Dit is een versie van een verhaal dat in bijna elk gesprek met operationeel verantwoordelijken bij fondsen terugkomt. De details veranderen. Het patroon nooit.
Er komt een sanctiematch binnen op de pas aangestelde financieel verantwoordelijke van een portefeuilleonderneming. Vrijdag, halverwege de middag. De melding verschijnt in het monitoringkanaal, correct gemarkeerd, met de juiste bron en een rechtstreekse link naar de oorspronkelijke lijstvermelding. Maandagochtend scrollen drie mensen erlangs. Alle drie merken ze de melding op. Alle drie nemen ze aan dat de complianceverantwoordelijke het afhandelt. Die zit in het vliegtuig naar een LP-bijeenkomst en opent het kanaal pas op woensdag. Inmiddels staat de melding twintig berichten hoger. Elf dagen later komt ze weer boven water, wanneer de bank van de portefeuilleonderneming belt om te zeggen dat de rekening is bevroren.
Niemand in die keten heeft iets overduidelijk verkeerd gedaan. Het platform werkte. Het vond precies wat het moest vinden, op de dag waarop het dat moest vinden, en zette de bronlink direct in het bericht.
Alles na het bericht liep mis.
Detectie was nooit het moeilijke deel
Dit is het deel dat inkopers stelselmatig onderschatten. Demo’s richten zich op detectie: hoeveel bronnen, hoe snel, hoe nauwkeurig, hoeveel ruis wordt weggefilterd voordat een mens iets ziet. Begrijpelijk. Die dingen doen ertoe, en een platform dat daarin tekortschiet, is waardeloos.
Maar we hebben nog nooit gezien dat een fonds stopte met doorlopende monitoring omdat de detectie slecht was. We hebben er genoeg zien stoppen omdat de meldingen terechtkwamen op een plek waar niemand keek, zonder duidelijke geadresseerde. Na zes weken was het kanaal achtergrondruis geworden waar iedereen gedachteloos langs scrolde.
De vraag die werkelijk bepaalt of dit werkt, is dus niet ‘wat spoort het op?’. Het is: ‘waar past dit in onze werkweek, en wie komt in actie als er een melding binnenkomt?’
Vier manieren waarop een melding strandt
Grofweg vier, in elk geval. Ze versterken elkaar vaak.
Niemand ziet de melding. Ze gaat naar een gedeelde inbox, een dashboard of een kanaal waar al driehonderd berichten per dag binnenkomen. Technisch gezien is ze aanwezig. Niemand komt haar tegen op het moment dat het er nog toe doet.
Niemand is verantwoordelijk. Dit is wat er in het verhaal hierboven gebeurde, en het is veruit de meest voorkomende oorzaak. Een melding aan ‘het team’ is aan niemand gericht. In de literatuur over incidentrespons heet dit diffusie van verantwoordelijkheid. Het is in zoveel evaluaties van incidenten beschreven dat je zou verwachten dat de sector het inmiddels had opgelost. Dat heeft de sector niet.
De melding vertelt niet wat je moet doen. De ernst is niet aangegeven, de vervolgstap is niet omschreven en waarom het ertoe doet, ontbreekt volledig. Wie op donderdag om 16.40 uur naar een onduidelijk signaal kijkt, schuift het door naar later. Je weet hoe dat gaat.
Meldingsmoeheid. Te veel meldingen, te weinig relevante treffers, en het team leert stilzwijgend dat de stroom negeren geen gevolgen heeft. SANS Institute heeft hier veel over geschreven in de SOC-context en de cijfers zijn somber: analisten beoordelen doorgaans maar een klein deel van wat hen bereikt. Bij risico-informatie werkt het precies hetzelfde. Andere signalen, dezelfde menselijke grenzen.
E-mail is het verkeerde kanaal voor urgente zaken
E-mail is de plek waar informatie terechtkomt om later terug te vinden. Dat is een nuttige functie, en voor een flink deel van wat doorlopende monitoring oplevert, precies de juiste.
Voor tijdkritische zaken is het het verkeerde kanaal. Niet omdat e-mail op zichzelf minderwaardig is, maar vanwege de vertraging. De mediane reactietijd op een zakelijke e-mail loopt op tot uren. In een chatkanaal dat je team al open heeft staan, gaat het om minuten. Wanneer een gesanctioneerde entiteit opduikt in de betaalstroom van een portefeuilleonderneming, lijkt de tijd waarin reageren nog zinvol is veel meer op het tweede getal dan op het eerste.
