Over de regels wordt nog onderhandeld, maar de AFM verwacht nu al samenhang tussen vastlegging, eigenaarschap en uitbesteding.
De oprichter van een kleine gereguleerde onderneming opent een verzoek van de complianceadviseur. Die heeft het meest recente leveranciersregister nodig,bewijs van de beoordeling door het bestuur en de onderbouwing van een lichtere inrichting van de interne audit. De oprichter weet waarom elk besluit is genomen. De antwoorden staan echter verspreid over e-mails, vergaderverslagen en het geheugen van één medewerker.
Er is niets zichtbaar misgegaan. Toch vertraagt het gewone werk, omdat de onderneming haar eigen besluiten niet snel kan reconstrueren.
Daar bereikt het Europese debat over toezicht de Nederlandse werkvloer. Op 22 juli formuleerden de Autoriteit Financiële Markten, AFM, en haar Franse evenknie, AMF, vijf voorwaarden voor effectief gecentraliseerd toezicht op EU-niveau. Zij pleiten voor risicogebaseerd en adaptief toezicht, evenredige en transparante kosten, aanspreekbaar bestuur, gecentraliseerde data en effectieve handhaving.
De twee toezichthouders steunen een sterkere centrale rol voor de Europese Autoriteit voor effecten en markten, ESMA. De onderhandelingen lopen nog. De richting geeft gereguleerde ondernemingen niettemin een duidelijke boodschap: informatie moet bruikbaar blijven buiten het bureau waar iemand haar oorspronkelijk heeft vastgelegd.
Wat toezichthouders kunnen gebruiken
Centraal toezicht is afhankelijk van informatie die tussen ondernemingen en landen kan worden vergeleken. Een beleidsdocument in een map heeft weinig waarde als niemand het met de feitelijke werkwijze kan verbinden. Een register verliest aan kracht wanneer de onderliggende gegevens verouderd zijn. Een bestuursbesluit wordt moeilijk uit te leggen wanneer de eigenaar, datum en motivering zijn verdwenen.
Een dag later publiceerde de AFM haar bevindingen uit het onderzoek naar Nederlandse beleggingsfondsbeheerders. Documentatie was soms verouderd, onvolledig of te algemeen. Planning, monitoring en rapportage sloten niet altijd goed genoeg op elkaar aan om het bestuur in staat te stellen zwakke plekken tijdig te herkennen en op te volgen.
De AFM stelde ook vast dat keuzes op basis van proportionaliteit vaak onvoldoende waren onderbouwd. Een kleinere of minder complexe onderneming kan redelijkerwijs voor een lichtere inrichting kiezen. Het bestuur moet nog steeds kunnen uitleggen waarom die inrichting past bij de omvang, activiteiten en risico’s van de organisatie.
Dit wijst weg van compliance die op het professionele geheugen leunt. Zolang het team stabiel blijft, kan het geheugen een kleine onderneming ver brengen. Het wordt kwetsbaar zodra een collega vertrekt, een leverancier verandert, zich een incident voordoet of een toezichthouder vraagt om het verhaal in een gestructureerde vorm.
De nuttige vraag is niet langer alleen: ‘Hebben we een beleidsdocument?’ De vraag is: ‘Kunnen we laten zien waar dit beleid in de praktijk werkt, wie ervoor verantwoordelijk is en wat er gebeurde toen het proces tekortschoot?’
Uitbesteding verplaatst de verantwoordelijkheid niet
Kleine gereguleerde ondernemingen kopen vaak deskundigheid in, omdat het verspilling zou zijn om iedere specialistische functie intern te onderhouden. Dat kan een verstandig besluit zijn. De AFM trekt hierbij een duidelijke grens: wanneer compliance- of interneauditwerkzaamheden worden uitbesteed, blijft de beleggingsfondsbeheerder verantwoordelijk.
Hetzelfde vraagstuk rond eigenaarschap speelt onder de Digital Operational Resilience Act, DORA. Op 6 augustus meldde de AFM dat 94 procent van de ingediende informatieregisters door de Europese Bankautoriteit was goedgekeurd, tegenover 40 procent in 2025. De AFM benadrukte daarnaast de kwaliteit van de registers en van de gegevens waarop zij berusten.
Bij sommige gereguleerde ondernemingen ontbraken verplichte beleidsstukken of procedures. Andere gebruikten documenten die niet volledig aansloten op de toepasselijke regels. Een vergunninghouder blijft verantwoordelijk wanneer hij beleid op groepsniveau gebruikt. Het lokale bestuur moet weten wat voor de eigen entiteit geldt en hoe dat beleid in de dagelijkse praktijk werkt.
