Het compliance-wiel: zo richt je compliance effectief in

"Het wiel dat niet opnieuw uitgevonden hoeft te worden." Compliance voelt voor veel organisaties als een tredmolen. Je loopt hard, maar het eindpunt lijkt nooit dichterbij te komen. Een nieuwe wet erbij? Nog een projectje opstarten. Certificering aanvragen? Nieuwe map op SharePoint. Waar lopen we de grootste risico’s? Zijn we in control? Wie moet nu wat doen?

In mijn vorige blogreeks beschreef ik hoe je met een geïntegreerd risico- en controleraamwerk en de PDCA-cyclus een duurzaam compliance-ecosysteem bouwt. Die reeks ging over het fundament en het onderhoud. Deze nieuwe reeks gaat een stap verder: hoe richt je compliance zo in dat het daadwerkelijk werkt? ‘Scratching the surface’ en richtinggevend, want het is niet zonder reden dat er wereldwijd miljarden worden uitgegeven aan compliance teams, tools en consultants.

Daarvoor gebruik ik het compliance-wiel als leidraad. Niet als theoretisch model, maar als praktisch instrument voor het effectief inrichten van compliance. Vier kwadranten die samen het complete plaatje vormen:

1. Visie & Governance; visie, waarden, rollen en risicobereidheid
2. Beleid & Procedures; van eis of norm naar werkbare control
3. Cultuur; van papieren beleid naar gedrag in de praktijk
4. Monitoren & Rapporteren; van uitvoering naar inzicht en aantoonbaarheid

En in het midden van het wiel, als de naaf die alles bij elkaar houdt en kwaliteit borgt in verandering: People, Process & Technology. Hier zal ik een aparte blog aan wijden.

Het wiel is niet nieuw. De vier bouwstenen zijn terug te voeren op de US Sentencing Guidelines uit 1991, ISO 37301 en het Three Lines Model van het IIA. Het is steeds dezelfde beweging: leiderschap → planning en beleid → bewustzijn en uitvoering → evaluatie en verbetering. De Deming-cyclus in andere kleren. De PDCA cyclus als een vliegwiel proces in het midden.

Wat wél nieuw is: de urgentie, complexiteit én de schaal. In het tijdperk van de AVG, NIS2, AI Act en DORA is een compliant-op-papier-raamwerk niet langer voldoende. De stakeholders in de buitenste ring weerspiegelen de wisselwerking. Wet- en regelgeving biedt regels maar ook onzekerheid. Toezichthouders willen bewijs en geven instructies. De maatschappij kan zomaar andere verwachtingen hebben. Daarnaast wil het bestuur comfort. En klanten en medewerkers hebben behoefte aan duidelijkheid. Compliance effectief inrichten betekent dat al die behoeften worden bediend, met zo min mogelijk dubbel werk en zo veel mogelijk samenhang.

Figuur 1. Het compliance-wiel

Compliance heeft een historische context, en die is relevant

De geschiedenis van compliance is er één van reactie op maatschappelijke crises. Van Watergate en de oliecrisis in de jaren zeventig, via Enron en WorldCom begin jaren 2000, naar de financiële crisis van 2008, elke grote schok leidde tot strengere regelgeving en een verdere professionalisering van het vakgebied. De beweging verliep van rule-based (volg de letter van de wet) via principle-based (begrijp de geest van de wet) naar het huidige risk-based werken: verantwoord zelf je keuzes en laat zien hoe.

De vierde industriële revolutie, met AI als centrale aanjager, is de volgende trigger. De Digital Decade-wetgeving van de EU is de directe respons. Een organisatie die voor elke wet een apart project opstart, verdrinkt. Een organisatie die ze integreert in één effectief ingericht wiel, houdt het hoofd boven water.

Met AI komt er een nieuwe dynamiek in het dreiging landschap. De wetgever zal ongetwijfeld na de eerstvolgende AI gedreven crisis snel met wetgeving komen. In lijn met de voorgaande beweging zal dat zomaar ‘value-based’ kunnen zijn, waarbij de ‘human values’ een prominentere rol gaan spelen in de te beschermen belangen. Dit is nog te ver weg voor een directe impact op je huidige compliance organisatie, maar zeker belangrijk voor diegene die willen leren uit het verleden en graag vooruitkijken.

In het volgende blog

Nu het wiel geïntroduceerd is, is het tijd voor de spaken. In het volgende blog duiken we in Kwadrant 1: Visie & Governance. Welke rol speelt de visie, normen en waarden van de organisatie in een effectieve inrichting van compliance? En hoe geef je effectief invulling aan een containerbegrip als ‘governance’ in het kader van compliance.

Wil je al inzicht in de volwassenheid van jouw organisatie op bepaalde compliance thema’s? Wij helpen je graag met een praktische maturity-assessment, een heldere eerste stap voordat de toezichthouder dat voor je doet. Bekijk onze webpagina of neem contact met ons op voor meer informatie.