Een compliancerisico blijft om een van twee redenen verborgen. Ofwel niemand kijkt ernaar, ofwel niemand weet dat dat de bedoeling is.
De eerste soort is vervelend, maar oplosbaar. Verouderd beleid, een uitdiensttredingsproces waarbij toegangsrechten blijven bestaan, een leverancier die iemand drie jaar geleden met een privécreditcard betaalde en die inmiddels klantgegevens bewaart. Iemand met doorzettingsvermogen, een spreadsheet en een vrije week kan dit allemaal opsporen. Het is een kwestie van discipline, en dat soort problemen kun je met inzet oplossen.
Bij de tweede soort helpt inzet niet, omdat die de verkeerde kant op gaat. Niemand kijkt buiten de organisatie.
Dit artikel behandelt beide soorten en laat zien hoe je ze beoordeelt en in kaart brengt. Eerst de interne helft, omdat je die deze maand daadwerkelijk kunt aanpakken. En omdat ik liever geen leverancier ben die de gratis oplossingen overslaat om meteen bij de betaalde uit te komen.
Wat is een compliancerisico?
Een compliancerisico is het risico dat je organisatie loopt wanneer zij niet voldoet, of mogelijk niet voldoet, aan een wettelijke, toezichtsrechtelijke of contractuele verplichting die voor haar geldt.
Drie onderdelen van die zin zijn bepalend.
‘Organisatie’ is het begrip dat mensen verkeerd begrijpen, en dit artikel gaat grotendeels over de reden daarvoor. Je organisatie houdt niet op bij de mensen op je loonlijst.
‘Mogelijk’ is van belang omdat een compliancerisico al bestaat voordat er iets misgaat. Een tekortkoming is een risico, ook als er nog geen misbruik van is gemaakt. Een bedrijf dat nooit een incident heeft gehad, heeft niet per definitie een werkend complianceprogramma. Het kan ook gewoon geluk hebben, en van buitenaf zie je het verschil niet.
‘Die voor haar geldt’ is van belang omdat bij de meeste bedrijven de helft van de zorgen over compliance draait om verplichtingen waaraan ze helemaal niet gebonden zijn. Ondertussen blijven de verplichtingen die wel gelden onbeheerd. Uitzoeken welke verplichtingen echt gelden, is de eerste taak. De lijst is meestal korter en verrassender dan mensen verwachten.
Het helpt om dit te onderscheiden van verwante begrippen. Juridisch risico is het risico op rechtszaken. Operationeel risico is het risico dat je eigen processen vastlopen. Reputatierisico ontstaat wanneer een van die zaken openbaar wordt. Compliancerisico overlapt met alle drie, maar valt met geen ervan samen.
Wat niet-naleving werkelijk kost
Niet-naleving betekent dat je een verplichting schendt. De interessante vraag is niet wat het betekent, maar wat het kost. Dat antwoord bestaat uit meerdere lagen die in de meeste berekeningen ontbreken.
De boete is het zichtbare deel, en vaak het kleinste. Daaronder ligt het herstelprogramma dat de toezichthouder eist: een project dat meerdere kwartalen duurt en personeel vergt. Dan de juridische kosten, die oplopen ongeacht of er ooit een sanctie volgt. Vervolgens de informatieverplichtingen tegenover klanten, LP’s, mede-investeerders en bankpartners.
Dan het deel dat niemand goed meeneemt in een model: leidinggevenden die drie maanden bezig zijn met incidentafhandeling in plaats van het bedrijf te leiden. Voor een klein bedrijf is dit vaak de grootste kostenpost, en die staat in niemands spreadsheet.
We hebben hiervoor een concreet rekenmodel gemaakt, in plaats van nog een pagina met schrikbarende statistieken. Want als je tijdens een partneroverleg een budgetpost moet verdedigen, heb je een getal nodig dat ook bij kritische vragen overeind blijft.
