Stel je de schermen voor die een fonds daadwerkelijk bekijkt voor een van zijn portefeuillebedrijven. Er is het dashboard voor portefeuillemonitoring: omzet, cashburn, groeipercentage, dezelfde cijfers als in de laatste bestuurspresentatie. De meeste maanden staat alles geruststellend op groen.
Stel je nu het andere scherm voor. Het scherm dat je zou vertellen dat de oprichter zojuist is genoemd in een fraudeonderzoek, dat een dochteronderneming op een sanctielijst is verschenen of dat de grootste klant van het bedrijf een lege vennootschap zonder echte bedrijfsactiviteiten is. Bij de meeste fondsen bestaat dat scherm niet. Het prestatiedashboard blijft groen tot op de dag waarop het reputatiedashboard dat niemand heeft gebouwd al rood zou knipperen. Niemand heeft bewust besloten om het niet te bouwen. Het laat alleen iets zien waarvoor geen van de tools die het fonds al heeft, is ontworpen.
En die blinde vlek is kostbaar. Uit onderzoek van HEC Paris, de World Bank en Singapore Management University bleek dat private-equityfirma’s waarvan de portefeuillebedrijven meer milieu- en sociale incidenten hadden dan de mediaan, veel minder vaak een vervolgfonds konden ophalen: 40% van deze firma’s slaagde daar niet in, tegenover een basispercentage van ongeveer 25%. Opvallend was waar de schade zichtbaar werd: bij het ophalen van kapitaal, niet in de prestaties van de fondsen. De bedrijven zelf deden het meestal goed. De prestaties waren nooit het risico.
Dat dit blijft gebeuren, komt niet door nalatigheid. Het probleem zit in de indeling in categorieën. Een portefeuillebedrijf is twee dingen tegelijk: een investering en een derde partij. De softwaremarkt is verdeeld in twee categorieën die elk maar één van die rollen bedienen. Het belangrijkste risico zit in de overlap, en geen van beide categorieën is ontworpen om het te signaleren. Die overlap begrijpen is precies waar dit artikel om draait.
Een portefeuillebedrijf is twee dingen tegelijk
Houd beide perspectieven tegelijk voor ogen, want het hele probleem ontstaat doordat ze afzonderlijk worden behandeld.
Als investering is een portefeuillebedrijf iets wat je wilt laten groeien. Je volgt de KPI’s, hebt een bestuurszetel en kijkt naar omzet, de resterende financieringsduur en de weg naar een exit. Elk fonds is rond dit perspectief opgebouwd, en voor dat doel is het geschikt. De fout zit niet in het gebruik van dat perspectief. De fout is aannemen dat dit het enige perspectief is dat een portefeuillebedrijf nodig heeft.
Als derde partij is datzelfde bedrijf een bron van risico waaraan je blootstaat zonder er zeggenschap over te hebben. Het gedrag van de oprichter, de positie van het bedrijf ten aanzien van sancties en regelgeving, rechtszaken en reputatie: het kan allemaal op je fonds terugslaan. Een bestuurszetel en enkele informatierechten geven je niet de macht om dit te voorkomen. We hebben dit uitgebreid onderbouwd in ons artikel over het toepassen van derdenrisicobeheer op portefeuillebedrijven, en vanuit het perspectief van doorlopende monitoring in Voorbij onboarding. Neem hier als uitgangspunt dat het bedrijf waarin je een belang hebt, in elk opzicht dat risico oplevert ook een derde partij is. De vraag is waarom je tools het niet zo behandelen.
Twee categorieën tools, elk gebouwd voor de helft
Dat komt doordat de markt twee verschillende problemen heeft opgelost met twee verschillende soorten software, terwijl een portefeuillebedrijf onder beide valt.
