In vrijwel elk prijsgesprek over risico-informatie komen twee reacties terug. De eerste is een variant op: “We hebben nog geen groot incident gehad, dus dit heeft geen haast.” De tweede is: “Eén slechte deal kan het einde van het fonds betekenen, dus dit hebben we duidelijk nodig.”
Beide redeneringen kloppen niet. Of preciezer: in beide ontbreekt de berekening.
De eerste reactie leunt ongemerkt op overlevingsbias. De tweede verwart het risico op een uitzonderlijke, extreme gebeurtenis met de verwachte kosten. Geen van beide houdt stand in een partneroverleg waarin iemand een begrotingspost van zes cijfers moet verdedigen.
Hieronder volgt die berekening. Een model dat fondsteams met hun eigen cijfers kunnen invullen, geen presentatie van een leverancier. Het levert geen spectaculair ROI-cijfer op. Wel een verdedigbaar cijfer, en dat is nuttiger.
Waarom de meeste ROI-cijfers in deze markt niet deugen
De cijfers in marketing over risico en compliance vallen doorgaans in twee categorieën. Geen van beide doorstaat een kritische toets.
Leveranciers nemen een recente handhavingszaak, bijvoorbeeld een overtreding van sancties die tot een boete van $ 50 mln leidde, stellen dat hun platform die had ontdekt en rekenen daarmee verder. Kopers redeneren de andere kant op: “We hebben nog geen schade geleden, dus de waarde is nul.” Geen van beide helpt je een begroting op te stellen.
De eerlijke vraag is specifieker. Wat zijn voor onze portefeuille, over de komende twaalf maanden, de verwachte kosten als we niet doorlopend zicht hebben op de entiteiten waaraan we zijn blootgesteld? Dat is de verwachtingswaarde: kans maal impact, opgeteld over realistische uitkomsten. Een zorgvuldige berekening levert een bandbreedte op. Die bandbreedte moet je verdedigen.
Wat “de kosten van een gemist signaal” werkelijk omvatten
De meeste kostenanalyses stoppen bij het directe verlies. Daarmee missen ze waar de werkelijke kosten zitten.
Een gemist signaal van materieel belang, zoals een te laat ontdekte gesanctioneerde tegenpartij, een verzwegen verleden van een oprichter of een imitatiecampagne die geld van gebruikers wegsluist, veroorzaakt kosten in vijf lagen. Dat zijn geen optionele extra’s. Zo komt de rekening daadwerkelijk binnen.
Direct verlies. Kapitaal dat blootstaat aan een gesanctioneerde, frauduleuze of niet langer actieve entiteit. Het duidelijkste bedrag, en meestal het kleinste.
Toezichtskosten. Boetes, herstelmaatregelen, gevolgen voor vergunningen en de kosten om achteraf aan te tonen dat er een herstelprogramma is. De pagina met recente OFAC-maatregelen van het Amerikaanse ministerie van Financiën geeft een duidelijk beeld van de aantallen en omvang. Het overzicht van handhavingsmaatregelen van FinCEN is het andere referentiepunt. Boetes van zes cijfers zijn gebruikelijk. Boetes van acht cijfers zijn niet zeldzaam. De boete zelf is zelden het grootste deel van de rekening die uit toezicht voortvloeit.
Juridische kosten. Externe advocaten, intern onderzoek, informatieverplichtingen tegenover LP’s en mede-investeerders en het risico op een schikking. Die kosten lopen op, ongeacht of er ooit een boete wordt opgelegd.
Reputatiekosten. Moeilijker te modelleren. Gemakkelijk te onderschatten. Het vertrouwen van LP’s is meetbaar en neemt af na operationele incidenten. In enquêtes van de Principles for Responsible Investment (PRI) en brancheorganisaties staat operationele due diligence steevast in de top drie van screeningsfactoren voor institutionele kapitaalverstrekkers. Dat werkt door in de volgende fondsenwerving, soms jarenlang.
Opportuniteitskosten. Uren die senior partners aan incidentafhandeling besteden, kunnen ze niet besteden aan het vinden van investeringen, het ondersteunen van portefeuillebedrijven of fondsenwerving. Voor een klein partnerteam is dit vaak de grootste onzichtbare post op de rekening.
Tel de vijf lagen op en de totale kosten van één gemist signaal van materieel belang komen voor de meeste middelgrote fondsen met aanzienlijke blootstelling aan toezicht uit op ergens tussen $ 1 mln en $ 2 mln. Dat komt overeen met wat we bij onze klanten zien. Jouw bedrag hangt af van de betrokken rechtsgebieden, de samenstelling van je LP-basis en de nominale waarde van je deals.