Waarom compliance geen backofficekwestie meer is
De afgelopen jaren is er iets veranderd dat het benoemen waard is, omdat daardoor ook verandert wie zich hiermee bezighoudt.
Compliance was vroeger een kostenpost die eens per kwartaal aan de top rapporteerde en verder met rust werd gelaten. Inmiddels is het een voorwaarde voor contracten met grote bedrijven, het aantrekken van kapitaal en bankrelaties. Dat is een commerciële verandering die wordt gepresenteerd als een bestuurskwestie.
Het mechanisme is vrij eenvoudig. Grote zakelijke klanten beoordelen nu beveiliging en compliance voordat ze tekenen. LP’s vragen standaard naar operationele due diligence, in plaats van alleen bij uitzondering. Banken stellen hun partners de vragen die hun eigen toezichthouder aan hen stelt. Zo komen dezelfde verwachtingen verderop in de keten terecht bij bedrijven die zelf ver buiten het toezicht vallen.
Een tekortkoming in compliance is dus niet langer iets waarvoor je ooit een sanctie zou kunnen krijgen. Het is iets dat volgende maand een deal vertraagt. Die andere kijk heeft compliance op de bestuursagenda gezet. Daarom is het budgetgesprek eenvoudiger geworden, ook al is het werk moeilijker geworden.
De 10 belangrijkste compliancerisico’s, gerangschikt op hoe lang ze verborgen blijven
De meeste top 10-lijsten rangschikken risico’s op ernst. Dat is weinig zinvol, omdat de ernst volledig afhangt van je sector en omvang.
Een nuttigere rangschikking kijkt naar de tijd dat een risico onopgemerkt blijft.
Beveiligingsteams gebruiken hiervoor de term ‘dwell time’: hoe lang een indringer in een netwerk zit voordat iemand het merkt. Het begrip is bijna één op één toepasbaar op compliance. Het vertelt je iets wat een rangschikking op ernst niet kan: niet wat het risico is, maar hoeveel tijd het krijgt om zich op te stapelen voordat je ervan weet.
Hieronder staan ze van het langst tot het kortst verborgen. De eerste vijf zijn de gevaarlijke, en je zult zien dat ze iets gemeen hebben.
1. Identiteitsmisbruik en aanvallen op je merk
Valse supportkanalen. Gekopieerde socialemedia-accounts. Nagemaakte profielen van oprichters die om investeringen vragen bij mensen die denken zaken te doen met een bedrijf waarin jij een belang hebt.
Dit kun je bij onboarding structureel niet ontdekken. Dat bedoel ik letterlijk, niet als retorische overdrijving. Toen je de deal sloot, was het product nog niet gelanceerd. Er viel niets na te bootsen. Het kon niet in de dataroom staan, omdat het niet bestond.
Bedrijven komen er meestal achter wanneer een oprichter in paniek belt. Soms horen ze het via een screenshot dat een gebruiker plaatst die al geld heeft verloren. Dat is aanzienlijk erger.
2. Veranderingen in de achtergrond van oprichters en bestuurders
Je hebt ze gescreend toen de deal werd gesloten. De controle leverde niets op, omdat er niets aan de hand was. Sindsdien is er niets meer gescreend.
Achttien maanden later wordt de oprichter persoonlijk aangeklaagd in een zaak rond een bedrijf dat diegene eerder leidde. Het is openbaar. Het staat in een processtuk. Iedereen die op het idee kwam om te zoeken, zou het in ongeveer vier minuten vinden.
Niemand komt op dat idee, omdat zoeken iets was wat je één keer deed, tijdens de deal. En die deal is anderhalf jaar geleden afgerond.
3. Sanctierisico via een tegenpartij
Je hebt het bedrijf gescreend. Prima. Maar ook zijn bank? Zijn handelsplatform? Zijn grootste klant? OFAC en vergelijkbare instanties publiceren doorlopend nieuwe plaatsingen op sanctielijsten. Wordt de belangrijkste tegenpartij van een bedrijf op zo’n lijst gezet, dan komt dat bedrijf, en daarmee jouw belang, in een complianceprobleem terecht dat het niet zelf heeft veroorzaakt en mogelijk niet heeft opgemerkt.
