De AFM publiceerde onlangs het rapport ‘Inrichting van de Compliance- en Interne Auditfuncties’. Het rapport bevat de Nederlandse uitkomsten van een door ESMA geïnitieerde Common Supervisory Action bij beheerders van ICBE’s (Instelling voor Collectieve Belegging in Effecten). De AFM onderzocht in hoeverre de compliance- en interne auditfuncties effectief bijdragen aan het beheersen van risico’s op niet-naleving van wet- en regelgeving.
Het onderzoek is alleen uitgevoerd bij ICBE’s. Toch is de rapportage ook relevant voor andere kleine- en middelgrote organisaties die worstelen met het inrichten van de compliancefunctie, financieel en niet-financieel. De AFM benoemt namelijk heel concreet aan welke voorwaarden een effectieve compliancefunctie moet voldoen. Bovendien sluiten haar bevindingen nauw aan op de Good Practice die DNB in 2024 publiceerde over de inrichting van de compliancefunctie bij pensioenfondsen en op het AFM-rapport ‘Compliance bij pensioenfondsen: in het belang van de deelnemer’ uit maart 2026. Samen laten deze publicaties zien dat compliance niet kan worden beperkt tot een functieomschrijving, een jaarlijkse controle of het bewaken van de gedragscode. Het gaat om een onafhankelijke en zichtbare functie die risico’s tijdig signaleert, het bestuur adviseert, de werking van beheersmaatregelen monitort en zelfstandig over bevindingen rapporteert. Deze functie kan prima extern ingevuld, maar wel onder voorwaarden.
De AFM ziet dat de ICBE’s belangrijke stappen hebben gezet in de professionalisering van governance en interne beheersing. Rollen, verantwoordelijkheden en escalatielijnen zijn vaak vastgelegd en compliance staat bij veel organisaties structureel op de bestuursagenda. Tegelijkertijd bestaat er volgens de AFM nog een duidelijk verschil tussen het formeel inrichten van de functie en de effectieve werking daarvan in de praktijk.
Een eerste aandachtspunt betreft de documentatie. Compliance-agenda’s, monitoringplannen en rapportages zijn soms verouderd, incompleet of te generiek. Een opsomming van wet- en regelgeving is niet voldoende. De documentatie moet zijn vertaald naar de activiteiten, processen en risico’s van de eigen organisatie. Ook moet duidelijk zijn welke controles of monitoringactiviteiten worden uitgevoerd, wanneer dat gebeurt, wie eigenaar is en hoe bevindingen worden opgevolgd. Oftewel: het hebben van een Handboek in de kast is niet voldoende, er moet een duidelijke en (pro)actieve houding van de compliance officer zijn.
Daarnaast ontbreekt geregeld de samenhang in de compliancecyclus. De risicoanalyse, het jaarplan, de monitoring, de rapportage en de opvolging van bevindingen moeten logisch op elkaar aansluiten. In de praktijk ziet de AFM dat geplande werkzaamheden niet altijd terugkomen in rapportages en dat gerapporteerde bevindingen onvoldoende worden verwerkt in volgende plannen en controles. Daarmee verliest de cyclus haar sturende werking.
De AFM vraagt nadrukkelijk aandacht voor de positie van compliance als tweedelijnsfunctie. Compliance moet primair adviseren, monitoren en toetsen. Wanneer de compliance officer zelf operationele controles uitvoert of eerstelijnsbeleid opstelt, ontstaat het risico dat de functie haar eigen werk moet beoordelen. Ook het combineren van risk en compliance vraagt om een expliciete onderbouwing en passende waarborgen voor onafhankelijkheid en belangenconflicten. Dit is, in onze ervaring, voor veel kleine organisaties een uitdaging. Soms is een hands-on compliance officer gewoon nodig om de (integere) bedrijfsvoering in te richten. Dit kan wat ons betreft ook vanuit een pragmatische en proactieve adviesrol van de compliance officer. Een belangrijke grens is echter wel het nemen van verantwoordelijkheid over de bedrijfsvoering, dat kan de compliance officer niet doen zonder zijn onafhankelijke monitorende en toezichthoudende rol te comprimeren.
Tot slot verwacht de AFM dat bevindingen zelfstandig en herkenbaar worden vastgelegd. Alleen een vermelding in bestuursnotulen is onvoldoende. Rapportages moeten niet uitsluitend incidenten bevatten, maar ook inzicht geven in compliancerisico’s, uitgevoerde monitoring, tekortkomingen, oorzaken, verantwoordelijken en opvolging. Een beroep op proportionaliteit moet bovendien worden gemotiveerd vanuit de aard, omvang én complexiteit van de organisatie. Daarbij is het logisch dat een kleine organisatie op andere wijze rapporteert dan een grootbank.
