Compliance programma’s voor niet-financiële ondernemingen: overbodige luxe of bittere noodzaak?

De bedreiging

Helaas heeft de vrijheid van aanpak voor non-financials ook een keerzijde. Dit begint met de interpretatie van de term compliance. Wij komen nog regelmatig ondernemingen tegen, waar compliance wordt uitgelegd als het strikt voldoen aan wet- en regelgeving. Deze interpretatie is de klassieke vertaling, die ook jarenlang in de financiële sector is gehanteerd. Totdat naar aanleiding van de financiële crisis – nu meer dan 10 jaar geleden – moest worden geconstateerd dat daarmee de risico’s niet afdoende in kaart konden worden gebracht en worden beheerst. De Vereniging voor Compliance Officers (VCO) heeft in haar beroepscompetentieprofiel voor compliance officers compliance gedefinieerd als ‘het versterken van de integriteit van de organisatie om daarmee bij te dragen aan duurzame waardecreatie door de organisatie’¹⁰. Daarmee wordt de focus verlegd van de letter van de wet naar de geest van de wet, het achterliggende doel waarom de wet ook alweer tot stand is gekomen.

Er zijn talloze voorbeelden te noemen van ondernemingen die vanuit het meer traditionele gedachtengoed over compliance minder belang hechten aan een effectieve opzet en implementatie van compliance maatregelen dan bij financiële instellingen het geval is, en daardoor ook minder genegen zijn om hiervoor financiële middelen ter beschikking te stellen. Dit resulteert in minder personeel, met kans op minder intern aanwezige kennis en minder respect en rugdekking voor de compliance functie. Hierdoor heeft de compliance functie een minder sterke positie dan in de financiële sector en kan de non-financial slechts nog de overtredingen remediëren die zijn ontstaan; de realisatie van een proactieve aanpak om zo bij te dragen aan een beheerste en integere bedrijfsvoering en duurzame waardecreatie van de onderneming wordt daarmee een grote uitdaging.

Een voorbeeld hiervan is de identificatie van strategische goederen (i.e. militaire goederen, of goederen welke een commercieel doel hebben maar ook kunnen worden ingezet voor

ontwikkeling van wapens). Exporteurs van zulke goederen zijn onderworpen aan een vergunningplicht bij o.a. export, maar het beoordelen van alle goederen in de inventaris van een bedrijf met als doel te bepalen of hier goederen tussen zitten die vergunning plichtig zijn, is geen exercitie waarop wordt gehandhaafd. De douane is vervolgens aangewezen op hun kennis van zaken, zoals bleek bij een veroordeling in 2017 waarbij de douane een doorvoerzending onderschepte van KLM welke bestemd waren voor ‘Taura Air Force Base’. De douanebeambte vond op de betreffende zending een label met o.a. de woorden “Vliegtuig” en “Cheetah”, en wist uit ervaring dat met “Cheetah” mogelijk een militair gevechtsvliegtuig bedoeld kon worden. Vanaf dat punt is onderzoek verricht en uiteindelijk vastgesteld dat een individuele doorvoervergunning benodigd was, die overigens ontbrak¹¹.

Met een geringere aandacht voor het onderwerp compliance, benut de non-financial niet het voordeel wat ontstaat door de proactieve inrichting van het interne toezicht in de vorm van de compliance functie.

Extrinsieke motivatie

Daarnaast signaleren wij dat de stringente eisen die worden gesteld aan de banken en overige financiële instellingen, steeds vaker één op één worden doorvertaald in de eisen die financiële instellingen stellen aan hun cliënten. Indien de financiële instelling het compliance programma van de cliënt opvraagt en vervolgens constateert dat dit programma niet aan de gestelde eisen voldoet, kan dit leiden tot vervelende verrassingen voor de cliënt en zelfs tot mogelijke beëindiging van de relatie tussen de financiële instelling met die cliënt. De bank dient immers die risico’s die zij loopt bij haar cliënten zo goed mogelijk in kaart te brengen en te beheersen. En zo kan ineens de huisbankier geen huisbankier meer willen zijn, met alle vervelende gevolgen van dien. Een belangrijke reden voor non-financials om de ontwikkelingen rond wet- en regelgeving in de financiële sector goed in de gaten houden en daar ook zoveel mogelijk op te anticiperen.