Meestal is een geblokkeerde rekening het eerste signaal. Tegen die tijd gaat het gesprek over crisisbeheersing in plaats van risicobeheer. En dat is een veel duurder gesprek.
4. Herstructurering van entiteiten
Verplaatsing van de statutaire zetel. Nieuwe bestuurders. Aandelenoverdrachten aan partijen waarnaar niemand due diligence heeft gedaan. Dochterondernemingen die opduiken in rechtsgebieden die bij het sluiten van de deal niet in beeld waren. In crypto is dit eerder regel dan uitzondering: de financieringsronde afronden, verhuizen naar de Britse Maagdeneilanden of de Verenigde Arabische Emiraten, de aandeelhoudersstructuur aanpassen. Het bedrijf dat je hebt onderzocht, bestaat niet meer in die vorm. Registers zoals OpenCorporates laten het allemaal zien, als iemand tenminste kijkt.
Meestal doet niemand dat. Het komt doorgaans aan het licht bij de due diligence voor de volgende financieringsronde, wanneer een analist van een andere investeerder het vindt en vraagt waarom jij het niet had gezien.
5. Herclassificatie onder de regelgeving
Het bedrijf heeft niets gedaan. De regels zijn veranderd.
Een token wordt een effect. Een dienst valt in een rechtsgebied ineens onder de regels voor een money services business, terwijl dat vorig jaar nog niet zo was. Een product dat legaal was toen je het geld overmaakte, valt nu onder een vergunningstelsel dat toen nog niet bestond.
Dit is per definitie onzichtbaar voor elk onboardingproces. Meestal wordt het ontdekt wanneer er een handhavingsbrief binnenkomt of een bank gerichte vragen begint te stellen.
6. Leveranciers die buiten inkoop om zijn ingeschakeld
De tools zijn met een privécreditcard gekocht. De AI-transcriptiedienst waarvoor iemand zich aanmeldde en die nu jullie partneroverleggen verwerkt. De planningstool die leestoegang heeft tot elke agenda in het bedrijf.
Je kunt niet beheren waarvan je het bestaan niet kent. Begin bij de declaraties. Niet spannend, wel effectief.
7. Gaten in het uitdiensttredingsproces
Toegangsrechten die na het dienstverband blijven bestaan. Saai, en overal aanwezig.
Iemand vertrok in maart. Het e-mailaccount werd dezelfde dag gedeactiveerd. Maar de toegang tot het CRM voor deals, de gedeelde schijf, de Slack-werkruimte die aan een portfoliobedrijf is gekoppeld en de cloudconsole die diegene twee jaar geleden inrichtte, bleef bestaan. Dat was immers allemaal afzonderlijk geregeld door degene die het op dat moment nodig had.
Een schriftelijke checklist en elk kwartaal een controle van de toegangsrechten. Een middag werk, waarmee je een van de zwakke plekken dicht die bij kleine organisaties het vaakst met succes worden misbruikt.
8. Die ene persoon die weet hoe alles werkt
Elk klein bedrijf heeft er een. Bekwaam, al vier jaar in dienst, en als diegene vertrekt, vertrekt de compliancefunctie mee. Want er staat nergens iets op papier: alles zit in het hoofd van die ene persoon.
Bijna niemand neemt dit op in een risicoregister, omdat het benoemen ervan als een beschuldiging voelt. Schrijf het toch op.
9. Beleid dat één keer is geschreven en nooit meer is geopend
Iemand stelde in 2023 een prachtig informatiebeveiligingsbeleid op, omdat een klant erom vroeg. Het verdween in een map. Sindsdien heeft het bedrijf een andere cloudprovider, een ander salarissysteem en voor de helft ander personeel.
