Introductie artikelen reeks: AML/CFT Internal Audits – De Onzichtbare Strijd

 

AML/CFT internal audit is belangrijker dan ooit. Niet omdat de regelgeving dat zegt. Maar omdat de gevolgen van falen (boetes, reputatieschade, ingrijpende toezichthouders) steeds groter worden. 

En juist daarom is het opvallend hoe vaak de gesprekken over AML/CFT audits blijven hangen in… theorie. Regulatory kaders. Best practices. Kernprincipes die iedereen al kent. Veilig.  Correct. En eerlijk gezegd: weinig zeggend. 

Want in de praktijk gaat het zelden mis omdat iemand de regels niet kent. Het gaat mis omdat audits niet scherp genoeg zijn. Omdat risico’s worden gemist. Omdat niemand de ongemakkelijke vragen stelt. 

Precies dáár gaat deze reeks over. Niet over hoe het zou moeten, maar over waar het daadwerkelijk fout gaat. 

Achter veel auditrapporten schuilt een ongemakkelijke waarheid: organisaties die “compliant” lijken, maar risico’s structureel missen. Audits die netjes afvinken wat moet en ondertussen compleet voorbijgaan aan wat er écht toe doet. 

In de komende weken nemen we je mee in een reeks die die realiteit blootlegt:
“AML/CFT Internal Audits – De Onzichtbare Strijd” 

Geen theorie. Geen standaard praatjes. Wel de patronen die wij keer op keer zien en die bepalen of een audit waarde toevoegt… of juist schijnzekerheid creëert. 

 

We starten met vier artikelen waarvan de onderwerpen je waarschijnlijk pijnlijk bekend voorkomen: 

  1. Waarom 80% van de AML/CFT-audits niet werkt (en hoe je bij de andere 20% hoort)
    Over de illusie van compliance — en waarom “goed op papier” vaak gevaarlijk is.
  2. De 3 grootste blind spots in AML/CFT-audits (en hoe ze je organisatie kunnen ruïneren)
    Cultuur, data en menselijk gedrag: de risico’s die je auditrapport zelden écht vangt.
  3. De ongemakkelijke waarheid: InternalAudit vs. de Business (wie wint?)
    Wat er gebeurt als kritische audits botsen met commerciële realiteit. 
  4. AML/CFT-audits in 2026: Waarom oude methodes niet meer werken
    Nieuwe vormen van criminaliteit — en audits die daar simpelweg niet tegenop gewassen zijn.

En daarna? 

Dan gaan we een laag dieper.
Naar de onderwerpen waar minder over gesproken wordt maar die vaak de échte impact bepalen: 

  • De verborgen gevolgen waar niemand vooraf rekening mee houdt 
  • De krachten achter de schermen die audituitkomsten beïnvloeden 
  • Waarom goede bevindingen tóch nergens landen 
  • En wat er fundamenteel moet veranderen om audits toekomstbestendig te maken 

Deze reeks is voor iedereen die betrokken is bij AML/CFT — en zich afvraagt: 

“Doen we het juiste… of doen we vooral wat verwacht wordt?” 

Volg de serie en begin met jezelf die vraag te stellen. 

 

 

Vooruitblik

In het volgende artikel analyseren we de drie grootste blind spots in AML/CFT-audits en waarom juist daar structureel risico’s over het hoofd worden gezien.

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

Het landschap van compliance onderzoeken: Arbeidsrechtelijke onderzoeken: de onderzoeks- en juridische kant

Arbeidsrechtelijke onderzoeken na vermoedens van wangedrag op de werkvloer: hoe pak je dat aan, welke sancties pas je toe?

Door Dennis van der Meer en Lydia Milders (arbeidsrechtadvocaat)

Introductie

U vermoedt dat uw werknemer vertrouwelijke bedrijfsgegevens deelt met derden of onrechtmatig concurreert – wat zijn de onderzoeksmogelijkheden? En welke disciplinaire maatregelen treft u voorafgaand aan, tijdens en na afloop van het onderzoek? 

Arbeidsrechtelijke onderzoeken vormen de schakel tussen compliance-signalen over wangedrag op de werkvloer en concrete personele maatregelen. Een melding over ongeoorloofde nevenactiviteiten, diefstal van vertrouwelijke informatie of grensoverschrijdend gedrag leidt uiteindelijk tot de vraag: welke sanctie is passend, en houdt die stand in een procedure?  

In dit vijfde artikel in onze reeks Compliance Onderzoeken beschrijven we hoe deze onderzoeken in de praktijk verlopen. Dennis van der Meer belicht de forensische en feitelijke kant, terwijl Lydia Milders (Milders law) de juridische kaders en valkuilen uiteenzet. Samen geven we een zo volledig mogelijk beeld van wat HR, compliance en bestuur moeten weten om een arbeidsrechtelijk onderzoek succesvol te laten verlopen – én welke disciplinaire maatregelen kunnen worden toegepast. 

Van signaal naar arbeidsrechtelijk onderzoek 

Arbeidsrechtelijke onderzoeken starten vaak als een logisch vervolg op eerdere meldingen: een manager die informatie doorspeelt aan concurrenten, een integriteitssignaal over ongeoorloofde nevenactiviteiten, of een constatering dat een werknemer klantgegevens heeft gekopieerd. Zodra de feiten voldoende concreet zijn, verschuift de focus naar de individuele medewerker en de arbeidsrechtelijke gevolgen.  

Die overgang is niet vanzelfsprekend. Er moet een afweging worden gemaakt: is er genoeg om verder te onderzoeken, en zo ja, hoe diep ga je graven? Daarbij spelen twee centrale spanningen: 

Proportionaliteit versus diepgang

Het onderzoek moet stevig genoeg zijn om een eventuele sanctie – van waarschuwing tot ontslag – te kunnen dragen. Maar het mag niet verder gaan dan nodig. Een te invasief onderzoek kan disproportioneel worden geacht, zeker als achteraf blijkt dat de verdenking ongegrond was. De kunst is om de onderzoeksmiddelen af te stemmen op de ernst van de verdenking. 

Snelheid versus zorgvuldigheid

Bij ernstige vermoedens – bijvoorbeeld van fraude of diefstal – wil je snel handelen om verdere schade te voorkomen. Tegelijkertijd moet het onderzoek zorgvuldig zijn: de werknemer moet gehoord worden, bevindingen moeten worden vastgelegd, en het dossier moet de toets van de rechter kunnen doorstaan. Wie te snel schakelt, riskeert een onvolledig dossier; wie te lang wacht, kan het verwijt krijgen niet adequaat te hebben ingegrepen. 

