Twee mensen vertellen je dat ze compliancesoftware aan het beoordelen zijn.
De eerste bedoelt een tool die schermafbeeldingen van de cloudconfiguratie verzamelt, zodat een auditor een SOC 2-rapport kan goedkeuren. De tweede bedoelt een systeem dat laat weten of het bedrijf waaraan afgelopen voorjaar acht miljoen dollar is overgemaakt, ongemerkt zijn statutaire zetel naar de Britse Maagdeneilanden heeft verplaatst en een bestuurder heeft aangesteld van wie niemand binnen het fonds ooit heeft gehoord.
Dezelfde term. Geen enkele functionele overlap. Geen van beiden gebruikt de term verkeerd, en dat zegt iets behoorlijk vernietigends over die term.
We zien steeds dezelfde drie fouten. Bedrijven kopen GRC-platforms en ontdekken na vier maanden dat ze een zeer dure, lege archiefkast hebben aangeschaft. Andere kopen identiteitsverificatie en ontdekken dat het product, geheel volgens ontwerp, op dag twee van de relatie ophoudt met werken. En cryptofondsen kopen on-chainanalyse, nemen aan dat entiteitsrisico daarmee is afgedekt en blijken zich te vergissen op een manier die pas later duidelijk wordt.
Alle drie de fouten worden gemaakt door zorgvuldige, intelligente mensen. Dat is precies het punt. De categorienamen zijn hier misleidend; het ligt niet aan de kopers.
Dit is dus een overzichtskaart. Je leest wat compliancesoftware werkelijk is, hoe die verschilt van een compliancemanagementsysteem, welke zes productcategorieën onder die naam vallen, waar elke categorie goed in is, waar de grenzen liggen en hoe je bepaalt wat je nodig hebt. Ook de delen van de kaart waar wij niet actief zijn komen aan bod, plus een aangrenzend gebied waarmee we bijna wekelijks worden verward.
Wat compliancesoftware werkelijk is
Laat de marketing weg en compliancesoftware doet één van twee dingen. Ze helpt je aantonen dat je aan bepaalde verplichtingen voldoet, of ze helpt je risico’s zien die je anders zou missen.
Dat klinkt vergelijkbaar. Het zijn verschillende dingen, en dat verschil bepaalt vrijwel alles aan wat je zou moeten kopen.
Aantonen dat je aan verplichtingen voldoet, is een documentatievraagstuk. Je hebt bewijs, beheersmaatregelen, beleid, een audittrail en iets nodig dat een toezichthouder of auditor met een checklist tevredenstelt. Het resultaat is een verdedigbaar dossier.
Risico’s zien is een informatievraagstuk. Je hebt gegevens van buiten je eigen organisatie nodig, een manier om relevante informatie van irrelevante informatie te scheiden en een route van signaal naar besluit. Het resultaat is een waarschuwing die vroeg genoeg komt om te handelen.
Heel veel producten beweren beide te doen. Slechts enkele doen dat ook. De producten die het hardst roepen, zijn doorgaans sterk in het eerste en zwak in het tweede. Documentatie is namelijk een afgebakend technisch vraagstuk, terwijl risico-informatie een datavraagstuk is dat nooit echt ophoudt.
Compliancemanagement tegenover een compliancemanagementsysteem
Deze termen worden door elkaar gebruikt, terwijl ze iets anders betekenen.
Compliancemanagement is de discipline. Het is het werk: begrijpen welke regels op je van toepassing zijn, die vertalen naar beleid dat mensen kunnen volgen, medewerkers trainen, controleren of het beleid daadwerkelijk wordt nageleefd en bijsturen als dat niet gebeurt. Dat werk bestaat ook als je helemaal geen software hebt. Genoeg organisaties doen het slecht met dure tools, en enkele doen het goed met een spreadsheet en een zorgvuldig werkende medewerker.
Een compliancemanagementsysteem, of CMS, is de structuur die de discipline bijeenhoudt, zodat die bestand is tegen personeelsverloop, groei en kritische toetsing. Het is het raamwerk, niet de app.
In de gereguleerde financiële sector heeft de term een vrij precieze betekenis. De toetsingsprocedures voor compliancemanagement van de CFPB delen een CMS in een aantal onderdelen in: toezicht door bestuur en senior management, een formeel complianceprogramma met beleid, training, monitoring en corrigerende maatregelen, toezicht op dienstverleners en derden, afhandeling van consumentenklachten en onafhankelijke compliance-audits. Toezichthouders beoordelen elk onderdeel afzonderlijk. Sterk beleid met een niet-betrokken bestuur levert nog steeds een tekortkoming op.
Hier raakt het taalgebruik vertroebeld, en dat doet ertoe. De meeste mensen die zeggen “we kopen een compliancemanagementsysteem” kopen software. Maar in de betekenis die toezichthouders hanteren, is de software niet het systeem. Ze is een onderdeel ervan, en meestal een vrij klein onderdeel.