Uit het rapport volgt een herkenbaar takenpakket. De compliance officer bewaakt, evalueert en toetst de deugdelijkheid en effectiviteit van gedragsregels, procedures en beheersmaatregelen. Hij signaleert ontwikkelingen en risico’s, adviseert gevraagd en ongevraagd, monitort de naleving, rapporteert periodiek en escaleert bij ernstige of niet tijdig opgevolgde bevindingen. Voor een effectieve uitvoering zijn voldoende deskundigheid, capaciteit en autoriteit nodig. Ook moet compliance rechtstreeks toegang hebben tot het bestuur en raad van toezicht/commissarissen, relevante informatie en de gremia waarin besluiten worden voorbereid en genomen.
Deze uitgangspunten sluiten aan op de Good Practice van DNB over de compliancefunctie bij pensioenfondsen. DNB legt het accent op een onafhankelijke positionering, duidelijke taken, verantwoordelijkheden en bevoegdheden, passende capaciteit en rechtstreekse rapportagelijnen. De werkzaamheden worden vastgelegd in een charter en verbonden met onder meer de SIRA en de bredere risicocyclus van het fonds.
De AFM voegde daar in maart 2026 het perspectief van het deelnemersbelang aan toe. Een sterke compliancefunctie kijkt niet alleen of formeel aan regels is voldaan, maar ook of de bedoeling van die regels zichtbaar is in beleid, communicatie, keuzebegeleiding en besluitvorming. Dat vraagt om vroege betrokkenheid, ruimte voor tegenspraak, periodieke monitoring en een eigen signalerings-, rapportage- en escalatieproces. DNB beschrijft daarmee vooral de governancebasis; de AFM maakt zichtbaar welke werking die basis in de praktijk moet hebben.
De AFM is duidelijk over uitbesteding: de organisatie blijft zelf verantwoordelijk en moet de regie behouden. Externe uitvoering is dus geen overdracht van verantwoordelijkheid. De werkzaamheden en rapportages moeten aansluiten op de eigen risico’s en behoeften. De beschikbare uren, aanwezigheid en mogelijkheid tot opschaling moeten passend zijn. De externe compliance officer moet bovendien voldoende toegang hebben tot informatie en besluitvorming. Een beperkt urencontract, generieke formats en rapportage op afstand kunnen de tijdige signalering en effectieve werking belemmeren. Tegelijkertijd zal de organisatie wel behoefte hebben aan duidelijkheid en budget. Goede afspraken hierover zijn essentieel.
Juist wanneer aan deze voorwaarden wordt voldaan, kan externe invulling waarde toevoegen. NCIP richt de externe compliancefunctie in vanuit dezelfde doorlopende cyclus die AFM en DNB voor ogen hebben: risicoanalyse, advisering over beleid en procedures, awareness, monitoring, rapportage en opvolging. Taken, bevoegdheden, informatie- en escalatielijnen worden vooraf vastgelegd evenals het budget. Periodieke aanwezigheid bij bestuur en relevante commissies zorgt voor zichtbaarheid en toegang, terwijl onafhankelijke rapportage het bestuur in staat stelt gericht bij te sturen.
De meerwaarde zit daarbij niet alleen in onafhankelijkheid. Een externe compliance officer kan worden ondersteund door een breder team met specialistische kennis, achtervang en de mogelijkheid om bij incidenten, wetswijzigingen of bijzondere onderzoeken op te schalen. Daarnaast heeft een externe compliance officer een goed oog voor ontwikkelingen in de markt en ervaring bij andere spelers waar de opdrachtgever van kan profiteren.
De inzet kan proportioneel worden afgestemd op het risicoprofiel van de organisatie, zonder dat de functie wordt gereduceerd tot alleen gedragscodemonitoring. Daarmee blijft de verantwoordelijkheid waar zij hoort, bij het bestuur, terwijl de uitvoering professioneel, onafhankelijk en continu wordt ondersteund.
De belangrijkste boodschap uit het AFM-rapport is dat een goed beschreven compliancefunctie nog geen effectieve compliancefunctie is. Het gaat om de aantoonbare samenhang tussen risico’s, planning, monitoring, rapportage en opvolging. Voor pensioenfondsen vormen de publicaties van DNB en AFM samen een bruikbaar toetsingskader. De vraag is niet alleen óf compliance is ingericht, maar vooral of de functie voldoende positie, toegang, capaciteit en mandaat heeft om als onafhankelijke tegenkracht te functioneren. Hierbij maakt het niet uit of deze functie intern of extern is georganiseerd als de voorwaarden maar geborgd zijn. Een compliance professional zet zich hier altijd voor in.
