Tweede artikel in de NCIP-blogserie in aanloop naar de Week van Integriteit 2026
Een organisatie laat een externe partij klantdata analyseren. Een leverancier gebruikt generatieve AI bij de beoordeling van dossiers. Een consultant zet AI in voor dienstverlening zonder controle op output. Op papier lijkt de dienstverlening op orde. Toch kan het gedrag van deze relaties de integriteit van de eigen organisatie rechtstreeks raken.
Het voelt gek dat ik deze intro precies 25-jaar na 9/11 schrijf zonder de nadruk te leggen op het voorkomen van terrorismefinanciering en witwassen. Bij klant- en ketenintegriteit gaat de aandacht immers al snel naar witwassen, fraude en sancties. Die onderwerpen blijven belangrijk, maar het vraagstuk is breder. Ook een klant, leverancier of uitbestedingspartner die de eigen governance, cultuur of zorgplicht niet op orde heeft, vormt een risico voor jouw organisatie.
De kernvraag is daarom niet alleen met wie je zakendoet. Minstens zo belangrijk is waarom je erop vertrouwt dat die relatie verantwoord handelt, hoe je dat vertrouwen blijft toetsen en wat je doet als nieuwe signalen niet bij het oorspronkelijke beeld passen.
De Week van Integriteit vindt plaats van 26 tot en met 30 oktober 2026 en staat dit jaar in het teken van Leiden met integriteit in het digitale tijdperk. In aanloop daarnaartoe publiceert NCIP een serie artikelen over de betekenis van dit thema voor de compliancepraktijk.
Mijn eigen ervaringen met klant- en ketenintegriteit komen vooral voort uit mijn werk als compliance officer bij pensioenfondsen en middelgrote verzekeraars, mede in dit licht kom ik tot onderstaande inzichten.
Organisaties werken steeds meer in netwerken. Processen worden uitbesteed, gegevens worden gedeeld en besluiten worden mede gebaseerd op externe databronnen en technologie. Een tekortkoming bij één partij kan daardoor snel doorwerken in de hele keten. Denk aan onzorgvuldig gebruik van persoonsgegevens, misleidende verkoop, belangenconflicten, sociale misstanden of een ondoorzichtig algoritme. Veel integriteitsrisico’s uit de SIRA kunnen zich ook bij een klant of ketenpartner voordoen.
De gevolgen komen vervolgens niet alleen bij die partij terecht. Ook de eigen organisatie kan te maken krijgen met reputatieschade, aansprakelijkheid of verstoring van de dienstverlening. Uitbesteden betekent bovendien niet dat je de verantwoordelijkheid uitbesteedt. Een waterdicht contract en een stevige SLA zijn nuttig, maar niet genoeg. Je moet kunnen uitleggen welke risico’s zijn beoordeeld, welke normen gelden en hoe je toezicht houdt op de relatie.
Voorkomen is beter dan genezen maar wanneer het dan toch mis is gegaan draait het vaak om drie vragen: wat wist de organisatie, welke signalen waren beschikbaar en waarom is zij toch gestart of doorgegaan?
Een klassieke klant- of leverancierscheck blijft vaak een momentopname. De identiteit wordt vastgesteld, betrokken personen worden gecontroleerd en sanctie- of frauderisico’s worden beoordeeld. Dat is noodzakelijk, maar zegt nog weinig over hoe een organisatie zich in de praktijk gedraagt.
Een goede relatiebeoordeling kijkt daarom ook naar governance, cultuur en interne beheersing. Wie is verantwoordelijk voor compliance, privacy en informatiebeveiliging? Hoe gaat de partij om met incidenten en klachten? En als AI wordt gebruikt: welke data en modellen liggen daaraan ten grondslag en waar is het menselijke oordeel procedureel ingetekend? Niet iedere relatie vraagt hetzelfde onderzoek. De leverancier van kantoorartikelen verdient een andere aanpak dan een partij die klantbeslissingen neemt, vertrouwelijke data verwerkt of een kritisch proces uitvoert.
Na acceptatie begint het echte werk. Het beeld van een relatie moet actueel blijven en nieuwe informatie moet zichtbaar kunnen leiden tot herbeoordeling. Periodieke rapportages zijn nuttig maar bij de bespreking van de resultaten met bijvoorbeeld de risk- of compliancefunctie krijg je pas echt inzicht.
Digitale (big) data-analyse en AI maken het mogelijk om veel (potentiële) relaties tegelijk te screenen en mogelijke signalen sneller te zien. Dat biedt kansen, maar ook schijnzekerheid. Een overtuigende risicoscore kan zijn gebaseerd op onvolledige, verouderde of bevooroordeelde gegevens. Bovendien is niet altijd duidelijk waarom een relatie extra wordt gecontroleerd of juist zonder vragen wordt geaccepteerd.
Technologie moet het professionele oordeel daarom ondersteunen, niet vervangen. De organisatie moet weten welke bronnen worden gebruikt, hoe betrouwbaar die zijn en wanneer menselijke (her)beoordeling nodig is. Ook de aanbieder van ICT-diensten verdient aandacht. Wat gebeurt er met klantgegevens? Wie heeft toegang? En wat zijn de gevolgen van een datalek, een foutieve uitkomst of een wijziging in het model? En: wie is aansprakelijk voor wat en hoe is dit verzekerd?
