Wat is de rol van een Chief Compliance Officer?

Naleving heeft een imagoprobleem. De meeste mensen associëren het met audits, uitgebreide beleidsdocumenten en verplichte opleidingen die niemand wil volgen. Maar kijk naar elke organisatie die een ernstige tekortkoming in de regelgeving of een ethisch schandaal heeft voorkomen, en meestal vindt u een Chief Compliance Officer die dat resultaat mogelijk heeft gemaakt.

Dus wat houdt de rol eigenlijk in, en waarom is het een van de meest consequente posities in moderne organisaties geworden?

‍

Kernverantwoordelijkheden van een Chief Compliance Officer

Voordat we op de nuance ingaan, is dit wat de rol doorgaans omvat:

• Opstellen en onderhouden van het nalevingsprogramma: het beleid, de procedures en de controles die bepalen hoe de organisatie binnen de wet werkt
• Toezicht houden op wijzigingen in de regelgeving: nieuwe wetgeving volgen en uitzoeken wat dit betekent voor het bedrijf voordat het een probleem wordt
• Toezicht houden op interne meldingskanalen: ervoor zorgen dat werknemers een veilige, toegankelijke manier hebben om hun zorgen te uiten, en dat die zorgen ook daadwerkelijk worden aangepakt
• Toonaangevende onderzoeken: wanneer een mogelijke overtreding aan het licht komt, is de CCO verantwoordelijk voor het proces om uit te zoeken wat er is gebeurd en om te beslissen wat er aan moet worden gedaan
• Adviseren van de raad van bestuur en het senior management: het vertalen van compliancerisico's in taal waar besluitvormers naar kunnen handelen
• Beheer van relaties op het gebied van regelgeving: fungeren als aanspreekpunt voor de organisatie tijdens audits, onderzoeken of handhavingsacties
• Trainings- en bewustmakingsprogramma's voor hardlopen: ervoor zorgen dat werknemers op elk niveau begrijpen wat er van hen wordt verwacht
• Cultuurstatistieken volgen: het monitoren van rapportvolumes, casuscategorieën en oplossingstijden om inzicht te krijgen in waar de organisatie gezond is en waar niet

Dat is de versie met de functiebeschrijving. De realiteit is rommeliger en interessanter.

Wat een CCO eigenlijk doet

De formele definitie is eenvoudig: een Chief Compliance Officer zorgt ervoor dat de organisatie de wetten, reglementen en intern beleid volgt die van toepassing zijn op haar activiteiten. Wat dat in de praktijk betekent, hangt sterk af van de branche, de grootte van de organisatie en hoe serieus het leiderschap de functie neemt.

In de kern is de CCO eigenaar van het nalevingsprogramma. Dat is de combinatie van beleid, training en controles die werknemers helpt te begrijpen wat ze wel en niet mogen doen. Ze volgen wijzigingen in de regelgeving, identificeren waar de organisatie is blootgesteld en werken op juridisch, HR-, financieel en operationeel gebied om hiaten te dichten voordat een toezichthouder dit voor hen doet.

En als er iets misgaat (via een intern rapport, een auditbevinding of een onderzoek van de regelgevende instanties) leidt de CCO de reactie.

Waar de CCO in de organisatie zit

Dit is een van de meest omstreden kwesties op het gebied van naleving. Sommige organisaties plaatsen de CCO onder de General Counsel. Anderen laten ze rechtstreeks rapporteren aan de CEO of de raad van bestuur.

Het is belangrijker dan het lijkt. Een CCO die rapporteert aan de General Counsel kan in een lastige situatie terechtkomen: het is de taak van legal om het bedrijf te beschermen, terwijl de taak van compliance ervoor zorgt dat het zich rechtmatig en ethisch gedraagt. Die doelen wijzen meestal in dezelfde richting. Niet altijd.

De afgelopen tien jaar is er een verschuiving geweest naar directe toegang tot het bestuur. Regelgevers verwachten steeds meer dat CCO's echt onafhankelijk zijn. Een CCO die zorgen moet doorsturen naar iemand die belang heeft bij de uitkomst, is niet echt onafhankelijk, wat het organigram ook zegt.

De CCO- en spreekcultuur

Het creëren van de voorwaarden voor mensen om daadwerkelijk problemen te melden, is een van de moeilijkste aspecten van het werk. En een van de belangrijkste.

Mensen melden wangedrag niet om voorspelbare redenen: uit angst voor vergelding, twijfel of er iets zal gebeuren, of omdat ze gewoon niet weten waar ze heen moeten. Het opzetten van een meldpunt lost dat niet op. Wat de vergelijking verandert, is echte psychologische veiligheid, de overtuiging (ondersteund door ervaring) dat het uiten van een probleem veilig is en ergens toe leidt.

Dat plaatst het werk van de CCO in het centrum van de organisatiecultuur. Het technisch meest geavanceerde nalevingskader ter wereld valt uiteen als werknemers het proces niet vertrouwen. Wangedrag dat niet wordt gemeld, blijft onzichtbaar, totdat het een publiek probleem wordt.