En de AVG? Arbeidsrechtelijke onderzoeken verwerken per definitie persoonsgegevens, dus AVG-bewustzijn is vereist. In de arbeidsrechtpraktijk vormt dit echter zelden een obstakel. Hieronder gaan we daar verder op in. 

Het eindresultaat van het onderzoek moet hoe dan ook bestand zijn tegen juridische toetsing. Dat betekent: een helder dossier, een navolgbaar onderzoeksproces, en bevindingen die standhouden in een eventuele procedure bij de kantonrechter. 

Drie typische scenario’s 

Arbeidsrechtelijke onderzoeken draaien vaak om concrete gedragingen die de arbeidsrelatie schaden. Drie veelvoorkomende situaties: 

Scenario 1: Ongeoorloofd delen bedrijfsgeheime en concurrentiegevoelige informatie

Een salesmanager wordt verdacht van het doorsluizen van vertrouwelijke klantgegevens en pricinginformatie naar een nieuwe werkgever. Het onderzoek richt zich op gebruik van een eigen device voor werkmail, downloads van CRM-data, correspondentie met externe partijen en eventuele nevenactiviteiten. 

Scenario 2: Plichtsverzuim door nevenactiviteiten

Een controller runt, naast zijn dienstverband, een eigen adviesbureau in dezelfde branche en adviseert klanten die ook voor de werkgever werken. Onderzocht wordt of de nevenfunctie is gemeld, of werkuren zijn gebruikt voor privédoeleinden, of er overlap is met de klantenkring, en of vertrouwelijke informatie is gelekt. 

Scenario 3: Grensoverschrijdend gedrag

Meldingen over ongepaste opmerkingen, machtsmisbruik of (seksueel) intimiderend gedrag van een manager richting junioren. Hier draait het onderzoek om patronen: zijn er meerdere melders, WhatsApp-groepen, getuigenverklaringen en HR-gesprekken? 

Bij al deze scenario’s spelen ook privacy vragen. Het juridische kader daarvoor komt verderop aan bod. 

De forensische aanpak in arbeidsrechtelijke onderzoeken 

Financieel onderzoek en data analyse 

Bij vertrouwensbreukzaken controleren onderzoekers declaraties, reis- en verblijfskosten, en gebruik van bedrijfsmiddelen. Data-analyse detecteert ongebruikelijke patronen in urenregistratie of declaraties die wijzen op nevenactiviteiten.  

Digitaal forensisch onderzoek 

Mailverkeer, chatgeschiedenis, CRM-toegang en device-gebruik worden veiliggesteld. Bij arbeidsrechtelijke onderzoeken is forensische imaging van werkdevices vaak essentieel, maar roept direct privacyvragen op. Mailboxen bij externe IT-beheerders vormen een praktisch probleem: zonder heldere afspraken kan toegang vertraging opleveren.  

Bij grotere volumes komt eDiscovery in beeld: WhatsApp-groepen, Slack-kanalen en e-mail rond incidenten worden gefilterd met keyword searches en AI-clustering. Privacy inbreuk wordt geminimaliseerd door focus op werk gerelateerde data en redactie van privéberichten.  

Interviews en hoor/wederhoor 

Gesprekken met de verdachte, melders en getuigen zijn cruciaal, maar vragen om finesse. De verdachte krijgt concrete beschuldigingen voorgelegd met hoor en wederhoor. Opnames alleen met expliciete toestemming.  

Van belang is dat de beklaagde zo concreet mogelijke beschuldigingen krijgt voorgelegd, zodat hij of zij zich goed kan verweren. Dat is bij anonieme meldingen doorgaans niet mogelijk, tenzij de melding voldoende concrete feiten bevat die zonder prijsgeven van de melder kunnen worden voorgelegd. Anonieme meldingen kunnen daarom meestal geen zelfstandige basis vormen voor een persoonsgericht onderzoek, maar wel aanleiding geven voor een algemeen cultuur- of signalenonderzoek. 

Open bronnenonderzoek 

In verschillende open bronnen kan onderzoek uitgevoerd worden, waarbij onder andere nevenfuncties, KvK-registraties, LinkedIn en media worden doorgelicht om gemaakte verklaringen te toetsen.  

Juridisch kader aan de hand van scenario’s 

  1. Schending geheimhoudingsplicht

Bij vermoedens van het delen van bedrijfsgeheime informatie met derden staat meestal de contractuele geheimhoudingsplicht centraal. Vaak zijn op overtreding hoge boetes gesteld. Daarnaast speelt het goed werknemerschap (art. 7:611 BW) een grote rol: de werknemer is loyaliteit verschuldigd aan de werkgever en mag vertrouwelijke bedrijfsinformatie niet zomaar delen met derden, zeker niet met concurrenten. 

De juridische route hangt af van de ernst van de schending. Bij bewezen schending van het geheimhoudingsbeding of diefstal van bedrijfsgegevens ligt ontslag op staande voet (art. 7:677 jo. 7:678 BW) voor de hand, mits aan de onverwijldheidseis wordt voldaan. Bij minder ernstige schendingen – of wanneer de werkgever het risico van een mislukt ontslag op staande voet wil vermijden – kan hij kiezen voor ontbinding wegens verwijtbaar handelen (e-grond) of een verstoorde arbeidsverhouding (g-grond). 

De bewijslast ligt bij de werkgever. Hij moet aantonen dat de gedeelde informatie bedrijfsgeheimen betreffen én dat de werknemer verwijtbaar heeft gehandeld. 

  1. Nevenactiviteiten en belangenverstrengeling

Nevenactiviteiten zijn niet per definitie verboden, maar worden begrensd door het arbeidscontract, eventuele nevenwerkzaamhedenbedingen en het leerstuk van belangenverstrengeling. Sinds de Wet implementatie EU-richtlijn transparante en voorspelbare arbeidsvoorwaarden (augustus 2022) geldt dat een nevenwerkzaamhedenbeding alleen geldig is als de werkgever een objectieve rechtvaardigingsgrond kan aanvoeren. Een algeheel verbod op nevenwerkzaamheden is daarmee niet langer houdbaar. 

Wanneer nevenactiviteiten leiden tot belangenverstrengeling – bijvoorbeeld doordat de werknemer klanten van de werkgever bedient via een eigen onderneming – kan dit plichtsverzuim opleveren en grond zijn voor ontslag wegens verwijtbaar handelen (e-grond). Bij ernstige gevallen, zoals het actief beconcurreren van de werkgever of het wegsluizen van klanten, kan zelfs een dringende reden bestaan. 

