Compliance aantonen is geen intern feestje meer: introduceer ComplianceProof

Dit blog sluit aan op onze blogserie over duurzame compliance en de lopende reeks over de effectieve compliance-organisatie. Je hoeft die series niet gelezen te hebben om dit blog te begrijpen, maar wie ze kent, zal de rode draad herkennen: compliance die werkt, moet aantoonbaar werken, niet alleen voor jezelf, maar ook naar buiten.

De vraag die steeds vaker op je bordje belandt

Je hebt je zaken redelijk op orde. Er is beleid, er zijn maatregelen, er is nagedacht over privacy en AI. En toch komt er steeds vaker een e-mail binnen van een klant, een inkoopteam of een aanbestedingsloket met de vraag: "Kunt u aantonen dat u voldoet aan de AVG? En hoe zit het met de AI-verordening?"

Die vraag is niet onredelijk. De wereld om ons heen verandert snel. Klanten moeten zelf voldoen aan NIS2, DORA of CSRD en worden daarin verplicht hun leveranciersketen door te lichten. Een aanbesteding vraagt om compliance-documentatie als hygiënefactor. Een investeerder wil zekerheid over digitale governance voordat er getekend wordt. En toezichthouders, de AP, ACM, RDI, vragen niet meer of je beleid hebt, maar of je kunt bewijzen dat het werkt.

De compliance-vraag verschuift. Van intern huishouden naar extern verantwoorden.

En daar zit precies de uitdaging.

Het gat tussen 'we doen het' en 'we kunnen het bewijzen'

In de eerdere blogs in deze reeks beschreven we hoe je een geïntegreerd risico- en controleraamwerk bouwt en hoe je dat levend houdt met een PDCA-cyclus. Die basis is essentieel. Maar zelfs als je die basis goed op orde hebt, blijft er een uitdaging: hoe laat je het zien aan de buitenwereld?

De gangbare opties zijn beperkt.

Je kunt een ISO 27001-certificering halen. Dat is een waardevol en erkend traject, maar het kost maanden doorlooptijd, tienduizenden euro's en structurele interne capaciteit. Niet elke organisatie heeft dat, en niet voor elk vraagstuk is het proportioneel.

Je kunt zelf een verklaring opstellen. Maar een zelfverklaring heeft nu eenmaal minder gewicht dan een onafhankelijk oordeel. Zeker niet als de vraag specifiek en wettelijk gekleurd is, zoals: "Voldoet u aan de AI-geletterdheidseisen van de AI-verordening?"

Of je doet niets en hoopt dat de vraag overwaait. Dat werkt steeds minder goed.

Er was lange tijd geen tussenweg. Die is er nu.

Wat is ComplianceProof?

ComplianceProof is een nieuwe dienst van ICTRecht: een juridisch onderbouwde verklaring over een specifieke compliance-vraag. Geen allesomvattend certificeringstraject, maar een gerichte toets op precies het onderwerp waar jouw klant, partner of toezichthouder zekerheid over vraagt.

Concreet werkt het zo: ICTRecht onderzoekt aan de hand van een vastgesteld toetsingskader of jouw organisatie, systeem of asset voldoet aan het relevante wettelijke kader. Dat onderzoek resulteert altijd in een rapport van bevindingen. Als de uitkomst positief is, ontvang je de ComplianceProof-verklaring, ondertekend door ICTRecht, met expliciete verwijzing naar de toegepaste methodiek en het wettelijk kader.

Het startaanbod omvat drie producten

• ComplianceProof AI-Geletterdheid: Neemt je organisatie adequate maatregelen om AI-geletterdheid te bevorderen bij personeel en andere betrokkenen? (art. 4 AI-verordening)

• ComplianceProof AI Non-High-Risk: Is vastgesteld dat een specifiek AI-systeem niet kwalificeert als hoog-risico? (art. 6 AI-verordening)

• ComplianceProof AVG: Voldoet je organisatie aan de AVG? Omvat inventarisatie, privacybeleid en toetsing aan zes deelgebieden.

En er is ruimte voor maatwerk: heeft jouw organisatie een specifieke compliance-vraag die buiten het standaardaanbod valt? Wij ontwikkelen regelmatig nieuwe toetsingskaders. Meer daarover verderop in dit blog.

Waarom dit anders is dan wat er al bestaat

Laten we eerlijk zijn: de markt kent al genoeg oplossingen die claimen compliance aantoonbaar te maken. Toch vullen ze niet het gat waar ComplianceProof op inspeelt.

ISO-certificeringen zijn omvangrijke managementsysteemtrajecten. Ze zijn internationaal erkend en hebben grote waarde, maar ze zijn niet ontworpen voor gerichte, enkelvoudige compliance-vragen. Ze veronderstellen een volwassen interne organisatie en meerdere cycli voordat een certificaat behaald wordt.

CE-markering is wettelijk verplicht voor specifieke productcategorieën en vereist technische documentatie en conformiteitsprocedures die buiten het bereik liggen van de meeste dienstverleners en softwarebedrijven.

Zelfverklaringen zijn laagdrempelig maar missen onafhankelijkheid. Zeker bij vragen over AI-compliance of AVG-naleving wil een professionele opdrachtgever meer dan een eigen verklaring.