In de Verenigde Staten wordt gewerkt met een andere aanpak. Daar tracht men de non-financial te stimuleren om een effectief compliance programma in te richten door er voordelen tegenover te zetten. Het Amerikaanse Department of Justice publiceerde in april 2019 een nieuwe versie van het ‘Guidance Document Evaluation of Corporate Compliance Programs’ ¹². Dit Amerikaanse departement, onderdeel van het kabinet onder de U.S. Government Executive Branch, is de instantie die het handhaven van de wetten en het verdedigen van de belangen van de Verenigde Staten als hoofdmissie heeft. In de vernieuwde publicatie wordt duidelijk gemaakt dat het compliance programma wordt gezien als een factor die voordelen kan opleveren voor het bedrijf, bijvoorbeeld bij het bepalen van de hoogte van een straf bij een overtreding. In hoofdstuk acht van de US Federal Sentencing Guidelines¹³ wordt gesteld dat er bij overtredingen twee factoren zijn die de uiteindelijke straf van een organisatie kunnen verminderen, te weten de aanwezigheid van een effectief compliance en ethiek programma, en de self-reporting, medewerking of acceptatie van verantwoordelijkheid voor de overtreding.

Zowel de Europese Unie als Nederland hebben er tot dusver niet voor gekozen om de non-financial dergelijke voordelen in het vooruitzicht te stellen. Sterker nog, de Autoriteit Commerciële Markten (ACM) heeft zelfs enige tijd geleden een boete aan KPN wegens het een overtreding bij aanbestedingsprocedures verhoogd vanwege een niet-functionerend compliance programma¹⁴. Er wordt dus niet alleen verwacht dat een compliance programma wordt ingericht, maar ook dat dit goed functioneert. Is dit een mogelijke overweging om maar helemaal geen compliance programma te voeren?

Nut van het compliance programma

‘Trust takes years to build, seconds to destroy and forever to repair.’

Voor zowel financiële instellingen alsook voor non-financials is het van belang dat men zich realiseert dat drastische ontwikkelingen gaande zijn op verschillende terreinen met een wereldwijde impact, waaronder cybercrime, artificiële intelligentie, blockchain en geopolitieke ontwikkelingen. Een compliance programma heeft niet tot doel om boetes te voorkomen, maar om structureel niet-financiële risico’s te beheersen, en een bijdrage te leveren aan een beheerste en integere bedrijfsvoering, om daarmee een robuuste basis te bieden voor een duurzame ontwikkeling van de onderneming. Dit omvat ook het communiceren van de eigen normen en waarden richting de eigen organisatie, richting leveranciers, klanten, en andere relevante ondernemingen. Een goede inrichting van de compliance binnen de organisatie, en een effectieve implementatie van en communicatie over het compliance programma, zorgt voor vertrouwen bij derde partijen, en draagt zo bij aan een duurzame waardecreatie voor de onderneming.

Een compliance programma kent voor veel non-financials geen strikt wettelijke noodzaak, en we kunnen daarmee ook concluderen dat ook aan de vorm inhoud van het compliance programma geen vaste eisen worden gesteld. Non-financials doen er goed aan om deze kans te grijpen en juist die inhoud van het compliance programma te kiezen die aansluit bij de risicobereidheid van de onderneming, bij de risicofactoren die van toepassing zijn op de industrie waarin de onderneming zich beweegt, en bij de inrichting van de organisatie. Op deze manier wordt de onderneming niet met een papieren tijger opgescheept.

Het belang van een effectieve implementatie van het compliance programma staat vervolgens buiten kijf. Over de effectiviteit van compliance programma’s zijn veel artikelen verschenen in Jaargang 19 van het Tijdschrift voor Compliance, daarom richten wij ons in dit artikel op de onderdelen van een compliance programma die over het algemeen vaak wat minder goed over het voetlicht komen.

Onderdelen van het compliance programma voor non-financials

In paragraaf 3 werd al gesproken over de voorzet van de US Federal Sentencing Guidelines om te komen tot een effectief compliance en ethiek programma. Welke handvatten worden hiervoor gegeven?

Voor een effectief compliance en ethisch programma wordt verwacht dat:

• de nodige zorgvuldigheid aan de dag wordt gelegd om non-compliant (‘crimineel’) gedrag te voorkomen en op te sporen; en
• anderszins een organisatiecultuur wordt bevorderd die ethisch gedrag en een commitment tot naleving van de wet aanmoedigt.

Een dergelijk programma op het gebied van naleving en ethiek moet op een redelijke wijze worden ontworpen, uitgevoerd en gehandhaafd, zodat het programma over het algemeen effectief is in het voorkomen en opsporen van non-compliant gedrag.