  1. Grensoverschrijdend gedrag

Grensoverschrijdend gedrag valt onder de wettelijke zorgplicht van de werkgever voor een veilige werkomgeving (art. 7:658 BW en de Arbeidsomstandighedenwet). De werkgever is verplicht (preventieve) maatregelen te treffen tegen ongewenst gedrag en moet bij signalen onderzoek (laten) doen. 

De passende sanctie hangt af van de ernst van het gedrag, de context, eventuele herhaling en de positie van de betrokkenen. Een eenmalige ongepaste opmerking rechtvaardigt doorgaans geen ontslag, maar structureel intimiderend gedrag door een leidinggevende kan stevige disciplinaire maatregelen rechtvaardigen, waaronder ontslag. 

De bewijslast is vaak complex: het gaat meestal om tegengestelde verklaringen – woord tegen woord. Een zorgvuldig onderzoek met meerdere getuigen, documentatie van patronen en toepassing van hoor en wederhoor is essentieel om disciplinaire maatregelen te kunnen nemen die ook standhouden in rechte. 

Privacy en AVG 

Bij een intern onderzoek naar fraude of andere misstanden komt privacy altijd om de hoek kijken. In de arbeidsrechtpraktijk valt de impact echter meestal mee. Bij concrete signalen van fraude, belangenverstrengeling of andere serieuze integriteitsschendingen krijgt de werkgever van de rechter doorgaans veel ruimte om onderzoek te doen. 

De Hoge Raad maakte dit al in 2001 duidelijk in het arrest Wennekes Lederwaren (HR 27 april 2001). Een werkgever had een verborgen camera opgehangen vanwege een vermoeden van verduistering. De werknemer beriep zich op privacy en wilde dat de beelden buiten beschouwing bleven. De Hoge Raad ging daar niet in mee: de werkgever had een gerechtvaardigd belang, het vermoeden was concreet, en het bewijs kon niet op een andere manier worden verkregen. Zelfs bij een inbreuk op de privacy betekent dat nog niet dat het bewijs niet mag worden gebruikt. 

Die lijn is sindsdien bestendigd. In 2014 formuleerde de Hoge Raad de algemene regel: in civiele zaken wordt onrechtmatig verkregen bewijs in beginsel niet uitgesloten. Het belang van waarheidsvinding weegt zwaarder. Bewijsuitsluiting is pas aan de orde bij bijkomende omstandigheden, en die drempel ligt hoog. 

De AVG geldt uiteraard gewoon, maar staat een onderzoek niet in de weg. De grondslag is meestal het gerechtvaardigd belang van de werkgever (art. 6 lid 1 sub f AVG). In fraudezaken valt die belangenafweging vrijwel altijd in het voordeel van de werkgever uit. 

Kortom: documenteer het onderzoek goed, leg de AVG-grondslag vast en voer het onderzoek fatsoenlijk uit. Maar laat u niet verlammen door privacyzorgen als er serieuze signalen op tafel liggen. De kans dat een rechter het bewijs buiten de deur houdt is – mits het onderzoek zorgvuldig en proportioneel is uitgevoerd – heel klein. 

Non-actiefstelling als tussenmaatregel 

Overweeg de werknemer direct na het eerste serieuze signaal op non-actief te stellen, met behoud van loon. Dit geeft ruimte voor onderzoek zonder dat de werknemer toegang heeft tot systemen of collega’s, en benadrukt dat de werkgever de zaak serieus neemt. 

De werknemer kan de non-actiefstelling aanvechten via een kort geding. De rechter beoordeelt dan of de verdenking voldoende concreet is onderbouwd, of hoor en wederhoor is toegepast, of de maatregel proportioneel is, of de non-actiefstelling procedureel zorgvuldig tot stand is gekomen, of er alternatieven zijn overwogen (zoals coaching, waarschuwing of een gesprek), en of de werkgever niet ontoelaatbaar vooruitloopt op een ontslagprocedure. 

Ontslagroutes: welke kies je wanneer? 

De keuze tussen de verschillende ontslagroutes hangt af van de ernst van het wangedrag, de sterkte van het bewijs en de risicobereidheid van de werkgever. 

Ontslag op staande voet (dringende reden) 

Ontslag op staande voet is de meest ingrijpende sanctie en vereist een dringende reden (art. 7:677 jo. 7:678 BW). Voorbeelden uit de wet zijn diefstal, verduistering, bedreiging en grove belediging, maar ook ernstige schending van de geheimhoudingsplicht of onrechtmatige concurrentie kan een dringende reden opleveren. De werkgever moet de dringende reden onverwijld aan de werknemer mededelen; dit houdt in zo snel mogelijk nadat de beslissingsbevoegde bekend is geworden met de feiten.

Het risico van ontslag op staande voet is aanzienlijk: als de rechter oordeelt dat geen dringende reden bestond of dat niet onverwijld is gehandeld, kan de werknemer het ontslag laten vernietigen. Dit kan leiden tot herstel van de arbeidsovereenkomst met loondoorbetaling. Kiest de werknemer niet voor vernietiging maar berust hij in het ontslag, dan kan hij in plaats daarvan aanspraak maken op een billijke vergoeding die bij een onterecht ontslag op staande voet vaak aanzienlijk is. 

Ontbinding wegens verwijtbaar handelen (e-grond) 

Wanneer het gedrag verwijtbaar is maar mogelijk onvoldoende ernstig voor ontslag op staande voet – of wanneer de werkgever het risico van een mislukt ontslag op staande voet wil vermijden – kan hij kiezen voor een ontbindingsverzoek bij de kantonrechter wegens verwijtbaar handelen (e-grond, art. 7:669 lid 3 sub e BW). De rechter toetst of het handelen of nalaten zodanig verwijtbaar is dat van de werkgever in redelijkheid niet kan worden gevergd de arbeidsovereenkomst te laten voortduren. Bij ernstig verwijtbaar handelen kan de rechter oordelen dat geen transitievergoeding verschuldigd is; bij “gewoon” verwijtbaar handelen is deze wel verschuldigd. 

Bij twijfel over de ernst van het wangedrag of over de voortvarendheid van het onderzoek, kiest de werkgever vaak voor een ontbindingsverzoek via de kantonrechter: minder risico, meer proceszekerheid. 

