Hoe technologie het compliance-proces slimmer maakt

Sylvie Bleker-van Eyk, hoogleraar Compliance & Integrity Management aan de VU en spreker tijdens de Collegereeks Fraudebeheersing, Ethiek en Integriteit, vermoedt dat veel domme fouten in compliance kunnen worden voorkomen als mensen beter stilstaan bij de reden waarom bepaalde regels worden gevolgd. Dat gaat gemakkelijker als het repetitieve praktische element van compliance meer wordt uitbesteed aan technologie, zodat er meer tijd is om stil te staan bij de doelstellingen van het bedrijf en de doelen achter de regelgeving.

Volgens Bleker-van Eyk zorgt technologische innovatie ervoor dat bedrijven niet alleen makkelijker aan regeldruk kunnen voldoen, maar dat ze ook ademruimte krijgen om strategische beslissingen te nemen. ‘Je hoort vaak: bij compliance zitten we alleen maar de hele dag af te vinken, want het is zoveel wat we moeten doen. We hebben helemaal geen tijd om na te denken.’ Omdat er constant alleen maar wordt gekeken naar aan welke eisen moet worden voldaan. Hierdoor kunnen bedrijven domme fouten maken door tijdgebrek. We staan te weinig stil bij het ‘waarom’, betoogt de hoogleraar.

Vanwege die veelheid aan regelgeving, krijgen organisaties te maken met nationale en internationale regels van verschillende toezichthouders en landen die elkaar soms bijten. ‘Compliance is het naleven van het vereiste gedrag. Maar dat kan niet altijd. Soms moet je risicogebaseerde keuzes maken. Die maak je door terug te grijpen naar je doel.’ Bedrijven moeten bij compliance kijken naar hun kerndoelstellingen, betoogt de hoogleraar. Niet alle wetten en regelgeving vallen onder compliance. ‘Compliance gaat om alle wetgeving die te maken heeft met jouw kerndoelstelling.’

Wat zegt de doelstelling?

Ze illustreert dat aan de hand van een voorbeeld. ‘Stel, ik ben Van Gansewinkel en ik zeg: afvalscheiding de onderneming valt niet onder compliance. Dat is niet waar. Bij alle andere organisaties valt afvalscheiding niet onder compliance, maar bij Van Gansewinkel wel. Waarom? Omdat de kerndoelstelling van het bedrijf is dat Nederland van zijn afval afkomt. Afvalscheiding is een kerndoelstelling dus als je dat zélf al niet doet, ga je nat.’

Hetzelfde geldt voor alle wetten en regelgeving die aan de kerndoelstelling van de organisatie komen. ‘Vallen Arboregels onder compliance? Nee, natuurlijk niet… Ténzij je de Arbodienst bent. Daar is Arbo de kerndoelstelling. Als naar buiten zou komen dat de dienst ondernemingen over de Arbo adviseert, maar daar zelf geen rekening mee houdt, dan tast dat de kerndoelstelling aan.’

De kerndoelstelling in ogenschouw nemen is de oplossing bij een compliance-conflict. Wat als twee wetgevers of toezichthouders dingen vereisen die elkaar uitsluiten? ‘Dan vraag je je af: wat zegt mijn doelstelling? En hoe kan ik die doelstelling en de verschillende eisen van regelgevers het best mogelijk met elkaar in evenwicht brengen.’

>> Lees ook: Topadvocaat Soeharno: Integriteit is een chefsache

Begin met: Waarom?

Ze haalt de Gouden Cirkel van Simon Sinek aan die wat haar betreft ook van toepassing is op compliance. Sinek omschrijft een cirkel met concentrische ringen, waarbij de grootste, buitenste cirkel het ‘wat’ is. De meeste bedrijven kunnen goed beantwoorden wat ze doen, in dit geval voldoen aan compliance. Al lastiger wordt de kleinere cirkel daarbinnen: het hoe. De kern van de Gouden Cirkel is het ‘waarom’. Dat antwoord kan niet simpelweg ‘voldoen aan de regels’ zijn. Er staat veel meer op het spel.