De kans is de helft van de vergelijking
Een gemist signaal is niet hetzelfde als een daadwerkelijk verlies. De meeste ongunstige signalen escaleren nooit. Sommige wel. De berekening hangt af van drie invoergegevens.
Basisfrequentie van kritieke signalen per portefeuillebedrijf per jaar. Die verschilt vooral per sector. Bij crypto en grensoverschrijdende activiteiten ligt de frequentie aanzienlijk hoger dan bij binnenlandse SaaS. De jaarlijkse rapporten over cryptocriminaliteit van Chainalysis zijn het duidelijkste openbare referentiepunt voor basisfrequenties binnen crypto. Voor bredere compliancecategorieën bieden de bronnen van ACAMS bruikbare sectorbenchmarks.
Voorwaardelijke kans op escalatie. Niet elk ongunstig signaal wordt een probleem. Maar een signaal waar negentig dagen niets mee gebeurt, heeft een aanzienlijk grotere kans op escalatie dan hetzelfde signaal dat binnen vierentwintig uur wordt opgepakt. Dat verband is niet-lineair, en juist dat onderschatten de meeste fondsen.
Detectievertraging. De tijd tussen het eerste verschijnen van een signaal in een openbare bron en het moment waarop een fondsteam erop kan handelen. Bij fondsen met kwartaalcontroles ligt het gemiddelde rond negenentachtig dagen. Die tijd terugbrengen tot minder dan vierentwintig uur verandert de uitkomst sterker dan enige andere afzonderlijke invoervariabele. Het is de knop waaraan traditionele controlecycli structureel niet kunnen draaien.
Het model
In gewone taal:
Verwachte jaarlijkse kosten van risico zonder monitoring = (aantal entiteiten in de portefeuille) × (kritieke signalen per entiteit per jaar) × (kans op escalatie bij de gegeven detectievertraging) × (totale kosten van een daadwerkelijke gebeurtenis)
Gebruik voor elke variabele een bandbreedte, geen enkele waarde. Een versie van dit model die een kritische toets doorstaat, levert een interval op. Het midden wordt je verwachte scenario. De bovengrens wordt het bedrag waarmee je in je planning rekening houdt.
Een uitgewerkt voorbeeld
Een hypothetische middelgrote venture-investeerder:
- 40 portefeuillebedrijven in verschillende sectoren, waaronder crypto en grensoverschrijdende deelnemingen
- Een basisfrequentie van ongeveer 0,6 kritieke signalen per entiteit per jaar, gemiddeld over de sectoren
- Huidige frequentie: kwartaalcontroles, met een gemiddelde detectievertraging van 80 tot 90 dagen
- Totale kosten per gebeurtenis tussen $ 1 mln en $ 2 mln, op basis van de vijf kostenlagen hierboven
De berekening:
40 × 0,6 × ~12% escalatiekans bij kwartaalcontroles × $ 1,5 mln gemiddelde kosten per gebeurtenis ≈ $ 4,3 mln verwachte jaarlijkse kosten.
Hetzelfde model met doorlopende monitoring (detectie binnen 24 uur, waarbij de escalatiekans daalt tot ongeveer 3%):
40 × 0,6 × 3% × $ 1,5 mln ≈ $ 1,08 mln verwachte jaarlijkse kosten.
Het verschil, het verwachte jaarlijkse voordeel van de overstap van kwartaalcontroles naar doorlopende monitoring, bedraagt ongeveer $ 3,2 mln voor een organisatie met deze omvang en dit risicoprofiel. Bij een platformabonnement met een laag bedrag van zes cijfers is die verhouding overduidelijk.
Je eigen invoergegevens leveren een ander bedrag op. Een kleinere portefeuille, sectoren met minder risico, minder blootstelling aan toezicht: het absolute bedrag daalt. Maar binnen realistische bandbreedtes voor fondsen die actief zijn in venture, crypto of alternatieve beleggingen komt het model steeds in dezelfde orde van grootte uit. Doorlopende monitoring verdient zichzelf terug, meestal ruimschoots.
Wat de uitkomst werkelijk bepaalt
Reken het model met voldoende verschillende invoergegevens door en drie dingen worden duidelijk.
Detectievertraging weegt zwaarder dan de omvang van de portefeuille. Een verkorting van negentig dagen naar één dag verandert de verwachte kosten sterker dan een verdubbeling van het beheerd vermogen. Het is ook de knop waaraan traditionele controlecycli per definitie niet kunnen draaien.
De sectormix bepaalt de basisfrequenties. Een fonds met veel blootstelling aan crypto, opkomende markten of gereguleerde sectoren heeft te maken met kritieke signalen die meerdere keren vaker voorkomen dan bij een binnenlands technologiefonds. Hier zit het grootste deel van het verschil tussen fondsen.