Cumulatiegrond (i-grond) 

Sinds 2020 kan de werkgever een beroep doen op de cumulatiegrond (art. 7:669 lid 3 sub i BW) wanneer sprake is van een combinatie van omstandigheden uit meerdere ontslaggronden die afzonderlijk onvoldoende zijn, maar samen wel een ontslag rechtvaardigen. Bij toewijzing op de zogenoemde “i-grond” kan de rechter een extra vergoeding toekennen van maximaal 50% van de transitievergoeding. 

De i-grond is vooral nuttig wanneer de werkgever meerdere “halve” gronden heeft – bijvoorbeeld deels verwijtbaar handelen en deels een verstoorde arbeidsrelatie. Het nadeel is de mogelijke extra vergoeding, maar dat weegt soms op tegen de zekerheid van ontbinding. 

Vaststellingsovereenkomst (VSO) 

In de praktijk wordt een groot deel van de arbeidsrechtelijke geschillen opgelost via een VSO. De sterkte van het onderzoeksdossier bepaalt de onderhandelingspositie: een waterdicht dossier leidt doorgaans tot een snelle VSO op voor de werkgever gunstige voorwaarden, terwijl een zwakker dossier de werknemer meer onderhandelingsruimte geeft. 

Onderzoeksduur en de onverwijldheidseis 

Een belangrijk aandachtspunt bij ontslag op staande voet is de spanning tussen onderzoeksduur en de onverwijldheidseis. De werkgever hoeft niet overhaast te handelen – een zorgvuldig onderzoek is juist vereist om de feiten goed vast te stellen. Wel moet de werkgever gedurende het onderzoek voortvarend handelen en kunnen verantwoorden waarom het onderzoek de tijd heeft geduurd die het heeft geduurd. 

Concreet betekent dit: documenteer de onderzoekstijdlijn nauwkeurig, vermijd onnodige pauzes, en overweeg non-actiefstelling als tussenmaatregel. De onverwijldheid begint te lopen op het moment dat de werkgever (doorgaans: de persoon die bevoegd is tot ontslag) voldoende zekerheid heeft over de feiten. Het inwinnen van juridisch advies of het afwachten van een onderzoeksrapport kan deze termijn opschorten, mits dit voortvarend gebeurt. 

Het horen van de werknemer voorafgaand aan het ontslag is geen wettelijke eis, maar wel sterk aan te raden. De werknemer de gelegenheid geven om te reageren op de bevindingen versterkt de juridische positie. 

Rechters accepteren onderzoeksperiodes van enkele weken, soms zelfs maanden bij complexe fraudezaken, mits de werkgever kan aantonen dat hij voortvarend heeft gehandeld. 

Van bevindingen naar arbeidsrechtelijk besluit 

Een arbeidsrechtelijk onderzoek eindigt met een rapport dat voldoet aan drie eisen. Ten eerste feitelijke scheiding: harde feiten staan los van interpretatie en zonder juridische duiding (die is voorbehouden aan de juridisch adviseurs). Ten tweede reproduceerbaarheid: de methodiek moet navolgbaar zijn voor de kantonrechter. Ten derde privacy-proof: welke data is verwerkt, op welke grondslag, en hoe is deze beveiligd?  

Het rapport vormt de basis voor de besluitvorming van de werkgever. Die besluitvorming volgt een sanctietrap: van schriftelijke waarschuwing, via loonopschorting en ontslag met wederzijds goedvinden, tot ontslag via de kantonrechter of ontslag op staande voet. De centrale vraag is steeds: is het dossier sterk genoeg voor een dringende reden (ontslag op staande voet) of voor verwijtbaar gedrag (ontbinding)? Alternatieven zoals mediation, herplaatsing of tijdelijke aanpassing van de functie blijven altijd in beeld. 

Trends en aandachtspunten 

Professioneel onderzoek, voorkom betalen billijke vergoeding: uit veel rechtspraak volgt dat werkgevers steken laten vallen bij het (laten) doen van goed onderzoek, en het correct toepassen van hoor en wederhoor. Met als gevolg dat een hoge billijke vergoeding moet worden betaald aan de werknemer vanwege ernstig verwijtbaar gedrag van de werkgever (denk aan gemiddeld 4 – 12 maandsalarissen, of meer). Dit benadrukt het belang van een gedegen en onafhankelijk onderzoek, bij vermoedens van (ernstig) wangedrag op de werkvloer. 

Wet bescherming klokkenluider (Wbk): het komt voor dat een klokkenluider die een misstand meldt, zelf ook onderwerp wordt van onderzoek – bijvoorbeeld omdat hij verdacht wordt van betrokkenheid bij de gemelde feiten, of omdat zijn melding wordt gezien als poging om eigen wangedrag te maskeren. Dit levert een bijzonder spanningsveld op. De Wbk beschermt melders tegen benadeling, maar die bescherming is niet absoluut: als de melder zelf verwijtbaar heeft gehandeld, kan de werkgever daar onderzoek naar doen en zo nodig sancties opleggen. De kunst is om beide trajecten – het beschermen van de melder én het onderzoeken van mogelijk wangedrag – procedureel zuiver te houden en goed te documenteren waarom bepaalde maatregelen worden getroffen. 

AI en data-analyse: geavanceerde tools maken het mogelijk om sneller patronen te detecteren in grote datasets, maar vragen om bewustzijn van de grenzen. 

Hybride werken: het gebruik van privédevices en thuiswerken maakt de forensische grenzen lastiger te bewaken en vraagt om duidelijke afspraken vooraf (in gedragscode, handboek e.d.). 

Forensic readiness blijft cruciaal: logging aan, heldere IT-contracten, protocollen voor incidenten, en training van key users in data preservation. 

Tot slot 

Voor de arbeidsrechtpraktijk geldt; neem de tijd die nodig is voor een deugdelijk onderzoek, maar laat geen gaten vallen. Documenteer elke stap en wees in staat om achteraf uit te leggen waarom het onderzoek de doorlooptijd had die het had. Disciplinaire maatregelen (waaronder ontslag) kunnen enkel worden toegepast na zorgvuldig onderzoek en deugdelijke toepassing van hoor en wederhoor, en dienen altijd proportioneel te zijn. 

Vooruitblik: due diligence-onderzoeken 

In het zesde artikel verschuift de focus naar due diligence en reputatieonderzoek: hoe screen je externe partijen vóór overnames, partnerships of grote contracten? Forensische methoden, OSINT en integriteitschecks komen samen in een preventieve benadering.  