De oplossing kost niets. Elk beleidsdocument krijgt een verantwoordelijke en een herzieningsdatum. Die datum komt in een agenda te staan, niet alleen in een plan.
10. Training die mensen afrondden, maar waar niets van bleef hangen
Iedereen heeft de module doorlopen. Het voltooiingspercentage is honderd procent. En toch maakt iemand daarna veertigduizend dollar over naar een vervalste leveranciersrekening, omdat de module bestond uit twintig minuten door dia’s klikken om vier uur ‘s middags.
Ik heb hier geen slimme oplossing voor. Het eerlijke antwoord is dat kort, specifiek en regelmatig beter werkt dan lang, algemeen en jaarlijks. Vijf minuten over de concrete aanval waarmee je bedrijf echt te maken krijgt, vier keer per jaar.
Dezelfde lijst, in kaart gebracht
| Risico | Waar het zit | Hoe lang het doorgaans verborgen blijft |
| 1. Identiteitsmisbruik | Extern | Tot gebruikers al geld hebben verloren |
| 2. Veranderingen in de achtergrond van oprichters | Extern | Tot het openbaar is en iemand anders het je vertelt |
| 3. Sancties tegen een tegenpartij | Extern | Tot een bank een rekening blokkeert |
| 4. Herstructurering van entiteiten | Extern | Tot de due diligence voor de volgende financieringsronde |
| 5. Herclassificatie onder de regelgeving | Extern | Tot er een handhavingsbrief binnenkomt |
| 6. Onbeheerde leveranciers | Intern | Tot een beveiligingsincident of een verlengingsfactuur |
| 7. Gaten in het uitdiensttredingsproces | Intern | Tot de toegang van een oud-medewerker wordt gesignaleerd |
| 8. Afhankelijkheid van één persoon | Intern | Tot diegene ontslag neemt |
| 9. Verouderd beleid | Intern | Tot de volgende audit |
| 10. Training waar niets van bleef hangen | Intern | Tot iemand de fout ingaat |
Deze termijnen zijn waargenomen patronen, geen meetresultaten. Je eigen ervaring zal verschillen. Maar kijk eens naar het patroon.
Alles in de bovenste helft speelt zich buiten je organisatie af. Alles in de onderste helft daarbinnen.
De interne risico’s komen via gewone processen aan het licht, binnen weken of maanden, omdat er uiteindelijk iets gebeurt dat aandacht afdwingt. Een audit. Een verlenging. Een fout. De externe risico’s komen aan het licht wanneer iemand buiten je bedrijf ze voor je vindt. Anders gezegd: ze komen niet geleidelijk boven water. Ze staan ineens voor je deur.
Dat roept de vraag op waar je organisatie ophoudt
Je hebt een rechtspersoon. Je hebt een organigram. Geen van beide beschrijft waar je risico’s liggen. Bouw je daar je complianceprogramma omheen, dan krijg je iets wat intern samenhangend is en extern niets ziet.
Denk aan wat er werkelijk op je bureau belandt. De oprichter van een portfoliobedrijf verschijnt op een sanctielijst. Een subverwerker van je fondsadministrateur wordt getroffen door een datalek, met jouw gegevens erbij. Het handelsplatform waarlangs een portfoliobedrijf transacties afwikkelt, valt in een weekend om. Je hoort het eerder via een Telegram-groep dan van het bedrijf zelf.
Geen van die partijen staat bij jou op de loonlijst. Functioneel vallen ze allemaal binnen de reikwijdte van je complianceverantwoordelijkheid.
De toezichtsregels zijn hierover duidelijk. Het is nuttig om ze te kennen, ook als je niet onder toezicht staat. Richtlijnen stellen expliciet dat een bedrijf een activiteit kan uitbesteden, maar de verantwoordelijkheid ervoor niet. Doorlopende due diligence en toezicht op derden gelden als een zelfstandig onderdeel van een compliancemanagementsysteem. Hetzelfde beginsel staat in de aanbevelingen van FATF over doorlopend cliëntenonderzoek.