Haal je dat door elkaar, dan krijg je de meest voorkomende mislukking in deze markt: een prachtig geïmplementeerd platform in een organisatie zonder werkende compliancediscipline, dat keurige rapporten produceert over een programma dat niemand daadwerkelijk uitvoert.
Waarom een compliancemanagementsysteem ertoe doet, en wat iedereen overslaat
Eerst de voor de hand liggende antwoorden, want die kloppen.
Een CMS zorgt dat compliance kan blijven functioneren. De kennis zit niet alleen in het hoofd van één persoon, zodat het programma niet verdwijnt wanneer diegene in maand negen vertrekt. Het geeft je een verdedigbare positie wanneer een toezichthouder, auditor, LP of grote zakelijke klant vraagt hoe je risico’s beheert. En het creëert de terugkoppeling tussen wat je zou doen en wat je daadwerkelijk hebt gedaan. Alleen daardoor verbeteren complianceprogramma’s in plaats van langzaam af te drijven.
Dan het deel dat wordt overgeslagen, en de reden waarom dit artikel bestaat.
Kijk nog eens naar de onderdelen van een CMS zoals toezichthouders die omschrijven. Bestuurstoezicht. Complianceprogramma. Klachtenafhandeling. Audit. En doorlopende due diligence en toezicht op derden en dienstverleners.
Dat laatste onderdeel draagt enorm veel gewicht, en vrijwel niemand merkt het op.
Het is naar buiten gericht. Het gaat over andere entiteiten dan je eigen organisatie. En cruciaal: het is doorlopend, geen controle die je één keer uitvoert wanneer het contract wordt getekend. De toezichthouder is er expliciet over: een activiteit uitbesteden betekent niet dat je de verantwoordelijkheid ervoor uitbesteedt.
De eis om externe entiteiten doorlopend te monitoren zit dus al in de definitie van een compliancemanagementsysteem. Dat is al jaren zo. De verplichting ontbreekt niet. Wat ontbreekt, is software die deze ondersteunt. Dat is een vreemde leemte in zo’n drukke markt, en de rest van dit artikel gaat grotendeels over de reden daarvoor.
Twee assen waarop alles past
Elk product in deze markt beantwoordt twee vragen, ook als die niet zo op de homepage staan.
Ten eerste: waar kijkt het naar?
Sommige tools kijken naar binnen. Naar je eigen beheersmaatregelen, beleid, bewijsstukken en configuratie. Je eigen organisatie is het onderwerp van onderzoek.
Andere kijken naar buiten. Naar de entiteiten waaraan je bent blootgesteld. Tegenpartijen. Portefeuillebedrijven. Klanten. Leveranciers. Oprichters in wie je al hebt geïnvesteerd en bij wie je dat niet kunt terugdraaien. Iemand anders is het onderwerp van onderzoek.
Ten tweede: wanneer kijkt het?
Sommige controleren op één moment. Bij onboarding, een audit of het sluiten van een deal. Een poort waar je doorheen gaat en die je vervolgens achter je laat.
Andere blijven onbeperkt kijken en laten je weten wanneer er iets verandert.
Vier kwadranten. Elke leverancier op je shortlist zit in één ervan. Leveranciers die beweren in alle vier te zitten, zijn meestal in precies één sterk en in de overige zwak.
| Naar binnen gericht (je eigen beheersmaatregelen) | Naar buiten gericht (andere entiteiten) | |
| Momentopname | Handmatige auditvoorbereiding. Beheersmaatregelen testen met spreadsheets. De jaarlijkse haastklus. | Identiteitsverificatie bij onboarding. Due-diligencerapporten bij het sluiten van een deal. Screening bij ondertekening. |
| Doorlopend | Doorlopende monitoring van beheersmaatregelen: Vanta, Drata, Sprinto, Scrut. | On-chainanalyse (wallets, transacties). Risico-informatie over entiteiten (personen, bedrijven). Het dunst bezette vak op de kaart. |
Onthoud dat vak rechtsonder. Het is interessant, drukker bezet dan het op het eerste gezicht lijkt, en vrijwel alles wat deze markt verwarrend maakt, speelt zich daarbinnen af.
De zes categorieën compliancesoftware
Zes producttypen delen deze naam. Ze kunnen elkaar niet vervangen, en kopers schaffen geregeld het ene aan terwijl ze de mogelijkheden van het andere verwachten.
1. Identiteitsverificatie (KYC en KYB)
Documentverificatie, biometrische controles, livenessdetectie, verificatie van rechtspersonen en sanctie- en PEP-screening bij registratie. Sumsub is de naam die de meeste mensen kennen. Persona en Onfido komen bij de meeste productvergelijkingen ook voorbij.
Het is nuttig de afkortingen uit elkaar te houden, want kopers gebruiken ze losjes en de producten verschillen. KYC verifieert een persoon. KYB verifieert een bedrijf, wat aanzienlijk moeilijker is. Een bedrijf heeft namelijk een eigendomsstructuur, en die wordt soms ontworpen door mensen die liever niet hebben dat anderen haar begrijpen.