ComplianceProof vult precies de ruimte die de grote standaarden openlaten: het AI-systeem dat waarschijnlijk niet hoog-risico is maar waarbij je dat wil kunnen aantonen. Het geletterdheidsprogramma dat verplicht is maar waarvoor (nog) geen ISO-norm bestaat. De AVG-vraag van een klant die snel beantwoord moet worden met een onderbouwd, onafhankelijk oordeel.

Gerichte zekerheid, bereikbaar in weken, met de handtekening van een gespecialiseerd juridisch kantoor met twintig jaar ervaring in digitale wetgeving.

Hoe past dit in de bredere compliance-aanpak?

Als je de eerdere blogs in deze reeks hebt gevolgd, herken je de rode draad: duurzame compliance is geen project, het is een ecosysteem. Je bouwt een geïntegreerd raamwerk, je houdt het levend met een PDCA-cyclus, je kiest tooling die past bij hoe je organisatie al werkt.

ComplianceProof is geen vervanging van dat ecosysteem. Het is een aantoonbaarheidslaag die je er op een specifiek moment en voor een specifiek doel overheen legt.

Vergelijk het zo

• De GRC Blueprint helpt je het interne raamwerk te bouwen en operationeel te houden. Risico's, controls, beleid, bewijsvoering, allemaal in de omgeving waar je toch al werkt.

• ComplianceProof helpt je een specifieke externe vraag te beantwoorden met een onafhankelijk juridisch oordeel.

De twee versterken elkaar. Een organisatie die haar GRC-raamwerk goed op orde heeft, doorloopt een ComplianceProof-traject sneller en met minder frictie. De documentatie is er al. De controls zijn inzichtelijk. Het bewijs is vindbaar. Wat resteert, is de onafhankelijke juridische toets en de formele verklaring.

Omgekeerd geldt: als een ComplianceProof-toets verbeterpunten oplevert, en dat rapport ontvang je altijd, ook bij een niet-geslaagde toets, dan geeft de GRC Blueprint de structuur om die verbeterpunten te borgen en op te volgen.

Voor wie is dit bedoeld?

ComplianceProof is relevant voor een brede groep organisaties. Denk aan...

• Softwarebedrijven die aan klanten willen aantonen dat hun product AVG-proof is of dat hun AI-systeem buiten de hoog-risico categorie valt

• IT-dienstverleners die vragen krijgen over hun AI-geletterdheid als onderdeel van een leveranciersbeoordeling

• Scale-ups die bij aanbestedingen of partnerschappen moeten laten zien dat ze compliant zijn aan de AI Act

• Organisaties die AI inzetten en proactief willen kunnen aantonen dat ze de AI-verordening naleven

Wat deze organisaties gemeen hebben: ze willen aantoonbaar voldoen aan wet- en regelgeving, zonder direct een omvangrijk certificeringstraject te starten. Ze zoeken een onafhankelijke, juridisch onderbouwde verklaring die snel beschikbaar is en concreet vertrouwen geeft.

Wat als je nog niet slaagt?

Dat kan gebeuren. En dat is geen reden om dit traject uit de weg te gaan.

Je ontvangt altijd het rapport, ook als de verklaring niet wordt afgegeven. Het rapport bevat concrete adviezen over wat nodig is om wél te slagen. Binnen drie maanden kun je gratis een hertoetsing aanvragen.

Veel organisaties gebruiken het eerste rapport als routekaart. Ze weten nu precies waar de gaten zitten, kunnen gericht verbeteren en halen het certificaat bij de tweede ronde. Dat is aantoonbare voortgang, en ook dat heeft waarde richting klanten en partners die zien dat je het serieus neemt.

Compliance is geen eindpunt. Het is een ritme. ComplianceProof helpt je op een bepaald moment te laten zien waar je staat en kan jaarlijks herhaald worden.

We werken graag mee aan jouw roadmap

ComplianceProof start met drie verklaringen: AI-Geletterdheid, AI Non-High-Risk en AVG. Maar de digitale wet- en regelgeving staat niet stil, en de vragen vanuit klanten, aanbesteders en toezichthouders ook niet.

We ontwikkelen doorlopend nieuwe toetsingskaders, op basis van nieuwe wetgeving én op basis van wat organisaties in de praktijk vragen. Denk aan NIS2-naleving, CRA-gereedheid, DORA-compliance voor fintech-spelers, of sectorspecifieke vraagstukken in de zorg, het onderwijs of de overheid.

Heb je een specifieke compliance-vraag die je extern wil kunnen bewijzen? Werkt jouw organisatie in een sector of context die vraagt om een op maat gemaakt toetsingskader? Of zie je voor je eigen aanbod of klantportfolio kansen om ComplianceProof in te zetten?

We horen het graag.

Neem contact met ons op via onderstaande button. Of stuur een bericht aan ons team, voor vragen, ideeën, toepassingsvraagstukken én als je wil meedenken over de doorontwikkeling van het aanbod. We bouwen graag mee aan de compliance-routekaart van jouw organisatie.

ComplianceProof is een dienst van ICTRecht, juridisch adviesbureau voor het digitale tijdperk, actief sinds 2004 met meer dan 180 specialisten in Nederland en België.