Compliance uitbesteden? De verantwoordelijkheid blijft bij uw onderneming
Een externe compliance officer neemt werkzaamheden uit handen. Wat blijft de rol van uw onderneming?
Compliance uitbesteden: wat doet de externe compliance officer en wat blijft bij u?
Voor veel kleinere en middelgrote vergunninghoudende financiële ondernemingen is een volledige interne complianceafdeling niet nodig of niet proportioneel. Compliance uitbesteden aan een externe compliance officer kan dan een passende oplossing zijn, bijvoorbeeld voor de structurele invulling van de functie of voor periodieke monitoring.
Dat betekent niet dat de onderneming vervolgens alsnog zelf het compliance werk moet doen. Het doel van uitbesteding is juist dat een deskundige externe partij de afgesproken werkzaamheden uitvoert. Wel blijft de onderneming verantwoordelijk voor naleving en voor een goed functionerende compliance functie. Wat vraagt dat in de praktijk - en waar houdt het werk van de externe compliance officer op?
Begin bij de verplichting, niet bij het contract
De Wft bevat algemene regels voor uitbesteding. Welke regels precies gelden, hangt af van het type financiële onderneming, haar vergunning en de uitbestede werkzaamheden. Daarnaast kunnen sectorspecifieke Nederlandse en Europese voorschriften van toepassing zijn. Er bestaat daarom geen standaardmodel dat bij iedere vergunninghoudende onderneming past.
De analyse begint niet bij het dienstenpakket van de externe partij, maar bij de verplichtingen en risico’s van de onderneming. Daaruit volgt welke compliance werkzaamheden nodig zijn en welke inzet daarbij past. Zo voorkomt de onderneming zowel dat belangrijke onderwerpen buiten beeld blijven als dat zij betaalt voor werkzaamheden die weinig toevoegen.
Ook de feitelijke samenwerking is bepalend. Incidenteel juridisch of compliance advies heeft een ander karakter dan een externe partij die structureel monitort, rapporteert en adviseert en daarmee de compliance functie geheel of gedeeltelijk invult. De naam van de overeenkomst is niet doorslaggevend; het gaat om de werkzaamheden die daadwerkelijk worden verricht.
Wat doet een externe compliance officer?
Een externe compliance officer kan een groot deel van het specialistische en terugkerende compliance werk uitvoeren. Afhankelijk van de afgesproken scope kan de externe functionaris:
de compliance-risicoanalyse en het monitoringprogramma opstellen of actualiseren;
monitoringonderzoeken uitvoeren en daarover rapporteren;
adviseren over regelgeving, beleid, producten, incidenten en organisatorische wijzigingen;
trainingen verzorgen en relevante ontwikkelingen signaleren; en
bevindingen, risico’s en benodigde verbeteringen aan het bestuur rapporteren en zo nodig escaleren.
Een goed ingerichte externe functie ontzorgt dus juist. De onderneming hoeft de analyses en controles niet over te doen en hoeft ook niet alle specialistische kennis zelf op te bouwen. Zij mag kunnen steunen op het werk en de expertise van de externe compliance officer, mits de opdracht passend is ingericht en de functionaris zijn werk goed kan doen.
Wat moet de onderneming zelf blijven doen?
De verantwoordelijkheid die bij de onderneming blijft, betekent vooral dat zij de externe functie mogelijk maakt en iets doet met de uitkomsten. In de praktijk gaat het om een beperkt aantal duidelijke taken:
een intern aanspreekpunt aanwijzen dat de organisatie kent en de samenwerking coördineert;
de externe compliance officer tijdig toegang geven tot relevante informatie, medewerkers en besluitvorming;
rapportages en adviezen bespreken en besluiten welke maatregelen nodig zijn; en
zorgen dat afgesproken acties binnen de organisatie worden uitgevoerd en afgerond.