Tools voor portefeuillemonitoring en -beheer zijn gebouwd om financiële en operationele prestaties te volgen. Ze verzamelen KPI’s, voegen cijfers uit de hele portefeuille samen en laten zien hoe de investering presteert, vooral op basis van gegevens die het bedrijf aan je rapporteert. Ze ondersteunen het investeringsperspectief goed. Maar ze meten prestaties en zijn afhankelijk van de eigen rapportage van het bedrijf. Daardoor zien ze structureel geen externe gedragsrisico’s. Een strafrechtelijke aanklacht tegen een oprichter verschijnt niet in een KPI-overzicht, omdat niemand die daar registreert.
Tools voor het beheren van leveranciers en andere derde partijen zijn ontwikkeld vanuit de leveranciersrelatie. In die wereld draait het doorgaans om beveiligingsvragenlijsten, serviceovereenkomsten, contracten en verklaringen: de verschillende maatregelen die je rond een leverancier treft. De hele aanpak gaat uit van een leverancier die je betaalt, niet van een bedrijf waarvan je een derde bezit. De nadruk ligt op onboarding en contractering, in plaats van op doorlopende, externe monitoring van de oprichters, eigenaren en reputatie van een bedrijf gedurende de periode waarin je erin participeert. Het raamwerk achter deze tools is de levenscyclus van derdenrisicobeheer, die door bankentoezichthouders is geformaliseerd. Dat is een redelijke aanpak, maar hij is ontwikkeld voor inkoop, niet voor aandelenbelangen. Als je een platform voor leveranciersrisico’s vraagt om de komende vijf jaar de reputatie van een oprichter te volgen via nieuws en rechtbankstukken, gebruik je het voor iets waarvoor het nooit is ontworpen.
De ene categorie volgt dus de prestaties die aan je worden gerapporteerd, en de andere beheert een leverancier waarin je geen eigendomsbelang hebt. Leg ze naast een portefeuillebedrijf en je ziet meteen de scheidslijn door het midden lopen.
Waarom de markt in tweeën is verdeeld
Het helpt om even stil te staan bij hoe deze situatie is ontstaan. De blinde vlek is namelijk niet het gevolg van een fout van één softwareleverancier, maar ligt besloten in de oorsprong van deze tools. Software voor portefeuillemonitoring is ontstaan aan de investerings- en operationele kant van de organisatie, om antwoord te geven op de vraag die partners daadwerkelijk stelden: hoe doen onze investeringen het? Alle functies, waaronder de meetwaarden, de samengevoegde cijfers en de afhankelijkheid van bedrijfsrapportages, komen voort uit die ene vraag.
Software voor leveranciersrisico’s is op een heel andere plek ontstaan: binnen inkoop en informatiebeveiliging, om een ander vraagstuk op te lossen. Kunnen we deze leverancier veilig toegang geven tot onze systemen en gegevens? Vandaar de vragenlijsten, certificeringen en contractclausules. Dit zijn twee volwaardige soorten tools die elk een echt probleem doeltreffend oplossen. Het probleem is dat een portefeuillebedrijf niet uitsluitend een investerings- en operationeel vraagstuk is, en ook niet uitsluitend een inkoopvraagstuk. Het is beide tegelijk. Niemand begon destijds aan een oplossing voor die lastige combinatie in het midden, omdat die niet goed aansloot bij een van de teams die software kochten. De blinde vlek bleef dus bestaan doordat niemand verantwoordelijk was voor het bouwen van een oplossing en niemand er een aankoopbudget voor had, niet doordat iemand had besloten dat dit aanvaardbaar was.
Juist in de overlap ontstaat de schade
Dit is het ongemakkelijke deel. Het risico dat fondsen daadwerkelijk ten onder doet gaan, past niet netjes in een van beide categorieën. Het zit in de overlap.