Vergeet niet hoe snel de onderliggende gegevens veranderen. De feed met recente maatregelen van OFAC wordt voortdurend bijgewerkt, niet volgens een schema dat aansluit op wanneer jij je inbox bekijkt. Dat geldt ook voor de rest van deze categorie.
Waarom Telegram, en wanneer het de verkeerde keuze is
Voor een groot deel van de bedrijven waarmee we werken, is Telegram dat kanaal dat al openstaat. Dat verbaast mensen die nooit in verschillende sectoren hebben gewerkt, en niemand die dat wel heeft gedaan.
De teams zitten er simpelweg al. Gesprekken over deals, communicatie over de portefeuille, oprichtersgroepen, LP-gesprekken. Voor een deel van de bedrijven is Telegram geen extra kanaal. Het is hét kanaal. Meldingen daarheen sturen vraagt geen enkele gedragsverandering van het team. En geen gedragsverandering is de enige vorm van workflowadoptie die een druk kwartaal overleeft.
Het overbrugt ook organisatiegrenzen op een manier die de meeste zakelijke tools bewust niet bieden. Slack en Teams zijn ontworpen voor intern gebruik, wat voor bijna alles juist is en hiervoor onhandig. Wanneer een portefeuilleonderneming te maken krijgt met een campagne met identiteitsmisbruik, moeten zowel de operationeel verantwoordelijke van het fonds als het eigen team van de oprichter daarvan weten. Telegramgroepen ondersteunen dat standaard.
Ook internationaal blijft de bezorging goed werken. Fondsen met verspreide teams of portefeuillebelangen in meerdere rechtsgebieden lopen vaker tegen problemen met e-mailbezorging aan dan je zou verwachten. Regionale filtering, zakelijke spamregels, de gebruikelijke oorzaken. Telegram heeft dat probleem niet in dezelfde mate.
Dan de kanttekening, want die is belangrijker dan het verkoopverhaal. Telegram is niet voor elk fonds het juiste kanaal. Als je een institutionele organisatie bent met beleid voor zakelijke berichtenapps, of als je LP’s duidelijke eisen stellen aan waar fondscommunicatie plaatsvindt, stuur de meldingen dan naar Slack, Teams of een gestructureerd e-mailoverzicht. Daar is niets mis mee. Het gaat erom dat meldingen terechtkomen waar je team al kijkt. Welk kanaal dat is, hangt volledig af van jouw team, niet van het onze.
Indelen naar ernst: de saaie oplossing die bijna niemand toepast
De meeste fondsen die we spreken, behandelen hun risicomeldingen als één ongedifferentieerde stortvloed. Alles komt op één plek binnen, met dezelfde prioriteit, en de operationeel verantwoordelijke mag het uitzoeken. Dat werkt ongeveer drie weken.
De oplossing is saai. Indelen naar ernst. Drie niveaus volstaan. Je kunt er meer toevoegen, maar waarschijnlijk kun je dat beter laten.
Kritiek. Een sanctietreffer. Een actueel fraudesignaal. Een op handen zijnde maatregel van een toezichthouder. Een bevestigd beveiligingsincident bij een portefeuilleonderneming. Dit gaat naar een kanaal met pushmeldingen en een specifiek aangewezen persoon. Geen team. Een persoon. Binnen vier uur wordt een ontvangstbevestiging verwacht, niet ‘wanneer iemand eraan toekomt’.
Materieel. Inhoudelijk relevante negatieve media, een wijziging in de status van een rechtspersoon, geverifieerd identiteitsmisbruik, een rechtszaak tegen een oprichter of bestuurder. Dit gaat naar het operationele kanaal en wordt binnen de werkdag op urgentie beoordeeld.
Informatief. Alles wat de moeite van het weten waard is, maar waarvoor je niemand hoeft te onderbreken. Ontwikkelingen in sectorregelgeving, beperkt relevante mediavermeldingen, kleine registermeldingen. Gebundeld. Op vrijdag bezorgd, in tien minuten gelezen, klaar.