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

Het landschap van compliance onderzoeken: Klokkenluidersonderzoeken: van melding tot échte verandering

Klokkenluiders zijn onmisbaar voor het blootleggen van (ernstige) misstanden. Toch bepaalt de opvolging van een melding of een organisatie écht integer is, of dat het bij een papieren werkelijkheid blijft. Sinds de invoering van de Wet bescherming klokkenluiders (Wbk) is het speelveld strenger gereguleerd. Maar hoe vertaal je een ‘onverwachte’ melding naar een deugdelijk feitenonderzoek en uiteindelijk naar blijvende verandering? 

Een juridische lappendeken: Wbk, Wwft en sectorwetten 

De Wbk verplicht organisaties met 50 of meer medewerkers tot een interne meldregeling en een passende onderzoeksprocedure. Maar voor veel sectoren is de Wbk slechts de basis. Er geldt een “lex specialis”: specifieke wetten die vaak nog strengere eisen stellen aan meldkanalen. Denk bijvoorbeeld aan: 

  1. Wwft (Anti-Money Laundering and Anti-Terrorist Financing Act)
    Sector: Financiële instellingen, advocatuur, accountancy, etc.
    Focus: Witwassen en terrorismefinanciering. 
  2. Wft (Financial Supervision Act)
    Sector: Financiële instellingen, verzekeraars, beleggingsinstellingen, etc.
    Focus: Financiële integriteit en marktmisbruik. 
  3. Wta (Audit Firms Supervision Act)
    Sector: Accountantsorganisaties
    Focus: Schending van beroepsregels en onafhankelijkheid. 
  4. AVG (GDPR)
    Sector: Alle sectoren
    Focus: Datalekken en privacy-inbreuken. 

Het risico voor organisaties is een versnipperd landschap van verschillende “loketjes”. De trend is daarom de inzet van één gecentraliseerd, multi-compliant meldplatform dat meldingen op basis van het onderwerp direct terecht laat komen bij de juiste expert (zoals de Compliance Officer of externe klokkenluidersfunctionaris), terwijl de anonimiteit en wettelijke termijnen gewaarborgd blijven. 

Verder kijken dan de eigen organisatie 

Vooruitstrevende organisaties openen hun meldkanaal inmiddels ook voor ketenpartners, zoals leveranciers en zzp’ers. Hoewel strikte rapportageverplichtingen zoals de CSRD en CSDDD door de komst van de “Omnibus-richtlijn”1 voor sommige bedrijven naar de achtergrond zijn verschoven, blijft de maatschappelijke noodzaak onverminderd groot. 

Vanuit maatschappelijke betrokkenheid valt er alles voor te zeggen om zicht te houden op integriteit buiten de eigen muren. Voor verzekeraars is dit zelfs een bittere noodzaak: onder de Wft zijn zij medeverantwoordelijk voor een integere bedrijfsvoering in hun gehele distributieketen (zoals volmachten). 

Een fundamentele vraag staat hier overeind: hoe zorg je ervoor dat al die signalen, van binnen én van buiten, daadwerkelijk boven tafel komen? Maatschappelijke betrokkenheid en wettelijke kaders scheppen de plicht om te luisteren, maar ze garanderen nog niet dat mensen ook durven te spreken. Dat vraagt om meer dan een beleidskeuze; het vraagt om vertrouwen in het meldproces zelf. 

Daarmee komen we bij het beginpunt van elk klokkenluidersonderzoek. Want of een misstand zich nu voordoet in de organisatie of in de keten eromheen, alles staat of valt met die eerste stap: de melding. Hoe die wordt gedaan, ontvangen en opgevolgd, bepaalt of een signaal uitgroeit tot echte verandering, of ongehoord blijft. 

Melding tot échte verandering

I. De Melding: Hoe zorg je dat medewerkers spreken?

Elke klokkenluiderszaak begint met een moment van twijfel. Een medewerker ziet iets wat niet klopt, voelt dat er iets moet gebeuren, maar aarzelt. De grootste hobbel is zelden de inhoud van de melding; het is de angst voor wat daarna komt. Reputatieschade, een verstoorde werkrelatie of subtiele vormen van benadeling liggen op de loer. De Wet bescherming klokkenluiders probeert die angst weg te nemen met de omgekeerde bewijslast: als een melder nadeel ondervindt, moet de werkgever aantonen dat dit niets met de melding te maken heeft. Dat biedt houvast, maar overtuigt lang niet iedereen. 

Wie medewerkers echt wil bewegen om hun stem te laten horen, moet verder kijken dan juridische waarborgen alleen. De praktijk laat zien dat vertrouwen vooral ontstaat door de manier waarop melden is ingericht. Toegankelijke, goed doordachte techniek speelt daarin een sleutelrol. 

Moderne meldplatformen fungeren als stille gidsen in dat eerste, kwetsbare stadium. Ze zorgen ervoor dat een melding niet blijft hangen op een algemeen e-mailadres, maar direct terechtkomt bij de juiste deskundige: compliance, HR of een onafhankelijke klokkenluidersfunctionaris. Dat geeft de melder het gevoel dat zijn signaal serieus wordt genomen vanaf het eerste moment. 

Minstens zo belangrijk is de mogelijkheid om anoniem te blijven, zonder in stilte te verdwijnen. Beveiligde systemen maken het mogelijk om volledig anoniem te melden én toch in gesprek te blijven. Via een afgeschermde chat kunnen onderzoekers verduidelijkende vragen stellen en aanvullende informatie ophalen. Zo groeit een eerste signaal uit tot een volwaardig verhaal, in plaats van een melding die vastloopt omdat essentiële details ontbreken. 

Juist in deze eerste fase wordt de toon gezet. Als medewerkers ervaren dat spreken veilig, laagdrempelig en zinvol is, ontstaat ruimte voor de volgende stap: een onderzoek dat niet alleen vaststelt wat er misging, maar ook de weg opent naar echte verandering. 

II. Het Onderzoek: Onafhankelijke feitenvaststelling

Na de melding volgt een beslissend moment. Binnen zeven dagen moet de ontvangst zijn bevestigd, maar in werkelijkheid begint dan pas het echte werk. Vanaf dit punt staat er meer op het spel dan alleen waarheidsvinding. De manier waarop het onderzoek wordt ingericht en uitgevoerd, bepaalt of het dossier intern tot rust komt of juist uitgroeit tot een kwestie die zijn weg vindt naar de media of toezichthouders zoals de Autoriteit Financiële Markten of De Nederlandsche Bank. 