In gereguleerde markten is deze categorie volwassen, snel en eerlijk gezegd erg goed. Een goed ingerichte KYB-procedure verifieert een rechtspersoon in minder dan een minuut. Twintig jaar geleden kostte dat een complianceanalist een week en drie telefoontjes naar een handelsregister in een tijdzone waar niemand opnam.
De reikwijdte is afgebakend en leveranciers zijn daar eerlijk over. Dit is een toegangspoort. De controle wordt uitgevoerd, de entiteit komt erdoorheen en de relatie begint. Het product is nooit gebouwd om te zien wat de entiteit op dag vierhonderd doet. Dat is geen kritiek. Het is een ontwerpgrens. Wie die negeert, raakt teleurgesteld in software die precies deed wat ze beloofde.
2. Automatisering van beveiligingscompliance
SOC 2, ISO 27001, HIPAA, GDPR. Bewijsstukken verzamelen, beheersmaatregelen aan vereisten koppelen, auditvoorbereiding en het trustcenter waarnaar je vanaf je zakelijke verkooppagina linkt, zodat inkoop stopt met mailen.
Vanta en Drata hebben deze categorie opgebouwd. Sprinto en Scrut hebben er stevige bedrijven in gevestigd. Inmiddels is de concurrentie groot genoeg om de prijzen daadwerkelijk te laten dalen, iets wat je van de meeste compliancetools niet kunt zeggen.
Deze categorie automatiseerde niet alleen een bestaand proces. Ze veranderde het onderliggende model. Vóór Vanta testte je beheersmaatregelen drie weken voor een audit in paniek, met een gedeelde schijf vol schermafbeeldingen en een externe kracht op uurbasis. Na Vanta werden beheersmaatregelen doorlopend gemonitord en werd de audit een bijproduct in plaats van een afzonderlijke gebeurtenis.
Dat was een wezenlijke omslag in denken, geen functie. De markt beloonde dat ook zo. De bouwers zagen iets wat gevestigde partijen twintig jaar lang hadden gemist. Onthoud dat, want we komen erop terug.
De grens is eenvoudig: het product kijkt naar binnen. Het vertelt je veel over je eigen beveiligingssituatie en helemaal niets over het bedrijf waarin je hebt geïnvesteerd, de beurs waar je portefeuillebedrijf transacties afwikkelt of de persoon die in de laatste ronde op je aandeelhouderslijst verscheen.
3. GRC-platforms
Risicoregisters. Beleidsbeheer. Bibliotheken met beheersmaatregelen. Workflow-engines. Bestuursrapportages. Archer, LogicGate, OneTrust, Hyperproof, Onspring, StandardFusion.
Voor echt grote organisaties zijn deze nodig, en de goede platforms zijn technisch indrukwekkend. Als je een gereguleerde instelling bent met vierhonderd beheersmaatregelen, elf raamwerken en een bestuurscommissie voor risico’s die elk kwartaal vergadert, heb je een centraal registratiesysteem nodig. Op die schaal zijn spreadsheets al lang geen werkbare optie meer.
Begin wel met de juiste verwachtingen. Implementatie duurt maanden. Een bedrag van zes cijfers is normaal. En je hebt iemand nodig wiens daadwerkelijke taak het is om het platform te beheren. Het gaat dus net zo goed over personeelsbezetting als over software.
Dan is er nog wat kopers meestal na ongeveer vier maanden ontdekken.
Een GRC-platform is een opslagplaats. Het is uitstekend in het ordenen en doorsturen van risico-informatie en het produceren van iets dat een bestuur zonder discussie accepteert. Wat het niet doet, is zelf de buitenwereld in gaan en die informatie vinden.
Je moet het nog steeds voeden. Het platform is het schap, niet de boodschappen. Bedrijven die GRC kopen en externe risico-informatie verwachten, hebben een prachtig geordende lege kamer gekocht. Vervolgens vragen ze zich bijna een jaar af waarom er nooit iets in verschijnt. Dat is niet de schuld van de leverancier. Het is een verkeerde inschatting van de categorie, en een dure.
4. Leveranciers van risicogegevens
Sanctielijsten. PEP-databases. Archieven met negatieve media die tientallen jaren teruggaan. Handelsregisters en registers van uiteindelijk belanghebbenden. LexisNexis Risk Solutions, Moody’s, Dow Jones, OpenCorporates.
We moeten precies zijn over wat dit zijn, want het woord “software” werkt hier ongemerkt misleidend. Dit zijn grotendeels databedrijven. Ze leveren invoergegevens. Sommige zijn onvervangbaar, en elk serieus risicoproduct in deze markt gebruikt hun datafeeds op de een of andere manier. Dat geldt ook voor ons. Het zou dwaas zijn om anders te beweren.
