Op donderdag wordt het geld overgemaakt. Iemand sleept de DD-map naar een archiefmap. Het investeringsmemo krijgt zijn definitieve versienummer en wordt niet meer geopend.
En ongeveer vanaf dat moment verliezen de meeste fondsen elk zicht op de risico’s bij dat bedrijf.
Niet minder zicht. Geen slechter zicht. Nul zicht. Er loopt geen proces. Niemand kijkt. Als er volgende maand iets verandert bij dat bedrijf, of in maart, of in de veertiende maand dat het fonds de deelneming aanhoudt, hoort het fonds dat zoals fondsen dat meestal horen. Van de oprichter, laat. Of van de advocaat van iemand anders, nog later.
Dit verdient aandacht. Niemand heeft hiertoe besloten. Er was geen partneroverleg waarin iemand betoogde dat risico na het sluiten van de deal er niet toe deed en iedereen instemde. Het is simpelweg een gevolg van de manier waarop due diligence ooit is ingericht. DD is opgezet als een poort. Je doet het werk, je passeert de poort en laat die achter je. Wat er aan de andere kant gebeurt, is de verantwoordelijkheid van iemand anders. Of, nauwkeuriger gezegd, van niemand.
Noem het de onboardingmisvatting: de stilzwijgende aanname dat het risicoprofiel dat je hebt onderzocht ook het risicoprofiel is dat je in bezit hebt.
Je due diligence is waarschijnlijk prima
Laten we eerst iets duidelijk maken, want dit betoog werkt niet als het begint met een belediging aan het adres van de lezer.
De meeste fondsen waarmee we werken, voeren vóór het sluiten van een deal zeer grondige due diligence uit. Achtergrondonderzoek naar oprichters. Referentiegesprekken die tot drie schakels verder gaan dan de voor de hand liggende namen. Verificatie van rechtspersonen, sanctiescreening, eerdere rechtszaken, controle van de aandeelhoudersstructuur en soms forensisch onderzoek naar de technologie. Goede fondsen doen dit goed en ontdekken daarmee echte problemen. We hebben deals tijdens DD zien afketsen om precies de redenen waarvoor DD bestaat.
Het proces vóór het sluiten van de deal is dus niet het probleem. Het doet waarvoor het is ontworpen.
Het is ontworpen om een uitgangssituatie vast te stellen. Het beantwoordt één vraag, en doet dat naar behoren: met wie gaan we vandaag in zee?
Goede vraag. Vandaag is het sleutelwoord.
De vraag die due diligence nooit stelt
Want er is een tweede vraag, en bijna niemand heeft iets ingericht dat die kan beantwoorden. Wat verandert er na vandaag, en merken we dat wanneer het gebeurt?
Dat is geen moeilijkere versie van de eerste vraag. Het is een andere vraag. Een ander ritme, andere gegevens, andere manieren waarop het mis kan gaan. En er is een volledig andere inrichting voor nodig.
Een fonds dat de eerste vraag uitstekend beantwoordt en de tweede nooit stelt, doet geen onvolledige due diligence. Het doet volledige due diligence en noemt dat vervolgens een risicoprogramma. Als je daar goed naar kijkt, is dat een behoorlijk vreemde stap.
Zeven dingen die je niet in een dataroom vindt
Dit komt er daadwerkelijk aan het licht nadat de deal is gesloten. Zeven categorieën, gebaseerd op wat we in bestaande portefeuilles zien opduiken.
De achtergrond van de oprichter verandert. Niet: ‘we hebben iets gemist’. Nieuwe gebeurtenissen. Een rechtszaak tegen de oprichter persoonlijk. Een eerdere onderneming die instort en reputatieschade veroorzaakt bij jouw deelneming. Een niet-gemelde adviesfunctie bij een bedrijf dat een concurrent blijkt te zijn, of iets ergers dan een concurrent.