De nodige zorgvuldigheid en de bevordering van een organisatiecultuur die ethisch gedrag en een verbintenis tot naleving van de wet als hierboven vermeld vereisen minimaal het volgende:

1. De organisatie dient normen en procedures vast te stellen om crimineel gedrag te voorkomen en op te sporen.

2. Taken en verantwoordelijkheid van (senior) management:

1. De directie van de organisatie moet goed op de hoogte zijn van de inhoud en de werking van het compliance- en ethiekprogram en moet een redelijk toezicht uitoefenen op de uitvoering en effectiviteit van het programma voor naleving en ethiek.
2. Het senior management van de organisatie dient ervoor te zorgen dat de organisatie een effectief compliance en ethiek programma heeft, zoals beschreven in deze richtlijn. Specifieke personen binnen het senior management moeten de algemene verantwoordelijkheid voor het compliance en ethiek programma krijgen toegewezen.
3. Aan een of meer specifieke personen binnen de organisatie wordt de dagelijkse operationele verantwoordelijkheid voor het programma op het gebied van compliance en ethiek gedelegeerd. De persoon of personen met operationele verantwoordelijkheid moeten periodiek verslag uitbrengen aan het senior management en, in voorkomend geval, aan de directie c.q. raad van bestuur, over de doeltreffendheid van het compliance en ethiek programma. Om deze operationele verantwoordelijkheid uit te voeren, worden voldoende middelen en passende tools ter beschikking gesteld, en krijgen zij rechtstreeks toegang tot het directieniveau.

3. De organisatie dient redelijke inspanningen te leveren om binnen het senior management van de organisatie geen personeel op te nemen waarvan de organisatie weet of had moeten weten, dat zij schuldig hebben gemaakt aan illegale activiteiten of ander gedrag dat niet strookt met een effectief compliance en ethiek programma.

4. Communicatie: De organisatie dient redelijke stappen te ondernemen om haar normen en procedures, en andere aspecten van het compliance en ethiekprogramma programma, op een praktische wijze te communiceren de leden van de raad van bestuur, senior management en andere kaderleden, de werknemers van de organisatie en, in voorkomend geval, de vertegenwoordigers van de organisatie. Dit gebeurt door het uitvoeren van doeltreffende opleidingsprogramma's en het op andere wijze verspreiden van informatie die geschikt is voor de respectievelijke taken en verantwoordelijkheden van deze personen.

5. De organisatie dient redelijke maatregelen te nemen

1. om ervoor te zorgen dat het compliance en ethiek programma van de organisatie wordt gevolgd, met inbegrip van controle en audits om non-compliant gedrag op te sporen;
2. om periodiek de effectiviteit van het compliance en ethiek programma van de organisatie te evalueren; en
3. door een klokkenluidersregeling op te stellen en implementeren, met de nodige waarborgen rond vertrouwelijkheid omgeven, die het mogelijk maakt om werknemers en agenten van de organisatie potentiële of werkelijke non-compliant gedragingen te laten melden, of om advies te vragen zonder angst voor represailles.

6. Het compliance en ethiek programma dient in de gehele organisatie consequent te worden ondersteund en gehandhaafd door middel van 1) passende stimulerende maatregelen om te presteren in overeenstemming met het compliance en ethiek programma; en 2) passende disciplinaire maatregelen voor het plegen van non-compliant gedrag en voor het niet nemen van redelijke maatregelen om non-compliant gedrag te voorkomen of op te sporen.

7. Nadat non-compliant gedrag is ontdekt, dient de organisatie redelijke maatregelen te nemen om adequaat te reageren op het gedrag en om verder soortgelijk crimineel gedrag te voorkomen, met inbegrip van het aanbrengen van de nodige wijzigingen in het compliance en ethiek programma van de organisatie.

Tot slot wordt verwacht dat de organisatie periodiek het risico van non-compliant gedrag evalueert en dat zij passende maatregelen neemt om het programma aan te passen en te verbeteren op basis van de geconstateerde bevindingen. Ook wordt aandacht besteed aan de gewenste proportionaliteit van het programma: het programma dient in lijn te zijn met 1) gebruikelijke industrie en overheidsstandaarden, 2) de omvang van de organisatie en 3) vergelijkbaar wangedrag.

Het is afhankelijk van de aard, omvang en het specifieke karakter van de non-financial welke risicogebieden in het compliance programma moeten worden behandeld, en hoe ver een compliance programma op die risicogebieden dient te worden gespecificeerd. Echter maken een aantal onderdelen standaard deel uit van het programma. Ook is het uitgangspunt van het programma voor alle non-financials uiteindelijk hetzelfde; voorkomen dat men onbewust en onbedoeld in de problemen komt.