De meeste durfkapitaalfondsen en cryptofondsen vallen niet onder dat toezicht. Daar wil ik zorgvuldig in zijn, want meer beweren zou hier makkelijk en oneerlijk zijn. Niemand komt je volgend kwartaal onderzoeken. Maar de redenering blijft geldig, of iemand de regels nu handhaaft of niet. En LP’s zijn de vragen gaan stellen die toezichthouders stellen.
Hoe je compliancerisico beoordeelt
De standaardmethode heeft vier stappen en een ontbrekende vijfde.
Stap één: inventariseer de verplichtingen waaraan je werkelijk gebonden bent
Niet de raamwerken die indrukwekkend zouden staan. De regels, contracten en toezeggingen aan toezichthouders waarover je verantwoording zou moeten afleggen als het misging. Deze lijst is meestal korter dan mensen vrezen en verrassender dan ze verwachten. Er staan een of twee zaken op die iemand heeft genegeerd omdat niemand wist dat ze van toepassing waren.
Stap twee: inventariseer de entiteiten, niet alleen de processen
Dit is de stap die de standaardmethodiek overslaat. Daarom zijn de meeste beoordelingen onvolledig.
Een conventionele risicobeoordeling inventariseert processen: onboarding, betalingen, gegevensverwerking en rapportage. Prima voor een bedrijf waarvan het risico intern zit.
Liggen je risico’s buiten de organisatie, dan heb je ook een inventaris van entiteiten nodig. Elk portfoliobedrijf. Elke tegenpartij die ertoe doet. Je administrateur, bewaarder en belangrijkste leveranciers. Iedereen wiens falen op jouw bureau belandt.
De meeste bedrijven hebben deze lijst nooit opgesteld. Hij is altijd langer dan verwacht. Alleen al het opstellen verandert het gesprek, nog voordat je ook maar één score hebt toegekend.
Stap drie: beoordeel waarschijnlijkheid en impact
Het vertrouwde deel. Hoe waarschijnlijk is dit, en hoe ernstig is het als het gebeurt? Gebruik de schaal die je wilt, met drie of vijf punten. Dat maakt echt minder uit dan de discussies erover doen vermoeden.
Stap vier: beoordeel de detecteerbaarheid, iets wat niemand doet
Hoe lang zou het duren voordat je dit ontdekt?
Niet: ‘Kunnen we het vinden als we zoeken?’ Maar: hoeveel tijd zit er in de praktijk, met de monitoring die je daadwerkelijk hebt draaien, tussen de gebeurtenis en het moment waarop iemand binnen je bedrijf ervan weet?
Druk het uit in dagen. Wees eerlijk. Is het eerlijke antwoord ‘we horen het wanneer de oprichter het ons vertelt’, schrijf dan een getal op dat daarbij past.
Stap vijf: stel prioriteiten op basis van alle drie
Dat brengt ons bij het onderdeel dat volgens mij echt ontbreekt in de standaardraamwerken.
Hoe je een compliancerisicokaart maakt, en de as die iedereen vergeet
De gebruikelijke risicokaart is een matrix met vier vakken. Waarschijnlijkheid op de ene as, impact op de andere. Zet je risico’s erin, en wat rechtsboven terechtkomt, krijgt budget. ISO 31000 en COSO werken beide in grote lijnen zo. Die aanpak werkt al tientallen jaren prima voor risicobeheer binnen bedrijven.
Maar er zit een verborgen aanname in, en die richt veel schade aan.
De aanname is dat je het weet wanneer een risico werkelijkheid wordt.
Kijk naar de kaart en je ziet dat detectie er nergens op staat. Waarschijnlijkheid staat erop. Impact staat erop. De tijd tussen de gebeurtenis en het moment waarop je ervan weet, ontbreekt volledig. Alsof die nul is. Alsof risico’s zichzelf aankondigen.