De juridische structuur verandert geleidelijk. Er komen nieuwe dochterondernemingen bij. Het bedrijf verplaatst zijn statutaire zetel. In crypto is dit bijna routine: een investeringsronde ophalen, verhuizen naar de Britse Maagdeneilanden, de Kaaimaneilanden of de VAE, en het regelgevingskader dat je hebt onderzocht, hoort inmiddels bij een bedrijf dat in die vorm niet meer bestaat. Bestuurders wisselen. Aandelen gaan over naar partijen die je nooit hebt beoordeeld. Registers zoals OpenCorporates laten het allemaal zien, als iemand kijkt. Meestal kijkt er niemand.
Er ontstaat blootstelling aan sancties. Een tegenpartij wordt op een sanctielijst geplaatst. Een bankpartner. Een klant. Soms een heel rechtsgebied. OFAC publiceert doorlopend nieuwe sanctieaanwijzingen, en je due diligence was een foto van een moment dat inmiddels voorbij is.
De infrastructuur van een tegenpartij valt weg. De handelsplatformpartner van de portefeuilleonderneming stort in. De bewaarder krijgt sancties opgelegd. De belangrijkste bankrelatie valt op een dinsdag zonder aankondiging weg. Je investeringspositie wordt geraakt door iets wat het bedrijf zelf niet heeft gedaan, en de kans is aanzienlijk dat niemand het je wekenlang vertelt.
Nieuwe investeerders komen in de aandeelhoudersstructuur van een bedrijf waarin je al een belang hebt. De volgende ronde valt onder het due-diligenceproces van iemand anders. Je bent gebonden aan de uitkomst, maar hebt het onderzoek niet zelf uitgevoerd.
Er beginnen campagnes met identiteitsmisbruik. Nepgroepen op Telegram. Gekloonde X-accounts. Een vervalst supportkanaal dat gebruikers geld afhandig maakt bij een product dat op de dag van het sluiten van de deal nog geen gebruikers had. Dit had je niet kunnen onderzoeken. Er was nog niets om te onderzoeken.
De regels veranderen rond een product dat zelf niet verandert. Een token krijgt een andere juridische classificatie. Een dienst wordt aangemerkt als money services business in een rechtsgebied waar dat vorig jaar nog niet zo was. Het bedrijf heeft helemaal niets gedaan. De reikwijdte van het toezicht is verschoven.
Een voorbeeld, omdat het abstracte te makkelijk voorbijgaat
Een fonds sluit in februari een seedronde bij een betaalbedrijf. De due diligence levert geen problemen op. Geen enkele vermelding op een lijst, nergens rode vlaggen in het dossier.
In september sluit het bedrijf een samenwerking met een regionaal handelsplatform voor de afwikkeling van betalingen. In september is er niets mis met dat platform. In januari wordt de belangrijkste aandeelhouder van het platform op een sanctielijst geplaatst. De infrastructuur voor betalingen in fiatgeld is nu een actueel complianceprobleem binnen een portefeuilleonderneming die het fonds al elf maanden niet formeel heeft onderzocht.
Niets in de dataroom van februari had dit kunnen laten zien. De samenwerking was nog niet getekend. De sanctieaanwijzing was er nog niet. Iedereen die erbij betrokken was, heeft zijn werk correct gedaan.
Het doorslaggevende argument
Kijk nog eens naar drie van die zeven categorieën. Sanctieaanwijzingen. Campagnes met identiteitsmisbruik. Herclassificatie onder regelgeving.
Geen daarvan is een tekortkoming in de due diligence. Dat kan ook niet, want toen de due diligence werd uitgevoerd, waren ze nog niet gebeurd.
Dit is de kern van het betoog, en die mag onomwonden worden uitgesproken. Je kunt geen due diligence uitvoeren naar een gebeurtenis die nog niet bestaat. Hoe grondig je onderzoek vóór de deal ook is, je ontdekt daarmee geen sanctieaanwijzing die in maand veertien volgt. Niet met een betere analist, niet met een betere dataleverancier, niet met een langere onderzoeksperiode. De gebeurtenis was er nog niet om te vinden.