In deze fase is onafhankelijkheid geen abstract principe, maar een harde randvoorwaarde. Een onderzoek dat wordt uitgevoerd door iemand met een hiërarchische, persoonlijke of organisatorische band met de beklaagde, roept al snel vragen op. Zelfs als de conclusies inhoudelijk kloppen, kan de schijn van belangenverstrengeling het vertrouwen ondermijnen. Daarom is het essentieel dat onderzoekers zichtbaar losstaan van de interne machtsverhoudingen. Onafhankelijkheid beschermt niet alleen de melder, maar ook de organisatie zelf. 

Daarnaast draait een goed onderzoek om transparantie in de aanpak. Betrokkenen moeten kunnen volgen hoe conclusies tot stand komen. Worden alle relevante feiten verzameld? Is hoor en wederhoor zorgvuldig en evenwichtig toegepast? Een navolgbare methodiek, gebaseerd op verifieerbaar bewijs, voorkomt dat het onderzoek later wordt weggezet als subjectief of gekleurd. Het verhaal moet kloppen, niet alleen inhoudelijk, maar ook procesmatig. 

Een bijzonder spanningsveld ontstaat wanneer het onderzoek zich niet meer uitsluitend richt op de melding, maar ook op de melder zelf. In de praktijk komt het regelmatig voor dat er een zogenoemde ‘tegenmelding’ opduikt: kritiek op het functioneren of gedrag van de melder. Dat kan legitiem zijn, maar vormt ook een risico. Wanneer deze lijnen door elkaar gaan lopen, verschuift de aandacht ongemerkt van de inhoud van de melding naar de persoon die deze deed. 

Een zorgvuldig onderzoek bewaakt die grens strikt. De feiten rond de melding worden onderzocht op hun eigen merites; eventuele HR-kwesties volgen een afzonderlijk spoor. Alleen zo blijft het onderzoek zuiver en wordt voorkomen dat het proces ontaardt in een strijd om geloofwaardigheid in plaats van een zoektocht naar de waarheid. 

Juist in deze fase laat een organisatie zien hoe serieus zij meldingen neemt. Onafhankelijke, zorgvuldige feitenvaststelling vormt de brug tussen spreken en oplossen — en daarmee de basis voor duurzame verandering. 

Wat klokkenluidersonderzoek uniek maakt, is dat het zich afspeelt op het snijvlak van feiten, vertrouwen en macht. Anders dan bij reguliere interne onderzoeken staat niet alleen het wat centraal, maar ook het wie en waarom. De melder is geen neutrale bron, maar vaak onderdeel van dezelfde organisatiecultuur die ter discussie staat. Dat vraagt van onderzoekers een scherp gevoel voor context, dynamiek en timing. Elk signaal, elke keuze in het proces kan door betrokkenen worden gelezen als bevestiging of ontkenning van hun gelijk. Juist daarom is klokkenluidersonderzoek meer dan een technische exercitie: het is een ‘test’ voor de integriteit van de organisatie zelf, waarin zorgvuldigheid en onafhankelijkheid bepalend zijn voor de geloofwaardigheid van de uitkomst. 

III. De Verandering: Impact en cultuur 

Een klokkenluidersonderzoek eindigt niet bij het rapport. Sterker nog, daar begint het spannendste deel pas. Feiten kunnen worden vastgesteld, conclusies zorgvuldig geformuleerd, maar zonder opvolging blijft een onderzoek een papieren werkelijkheid. De echte maatstaf voor succes is de vraag of de organisatie er aantoonbaar van leert en haar integriteit weet te herstellen. 

Dat vraagt om een vertaling van bevindingen naar structurele lessen. Soms blijkt een melding te gaan over een eenmalig incident, veroorzaakt door individuele keuzes. Vaker legt zij echter iets fundamentelers bloot: onduidelijke verantwoordelijkheden, gebrekkige interne controles of een cultuur waarin afwijkende signalen te lang zijn genegeerd. Juist op dat punt ontstaat echte verandering. Niet door schuldigen aan te wijzen en door te gaan, maar door processen, governance en gedrag kritisch tegen het licht te houden en waar nodig aan te passen. 

Minstens zo bepalend is wat deze fase doet met het gevoel van veiligheid binnen de organisatie. Psychologische veiligheid groeit niet door beleidsstukken, maar door zichtbaar handelen. Wanneer bestuur en leidinggevenden open communiceren over wat er met de melding is gebeurd, binnen de grenzen van vertrouwelijkheid, en laten zien dat misstanden daadwerkelijk consequenties hebben, verandert de perceptie. Zeker wanneer die consequenties ook de top raken, wordt een krachtig signaal afgegeven: integriteit geldt voor iedereen. 

In die zichtbare keuzes schuilt de lange termijn impact van klokkenluidersonderzoeken. Ze bepalen of medewerkers de volgende keer zwijgen, of juist durven spreken. En daarmee of melden wordt gezien als een risico, of als een essentieel onderdeel van een gezonde organisatiecultuur. 

Conclusie 

Klokkenluidersonderzoeken vragen om een evenwicht tussen juridische precisie en menselijke veiligheid. Het is een proces van melding tot verbetering dat de ruggengraat van een integere organisatie vormt. 

Uitnodiging tot consultatie 

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website. 

Vooruitblik naar het vijfde artikel: arbeidsrechtelijke onderzoeken 

In het volgende artikel in deze reeks verschuift de focus van klokkenluiders naar arbeidsrechtelijke onderzoeken. Daar komen veel lijnen samen: wat gebeurt er wanneer een melding of integriteitskwestie uitmondt in een serieus vermoeden van plichtsverzuim, vertrouwensbreuk of (ernstige) integriteitsschending door een individuele medewerker? We gaan in op de rol van feitenonderzoek binnen arbeidsrechtelijke trajecten, de spanning tussen onderzoek en privacy, en de vraag hoe organisaties voorkomen dat een slecht voorbereid onderzoek later in een ontslag- of sanctieprocedure als boemerang terugkomt. 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

Aanpakken van ML/TF-risico’s in crypto-diensten via toezicht

Een uitgebreide samenvatting van het EBA-rapport zoals gepubliceerd in oktober 2025

Algemeen overzicht

Het rapport, gepubliceerd door de Europese Bankautoriteit (EBA), analyseert hoe aanbieders van crypto-activadienstverleners (CAD’s) hebben geprobeerd toezicht op het gebied van anti-witwassen en terrorismefinanciering (AML/CFT) te omzeilen, en hoe dergelijke praktijken kunnen worden aangepakt onder de Verordening betreffende markten in crypto-activa (Regulering 2023/1114, hierna: MiCA) en het EU-AML-wetgevingspakket (AMLR, AMLD6 en AMLAR). Het rapport baseert zich op concrete casussen om kwetsbaarheden te identificeren en lessen te formuleren voor een effectieve implementatie.

