie na je goedkeuring verslechtert, wijst niets je daarop. Je blijft factureren, betalen, leveren en vertrouwen, omdat er vanuit jouw perspectief niets is veranderd. In het dossier staat nog steeds ‘goedgekeurd’.
De blootstelling stapelt zich op. Elke transactie met een tegenpartij die ongemerkt onder sancties valt, insolvent is geworden of fraude pleegt, vergroot die blootstelling zonder dat je het beseft. Het eerste signaal is zelden een waarschuwing; het zijn de gevolgen. Een betaling die ineens wordt bevroren, een onderzoek van een toezichthouder, een verlies, een krantenkop waarin jouw naam vlak naast die van iemand anders staat. Dan is de vraag niet meer: ‘Hadden we deze partij moeten accepteren?’ De vraag is: ‘Waarom hebben we de verandering niet gezien?’ En ‘we hebben bij de start gecontroleerd’ is geen bevredigend antwoord voor een toezichthouder, een bestuur of jezelf.
Ook reputatie speelt een rol, en de gevolgen daarvoor houden langer aan dan de financiële gevolgen. In verband worden gebracht met een malafide partij is schadelijk, ook als je zelf geen enkele schuld treft. “We wisten van niets” klinkt heel anders als je het redelijkerwijs had kunnen weten. Een relatie die je jaren geleden hebt goedgekeurd en sindsdien nooit meer hebt bekeken, is moeilijk te verdedigen. Een relatie die je actief monitorde en waarbij je direct ingreep toen het misging, laat juist zien dat een beheersmaatregel werkte. Dezelfde gebeurtenis, dezelfde tegenpartij, maar twee totaal verschillende posities, uitsluitend doordat je wel of niet bleef opletten.
Waarom handmatig opnieuw screenen niet schaalbaar is
Het voor de hand liggende antwoord is iedereen periodiek opnieuw controleren, en veel teams doen dat ook. Het probleem met handmatig controleren is dat het bijzonder vervelend werk is. Het is traag, herhalend en precies het soort werk dat blijft liggen zodra er iets dringenders op je bureau ligt. De hercontroles worden dus uitgesteld, en nog eens uitgesteld, waardoor de tijd tussen controles steeds verder oploopt.
Zelfs als je het goed uitvoert, heeft periodieke handmatige beoordeling een fundamenteel structureel gebrek: een verandering wordt pas bij de volgende beoordeling opgemerkt, mogelijk maanden nadat die heeft plaatsgevonden. Een tegenpartij komt in maart op een sanctielijst, maar wordt pas in september weer beoordeeld. Je bent dan al een halfjaar blootgesteld. Handmatig opnieuw screenen is op zichzelf niet verkeerd, maar het lost het verkeerde probleem op. Risico verandert voortdurend; een kalender levert losse controlemomenten op. Die sluiten nooit helemaal op elkaar aan.
Hoe continue monitoring er in de praktijk uitziet
Het alternatief is niet vaker handmatig controleren, maar veranderen wie of wat de monitoring uitvoert. Bij geautomatiseerde continue monitoring beoordeel je een tegenpartij één keer bij onboarding. Daarna blijft het systeem de entiteit en de mensen erachter volgen. Veranderingen worden gemeld zodra ze zich voordoen, in plaats van te wachten tot de volgende beoordelingsdatum. De kalender bepaalt niet langer wanneer je kijkt.
Hier is Beady voor gebouwd. Het verifieert een bedrijf en achterhaalt de werkelijke eigenaar op basis van meer dan 200 miljoen rechtspersonen en bestuurders wereldwijd. Daarna blijft het die tegenpartij doorlopend volgen. Dat gebeurt door zowel het bedrijf als de betrokken personen te screenen op sancties en negatieve media. Je krijgt een melding zodra er iets wezenlijks verandert. Elke melding verwijst naar de bron, zodat je precies kunt zien wat er is veranderd en waarom dat van belang is. Onboarding is het begin van de monitoring, niet het einde. Voor elk team dat tegenpartijen op grote schaal controleert, is dat het verschil tussen een dossier waarin één keer een besluit is vastgelegd en een relatie waarop je ook vandaag kunt vertrouwen. Dezelfde technologie zie je bij onboarding terug in onze KYB-automatisering, zodat zowel de onboarding als de doorlopende monitoring gebruikmaakt van dezelfde gezaghebbende gegevensbron.
Wil je zien welke ontwikkelingen doorlopende monitoring aan het licht brengt bij een tegenpartij die je al hebt geaccepteerd? Vraag een demo aan, dan bekijken we die samen.
De deal is rond; het risico blijft
Een ondertekend contract voelt als de finish. In zekere zin is het dat ook. De onboarding is afgerond, het besluit is genomen. Maar de relatie die eruit voortkomt, leeft en verandert. De tegenpartij die je hebt goedgekeurd, is geen vaststaand gegeven dat je kunt opbergen. Het is een bewegend doel waaraan je je hebt verbonden. De enige manier om te weten of die verbinding nog veilig is, is blijven opletten.
Onboarding beantwoordt één vraag heel goed: kunnen we deze relatie aangaan? Doorlopende monitoring beantwoordt de vraag die echt bepaalt of je schade gaat oplopen: moeten we deze relatie nog voortzetten? Het eerste is een momentopname. Het tweede is het livebeeld. Als er echt iets op het spel staat, heb je beide nodig, en moet het tweede nog lang blijven doorlopen nadat het eerste is vastgelegd.