Ze stellen je voor de keuze: zelf bouwen of kopen. Als je ontwikkelaars, een datateam en duidelijke specificaties hebt, kun je licenties op de feeds nemen en zelf de laag bouwen die er bruikbare risico-informatie van maakt. Sommige grote instellingen doen precies dat, en voor enkele is het de juiste keuze.
De meeste die het proberen, onderschatten de tweede helft van het vraagstuk. Dekking is het gemakkelijke deel. Relevantie is het moeilijke deel.
Een stortvloed aan vermeldingen in negatieve media is geen bruikbare risico-informatie. Het is een onderzoeksproject dat iemand bij je heeft neergelegd, en dat elke ochtend opnieuw binnenkomt. Iemand moet nog steeds bepalen wat een signaal is, wat ruis is, wat een oud verhaal met een nieuwe kop is en wat vóór vrijdag door een mens moet worden bekeken. In die laag zit het meeste werk, en die laten dataleveranciers bewust aan je over.
5. On-chainanalyse
Deze categorie wordt vaker dan alle andere met de onze verward, en binnen crypto is die vergissing duur.
Chainalysis, TRM Labs, Elliptic. Walletscreening, transactietracering, blootstellingsscores, analyse van geldstromen. Als het treasuryadres van een portefeuillebedrijf geld heeft ontvangen dat twee transactiestappen verwijderd is van een gesanctioneerde mixer, vertelt deze categorie je dat. En snel.
Kijk waar deze categorie op de kaart zit. Naar buiten gericht, omdat ze de activiteiten van iemand anders onderzoekt. Doorlopend, omdat ze de blockchain in realtime volgt. Daarmee zit ze precies in het vak rechtsonder, en daarom zei ik dat dit vak drukker bezet is dan het op het eerste gezicht lijkt.
Dit zijn uitstekende producten. Binnen crypto zijn ze vrijwel onmisbaar. Een fonds dat vandaag zonder on-chainscreening werkt, maakt een keuze die ik moeilijk tegenover een LP zou kunnen verdedigen.
Maar dit is het onderscheid dat ertoe doet.
On-chainanalyse kijkt naar wallets en transacties. Ze beantwoordt de vraag: waar komt dit geld vandaan en waar gaat het naartoe?
Risico-informatie over entiteiten kijkt naar personen en bedrijven. Ze beantwoordt de vraag: wie zijn deze mensen, wat doen ze buiten de blockchain en wat is er sinds onze laatste controle aan hen veranderd?
Dat zijn verschillende vragen, en het antwoord op de ene vervangt het antwoord op de andere niet.
Een on-chainplatform vertelt je niet dat de pas aangestelde CFO van een portefeuillebedrijf zes weken geleden werd genoemd in een fraudezaak in Singapore. Het vertelt je niet dat het bedrijf in maart zijn statutaire zetel naar de Verenigde Arabische Emiraten verplaatste en twee bestuurders verving. Het vertelt je niet dat er op dit moment elf nepkanalen op Telegram zijn die zich voordoen als de helpdesk van het project en ongemerkt geld afhandig maken van gebruikers die denken dat ze met het team praten.
Niets daarvan laat een spoor achter op een blockchain. Niets daarvan gebeurt op een blockchain.
Het omgekeerde geldt ook, en dat verdient een duidelijke vermelding. Wij traceren geen geldstromen. Als je wilt weten in hoeverre een wallet is blootgesteld aan een gesanctioneerde entiteit, heb je on-chainanalyse nodig. Die moet je bij een van de drie hierboven genoemde bedrijven kopen.
6. Doorlopende risico-informatie over entiteiten
De hoek van de kaart die het langst dun bezet is gebleven.
De vraag: wat is er veranderd aan de entiteiten waaraan we zijn blootgesteld sinds iemand voor het laatst daadwerkelijk heeft gekeken?
Naar buiten gericht, zoals de leveranciers van identiteitsverificatie. Doorlopend, zoals Vanta. Met dezelfde feeds als de dataleveranciers. Grenzend aan on-chainanalyse, maar gericht op een volledig ander onderwerp. En structureel geen van die categorieën.
Drie eigenschappen bepalen deze categorie. Ze volgt externe entiteiten in plaats van interne beheersmaatregelen. Ze blijft onbeperkt draaien in plaats van één keer bij de toegangspoort een controle uit te voeren. En ze is gebeurtenisgestuurd: ze maakt veranderingen zichtbaar wanneer die plaatsvinden, in plaats van elke negentig dagen een rapport te produceren over een wereld die inmiddels alweer is veranderd.
Dit is waar Beady AI zit, en ik zal duidelijk zijn over ons overduidelijke belang bij jouw belangstelling voor dit vak. Maar het vak bestaat ook als je nooit iets van ons koopt. En de reden waarom het zo lang leeg bleef, is interessanter dan welk verkooppraatje ook.
De parallel die niemand hardop heeft getrokken
Ga terug naar wat de leveranciers van beveiligingscompliance daadwerkelijk betoogden. Het is namelijk het nuttigste wat iemand in deze markt in vijftien jaar heeft gezegd.