Kijk naar de aard van dat risico: negatieve berichtgeving over een oprichter of een pas aangestelde bestuurder, een wijziging in iemands sanctiestatus of status als politiek prominente persoon, nieuwe rechtszaken, een toezichtsmaatregel, een wijziging in het uiteindelijke belang waardoor je feitelijk met andere partijen zakendoet, of problemen bij een grote klant of leverancier. Dit zijn allemaal externe factoren, die dus niet op een prestatiedashboard verschijnen. Ze hebben stuk voor stuk betrekking op gedrag en reputatie in plaats van operationele meetwaarden, en ze raken allemaal bedrijven waaraan je blootstaat zonder er zeggenschap over te hebben. Precies die combinatie — extern, gedragsgerelateerd en verbonden aan een bedrijf waarin je een belang hebt maar waarop je geen invloed kunt uitoefenen — is iets waarvoor geen van beide categorieën tools is ontworpen.
Dat is ook, niet toevallig, het risico op reputatiebesmetting dat in de inleiding aan bod kwam. Het schandaal dat je volgende fondsenwerving vertraagt, wordt eerst openbaar in officiële stukken, de lokale pers, watchlists en rechtbankstukken, lang voordat het de grote krantenkoppen haalt. Het bevindt zich precies in deze overlap, en dat is ook de reden waarom het onopgemerkt blijft. Tegen de tijd dat het in de cijfers zichtbaar wordt als een verloren klant of een geblokkeerde rekening, is het al maanden openbaar.
De vier risico’s in de overlap
Het helpt om precies te benoemen wat zich in die blinde vlek bevindt, want ‘gedragsrisico’ blijft abstract zolang je het niet verder uitsplitst. Er zijn vier soorten risico die geen van alle zichtbaar zijn op een prestatiedashboard of aan bod komen in een leveranciersvragenlijst. Ze komen bijna nooit op zichzelf voor. Meestal leidt het ene tot het andere, zoals een toezichtsmaatregel na negatieve berichtgeving of een eigendomswijziging waardoor een gesanctioneerde tegenpartij betrokken raakt.
Gedrag van oprichters en bestuurders. Voor de reputatie zijn de mensen die een portefeuillebedrijf leiden het portefeuillebedrijf. Een strafrechtelijke aanklacht, een fraudebeschuldiging, een patroon van negatieve media dat een oprichter van de ene onderneming naar de volgende achtervolgt: niets daarvan zie je terug in de omzet, en niets ervan is vastgelegd in een formulier dat bij de onboarding is ingevuld. Toch is dit veruit de meest voorkomende manier waarop een schandaal binnen de portefeuille begint.
Sancties en de status als politiek prominente persoon. Een oprichter, eigenaar of belangrijke tegenpartij kan op elk moment na je investering onder sancties komen te vallen of een politiek prominente persoon worden. Je staat direct aan het risico bloot en bij sancties gelden strikte verplichtingen. Een prestatietool heeft geen aanleiding om hiernaar op zoek te gaan.
Rechtszaken en toezichtsmaatregelen. Rechtszaken en onderzoeken door toezichthouders zijn openbaar en vormen vaak het eerste formele teken dat er iets mis is gegaan. Een fonds dat alleen naar zijn bestuursrapportages kijkt, hoort er laat over, als het er überhaupt van hoort.
Veranderingen in eigendom en tegenpartijen. Nadat je hebt geïnvesteerd, kan veranderen wie zeggenschap heeft over een portefeuillebedrijf, maar ook van wie het bedrijf afhankelijk is. Of er nu een nieuwe eigenaar betrokken raakt, een leverancier twee schakels verderop in de keten gesanctioneerd blijkt te zijn of een klant een lege vennootschap blijkt: elk van deze situaties verandert je risico, ook als geen enkel cijfer op het dashboard verandert.