Het rapport is gestructureerd rond twee kernobservaties. Ten eerste, heeft de crypto-sector zowel een snelle technologische als economische groei doorgemaakt, wat de kwetsbaarheid voor misbruik ten behoeve van witwassen en terrorismefinanciering vergroot. Ten tweede, verschilden vóór de toepassing van MiCA de nationale toezichtbenaderingen tussen de lidstaten aanzienlijk. Deze fragmentatie stelde ondernemingen in staat om leemtes in regelgevingen te benutten, waardoor de integriteit van het Europese financiële stelsel werd ondermijnd.

MiCA beoogt deze problemen aan te pakken door gefragmenteerde nationale toetredingsregimes te vervangen door één Europees autorisatiekader, ondersteund door passporting en gecoördineerd toezicht. Samen met het AML-wetgevingspakket bevordert MiCA meer consistente AML/CFT-vereisten binnen de Unie. Het rapport benadrukt echter dat consistente handhaving essentieel blijft.

Regelgevingscontext

Het regelgevingskader dat in het rapport wordt onderzocht, bestaat uit MiCA, de Anti-Money Laundering Regulation (AMLR), de Zesde Anti-Money Laundering Directive (AMLD6) en de Anti-Money Laundering Authority Regulation (AMLAR). Binnen dit kader zijn toezichtverantwoordelijkheden verdeeld tussen ESMA (autorisatie en toezicht op CAD’s), de EBA (uitgevers van asset-referenced tokens en e-money tokens, en AML/CFT-coördinatie tot eind 2025), en AMLA, die vanaf eind 2025 centrale AML/CFT-toezichtsbevoegdheden zal overnemen.

MiCA regelt wie de crypto-activamarkt mag betreden en onder welke voorwaarden. CAD’s moeten voldoen aan vereisten inzake governance, operationele weerbaarheid, transparantie en consumentenbescherming, en aantonen dat zij beschikken over adequate systemen, gekwalificeerd management en duidelijke organisatorische structuren.

AMLR introduceert rechtstreeks toepasselijke AML/CFT-regels, waaronder cliëntenonderzoek, transactiemonitoring, sanctiescreening en risicobeheer. AMLD6 versterkt de toezicht samenwerking, verduidelijkt de bevoegdheden van nationale autoriteiten en verbetert de toegang tot informatie over uiteindelijk belanghebbenden. AMLAR richt AMLA op en maakt direct toezicht mogelijk op geselecteerde hoog risico-entiteiten en coördinatie van nationale toezichthouders.

Omzeiling van toezicht

De EBA identificeert zes ontwijkingsstrategieën die zijn waargenomen vóór en direct na de inwerkingtreding van het nieuwe regelgevingskader in december 2024.

1. Opereren zonder autorisatie

Entiteiten verleenden CAD’s in lidstaten zonder de vereiste registratie, vergunning of autorisatie, waaronder vanuit andere EU-jurisdicties zonder toestemming van de gastlidstaat of vanuit derde landen met zwakkere toezichtkaders.

Risico: Het ontbreken van toezicht vergemakkelijkt illegale financiële stromen en laat klanten onbeschermd. Het verstoort ook de concurrentie, aangezien geautoriseerde ondernemingen aanzienlijke nalevingskosten dragen die niet-geautoriseerde ondernemingen vermijden.

Reactie: Artikel 143 MiCA voorziet in overgangsregelingen tot juli 2026. Na deze periode moeten niet-geautoriseerde entiteiten de EU-markt verlaten. Bevoegde autoriteiten worden geacht resterende niet-geautoriseerde activiteiten te monitoren en beëindiging af te dwingen.

2. Forum shopping

Vóór MiCA selecteerden ondernemingen strategisch jurisdicties die werden gezien als lichtere toezichthouders. Wanneer zij werden uitgedaagd, trokken zij aanvragen in en dienden deze elders opnieuw in. Sommigen verkregen nationale vergunningen kort vóór de inwerkingtreding van MiCA om te profiteren van langere overgangsperioden.

Risico: Forum shopping maakt regelgevingsarbitrage mogelijk, waardoor ML/TF-risico’s zich via grensoverschrijdende activiteiten binnen de interne markt kunnen verspreiden. Het vergroot ook de kans dat hoogrisico-entiteiten met zwakke AML/CFT-controles markttoegang verkrijgen en verstoort de concurrentie door kunstmatig verhoogde winstmarges mogelijk te maken.

Reactie: MiCA introduceert één autorisatieregime met passporting. Versterkte toezicht samenwerking en informatie-uitwisseling verminderen de mogelijkheid voor ondernemingen om elders opnieuw een aanvraag in te dienen na een weigering. Het rapport benadrukt ook het risico dat, afhankelijk van nationaal recht, sommige ondernemingen mogelijk blijven opereren terwijl zij in beroep gaan tegen afgewezen autorisatiebesluiten.

3. Misbruik van de reverse solicitation-vrijstelling

Aanbieders uit derde landen beweerden ten onrechte dat EU-cliënten zelf contact hadden opgenomen, terwijl zij actief diensten promootten via gerichte online strategieën.

Risico: Dit maakt ongecontroleerde markttoegang mogelijk door hoog-risico offshore-entiteiten en creëert blinde vlekken in AML/CFT-handhaving.

Reactie: Toezichthouders worden geacht de strikte en beperkte interpretatie van reverse solicitation te handhaven in lijn met ESMA-richtsnoeren. Elke vorm van actieve of indirecte marketing doet de vrijstelling vervallen en onderwerpt de aanbieder aan volledige autorisatievereisten.

4. Zwakke AML/CFT-naleving en risicobeheer

Gelicenseerde entiteiten vertoonden ernstige tekortkomingen, waaronder onvoldoende cliëntenonderzoek, uitbesteding van AML-functies naar het buitenland zonder effectief toezicht, en instabiele of onvoldoende gekwalificeerde compliance officers.

Risico: Deze zwakheden faciliteren direct witwassen en ondermijnen de effectiviteit van toezicht.

Reactie: Robuuste AML/CFT-systemen zijn een voorwaarde voor autorisatie. Toezichthouders kunnen vergunningen intrekken bij schendingen van AML/CFT-regels. Duidelijke vereisten inzake uitbesteding, governance en personeelscompetentie worden opgelegd via technische reguleringsnormen van de EBA en ESMA.