Hun argument was dat het toetsen van beheersmaatregelen op één moment structureel tekortschiet. Een jaarlijkse audit vertelt je dat je beheersmaatregelen op één dinsdag in oktober werkten. Over de overige driehonderdvierenzestig dagen zegt die niets. Beheersmaatregelen vragen om doorlopende monitoring, omdat ze niet op de auditkalender kijken voordat ze falen.
Dat argument klopte. Het bracht meerdere grote bedrijven voort. Niemand in de beveiligingssector verdedigt het model van de jaarlijkse audit nog serieus. De mensen die dat ooit wel deden, zeggen dat inmiddels stilletjes niet meer hardop.
Spreek nu dezelfde zin uit op de andere as.
Entiteitsscreening op één moment schiet structureel tekort. Due diligence bij onboarding vertelt je dat er op de controledag niets op de entiteit aan te merken was. Over maand veertien zegt dat niets. Externe risico’s vragen om doorlopende monitoring, omdat plaatsingen op sanctielijsten, bedrijfsherstructureringen, rechtszaken en imitatiecampagnes niet op je kwartaalcontrole wachten.
Hetzelfde argument. Een andere as. Nog steeds grotendeels onuitgesproken.
En dit zou moeten wringen: zoals we eerder zagen, vraagt de definitie van een CMS volgens toezichthouders al om doorlopend toezicht op derden. Die verplichting lag er al die tijd al. We hebben deze redenering uitgebreid uitgewerkt in Voorbij onboarding, de lange versie van wat deze paragraaf samenvat.
Het is geen subtiele observatie, en het blijft me enigszins verbazen dat de markt nog niet is gevolgd. Maar het duurt voordat categorieën herkenbaar worden. Zolang niemand iets een naam geeft, reserveert niemand er een begrotingspost voor.
Wat compliancesoftware werkelijk betekent voor je bedrijf
Onder de vraag naar de categorie ligt een directere vraag. Wat verandert er van dag tot dag als je dit koopt?
Drie dingen. Het loont om daar eerlijk over te zijn, want leveranciers beloven vaak een vierde dat uitblijft.
Het verandert wie het werk doet. Software neemt compliancetaken over die analisten veel uren kostten. De analisten verschuiven van informatie verzamelen naar beslissingen nemen. Dat is een werkelijk effect en de belangrijkste reden waarom de categorie bestaat.
Het verandert hoe snel je iets weet. De tijd tussen het moment waarop iets misgaat en iemand het opmerkt, wordt korter: soms van maanden naar uren. In de praktijk zit hier de meeste waarde. Tegelijk is dit het moeilijkst op een prijspagina te zetten.
Het verandert wat je kunt aantonen. Wanneer een LP, auditor of grote zakelijke koper vraagt hoe je risico’s beheert, heb je een antwoord met een datum erbij in plaats van een verhaal.
Wat het niet verandert, en dat is het vierde punt dat leveranciers suggereren: je krijgt er geen compliancefunctie door. Software kan je risicobereidheid niet bepalen, geen eigenaar van een besluit zijn en er geen verantwoordelijkheid voor nemen. Als niemand in de organisatie verantwoordelijk is voor de uitkomsten, produceert de software een keurig opgemaakt verslag van het feit dat er niets gebeurt.
De uitdagingen die niemand op de prijspagina zet
Vijf stuks. Ze zijn niet allemaal even moeilijk, en ik ga niet doen alsof dat wel zo is. Daarom krijgen ze niet evenveel ruimte.
Verplichtingen nemen alleen maar toe. Nieuwe raamwerken, nieuwe rechtsgebieden, nieuwe interpretaties van oude regels. Er verdwijnt niets. Je personeelsbezetting houdt je verplichtingen nooit bij, en dat gaat ook niet gebeuren.
Bewijsstukken zitten in vier systemen en een inbox. Vervelend om handmatig te verzamelen. Maar dit probleem is ook echt opgelost. Hierop hebben leveranciers van beveiligingscompliance hun categorie gebouwd.
Meldingsmoeheid. Dit is wat programma’s de das omdoet.
Zo gaat het in de praktijk. Het platform wordt geïnstalleerd. De meldingen komen binnen. De eerste twee weken leest iedereen ze, omdat iedereen nog een beetje enthousiast is over het nieuwe systeem. Tegen week zes blijkt het aandeel relevante meldingen laag, heeft het negeren van een melding nog niemand iets gekost en is het kanaal in hetzelfde mentale vakje beland als de mails over gebouwonderhoud.
Niemand besluit daartoe. Het gebeurt gewoon.
En hier zou ik tegenin gaan als een klant zei het te hebben opgelost door het team erop aan te spreken: dit is geen disciplineprobleem. Je kunt het niet met instructies verhelpen. Het gedrag is een volkomen rationele reactie op een informatiestroom met weinig relevante signalen. De enige echte oplossing is veranderen wat mensen bereikt: met ernstniveaus, aangewezen verantwoordelijken en veel minder meldingen die een onderbreking rechtvaardigen.