‘Ik vind dat helemaal geweldig. Ik kan daar alles in plaatsen, ook compliance.’ Het ‘Waarom’ is in dit geval het goed uitvoeren aan kerndoelstellingen. Vanuit die cirkel beweeg je naar het Hoe. ‘Hoe ga je dat verwezenlijken? De nitty gritty is het Wat. Daar struikelt iedereen bij compliance, want iedereen begint met Wat. Dan ben je fout bezig, je moet het omdraaien: begin met het Waarom.’

Dan Hoe: Reg-tech

Een heleboel taken bij compliance zijn repetitief en daar is automatisering een oplossing. Bleker-van Eyk waarschuwt alleen wel voor gladde praatjes van leveranciers die dé oplossing beloven. ‘Ik was bij een onderneming betrokken waar veel verschillende ERP-systemen waren en niets daarvan babbelde met elkaar. Leveranciers komen dan met een ERP-tool aanzetten om aan alle taken te voldoen. Ik dacht: “Doe me dat nu, waar kan ik de handtekening zetten?” Weet je wat ik kreeg? Een lege license, geen werkende tool. Ik kon nog steeds niks en moest er nog meer geld ingooien om er überhaupt iets in te kunnen plakken. Dan denk ik: ik wil een oplossing en geen license voor een tool.’

Maar de technologie is ondertussen verder ontwikkeld. Ze vertelt dat het verhaal van een goed algoritme bij de meeste compliance-officers oplevert dat compliance officers denken: ‘hou op, ik ben geen wiskunde nerd’. ‘Dat zei ik ook. Tot ik met een collega sprak bij PwC die met AI bezig was en ik zei: “Hou maar op, dat is niks voor mij.” Hij legde me vervolgens uit dat de oude Egyptenaren al bezig waren met algoritmes. Een algoritme is niets anders dan: “Ik zet deze stap en dan krijg ik deze output, waarmee ik weer deze stap kan doen”. Hij nam me mee in een algoritme aan de hand van een dating-app. Die uitleg vond ik prachtig. Ik leer iedere dag van hem. Het enige mindere aan zijn uitleg was dat het algoritme is als je moeder meenemen op je eerste date: dan worden de ‘juiste’ vragen gesteld’.

>> Lees ook: ‘Controller moet Godzilla tackelen’

Algoritme als hulpmiddel

Een algoritme begint dus met een stap en bouwt voort op die stap en herhaalt stappen op basis van de beschikbare data. Dat betekent dat de gegevens waar het algoritme zich op baseert heel zuiver moeten zijn om het bekende dataprobleem ‘garbage in, garbage out’ te vermijden. ‘Als er een bias in zit heb ik straks tot de tweede macht, tot de vierde macht, en ga zo maar door, een bias als een soort omgekeerde piramide.’ Helaas is bias altijd aanwezig, het zit al in de persoon die het algoritme schrijft. Dat betekent dat een algoritme geen ultieme oplossing is. Ja, repetitieve taken kunnen worden geautomatiseerd, maar de output moet doorlopend worden bekeken om de bias eruit te halen. ‘Zeker in het begin moet je constant auditen om die bias er zoveel mogelijk uit te krijgen.’

Technologie staat in dienst van de mens, zegt ze, en niet andersom. ‘De techniek is niets, als wij niet de gegevens leveren en als wij niet de algoritmes maken.’ Het is de uitdaging om compliance officers  te laten wennen aan de assistentie van technische middelen om hun werk te vergemakkelijken. Dat vereist dat mensen over hun vooroordelen over complexe wiskunde heenstappen. ‘Het is niet moeilijk,’ zegt ze over algoritmes. ‘Het enige wat het vereist is dat je even al je eigen bias zo goed mogelijk aan de kant zet en gewoon logisch nadenkt.’