Hoe het misgaat in de blinde vlek, stap voor stap
Het verloopt meestal op dezelfde manier. Een fonds investeert in een veelbelovend bedrijf, voert bij de instap gedegen due diligence uit en alle controles leveren bevredigende resultaten op. De oprichter maakt indruk, de cijfers zijn solide en het portefeuilledashboard kleurt groen en blijft groen. Maar na achttien maanden start een toezichthouder een onderzoek naar het eerdere bedrijf van de oprichter, waarover een lokaal medium bericht. Omdat er niets met de omzet is gebeurd, registreert de tool voor prestatiemonitoring niets. Ook de vragenlijst voor leveranciersrisico’s, die alleen bij de onboarding is ingevuld, laat niets zien. Het fonds hoort ervan wanneer een journalist om een reactie vraagt over een van zijn portefeuillebedrijven. Een slechtere manier om erachter te komen is nauwelijks denkbaar. Alle systemen waarvoor het fonds heeft betaald, werkten precies zoals ze waren ontworpen. Het risico bevond zich simpelweg op een plek die geen van de systemen in de gaten hield. De schade loopt op, want het incident dat je publiekelijk in verlegenheid brengt, is wat je investeerders onthouden wanneer je opnieuw kapitaal zoekt.
Met doorlopende externe monitoring wordt die ontwikkeling veel eerder doorbroken. Het officiële stuk van de toezichthouder en het lokale nieuwsbericht komen binnen enkele dagen aan het licht. Het fonds hoort ervan wanneer de kwestie nog klein is en kan rustig en op een zelfgekozen moment bepalen hoe het reageert, in plaats van plotseling door een journalist te worden benaderd. De feiten zijn hetzelfde, de uitkomst is volledig anders. Het enige verschil is of het juiste scherm in de gaten werd gehouden.
Waarom het koppelen van beide tools het probleem niet oplost
Het voor de hand liggende antwoord is: ‘gebruik ze allebei’. Als je een platform voor portefeuillemonitoring naast een tool voor leveranciersrisico’s gebruikt, verdwijnt de blinde vlek vast. Het klinkt aannemelijk, maar het is nog steeds niet voldoende.
Als je beide combineert, heb je een prestatiedashboard en een leveranciersvragenlijst. Beide leunen sterk op informatie die het bedrijf zelf aanlevert en zijn in feite momentopnamen: het dashboard wordt periodiek bijgewerkt en de vragenlijst wordt ingevuld bij de onboarding en mogelijk bij verlenging. Geen van beide doet wat de overlap daadwerkelijk vraagt: doorlopende monitoring van de mensen en activiteiten binnen een bedrijf waarbij je betrokken bent, op basis van externe informatie en met verwijzingen naar de bronnen. Twee onvolledige beelden van het verkeerde type leveren samen geen externe risico-informatie op. Je kunt beide soorten tools hebben en toch niets weten van de kritiek op de oprichter. Het probleem is nooit geweest dat er te weinig tools zijn. Beide richten zich op het verkeerde soort signaal. Een derde bron van hetzelfde soort signaal toevoegen — meer prestatiecijfers of nog een vragenlijst — maakt geen verschil. Je hebt een heel ander soort signaal nodig: informatie die van buiten het bedrijf komt en betrekking heeft op de mensen en hun handelen.
Wat de overlap daadwerkelijk afdekt
Om de blinde vlek af te dekken, is een andere functionaliteit nodig, feitelijk een derde categorie. Het is nuttig om precies te benoemen wat die moet doen.
De basis moet externe informatie zijn, afkomstig uit openbare bronnen in plaats van uit wat het bedrijf zelf besluit te rapporteren. De monitoring moet niet alleen het bedrijf omvatten, maar ook de betrokken personen, zoals oprichters, bestuurders, eigenaren en belangrijke tegenpartijen. Juist bij deze mensen ontstaan gedragsrisico’s. Het systeem moet doorlopend werken, zodat je direct op de hoogte wordt gebracht wanneer een sanctielijst wordt bijgewerkt of een strafrechtelijke aanklacht wordt ingediend, in plaats van te wachten tot de volgende bestuursvergadering. Er moeten verschillende risiconiveaus zijn, zodat de diepgang van de controle aansluit bij de werkelijke blootstelling van het bedrijf. Een binnenlandse investering in de seedfase vraagt een andere aanpak dan een grensoverschrijdend fintechbedrijf. Ook moeten bevindingen naar hun bron verwijzen, zodat je ze kunt verifiëren en aan een investeringscommissie of een LP kunt voorleggen. Dit is een ander soort tool dan een prestatiedashboard of een leveranciersvragenlijst, en juist deze ontbreekt nog bij de meeste fondsen. De bedoeling is niet om je portefeuilledashboard of onboardingcontroles te vervangen: beide vervullen hun eigen functie goed. Het is een aanvulling die naast je bestaande tools past, het risico ertussen afdekt en een blinde vlek zichtbaar en beheersbaar maakt. Bij de meeste firma’s is dit de enige van de drie functionaliteiten die momenteel ontbreekt. Daarom heeft het toevoegen ervan doorgaans meer invloed op het risicoprofiel dan welke aanpassing aan de andere twee ook.