Daarom werkt de CCO samen met HR, lijnmanagers en leidinggevenden om meldingskanalen toegankelijk, vertrouwelijk en echt gebruikt te maken. Ze houden de cijfers in de gaten: hoeveel meldingen komen er binnen, waar ze over gaan, hoe lang het duurt voordat zaken worden afgesloten. Die gegevens vertellen je dingen over cultuur die enquêtes vaak missen.

De regeldruk verdwijnt niet

De rol van de CCO is de laatste twee decennia steeds belangrijker geworden, en wel om een eenvoudige reden: de kosten om de naleving verkeerd te laten verlopen, zijn gestegen.

Regelgevers in de financiële dienstverlening, gezondheidszorg, gegevensprivacy en de bestrijding van omkoping zijn actiever dan een generatie geleden. De boetes zijn hoger. Handhavingsmaatregelen zijn openbaar. Senior executives kunnen persoonlijk aansprakelijk worden gesteld. De reputatieschade van een nalevingsfout duurt vaak langer dan de financiële sanctie.

De klokkenluidersrichtlijn van de EU vereist nu dat organisaties met 50 of meer werknemers beschikken over formele interne meldingskanalen. Dat is een nalevingsverplichting die doorgaans eigendom is van de CCO, en daarvoor is echte infrastructuur vereist. Een beleidsdocument dat ergens is ingediend telt niet mee.

Wat onderscheidt een goede CCO van een CCO die een hokje aanvinkt

De CCO die echt waarde toevoegt, is niet degene met het meeste beleid of de hoogste voltooiingspercentages van opleidingen. Het is degene die ervoor zorgt dat naleving relevant is voor mensen die echt werk doen.

Dat betekent dat de regelgeving moet worden vertaald in eenvoudige taal. Processen ontwerpen die gemakkelijk te volgen zijn, niet alleen juridisch verdedigbaar. Zichtbaar zijn in de organisatie (niet alleen rapporten van een kantoor op de hoek bekijken) zodat mensen weten wie de CCO is en waarvoor ze er zijn.

Het betekent ook bereid zijn om ongemakkelijke dingen tegen het leiderschap te zeggen. Een CCO die het bestuur alleen vertelt wat het wil horen, voert geen compliancefunctie uit. Ze geven een optreden van één.

Naleving en ethiek zijn niet hetzelfde

Compliance vertelt je wat je moet doen. Ethiek vertelt je wat je moet doen. Een CCO die enkel over de eerste vraag nadenkt, kan een organisatie technisch gezien aan de goede kant van de wet houden terwijl de cultuur stilletjes verslechtert.

De CCO's die het werk goed doen, hebben beide vragen tegelijk. Ze zijn niet alleen bewakers van het reglement. Ze vragen zich af of de organisatie echt het soort bedrijf is dat ze zegt te zijn. Dat betekent dat de relevante vraag vaak niet is „is dit toegestaan?” Het is „is dit juist?”

Als u een compliancefunctie aan het bouwen of herzien bent

Een paar dingen die belangrijker zijn dan de meeste:

Onafhankelijkheid. De CCO moet zorgen aan het licht kunnen brengen zonder dat de uitkomst wordt beheerd door de persoon over wie ze zich zorgen maken. Als de structuur dat niet toelaat, is de functie decoratief.

Hulpbronnen. Nalevingsprogramma's hebben routinematig te weinig middelen in verhouding tot het risico dat ze zouden moeten beheersen. Een CCO zonder voldoende team, hulpmiddelen of budget wordt opgezet om te falen en zal uiteindelijk zichtbaar falen.

Technologie. Case-tracking, rapportagekanalen, distributie van het beleid, voltooiing van de training: dit draait op software van elke zinvolle schaal. Spreadsheets en e-mailthreads zijn geen nalevingsprogramma.

Toon van boven. De CCO kan een sterk programma opzetten. Als het leiderschap naleving eerder als een obstakel dan als een verplichting beschouwt, zal het programma ondermaats presteren. Dit is de factor die het moeilijkst te controleren is en de meest consequente factor is.

De rol ziet er in elke organisatie anders uit

Geen twee functies van de Chief Compliance Officer zijn hetzelfde. In de financiële dienstverlening of de farmaceutische industrie kan de CCO leiding geven aan een groot toegewijd team en zitting nemen in het uitvoerend comité. In een kleiner bedrijf of een minder gereguleerde sector kan dezelfde titel iemand beschrijven die ook juridische, risicovolle of HR-verantwoordelijkheden draagt.

Omvang, anciënniteit en structuur veranderen allemaal afhankelijk van hoe groot de organisatie is, in welke regelgeving ze actief is, welke markten ze bedient en hoe serieus leiderschap compliance als een functie behandelt.

Dus als u mensen aanneemt voor de functie, erin stapt of uitzoekt hoe het in uw organisatie past: de functiebeschrijving is slechts een startpunt. Wat de CCO daadwerkelijk kan, en hoeveel ruimte ze hebben om dat goed te doen, wordt bepaald door alles om hen heen.