Daarmee zijn we terug bij de oprichter aan het bureau. Een externe adviseur kan de compliancekalender bijhouden. Een ICT-leverancier kan leveranciersgegevens bewaren. Een groepskantoor kan het beleid schrijven. Geen van hen vervangt de persoon binnen de Nederlandse entiteit die kan uitleggen wat van toepassing is, wat er veranderde en wat het bestuur vervolgens deed.
Data elders moet ook weer naar huis kunnen
Centralisatie brengt een tweede praktisch punt met zich mee. Nederlandse toezichthouders hebben gewaarschuwd voor afhankelijkheid van een klein aantal ICT-aanbieders. Van leverancier wisselen kan kostbaar en ingewikkeld zijn. Open standaarden, interoperabiliteit en werkbare overstapmogelijkheden horen daarom thuis in het gesprek van het bestuur, niet alleen in het technologieplan.
Een centraal informatiesysteem helpt alleen wanneer de onderneming betrouwbare toegang, duidelijke rechten en een bruikbare route heeft om haar gegevens terug te halen of te verplaatsen. Dit bepaalt mede of het bestuur nog kan handelen wanneer een leveranciersrelatie onder druk verandert.
De voor de hand liggende reactie kan zijn om nog een platform aan te schaffen. Dat verdient enige terughoudendheid. De zwaardere kosten zitten vaak in terugkerend werk: registraties actualiseren, gegevens afstemmen, leveranciers beoordelen, uitzonderingen vastleggen en acties afsluiten.
Slecht verbonden bewijs kan indirect geld opslokken. Het accepteren van klanten duurt langer. Een adviseur maakt extra uren. Due diligence komt stil te liggen terwijl het bestuur zoekt naar besluiten die iedereen zich herinnert, maar niemand kan overleggen. Dit zijn vertrouwde commerciële gevolgen wanneer informatie niet even snel beweegt als het besluit.
Een onderneming heeft geen grootschalige transformatie nodig om dit te verbeteren. Zij kan beginnen met één belangrijk proces, zoals een uitbestede ICT-dienst, een klantacceptatietraject of een incidentprocedure. Volg het proces van beleid naar dagelijkse uitvoering. Wijs de interne eigenaar aan. Controleer het meest recente bewijs, de uitzonderingen, de bestuursrapportage en de nog openstaande actie.
Stel daarna een eenvoudige vraag: kan iemand anders de volgorde reconstrueren zonder de medewerker te bellen die dit normaal gesproken afhandelt?
Het controledossier is het bedrijfsdossier
Voor een kleinere onderneming die proportionaliteit toepast, verdient ook de motivering dezelfde zorg. De uitleg moet aansluiten op de producten, medewerkers, systemen en leveranciers van vandaag, niet op de onderneming zoals die er drie jaar geleden uitzag.
Dit is in de eerste plaats een signaal voor gereguleerde financiële ondernemingen en de organisaties die hen ondersteunen. Ook leveranciers moeten opletten. Hun gereguleerde klanten zullen steeds vaker behoefte hebben aan duidelijkere contracten, betrouwbare toegang tot data, bewijs van dienstverleningsprestaties en escalatieroutes die werken wanneer er iets misgaat.
De oprichter uit de openingsscène heeft geen grotere documentbibliotheek nodig. De onderneming heeft een duidelijkere lijn nodig tussen besluit, eigenaar, bewijs en reactie.
Europa geeft de architectuur van het toezicht nog vorm. Binnen de onderneming ligt de praktische vraag al klaar: als iemand het morgen vraagt, kan het bedrijf dan rustig laten zien hoe de controle van vandaag daadwerkelijk heeft gewerkt?
Als uw onderneming besluiten, eigenaarschap en bewijs beter met elkaar moet verbinden, kunnen wij helpen de praktische hiaten in kaart te brengen.
De data, bronnen en analyse achter dit artikel zijn uitgevoerd door Paolo Maria Pavan. AI is niet gebruikt om bronnen te identificeren, de feitelijke basis op te bouwen of het analytische oordeel te vormen. AI is alleen gebruikt als schrijfhulp. De uiteindelijke Nederlandse tekst is persoonlijk beoordeeld, bewerkt en goedgekeurd door Paolo Maria Pavan vóór publicatie.
Bronnen
- Van ontwerp tot uitvoering: AFM en AMF identificeren vijf randvoorwaarden voor effectief toezicht op EU-niveau
- Rijksoverheid - Dutch policy supports stronger ESMA supervision, but the architecture is still developing
- Autoriteit Financiële Markten - Current Dutch supervisory findings on documentation, outsourcing and proportionality
- Autoriteit Financiële Markten - Data quality is already a supervisory condition, not back-office housekeeping
- Autoriteit Financiële Markten - Later AFM evidence pressure under DORA
- Autoriteit Financiële Markten - Centralised information increases dependence on outsourced digital infrastructure