Dat doen ze niet. En tijd vermenigvuldigt de impact; het is geen voetnoot erbij.
Neem een risico met een gemiddelde waarschijnlijkheid en een gemiddelde impact. Als je het binnen een dag ontdekt, is het beheersbaar. Je grijpt vroeg in, de blootstelling blijft beperkt, herstel is goedkoop. Bovendien heb je het zelf ontdekt, en dat weegt zwaar bij de toezichthouder.
Neem hetzelfde risico, maar nu blijft het veertien maanden onopgemerkt. De blootstelling stapelt zich op. Alle momenten waarop je goedkoop had kunnen ingrijpen, zijn voorbij. Herstel is nu een project. En jij hebt het niet ontdekt, maar iemand anders. Vanuit die positie is het aanzienlijk lastiger om verantwoording af te leggen.
Dezelfde waarschijnlijkheid. Dezelfde nominale impact. Een totaal andere werkelijkheid.
De formule
De kaart heeft dus een derde dimensie nodig. De eenvoudigste manier om die uit te drukken is:
Effectieve blootstelling = waarschijnlijkheid × impact × tijd tot detectie.
Je kunt dit op een plat vlak weergeven door de matrix met vier vakken te behouden en de grootte of kleur van de stippen te gebruiken voor detecteerbaarheid. In de praktijk wegen de meeste teams de score simpelweg, en dat is prima. De precieze methode doet er minder toe dan de discipline om die derde vraag überhaupt te stellen.
Pas die correctie toe op je bestaande risicokaart en er gebeurt iets ongemakkelijks. Risico’s die je als gemiddeld had beoordeeld en die onschuldig midden in de matrix stonden, schuiven sterk richting de hoek. Bijna allemaal blijken ze extern te zijn, omdat juist die risico’s niet worden gemonitord.
Die herordening is in één zin het argument voor doorlopende monitoring. En het komt voort uit de methodiek zelf, niet uit het verhaal van een leverancier.
De fouten die bijna iedereen maakt bij het in kaart brengen van risico’s
Het zijn er zes, en de eerste is fataal.
Alleen in kaart brengen wat je beheerst. De kaart omvat je processen, je systemen en je personeel, en houdt op bij de deur. Dat levert een document op dat intern grondig is, maar misschien vijftien procent van je werkelijke blootstelling beschrijft.
Het bij één keer laten. Een risicokaart die in maart is gemaakt en nooit meer wordt geopend, is een foto. De wereld die erop staat, is veranderd. Dit is gevaarlijker dan helemaal geen kaart hebben, want nu heb je een gedocumenteerd beeld van een beheersmaatregel die niet wordt uitgevoerd.
Waarschijnlijkheid verwarren met detecteerbaarheid. ‘We hebben dit nog nooit zien gebeuren’ wordt vaak opgevat als ‘dit is onwaarschijnlijk’. Soms betekent het: ‘We zouden het niet zien als het gebeurde.’ Beide leveren hetzelfde bewijs op en vragen om een tegengestelde reactie.
Entiteiten in kaart brengen in plaats van relaties. Je hebt je portfoliobedrijf in kaart gebracht. Maar zijn bank, zijn handelsplatform en zijn grootste klant niet, terwijl elk daarvan dat bedrijf in een complianceprobleem kan brengen dat het niet zelf heeft veroorzaakt.
Iedereen het eigen gebied laten beoordelen. Mensen kennen hun eigen domein een laag risico toe. Dat komt eerder door hun betrokkenheid dan door oneerlijkheid. De oplossing is om iemand van buiten de functie de beoordeling te laten doen, of die op zijn minst kritisch te laten toetsen.