Meer data ontslaat een organisatie niet van kritisch denken. Hoe slimmer de analyse, hoe belangrijker het is om aannames en beperkingen zichtbaar te houden. Ook wanneer dit is uitbesteed adviseer ik om door te vragen op de gebruikte modellen en de aannames daarin.
Een standaard jaarlijkse vragenlijst is geen beheersingsmaatregel. De beheersing begint bij een risico gebaseerde onboarding op basis van een goed (relatie)acceptatiebeleid en/of inkoop- en uitbestedingsbeleid. Vooraf moet duidelijk zijn welke informatie nodig is van een derde partij, wanneer verdiepend onderzoek volgt en welke uitkomsten onaanvaardbaar zijn. Daarbij gaat het niet alleen om formele controles, maar ook, in geval van inkoop van diensten en uitbesteding van werkzaamheden, om de manier waarop de inkoop/uitbestedingsrelatie wordt bestuurd en hoe zij omgaat met incidenten, data en onderaannemers.
Die verwachtingen horen terug te komen in het contract met SLA. Een algemene bepaling dat een partij de wet naleeft, biedt weinig houvast. Maak afspraken over meldingen, datagebruik, inzet van AI, onderuitbesteding en het recht om onderzoek te doen. Leg ook vast wanneer herstel wordt verlangd en wanneer opschorting of beëindiging aan de orde is. Onder DORA ook wel bekend als third party risk management.
Monitoring moet vervolgens passen bij het risicoprofiel. Kijk niet alleen naar sanctielijsten of negatieve media, maar vooral naar signalen uit de samenwerking: klachten, incidenten, auditbevindingen, personele wisselingen of terugkerende tekortkomingen. Zulke informatie moet bij elkaar komen. Wanneer inkoop, commercie, privacy en compliance ieder slechts een deel zien, blijft het totale risico buiten beeld.
Rapportage maakt zichtbaar welke relaties extra aandacht vragen en waar herstel achterblijft. Bij kritische relaties kan onafhankelijke assurance of een externe audit nodig zijn, denk hierbij aan SOC of ISAE rapportages. Dan telt niet alleen of beleid op papier bestaat, maar vooral of de maatregelen aantoonbaar werken. Als dat niet zo is, moet de organisatie bereid zijn consequenties te trekken. En vergeet vooral niet het belang van een gesprek over de bevindingen en opvolging met bijvoorbeeld de risk- of compliancefunctie van de uitvoerende partij.
Klant- en ketenintegriteit gaat uiteindelijk net zo goed over de eigen organisatie. Durft een accountmanager een aantrekkelijke klant te weigeren? Spreekt inkoop een moeilijk vervangbare leverancier aan? Krijgt compliance tijdig informatie? En is het bestuur bereid een relatie te beëindigen als de juridische ondergrens misschien niet is overschreden, maar het vertrouwen wel structureel is beschadigd?
Juist bij commerciële of operationele afhankelijkheid worden signalen gemakkelijk gerationaliseerd. Een incident heet dan al snel een uitzondering en een audit kan nog wel even uitgesteld worden. Goede beheersing vraagt om duidelijke grenzen, onafhankelijke tegenkracht en een besluitvorming waarin ook onzekerheden zichtbaar worden vastgelegd.
In het eerste artikel van deze serie stond centraal waarom leiderschap belangrijker wordt naarmate technologie slimmer wordt. Dit tweede artikel laat zien dat die verantwoordelijkheid niet stopt bij de voordeur. Technologie kan relaties sneller beoordelen, maar het morele en bestuurlijke oordeel niet overnemen.
In aanloop naar de Week van Integriteit onderzoekt NCIP hoe organisaties integer en beheerst kunnen werken in een wereld waarin AI en data een steeds grotere rol spelen. Vertrouwen in een relatie mag niet uitsluitend rusten op een positieve screening, een keurmerk, een contract of een risicoscore. Het vraagt om aantoonbaar inzicht, voortdurende alertheid en de bereidheid om te handelen als de werkelijkheid verandert.
Natuurlijk is de eerste vraag hoe je ervoor zorgt dat je een goed beeld hebt en houdt bij de (integriteit)risicobeheersing door een ketenpartner.
Maar ook relevant is de vraag: Als blijkt dat een klant of ketenpartner zijn integere bedrijfsvoering niet op orde had, kan uw organisatie dan aantonen dat niet alleen voldoende informatie heeft verzameld, maar ook signalen tijdig heeft gewogen en bereid was daar consequenties aan te verbinden?
Met deze vraag bouwen we het gesprek verder op, op weg naar de Week van Integriteit 2026. In de volgende artikelen verbinden we Leiden met integriteit in het digitale tijdperk opnieuw aan een concreet vraagstuk uit de praktijk. Want integriteit is geen thema voor één week per jaar. Het is een dagelijkse opdracht, binnen de eigen organisatie én in iedere relatie waarvan zij afhankelijk is.
Lees hier het eerste blog