De overlap is niet bij elk fonds even groot
De blinde vlek bestaat bij elk type investeerder, maar ziet er niet overal hetzelfde uit. Dat bepaalt hoeveel aandacht je eraan moet besteden.
Bij venturefondsen concentreert het risico zich bij mensen. Jonge bedrijven worden veel sterker bepaald door hun oprichters dan door hun financiële cijfers. Het gedrag, de voorgeschiedenis en de reputatie van een oprichter bepalen daardoor een onevenredig groot deel van het risico. Vaak moeten bovendien tientallen kleine investeringen tegelijk worden gevolgd. Bij private-equity- en buyoutfirma’s zijn de investeringsbedragen groter en is er meer zeggenschap. Maar zeggenschap is niet hetzelfde als toezicht op gedrag, en een schandaal bij een bedrijf waarin de firma de zeggenschap heeft, slaat nog harder terug op de firma die zichtbaar aan het roer stond. Groei-investeerders zitten tussen beide in. Family offices hebben vaak de minste specifieke compliancecapaciteit. Daardoor is de blinde vlek doorgaans het grootst waar de minste middelen beschikbaar zijn om die af te dekken.
Wat dit alles verbindt, is dat het toezicht moet aansluiten bij de mate van blootstelling, niet bij de omvang van het fonds. Eén investering in een jong bedrijf van een oprichter met een hoog risicoprofiel in een lastige jurisdictie kan meer gedragsrisico meebrengen dan een grote, weinig opzienbarende binnenlandse buyout. Daarom zijn risiconiveaus nodig. In plaats van alle deelnemingen even intensief te controleren, of, zoals veel vaker gebeurt, helemaal niet, moet je de intensiteit van je monitoring afstemmen op de blootstelling per investering. Vaak zijn juist de firma’s met de grootste blootstelling er het meest van overtuigd dat ze te klein zijn om zulke controles nodig te hebben, totdat één slechte investering hun ongelijk bewijst.
Wat je moet vragen voordat je nog een tool koopt
Als je wilt beoordelen of een oplossing de overlap daadwerkelijk afdekt of alleen een vierde dashboard toevoegt, helpen een paar vragen je snel door het verkooppraatje heen.
- Komt de informatie van buitenaf of van het bedrijf zelf? Als de gegevens afkomstig zijn uit wat het bedrijf je vertelt, laten ze nooit zien wat het bedrijf liever voor je verborgen houdt. De overlap vraagt om externe bronnen.
- Volgt de tool ook de mensen, en niet alleen de entiteit? Gedragsrisico’s zitten bij oprichters, bestuurders, eigenaren en tegenpartijen. Een tool die alleen het bedrijf volgt, mist het grootste deel daarvan.
- Is het een doorlopend proces of een controle op een bepaald moment? Als de controle bij de onboarding wordt uitgevoerd of elk kwartaal wordt bijgewerkt, is het systeem tussendoor lange tijd blind. Het risico waar je je zorgen over maakt, ontstaat tussen die controles.
- Kun je verschillende risiconiveaus instellen? Eén controleniveau voor zowel een grensoverschrijdend fintechbedrijf als een binnenlandse investering in de seedfase leidt bij de ene tot verspilling en bij de andere tot onvoldoende aandacht. De intensiteit moet aansluiten bij de mate van blootstelling.