De kaart een document laten worden in plaats van een hulpmiddel. Als de kaart niet bepaalt wat wordt gemonitord, wat wordt geëscaleerd en waarvoor budget wordt vrijgemaakt, is het geen kaart. Het is een op te leveren document, gemaakt voor iemand anders.
Hoe je risico’s in kaart brengt, hangt af van je organisatie
De vorm van de kaart verschilt enorm per sector. Daarom stellen algemene sjablonen bijna iedereen teleur die er een downloadt.
Een fabrikant of een traditioneel grootbedrijf heeft overwegend interne risico’s. Supply chain, fabriek, personeel, gegevens. Zaken die het bezit en aanstuurt. De standaardraamwerken zijn hiervoor gemaakt, en ze werken.
Een SaaS-bedrijf is ook vooral naar binnen gericht, met risico’s die zich concentreren rond gegevensverwerking en beveiligingsmaatregelen. SOC 2, ISO 27001, GDPR. Daarom bestaat de categorie software voor het automatiseren van beveiligingscompliance, en daarom groeide die zo snel.
Fintech kent beide kanten. Naar binnen voor de eigen beheersmaatregelen, naar buiten voor klanten die bij onboarding moeten worden geverifieerd en daarna gemonitord. Twee verschillende programma’s, vaak uitgevoerd door dezelfde overbelaste persoon.
Een instelling onder toezicht heeft zware interne verplichtingen en formele eisen voor toezicht op derden. Daarom koopt zo’n instelling meestal uiteindelijk een GRC-platform en neemt ze iemand aan om het te beheren.
Bij een durfkapitaal- of private-equityfonds is het omgekeerd. Intern elf mensen, tweehonderd miljoen geïnvesteerd in achtendertig bedrijven waarover het geen zeggenschap heeft. Het interne risico is reëel, maar klein. Bijna alle blootstelling zit in entiteiten buiten het fonds. Geen enkel standaardraamwerk beschrijft deze situatie.
Bij een cryptofonds is die omkering het sterkst. Bovendien heeft het twee afzonderlijke externe risicogebieden die elkaar niet overlappen. On-chainrisico, dat door walletanalyse wordt afgedekt. En off-chainrisico rond entiteiten (oprichters, bedrijfsstructuren, identiteitsmisbruik), dat daar niet onder valt. Fondsen die het eerste hebben ingekocht en aannemen daarmee ook het tweede te hebben afgedekt, maken de meest voorkomende kostbare fout in deze markt. Als je dat onderscheid niet kent: we hebben hier het volledige landschap van softwarecategorieën in kaart gebracht.
Goede werkwijzen, waarvan de meeste gratis zijn
Vijf dingen. Drie ervan kosten niets. Dat is goed om vooraf te zeggen, want meestal legt een leverancier in dit onderdeel uit dat je iets moet aanschaffen om het probleem op te lossen.
Trek eerst de werkelijke grens. Maak een lijst van elke entiteit waarvan het falen op jouw bureau belandt. Portfoliobedrijven, hun belangrijkste tegenpartijen, je administrateur, je bewaarder en je externe dienstverleners. Gratis, en het kost een middag.
Druk je detectietijd uit in een getal, niet in een woord. Niet ‘doorlopend’. Een getal. Als het eerlijke antwoord ‘elk kwartaal’ is, heb je geaccepteerd dat er in het ongunstigste geval ongeveer negentig dagen zitten tussen het openbaar verschijnen van een signaal en het moment waarop iemand binnen je bedrijf het ziet. Dat kan volkomen aanvaardbaar zijn. Het moet alleen een bewuste keuze zijn, geen tekortkoming die je hebt geërfd. En het hoort in je risicobeheerbeleid te staan, niet in iemands hoofd.
Wijs voor elk risico een verantwoordelijke aan voordat je die nodig hebt. Een risico zonder naam erbij krijgt geen opvolging. Dat is veruit de meest voorkomende reden waarom meldingen blijven liggen. Het is geen probleem met de tools, en geen enkele software lost het voor je op. Hier lees je meer over het doorsturen van meldingen.