Derden zijn ieders blinde vlek. Je kunt een activiteit uitbesteden. De verantwoordelijkheid ervoor kun je niet uitbesteden. Toezichthouders zijn daar expliciet over. Toch houden de meeste bedrijven toezicht op derden met een spreadsheet die voor het laatst is bijgewerkt toen het contract werd getekend.
Niemand kan bewijzen dat iets niet is gebeurd. Van buitenaf ziet een jaar zonder incidenten er hetzelfde uit, of je programma nu uitstekend is of je gewoon geluk had. De CFO kan het verschil niet zien. En eerlijk gezegd jij ook niet.
Dat laatste is waarom we de moeite hebben genomen om een ROI-model te bouwen, in plaats van nog een pagina met angstaanjagende statistieken. Als je partners een cijfer voorhoudt, moet het standhouden wanneer ze het ontleden.
Wat goede compliancesoftware je werkelijk oplevert
Zonder de gebruikelijke overdrijving.
- Tijdwinst. Bewijsstukken verzamelen, screenen en rapporten samenstellen kosten analisten geen weken meer. Dit voordeel is het eenvoudigst te meten en wordt het vaakst overdreven.
- Sneller op de hoogte. De tijd tussen een gebeurtenis en het moment waarop iemand in je organisatie ervan weet, neemt drastisch af. Detectievertraging is de maatstaf die uitkomsten daadwerkelijk voorspelt, en vrijwel niemand houdt die bij.
- Consistentie. Dezelfde controles worden elke keer op dezelfde manier uitgevoerd. Dat is bijzonder belangrijk wanneer de persoon die ze vroeger handmatig uitvoerde, is vertrokken.
- Een verdedigbaar dossier. Een gedateerd overzicht met bronnen van wat je wist en wanneer je het wist. Bij een geschil is dat meer waard dan al het andere bij elkaar.
- Minder verrassingen, met lagere kosten. Problemen die je vroeg ontdekt, zijn kleiner. Dat klinkt vanzelfsprekend, maar het is ook de volledige economische redenering.
- Klaar voor institutionele eisen. LP’s, grote zakelijke kopers en bankpartners vragen steeds vaker hoe je dit beheert. Een antwoord paraat hebben verkort verkooptrajecten en fondsenwerving. Dat is een commercieel voordeel in de vorm van een compliancevoordeel.
Kijk wat er niet op die lijst staat. Compliancesoftware zorgt niet dat je aan de regels voldoet. Ze maakt een werkend complianceprogramma goedkoper, sneller en consistenter. Zonder onderliggend programma heb je een leegte geautomatiseerd.
Hoe kopen in het verkeerde kwadrant er werkelijk uitziet
Abstracties blijven niet hangen. Dit zijn de vier mislukkingspatronen die we het vaakst zien. Allemaal te herstellen, allemaal te voorkomen, geen van alle goedkoop.
De lege opslagplaats. Een bedrijf koopt GRC in de verwachting dat het externe risico’s zichtbaar maakt. Negen maanden en een omvangrijke implementatie later bevat het risicoregister precies wat iemand heeft ingevoerd. Het platform werkt perfect. Het was alleen nooit een bron van risico-informatie.
Het fonds dat alleen bij onboarding controleert. Uitstekende due diligence bij het sluiten van de deal, daarna niets. Het fonds is beschermd tegen risico’s die bestonden op de dag van de overboeking en blind voor elk risico dat daarna ontstond. Bij deelnemingen die zeven of acht jaar worden aangehouden, zijn dat de meeste.
Het cryptofonds dat alleen on-chain kijkt. Blootstelling van wallets wordt uitstekend gemonitord. De achtergrond van oprichters, bedrijfsstructuur en imitatieactiviteiten helemaal niet. De ene kant wordt nauwlettend bekeken, terwijl een andere buiten beeld verandert.
De stortvloed. Het bedrijf nam rechtstreeks licenties op datafeeds, bouwde een screeningslaag en ontvangt nu vierhonderd meldingen per week die niemand leest. Technisch gezien is er dekking. In de praktijk is het niet te onderscheiden van helemaal niets hebben, en het kostte meer.
Een compliancemanagementsysteem opzetten en de vier manieren waarop het misgaat
De meeste handleidingen beschrijven een keurig lineair proces dat niemand ooit daadwerkelijk heeft gevolgd. Nuttiger is te weten waar het stukloopt, want de breekpunten zijn voorspelbaar en het zijn er ongeveer vier.
Breekpunt één: je kocht eerst de software.
Veruit het meest voorkomende. Iemand ziet een demo, de demo is echt indrukwekkend, inkoop raakt betrokken en zes weken later is er een platform zonder programma.