De precieze niveaus doen er niet zoveel toe. Dát je niveaus hebt, maakt enorm veel uit. Als je een kortere route zoekt: de NIST-handleiding voor incidentafhandeling (SP 800-61) heeft dit patroon twintig jaar geleden voor beveiligingsteams geformaliseerd. De logica is vrijwel ongewijzigd over te nemen. Gebruik hun kader, geef de categorieën andere namen en ga verder.
Twee verschillende taken, twee verschillende resultaten
Doorlopende monitoring beantwoordt één vraag: wat is er sinds vorige week veranderd in onze portefeuille?
Er is een tweede vraag die fondsen voortdurend stellen, en die ziet er heel anders uit. Vertel me alles wat je op dit moment over deze entiteit weet, in één document. Een nieuwe deal in due diligence. Een LP die naar een specifieke deelneming vraagt. Jaarlijkse herverificatie. Dat is geen berichtenstroom. Dat is een rapport, en het moet diepgaand, gestructureerd en deelbaar zijn met mensen die niet bij het gesprek waren.
Beide zijn belangrijk. Een platform kopen dat het ene uitstekend doet en het andere als bijzaak behandelt, is een fout die we mensen regelmatig zien maken. Meestal omdat de inkoper tijdens de evaluatie alleen de eerste toepassing voor ogen had en de tweede zich in maand twee aandiende.
Laat mensen niet steeds ergens inloggen
Elke klik tussen een signaal en een besluit is een punt waarop dat besluit kan uitblijven.
Dat betekent dat het dashboard, hoe goed het ook is, niet de belangrijkste ingang zou moeten zijn. Het moet de plek zijn waar je naartoe gaat als je al weet wat je zoekt. De meldingen zelf moeten binnenkomen in de tools die het team al gebruikt.
Voor de meeste venturefondsen waarmee we werken, ziet dat er ongeveer zo uit. Signalen worden naar het CRM voor deals gestuurd, zodat de risicohistorie direct zichtbaar is wanneer iemand het dossier weer opent. Het wekelijkse overzicht verschijnt in Notion, naast het document voor de portefeuillebespreking, waar het team op vrijdagmiddag toch al werkt. Kritieke meldingen maken een taak aan in de tool waarmee het operationele team het werk bijhoudt, want een melding zonder verantwoordelijke en deadline is geen taak. Het is een notitie.
Het platform detecteert. Je bestaande systemen houden de opvolging bij. Een tweede centrale registratie opzetten binnen de risicotool is precies hoe zaken zoekraken.
De vaste routine bepaalt alles
Je kunt een perfecte inrichting voor het doorsturen van meldingen ontwerpen, maar binnen acht weken begint die te verslechteren als niemand er bewust naar kijkt. Het ritme is dus net zo belangrijk als de techniek.
Wekelijks, dertig minuten, onder leiding van de operationeel verantwoordelijke. Neem het informatieve overzicht door. Controleer de status van alles wat die week is geëscaleerd. Leg besluiten vast, ook het besluit om niets te doen, want ‘we hebben het beoordeeld en niet materieel bevonden’ is een verdedigbaar standpunt. ‘We zijn er nooit aan toegekomen’ is dat niet.
Zoek maandelijks naar patronen in plaats van incidenten. Drie portefeuilleondernemingen die binnen dezelfde zes weken met identiteitsmisbruik te maken krijgen, zijn geen drie problemen. Het is één probleem, en waarschijnlijk een campagne. Losse meldingen vertellen je dat bijna nooit. Dertig dagen aan meldingen, in samenhang gelezen, meestal wel.
En elk kwartaal, dit is de stap die iedereen overslaat: ga zitten en vraag welke meldingen daadwerkelijk tot actie hebben geleid en welke ruis waren. Stel daarna de drempels bij. Teams waarvan de risicoprogramma’s na achttien maanden nog functioneren, doen dit bijna zonder uitzondering. De programma’s die stilletjes verdwenen, draaiden in maand veertien nog met de instellingen uit maand één.
Wat we teams verkeerd zien doen
Een korte lijst, en ik durf te wedden dat de meeste fondsen die dit lezen minstens één van deze dingen doen:
- Alles naar een gedeelde compliance-inbox sturen
- Ernstdrempels één keer instellen tijdens de onboarding en daarna nooit meer aanpassen
- Kritieke meldingen per e-mail versturen
- De melding behandelen als het einde van het proces in plaats van het begin
- De hele workflow bouwen rond de standaardinstellingen van het platform in plaats van de werkelijke werkweek van het team
Alle vijf zijn in een middag op te lossen. De meeste teams lossen er rond maand drie minstens één op, meestal een week of twee nadat er iets tussendoor is geglipt.