- Is elke bevinding naar de bron te herleiden? Een melding die je niet kunt verifiëren, levert juist meer werk op en houdt geen stand tegenover een investeringscommissie of een LP.
Als een tool de eerste drie vragen met nee beantwoordt, is het slechts een prestatiedashboard of een leveranciersvragenlijst onder een andere naam. De blinde vlek wordt er niet mee gedicht. Het doel is altijd geweest om te zorgen dat ten minste één tool daadwerkelijk op de overlap is gericht, niet om meer tools te verzamelen. Stel daarom vóór de volgende verlenging de vraag ‘Is een van onze tools op deze blinde vlek gericht?’, in plaats van te wachten tot na het volgende incident.
De blinde vlek zit ook in de organisatie
De scheiding tussen de tools weerspiegelt een scheiding in de verantwoordelijkheid voor het probleem. De dealteams zijn verantwoordelijk voor de prestaties en werken vanuit het perspectief van portefeuillemonitoring. Compliance, voor zover die functie bij een fonds aanwezig is, neemt de leveranciers en de due diligence bij onboarding voor zijn rekening. Maar voor de doorlopende gedrags- en reputatierisico’s van portefeuillebedrijven is geen van beide standaard verantwoordelijk. Die risico’s vallen tussen de afdelingen in.
Dit verdient aandacht, want het verklaart waarom het risico niet wordt gemonitord: niet omdat mensen hebben besloten dat het er niet toe doet, maar omdat niemand ervoor verantwoordelijk is gemaakt. Investeerders vragen steeds vaker hoe fondsbeheerders risico’s binnen hun investeringen volgen. Hun due-diligencevragen gaan inmiddels rechtstreeks op dit onderwerp in. Het antwoord ‘het was niemands taak’ voldoet dus niet tijdens een fondsenwerving. Bepaal vooraf wie verantwoordelijk is voor gedragsrisico’s binnen de portefeuille, want na een incident is het te laat om die beslissing te nemen. Firma’s die dit doeltreffend aanpakken, wijzen meestal één team met een duidelijk mandaat aan en geven dat team een daarvoor ontworpen tool. Ze vertrouwen er niet op dat de kloof tussen twee teams vanzelf verdwijnt.
Dek ook de overlap af
Een fonds dat door een portefeuillebedrijf in de problemen komt, heeft doorgaans geen prestatiesignaal gemist, maar een gedragssignaal. Dat signaal viel in de blinde vlek tussen de tool die de cijfers volgt en de tool die de leveranciers beheert, omdat niemand daar keek. Het gaat ongemerkt mis totdat het probleem groot naar buiten komt. Tegen die tijd is de kans om het tegen de laagste kosten te signaleren al voorbij: maanden eerder, toen het nog slechts een officieel stuk of een lokaal nieuwsbericht was.
Beady is ontworpen om die overlap af te dekken. Het volgt portefeuillebedrijven en de betrokken personen doorlopend en monitort negatieve media, sancties en veranderingen rond PEP’s, rechtszaken, toezichtsmaatregelen en eigendomswijzigingen. De intensiteit van de monitoring sluit aan bij de mate van blootstelling. Het systeem werkt met externe informatie in plaats van zelfgerapporteerde gegevens. Elk signaal is naar de oorspronkelijke bron te herleiden, zodat je het kunt verifiëren en aan een investeringscommissie of een LP kunt voorleggen. Het is geen prestatiedashboard en geen leveranciersvragenlijst, maar de laag die de risico’s signaleert waarvoor de andere twee niet zijn gebouwd. Het is het scherm uit de opening van dit artikel, dat al zou hebben geknipperd terwijl het dashboard nog op groen stond.
Wil je zien wat doorlopende, externe monitoring van je portefeuille daadwerkelijk aan het licht brengt? Vraag een demo aan, dan passen we die toe op je deelnemingen.