De oplossing is weinig spannend. Schrijf, voordat je ook maar één leverancier bekijkt, elke regel, elk raamwerk en elke contractuele toezegging op waaraan je daadwerkelijk gebonden bent. Niet de indrukwekkend klinkende. Die lijst is meestal korter dan mensen verwachten, en ook verrassender. Toen wij onze lijst maakten, stonden er twee verplichtingen op waaraan niemand in het bedrijf al meer dan een jaar had gedacht. De lijst halveert doorgaans ook je shortlist voordat je één gesprek hebt gevoerd. Dat is een behoorlijk resultaat voor een middag werk.
Breekpunt twee: niemand in de leiding is daadwerkelijk verantwoordelijk.
Goed om te weten als je niet uit een gereguleerde sector komt: wanneer toezichthouders een compliancemanagementsysteem beoordelen, krijgt het toezicht door bestuur en management een eigen beoordeling, los van je beleid en tools. Je kunt prachtige documentatie, een goed ingericht platform en getrainde medewerkers hebben en toch tekortschieten, omdat de formeel verantwoordelijke sinds het implementatiegesprek nergens meer naar heeft gekeken.
Er moet iemand op senior niveau zijn met bevoegdheden, budget en een directe lijn naar de leiding van de organisatie. Geen aangewezen vrijwilliger.
Breekpunt drie: beslissingen automatiseren die je nog niet hebt genomen.
Software legt vast wat je al hebt besloten. Als er geen beleid is, automatiseer je je eigen onzekerheid, en dat doe je op schaal.
Schrijf eerst het beleid. Procedures, verantwoordelijkheden en een expliciete beschrijving van wat er gebeurt als iets misgaat. Dit is de minst interessante alinea van dit artikel en ik zou haar zelf ook overslaan. Precies daarom hebben zoveel programma’s een lege kern.
Breekpunt vier, en dit is de dure: derden.
Breng iedereen in kaart van wie het falen jouw probleem wordt. Leveranciers, dienstverleners, portefeuillebedrijven, tegenpartijen.
De meeste bedrijven doen dit één keer, bij ondertekening van het contract of tijdens due diligence, en daarna nooit meer. Toezichthouders zijn er duidelijk over dat dit onvoldoende is: doorlopend toezicht op derden wordt verwacht, en een activiteit uitbesteden betekent niet dat je de verantwoordelijkheid ervoor uitbesteedt. Een overzicht dat je bij ondertekening maakte en nooit bijwerkte, is geen toezicht. Het is een archief.
Kies dus bewust. Periodiek of doorlopend? En als je voor periodiek kiest, wees dan concreet over de kosten. Een kwartaalcontrole betekent dat een plaatsing op een sanctielijst in week drie elf weken onopgemerkt blijft.
Pas daarna ga je inkopen.
Als de verplichtingen in kaart zijn gebracht en de derden op een rij staan, wordt de keuze van tools bijna mechanisch. Je weet dan of je geautomatiseerde bewijsverzameling, een centraal registratiesysteem, screening bij aanvang, doorlopende monitoring of twee daarvan nodig hebt.
Stuur de uitkomsten naar aangewezen personen, met ernstniveaus en reactietermijnen, via de tools die het team al open heeft staan. En plan nu al een evaluatie over zes maanden, zolang je nog betrokken genoeg bent om die afspraak na te komen. Een programma dat niemand toetst, drijft ongemerkt af en kondigt dat niet aan.
Welke heb je nu echt nodig?
Antwoord eerlijk, want kopen in het verkeerde kwadrant is duur en je ontdekt het pas laat.
Je verkoopt aan grote bedrijven en hebt SOC 2 of ISO 27001 nodig. Ga naar Vanta, Drata of Sprinto. Echt, doe dat. Dit artikel is niet voor jou, en wij ook niet.
Je bent een grote organisatie die een centraal risicoregistratiesysteem, beleidsbeheer en bestuursrapportages nodig heeft. Dat is GRC. LogicGate, Archer, OneTrust. Reserveer daar voldoende budget voor, want het is niet goedkoop en de implementatie gaat niet snel.
Je verifieert gebruikers of bedrijven bij registratie binnen een gereguleerd proces. Dat is identiteitsverificatie. Sumsub en vergelijkbare aanbieders, die je sneller operationeel hebben dan je verwacht.
Je moet weten waar cryptogelden vandaan kwamen en waar ze naartoe gingen. On-chainanalyse. Chainalysis, TRM, Elliptic. Er is geen vervanging en daar moet je ook niet naar zoeken.
Je bouwt je eigen screeningslaag en wilt de onderliggende feeds. Ga rechtstreeks naar de dataleveranciers, sla de tussenlaag over en begroot eerlijk wat het kost om zelf de relevantielaag te bouwen.
Je bent blootgesteld aan externe entiteiten waarbij risico’s ontstaan nadat de relatie is begonnen. Portefeuillebedrijven. Tegenpartijen. Oprichters in wie je al hebt geïnvesteerd. Dat is de zesde categorie, en die heeft niemand je verkocht omdat tot vrij kort geleden niemand haar aanbood.