Automatiseer het volgen. Automatiseer het beslissen niet. Een machine kan in één nacht tienduizend artikelen in zes talen lezen en de vier eruit halen die gaan over entiteiten die voor jou van belang zijn. Geen menselijk team doet dat. Wat een machine niet kan, is bepalen wat je vervolgens moet doen. Elk systeem dat je een conclusie geeft in plaats van een signaal met bronvermelding, vormt een risico. Je hebt dan immers een gezaghebbend ogend document bij een besluit dat je niet kunt controleren. Eis een link naar de primaire bron. Eis dat ook van ons.
Test vervolgens wat je hebt ingericht. Dat brengt me bij het laatste punt.
De audit van één uur
Je kunt vanmiddag nog ontdekken waar je staat.
Kies willekeurig drie portfoliobedrijven. Niet de probleemgevallen. Echt willekeurig, liefst met één bedrijf erbij waarover je je helemaal geen zorgen maakt.
Beantwoord voor elk bedrijf vier vragen. Zijn de bestuurders veranderd sinds we de deal sloten? Is het rechtsgebied of de bedrijfsstructuur veranderd? Wie zijn nu de belangrijkste tegenpartijen, en welke daarvan waren dat ook bij het sluiten van de deal? Doet iemand zich op dit moment op sociale media voor als dit bedrijf?
Houd bij hoeveel tijd je nodig hebt. Vermenigvuldig die tijd vervolgens met het aantal bedrijven in de portefeuille.
Is de uitkomst groter dan de tijd die je daadwerkelijk hebt, dan heb je geen monitoringproces. Je hebt een voornemen. Daar zit een wezenlijk verschil tussen, dat meestal op het slechtst mogelijke moment aan het licht komt.
Nog één ding. Als je die vier vragen voor één bedrijf niet kunt beantwoorden zonder de oprichter te mailen, dan is dat de bevinding. Je hoeft de overige zevenendertig niet meer te onderzoeken.
Veelgestelde vragen
Die zijn het aanpakken waard, maar vormen ook de makkelijke helft. De risico’s die echt geld kosten, zitten buiten de organisatie: een verandering in de achtergrond van een oprichter, een tegenpartij die op een sanctielijst terechtkomt of een bedrijf dat stilletjes zijn statutaire zetel verplaatst. De meeste bedrijven hebben helemaal niets ingericht om die zaken te volgen.
Een kaart van interne beheersmaatregelen houdt het waarschijnlijk een jaar vol. Een kaart met achtendertig portfoliobedrijven niet. Die bedrijven veranderen immers van bestuurders, rechtsgebieden en tegenpartijen volgens hun eigen planning, niet die van jou. Herzie de interne helft elk halfjaar. Herzie de externe helft doorlopend, of erken dat je die eigenlijk niet herziet.
Conclusie
De risico’s binnen je organisatie zijn te vinden. Het is een vervelende klus, maar het kan. Dit artikel heeft je grofweg laten zien waar je moet zoeken. Wijs verantwoordelijken en datums toe, en de meeste houden op een risico te zijn.
De risico’s buiten je organisatie vind je niet door harder te zoeken, want niemand kijkt er überhaupt naar. Dat is geen gebrek aan discipline, en met meer inzet dicht je dat gat niet.
Dat gat is precies waarvoor Beady AI bestaat. Doorlopende monitoring van de entiteiten waaraan je bent blootgesteld (portfoliobedrijven, oprichters, tegenpartijen) via sanctielijsten, negatieve media, bedrijfsregisters en identiteitsmisbruik op sociale media. Elk signaal is gekoppeld aan de oorspronkelijke bron. Plan een sessie en we voeren de monitoring uit op je echte beleggingen, in plaats van een demoverzameling. De meeste fondsen vinden bij de eerste controle al iets. Of dat geruststellend is, hangt van je temperament af.