Extreme gebeurtenissen bepalen het gemiddelde. Eén gebeurtenis van materieel belang is goed voor het grootste deel van de verwachte kosten. Precies daarom weerlegt “we hebben nog geen schade geleden” het model niet. Het is het uitgangspunt. Het model berekent de kosten van de gebeurtenis die nog niet heeft plaatsgevonden, gewogen naar de kans dat die zich wel voordoet.
De asymmetrie die de doorslag geeft
Risico-informatie behoort tot een kleine groep fondsuitgaven waarbij de nadelige gevolgen van te weinig investeren onbegrensd zijn en de kosten van te veel investeren begrensd.
Een platformabonnement heeft een bekend bedrag. Een gemist signaal van materieel belang niet. Een fonds kan te veel betalen voor risico-informatie en daarvan herstellen. Van de gebeurtenis die die risico-informatie had kunnen blootleggen, kan een fonds niet altijd herstellen.
Die asymmetrie is de werkelijke investeringsredenering. Je hoeft daarvoor niet aan te nemen dat het platform elke gebeurtenis ontdekt. Je hoeft alleen te aanvaarden dat de basisfrequenties niet nul zijn, dat escalatiekansen sterk stijgen met de detectievertraging en dat de daadwerkelijke kosten van één gebeurtenis van materieel belang de platformuitgaven met een orde van grootte overstijgen. Alle drie zijn in de gegevens waarneembaar.
Veelgestelde vragen
Ze vallen doorgaans in twee categorieën: opvallende verliesbedragen uit enorme publieke schandalen en besparingsclaims van leveranciers zonder onderliggende methode. Geen van beide houdt stand voor een specifiek fonds, omdat geen van beide rekening houdt met de werkelijke kans dat de gebeurtenis jou treft.
Meer dan het directe verlies, waar de meeste analyses stoppen. Ze omvatten onderzoek en juridisch werk, managementtijd die niet meer aan andere zaken kan worden besteed, gevolgen voor bankrelaties en tegenpartijen, het effect op de volgende fondsenwerving en de herstelmaatregelen die volgen.
Omdat de kans de helft van de vergelijking is. Een gemist signaal is niet hetzelfde als een daadwerkelijk verlies. De meeste leiden nergens toe, enkele wel. Een eerlijk model vermenigvuldigt de kosten van de ongunstige uitkomst met hoe vaak die werkelijk voorkomt, in plaats van het slechtste scenario te presenteren alsof het vaststaat.
De omvang en groeisnelheid van de portefeuille, de basisfrequentie van ongunstige gebeurtenissen in de segmenten waarin je investeert en hoelang een signaal onopgemerkt blijft. Detectiesnelheid telt vooral rekenkundig: hoe langer iets onopgemerkt doorgaat, hoe meer kosten al zijn gemaakt tegen de tijd dat je het ziet.
Risico-informatie behoort tot een kleine groep fondsuitgaven waarbij de kosten van te veel uitgeven begrensd en bekend zijn, en de kosten van te weinig uitgeven niet. Die asymmetrie geeft meestal de doorslag, meer dan één opvallend cijfer.
Nee. Het levert een verwachtingswaarde op, geen garantie. Sommige fondsen zullen jarenlang zonder materieel incident werken en redelijkerwijs concluderen dat ze te veel hebben betaald. Het model helpt bij beslissen onder onzekerheid, niet bij het voorspellen van een specifiek jaar.
Conclusie
Dit model levert een verwachtingswaarde op, geen garantie. Sommige fondsen zullen jarenlang geen gebeurtenis van materieel belang meemaken. Andere krijgen er twee in een kwartaal. Geen van beide uitkomsten weerlegt de berekening.
Het model kwantificeert de kosten van werken zonder zicht op je portefeuille, in een vorm die een kritische toets in een partneroverleg doorstaat. Voor de meeste fondsen met meer dan dertig portefeuillebedrijven en enige aanzienlijke blootstelling aan crypto, grensoverschrijdende deelnemingen of gereguleerde sectoren is de onderbouwing duidelijk, zonder opvallende verliesbedragen of een beroep op het slechtste scenario. Een eerlijke berekening volstaat.
Wil je het model met je eigen cijfers doorrekenen, dan kan Beady AI dat samen met je doen op basis van je daadwerkelijke portefeuille. Plan een werksessie en we bouwen de berekening op met jouw werkelijke invoergegevens, inclusief de gegevens die je huidige risicoleverancier waarschijnlijk niet met je deelt.