De meeste bedrijven hebben er twee of drie nodig
Dat zeggen leveranciers liever niet, dus laten wij het zeggen.
Deze categorieën vullen elkaar aan en vervangen elkaar niet. Een serieuze aanpak van risico gebruikt meestal meerdere tegelijk.
Een cryptofonds van enige omvang heeft in de praktijk zowel on-chainanalyse als risico-informatie over entiteiten nodig. Ze volgen verschillende kanten van het risico en zien elkaars terrein niet. Een fintech heeft identiteitsverificatie bij de toegangspoort nodig en doorlopende monitoring daarna. Een klant één keer verifiëren vertelt je namelijk niets over wie die daarna is geworden. Een gereguleerde instelling heeft een centraal GRC-registratiesysteem nodig en iets dat het daadwerkelijk voedt.
Wie beweert dat één product de hele kaart afdekt, begrijpt de kaart niet of hoopt dat jij haar niet begrijpt.
De toekomst van compliancesoftware: AI, voorspellingen en het probleem van herleidbaarheid
Elke leverancier in deze markt heeft inmiddels AI op de homepage staan, wij ook. Daarom is het nuttig onderscheid te maken tussen wat echt werkt en wat versiering is.
Wat echt werkt: de relevantielaag. Het werkelijke knelpunt in compliance was nooit het verkrijgen van gegevens, maar bepalen welke ertoe doen. Taalmodellen zijn uitzonderlijk goed in het lezen van tienduizend nieuwsartikelen en het aanwijzen van de vier die gaan over de entiteit die voor jou van belang is, in een taal die je team niet leest, uit een regionale publicatie waarvan niemand heeft gehoord. Die mogelijkheid bestond vijf jaar geleden niet en verandert de economische haalbaarheid van monitoring volledig.
Wat echt werkt maar wordt overschat: voorspellende analyse. De belofte is dat AI je vertelt welke tegenpartij een probleem gaat worden voordat het zover is. Een deel daarvan werkt, vooral patroonherkenning over meerdere entiteiten. Veel ervan is een correlatiemachine met een zelfverzekerde stem, en die zelfverzekerde stem is het gevaarlijke deel.
Dat brengt me bij iets waarmee de sector volgens mij binnenkort zal moeten afrekenen.
Een door AI opgesteld risicorapport dat zijn bronnen niet kan tonen, is een risico op zichzelf. Als een model een treffer in negatieve media samenvat en die samenvatting op subtiele wijze onjuist is, heb je een beslissing genomen op basis van een hallucinatie zonder dat je die kunt ontdekken. Erger nog: er zit nu een document in je dossier dat gezaghebbend oogt.
De enige verdedigbare aanpak is dat elk signaal terug te voeren is op een primaire bron die een mens kan openen, lezen en verifiëren. Het model moet filteren en prioriteren; het moet niet op gezag worden geloofd. Dat onderscheid klinkt pietluttig, totdat een toezichthouder vraagt waarop een conclusie is gebaseerd en het eerlijke antwoord is dat de AI het zei.
Wij bouwen volgens die herleidbare aanpak. Dat is evenzeer een commerciële als een ethische keuze. Maar je zou dit van elke leverancier in deze markt moeten eisen, ook van ons. Het antwoord hoort een link te zijn, geen alinea.
Veelgestelde vragen
Een compliancemanagementsysteem zorgt dat dat werk doorgaat nadat de persoon die het heeft opgezet ontslag neemt. Het is de structuur, niet de inspanning.
Software is een onderdeel van het systeem. Ze is niet het systeem. Bedrijven die haar wel zo kopen, ontdekken dat meestal na ongeveer zes maanden, vaak tijdens een audit.
Conclusie
“Compliancesoftware” blijft als term bestaan omdat die handig is, niet omdat die nauwkeurig is. Waarschijnlijk overleeft de term om precies dezelfde reden nog een decennium, terwijl analisten kwadranten blijven tekenen die zes ongerelateerde bedrijfstypen in één grafiek zetten.
Maar het was nooit de nuttige vraag. De nuttige vraag, die daadwerkelijk bepaalt wat je moet kopen, is kleiner en een stuk ongemakkelijker.
Wat proberen we te zien, en hoe vaak moeten we het zien?
Beantwoord die vraag eerlijk en inkopen wordt aanzienlijk eenvoudiger. Beantwoord haar slecht en je geeft een bedrag van zes cijfers uit om te ontdekken in welk kwadrant je al die tijd zat.
Als je antwoord in het vak rechtsonder uitkwam, is dat het gebied dat wij afdekken: doorlopende monitoring van portefeuillebedrijven, oprichters en tegenpartijen via sanctielijsten, negatieve media, handelsregisters en imitatie op sociale media, waarbij elk signaal tot de oorspronkelijke bron te herleiden is. Plan een sessie en we passen het toe op je daadwerkelijke deelnemingen in plaats van op een demoset.