Dat is iets anders dan een tweede compliance functie naast de externe functionaris optuigen. De externe compliance officer onderzoekt, monitort, signaleert en adviseert. Het bestuur en de verantwoordelijke medewerkers nemen de bedrijfsbesluiten en voeren verbetermaatregelen uit. Juist een heldere taakverdeling voorkomt dubbel werk.
Hoe houdt het bestuur regie zonder het werk over te doen?
Regie betekent niet dat het bestuur ieder dossier of iedere controle opnieuw beoordeelt. Het bestuur moet op hoofdlijnen kunnen vaststellen of de opdracht nog aansluit op de onderneming, of voldoende capaciteit en toegang beschikbaar zijn en of belangrijke bevindingen worden opgevolgd. Een periodiek gesprek over het monitoringprogramma, de rapportages en openstaande acties kan daarvoor een werkbare basis vormen.
De externe compliance officer moet daarbij voldoende ruimte hebben om zelfstandig risico’s te signaleren en prioriteiten voor te stellen. Het bestuur bepaalt niet de gewenste uitkomst van een onderzoek, maar zorgt ervoor dat de functie haar werk kan doen en dat relevante signalen tot besluitvorming en actie leiden.
Een externe compliance officer is niet automatisch onafhankelijk
Om onafhankelijk te kunnen opereren, mag de externe compliance officer geen werkzaamheden beoordelen waarvoor hij of zij zelf operationeel verantwoordelijk is. Ook moet de functionaris zelfstandig toegang hebben tot relevante informatie en medewerkers en bevindingen rechtstreeks en zonder belemmering aan het bestuur kunnen rapporteren. Onafhankelijkheid wordt dus bepaald door de feitelijke taakverdeling en positie binnen de organisatie, niet alleen doordat de compliance officer extern is.
Wanneer is een externe compliance functie proportioneel?
Een kleinere onderneming met beperkte activiteiten, producten en cliënten kan vaak volstaan met een compactere inrichting dan een grote, complexe organisatie. Er is dan bijvoorbeeld geen voltijdse compliance officer nodig, monitoring vindt op vooraf bepaalde momenten plaats en specialistische kennis wordt gericht ingezet.
Dat is alleen passend als de inrichting aansluit op de werkelijke risico’s. Een beperkt activiteitenpakket kan een gerichter monitoringprogramma rechtvaardigen, maar niet het negeren van relevante risico’s. Duidelijk moet zijn wat wordt gemonitord, welke capaciteit nodig is en wanneer extra inzet beschikbaar is.
Proportionaliteit is geen eenmalige conclusie. Een nieuwe dienst of cliëntgroep, groei, een incident of gewijzigde regelgeving kan aanpassing van scope, frequentie of capaciteit vereisen. De inrichting moet daarom periodiek en bij relevante veranderingen opnieuw worden beoordeeld. Proportionaliteit biedt ruimte voor maatwerk in vorm, omvang en intensiteit; de gekozen inrichting moet wel altijd waarborgen dat de compliance functie effectief blijft functioneren.
Uitbesteden moet ook echt ontzorgen
Een externe compliance functie is pas geslaagd als zij deskundigheid en structuur toevoegt én werk uit handen neemt. Dat lukt wanneer vooraf duidelijk is wat de externe compliance officer doet, welke informatie en medewerking daarvoor nodig zijn en wie binnen de onderneming beslist over de opvolging.
De onderneming hoeft compliance daarmee niet alsnog zelf uit te voeren. Zij moet wel bereikbaar zijn voor vragen, keuzes maken wanneer dat nodig is en ervoor zorgen dat bevindingen niet blijven liggen. De externe functionaris verricht het compliance werk; de onderneming blijft verantwoordelijk voor wat zij met de uitkomsten doet.
DUFINCO ondersteunt organisaties bij het bepalen van de toepasselijke verplichtingen en risico’s, de scope en inrichting van de externe compliancefunctie en de monitoring daarvan.
Wilt u laten beoordelen welke invulling bij uw vergunning, activiteiten en organisatie past? Neem contact op via info@dufinco.nl of bel 06 512 47 217.