Er blijft dus precies één manier over om die op te merken. Iets wat in maand veertien nog steeds kijkt.
Dat is het. Dat is het argument.
De bankensector heeft dit zo’n twintig jaar geleden opgelost
Dit is allemaal geen nieuw idee. Alleen voor venture is het nieuw.
In de gereguleerde financiële sector is doorlopend cliëntenonderzoek een vaststaand beginsel. FATF-aanbeveling 10 stelt expliciet dat van financiële instellingen doorlopende due diligence op zakelijke relaties wordt verwacht, geen eenmalige controle bij onboarding. De EU-richtlijnen voor witwasbestrijding leggen hetzelfde beginsel vast. De sector heeft zelfs een term voor de volwassen vorm ervan: doorlopende KYC, compleet met leveranciers, kaders en een redelijk ontwikkelde praktijk.
Banken zijn hier niet vrijwillig terechtgekomen. Toezichthouders hebben ze er in ongeveer twee decennia naartoe getrokken, tegen aanzienlijke kosten en onder veel geklaag.
En dan nu het eerlijke deel, dat zorgvuldig moet worden geformuleerd, want een fout hier zou alles hierboven ondermijnen. De meeste venture- en cryptofondsen vallen momenteel niet onder die verplichtingen. Je valt grotendeels buiten die reikwijdte. Niemand gaat je volgend kwartaal een boete opleggen omdat je een portefeuilleonderneming niet hebt gemonitord.
Het punt is niet dat je ertoe verplicht bent. Het punt is dat dit beginsel in de aangrenzende sector bestaat, om redenen die bijna volledig op jouw situatie van toepassing zijn. Het ontbreken van een handhaver is een zwakke reden om te concluderen dat de redenering niet klopt.
Wat venture mist, is een naam
De compliancefunctie bij een bank weet precies wat pKYC betekent. Wat het kost, waarvoor het dient, wie verantwoordelijk is en wat er gebeurt als het faalt.
Venture heeft geen vergelijkbare term. Daardoor wordt er ook geen vergelijkbaar gesprek gevoerd. En daardoor krijgt dit hiaat nooit budget, omdat niemand heeft verwoord wat het hiaat eigenlijk is.
Noem het dus doorlopende due diligence en neem die structuur bewust over. Het gaat erom dat duidelijk wordt wat het inhoudt.
Operationeel komt het neer op drie dingen. Voortdurende screening op dezelfde categorieën die je DD al bestrijkt, zonder einddatum in plaats van eenmalig. Escalatie op basis van gebeurtenissen in plaats van de kalender, want risico heeft zich nooit iets aangetrokken van kwartaalgrenzen. En een aangewezen verantwoordelijke met een vastgelegde aanpak voor opvolging, want een melding waarvoor niemand verantwoordelijk is, is een notitie, geen beheersmaatregel.
Dat vraagt geen enorme inspanning. Het vraagt vooral een besluit.
De reikwijdte van het toezicht verschuift toch al
Er bestaat een versie van dit betoog die eindigt met ‘en op een dag komt de toezichthouder bij je langs’. Daar houd ik niet zo van, want het is zowel waar als een gemakkelijk argument.
Maar de ontwikkeling is reëel en verdient een nauwkeurige beoordeling. Vragenlijsten van LP’s voor operationele due diligence gaan steeds vaker over doorlopend toezicht op de portefeuille, en niet alleen over de eerste screening. Het due-diligencekader van ILPA heeft de verwachtingen van kapitaalverschaffers over wat fondsen moeten aantonen geleidelijk uitgebreid. De verwachtingen rond witwasbestrijding (AML) voor crypto worden in de meeste grote rechtsgebieden strenger. De jaarlijkse criminaliteitsrapporten van Chainalysis maken vrij duidelijk waarom. Fondsen staan niet altijd zo ver buiten de reikwijdte van het toezicht als ze denken.