Het ontwerp wordt allereerst gebaseerd op de risicobereidheid van de onderneming, dit is allesbepalend voor de uiteindelijke samenstelling en inhoud van het compliance programma. Aangezien een effectief compliance programma in eerste instantie wordt gedragen door de directie, bepaalt en formuleert deze ook de risicobereidheid als onderdeel van het strategische beleid. Meer risico betekent over het algemeen meer (commerciële) kansen, maar ook een hogere mate van benodigde controlemaatregelen. Vergelijk dit bijvoorbeeld met een auto: als je harder wilt kunnen rijden, heb je ook betere remmen nodig. Op basis hiervan wordt een risico analyse gemaakt. Hierbij is het van belang om met een helikopter view naar de organisatie te kijken, risico’s kunnen niet worden geïsoleerd tot één afdeling, er zijn altijd ook andere afdelingen of teams bij betrokken. Wanneer het duidelijk is met welk doel het compliance programma wordt opgezet en welke risico’s dienen te worden afgedekt, worden de elementen uit de risico analyse bepalend voor het raamwerk van het compliance programma. Een effectief compliance programma is dus ook voor non-financials volledig maatwerk.

Hieronder een schematische weergave van een compliance programma.

Standaard: de organisatie

Deze elementen worden in een compliance programma standaard opgenomen

1. Engagement (bestuurlijk toezicht, compliance vanuit het management¹⁵; onder wiens leiding komt dit programma tot stand;
2. Organisatiestructuur, verantwoordelijkheden en middelen: hoe is de structuur van 3 lines of defense ingericht;
3. Screenen van transacties, risicobeoordeling;
4. Opleiding en bewustwording;
5. Prestatiebeoordeling, audits, verslaglegging en corrigerende maatregelen (inclusief anonieme rapportage); en
6. Bijhouden van gegevens en documentatie.

Ter overweging: een aantal risico elementen uitgewerkt

De noodzaak tot maatwerk komt vooral tot uiting in de uitwerking van de risico elementen. Een toelichting op alle elementen gaat verder dan hier in dit artikel gewenst is; bovendien is een aantal elementen redelijk tot goed bekend. Wij lichten een paar specifieke elementen er uit en gaan daar wat dieper op in.

Belangenverstrengeling

Belangenverstrengeling dient te worden voorkomen door het zich terugtrekken uit discussies omtrent, stemmingen over, of deelnemen aan beslisprocessen of –activiteiten waar een belangenverstrengeling kan ontstaan¹⁶. Wanneer belangenverstrengeling voor de organisatie een verhoogd risico vormt, bijvoorbeeld wanneer voormalige overheidsfunctionarissen in dienst zijn bij de organisatie waarbij de eerdere functie rechtstreeks verband hield met de huidige functie, wordt aangeraden om in het compliance programma op te nemen hoe men ermee om dient te gaan. De focus ligt hierbij niet direct op het voorkomen, maar op het stimuleren tot mitigeren van het risico dat het kan ontstaan, op het herkennen van een situatie van belangenverstrengeling en op het melden ervan. In ieder geval wordt een statement opgenomen in het compliance programma dat belangenverstrengeling in geen van de lagen van de organisatie wordt gedoogd.

Om een situatie van (mogelijke) belangenverstrengeling te kunnen herkennen of te zien ontstaan, is het allereerst van belang dat de betrokken personen goed in kaart zijn gebracht, met hun (zakelijke en persoonlijk) relaties, netwerken, sportclubs, etc. Dat geldt dus eventueel ook voor die van de partner van de medewerker. Het stimuleren van open gesprekken over de risico’s rond belangenverstrengeling is een essentieel instrument hiervoor, zodat het algemene bewustzijnsniveau op een hoog niveau wordt gebracht.

Anti-omkoping (anti corruptie)

Een element over anti-corruptie ondersteunt de vertaling van de waardes van de onderneming op dit gebied in praktijkgerichte maatregelen¹⁷. Zoals bij belangenverstrengeling wordt ook hier vanuit het management duidelijk gemaakt dat corruptie en omkoping niet wordt gedoogd. Corruptie hoeft niet direct in de eigen organisatie plaats te vinden, maar kan ook elders in de supply chain voorkomen; een relevante overweging om op te anticiperen in het eigen compliance programma. Omkoping is voor multinationals een onderwerp van constante zorg; het kan ook de besten overkomen, zoals we (redelijk) recent hebben gezien bij Philips, SHV en Damen Shipyards¹⁸.

Informatiebeveiliging

Voor het gemak wordt hier ook cybersecurity onder geschaard. Ook hier kan veel dieper op worden ingegaan. Een belangrijk element welke wij onder de aandacht willen brengen, is het risico van CEO-fraude en de steeds geavanceerdere wijze waarop dit plaatsvindt. Waar eerder nog medewerkers zogenaamd van hun CEO of CFO per mail de opdracht kregen om bedragen over te maken aan bepaalde externe partijen, wordt hiervoor inmiddels ook software ingezet die de stem van de betreffende leidinggevende kan nabootsen¹⁹.

---