Veelgestelde vragen
Detectie is het onderdeel dat leveranciers demonstreren, en meestal werkt dat prima. Meldingen stranden verderop, bij het doorsturen. Ze komen binnen in een kanaal dat niemand in realtime volgt, allemaal met dezelfde prioriteit, zonder aangewezen verantwoordelijke en zonder vaste routine om ze te beoordelen. Verbeter het kanaal en wijs de verantwoordelijkheid toe, en de meeste klachten dat ‘onze tool niet werkt’ verdwijnen.
E-mail is de plek waar informatie terechtkomt om later terug te vinden. Voor een groot deel van wat doorlopende monitoring oplevert, is dat precies goed: een wekelijks overzicht hoort in een inbox. Voor urgente zaken is het het verkeerde kanaal. Als een signaal vandaag een besluit vraagt, moet het binnenkomen op een plek die het team al open heeft staan.
Omdat het voor een groot deel van de teams waarmee we werken het kanaal is dat de hele dag al openstaat. Het gaat niet specifiek om Telegram. Het gaat erom dat meldingen terechtkomen waar mensen al zijn, in plaats van achter nog een inlogscherm. Het is de verkeerde keuze wanneer je beleid een registratie met toegangscontrole vereist van wie wat wanneer heeft gezien. Dan hoort de melding in het centrale registratiesysteem, met alleen een verwijzing in de chat.
Het betekent dat je de stroom opsplitst naar ernst en elk niveau anders doorstuurt: kritieke zaken naar een direct kanaal met een aangewezen verantwoordelijke, de rest naar een overzicht. De meeste teams sturen één ongedifferentieerde stortvloed naar één plek en verwachten dat een operationeel verantwoordelijke het uitzoekt. Dat werkt ongeveer drie weken. Daarna stoppen mensen met lezen.
Ze beantwoorden verschillende vragen en horen niet hetzelfde formaat te hebben. Monitoring beantwoordt: ‘wat is er sinds vorige week veranderd in onze portefeuille?’ Een rapport beantwoordt: ‘wat weten we over deze tegenpartij, en kan ik het doorsturen?’ Het ene is een stroom, het andere een document. Wie één vorm beide taken probeert te laten vervullen, houdt uiteindelijk geen van beide over.
De inrichting voor het doorsturen van meldingen veroudert. Mensen wisselen van functie, de portefeuille groeit, drempels sluiten minder goed aan. Zonder een bewust ritme om dit te beoordelen, past een goed ontworpen inrichting binnen een paar maanden ongemerkt niet meer bij het team. Plan een terugkerend moment om te bekijken welke meldingen binnenkwamen, waarop actie is ondernomen en wat is genegeerd.
Alles met dezelfde prioriteit versturen; meldingen naar een kanaal zonder aangewezen verantwoordelijke sturen; mensen ergens laten inloggen om de details te bekijken; en de inrichting na de start nooit meer herzien. Elke klik tussen een signaal en een besluit is een punt waarop dat besluit kan uitblijven.
Conclusie
Zo ziet een werkende inrichting er daadwerkelijk uit, en het is minder spectaculair dan je zou denken.
De operationeel verantwoordelijke weet binnen enkele minuten wanneer er iets kritieks wordt gemeld. Informatieve signalen worden gebundeld in een vrijdagoverzicht dat in tien minuten te lezen is. Due-diligencerapporten verschijnen in het dealdocument, niet in een apart portaal dat iemand moet onthouden te openen. Niets wordt twee keer geëscaleerd zonder te worden afgehandeld. En niemand kijkt voor de zekerheid op een dashboard, want daar is geen reden voor.
Het einddoel is geen team dat een risicotool gebruikt. Het is een team dat er niet meer over nadenkt, net zoals je niet nadenkt over de werking van je e-mail. Dat is de norm, en de meeste fondsen zitten daar verder vanaf dan ze beseffen.
Als je die inrichting wilt uitwerken voor je eigen systemen, loopt Beady AI die samen met je door. Telegram of Slack, de frequentie van overzichten, het CRM, wie waarvoor verantwoordelijk is. Plan een werksessie en we doen dit met je echte portefeuille in plaats van een demoportefeuille.