Fondsen die dit nu opzetten, doen dat op hun eigen voorwaarden, in hun eigen tempo en tegen kosten die ze zelf beheersen. Fondsen die wachten, doen het tegen een deadline, onder druk en slecht. Dat is geen voorspelling over regelgeving. Het is gewoon wat er gebeurt met elke operationele voorziening die lang genoeg wordt uitgesteld.
Veelgestelde vragen
Due diligence is een momentopname, en een goede volstaat daar meestal voor. Ze laat zien wat er vandaag over een bedrijf klopt. Ze kan de tweede vraag niet beantwoorden: wat verandert er na vandaag, en merken we dat wanneer het gebeurt? Niets in een dataroom geeft een melding wanneer het veroudert.
De categorieën die in bestaande portefeuilles opduiken in plaats van in datarooms: sanctieaanwijzingen, herclassificatie onder regelgeving, rechtszaken, handhavingsmaatregelen, veranderingen in eigendom en zeggenschap, en campagnes met identiteitsmisbruik in naam van het bedrijf. Geen daarvan was tijdens de due diligence te vinden, omdat het nog niet was gebeurd.
Ja, en dat is precies het punt. De bankensector heeft deze vraag ongeveer twintig jaar geleden beantwoord: een klantdossier dat alleen klopt op de dag waarop het wordt geopend, is geen beheersmaatregel maar een vastlegging. Venture kent dezelfde blootstelling en mist tot nu toe meestal zowel de woorden ervoor als een verantwoordelijke.
Voor de meeste fondsen op dit moment niet. En een betoog dat alleen steunt op ‘op een dag komt de toezichthouder bij je langs’ is zowel waar als gemakkelijk. Het sterkere argument is commercieel. Juist de zaken die na het sluiten van de deal aan het licht komen, schaden de bankrelaties, klanten en volgende financieringsronde van een portefeuilleonderneming.
Meldingen op basis van trefwoorden brengen vermeldingen aan het licht. Ze vertellen je niet of een vermelding over jouw bedrijf gaat of over een naamgenoot. Ze bestrijken geen ondernemingsregisters, gerechtelijke dossiers of sanctielijsten en bevatten niet de bron en datum die je nodig hebt om te handelen. Het werk zit in het bevestigen van de identiteit en het uitsluiten van toevallige overeenkomsten, niet in het vinden van tekst.
Niet dat due diligence niet deugt, en ook niet dat elk fonds een complianceafdeling nodig heeft. Alleen dat het dossier begint te verouderen op de dag van ondertekening, dat een klein aantal van die verouderde gegevens daadwerkelijk schade kan veroorzaken en dat iemand verantwoordelijk moet zijn voor het opmerken daarvan.
Conclusie
Het is goed om precies te zijn, want je zou hier gemakkelijk te ver kunnen gaan.
Niemand zegt dat due diligence vóór het sluiten van de deal waardeloos is. Dat is ze niet, en fondsen die dit goed doen, moeten dat blijven doen. Niemand zegt dat elke portefeuilleonderneming dagelijks toezicht nodig heeft. De meeste hebben dat niet. Doen alsof dat wel zo is, levert een monitoringprogramma op dat niemand leest.
De stelling is beperkter en moeilijker te weerleggen zodra je haar ziet. Het poortmodel is een categoriefout. Due diligence is geen deur waar je één keer doorheen loopt. Het is een taak die je blijft vervullen zolang je de investering aanhoudt. Al het andere volgt daaruit.
Als je wilt zien hoe dit eruitziet voor echte deelnemingen in plaats van als betoog, voert Beady AI een terugblik uit: we nemen je huidige portefeuille en laten zien wat er sinds het sluiten van elke deal is veranderd. Plan een sessie en we doen dit voor jouw eigen bedrijven. In onze ervaring is het antwoord nooit ‘niets’. Of dat geruststellend is, hangt af van hoe je over verrassingen denkt.