5. Ondoorzichtige uiteindelijk belanghebbenden en governance

Complexe offshore-structuren werden gebruikt om uiteindelijk belanghebbenden te verhullen, met inconsistenties tussen openbare registers en toezichtsdocumentatie.

Risico: Ondoorzichtige structuren verbergen zeggenschap, maken gebruik van lege vennootschappen mogelijk en verhullen illegale kapitaalbronnen.

Reactie: AMLD6 verplicht gecentraliseerde registers van uiteindelijk belanghebbenden. MiCA en AMLR vereisen openbaarmaking van eigendoms- en governancestructuren bij de autorisatiefase, ondersteund door geschiktheids- en betrouwbaarheidstoetsen.

6. Multi-entiteitsstructuren met hoog-risico partners

Ondernemingen maakten gebruik van gelieerde entiteiten, waaronder betaalinstellingen, e-money-instellingen of banken, om markttoegang te behouden terwijl zij toezicht ontweken.

Risico: Deze constructies maken het mogelijk dat verboden of ongeschikte entiteiten opnieuw de markt betreden, verspreiden zwakke nalevingsculturen binnen groepen en bemoeilijken de toerekening van AML/CFT-verantwoordelijkheid.

Reactie: Toezichthouders worden geacht gelieerde entiteiten en groepsstructuren te beoordelen tijdens de autorisatie, geschiktheids- en betrouwbaarheidstoetsen toe te passen op grensoverschrijdende eigendoms- en uitbestedingsstructuren, en waar passend gezamenlijk toezicht uit te oefenen.

Waarborgen en implementatie

MiCA introduceert belangrijke waarborgen: één autorisatie- en passportingregime; strikte beperkingen op reverse solicitation; versterkte handhavingsbevoegdheden; aangescherpte governance- en transparantievereisten; en verbeterde grensoverschrijdende samenwerking, waaronder openbare registers van geautoriseerde CAD’s.

Het rapport benadrukt verschillende toezichtprioriteiten om een effectieve implementatie te waarborgen, waaronder het beheren van de overgangsperiode, het plannen van ordelijke uittredingen voor niet-geautoriseerde entiteiten ter bescherming van cliëntactiva, het monitoren van de regulatoire perimeter, het oplossen van AML/CFT-kwesties vóór autorisatie, het behouden van dynamisch risicobewustzijn, het waarborgen van governance-transparantie, het herbeoordelen van geschiktheid en betrouwbaarheid, het toezicht houden op gelieerde entiteiten, het versterken van grensoverschrijdende samenwerking en het vereisen van centrale contactpunten voor grensoverschrijdende ondernemingen.

Conclusie

De EBA concludeert dat, hoewel het nieuwe regelgevingskader de EU-verdediging tegen ML/TF-risico’s in de crypto-activasector aanzienlijk versterkt, effectieve implementatie en toezicht samenwerking cruciaal blijven. Hoewel de EBA haar zelfstandige AML/CFT-bevoegdheden tegen het einde van 2025 overdraagt aan AMLA, zal zij onder haar MiCA-mandaat blijven bijdragen aan toezichtconvergentie en vroege risicodetectie.

Lees hier meer artikelen.

Het landschap van compliance onderzoeken: Integriteitsonderzoek

Integriteitsonderzoeken vormen een groot deel van de compliance onderzoeken. Ze gaan niet alleen over financiële fraude, maar bestrijken een breed spectrum aan kwesties: belangenverstrengeling, misbruik van positie, nevenactiviteiten en schendingen van gedragscodes. Waar een fraudeonderzoek vaak draait om harde cijfers en financiële sporen, zijn integriteitskwesties vaak subtieler. Het gaat om menselijke relaties, motieven en grijze gebieden waar regels en ethiek elkaar raken.  

Integriteit is de basis van vertrouwen in organisaties. Toch blijven integriteitsrisico’s soms onopgemerkt, met verstrekkende gevolgen voor reputatie, compliance en bedrijfscontinuïteit. In dit derde artikel van onze reeks staat niet de techniek van het onderzoek centraal, maar wat integriteitsonderzoek in de praktijk betekent: welke thema’s komen terug en welke patronen vallen op in recente casuïstiek. We bespreken niet alleen de bekende integriteitsrisico’s, maar ook de minder voor de hand liggende dreigingen.  

We kijken eerst kort naar de trends die integriteitsonderzoeken in 2025 vorm hebben gegeven. Ook duiden we even kort de verschillen met een fraudeonderzoek, besproken in het vorige artikel. Vervolgens duiken we in de praktijk: welke casussen komen terug, en hoe herkent u de signalen? We geven daarbij ook inzicht in een aantal onderbelichte indicatoren. 

Trends in integriteitsonderzoeken 

Integriteitskwesties verschuiven van louter corruptie en fraude naar bredere domeinen zoals botsing van belangen, reputatieschade en morele spanningen. Recente ontwikkelingen laten zien dat:​ 

  • Belangenverstrengeling en schijn daarvan steeds vaker worden gemeld, vaak rond nevenfuncties, aanbestedingen of besluitvorming waar persoonlijke relaties een rol spelen.​ 
  • Gedragscodes voor bestuurders, commissarissen en politieke ambtsdragers worden aangescherpt, met nadruk op transparantie over nevenbelangen en afkoelingsperiodes.​ 
  • Toezichthouders zoals de AFM en DNB-eisen betrouwbaarheidstoetsen voor bestuurders en commissarissen, met expliciete aandacht voor integriteitsantecedenten.​ 

Deze trends maken integriteitsonderzoeken actueler dan ooit, omdat ze niet alleen reactief zijn, maar ook preventief bijdragen aan goed bestuur en integere cultuur. Verderop in de casus zien we één van de trends ook terugkomen. 

Wat integriteitsonderzoek anders maakt dan fraudeonderzoek 

Ten opzichte van het forensische fraudeonderzoek uit ons tweede artikel zijn er een paar belangrijke verschillen: 

  • Meer normatieve discussie: Waar fraudeonderzoek vaak uitkomt op de vraag “is er financieel nadeel en wie is verantwoordelijk?”, draait integriteit veel vaker om normduiding: wat mocht van iemand verwacht worden, welke gedragsnormen golden, en hoe zwaar worden schijn en reputatierisico meegewogen?​ 
  • Minder harde cijfers, meer context: In integriteitscasussen spelen relaties, cultuur en machtsverhoudingen een grotere rol. Eén e-mail of declaratie vertelt zelden het hele verhaal; pas in combinatie met verklaringen, gedragspatronen en beleid ontstaat een beeld. 
  • Grotere gevoeligheid voor privacy en reputatie: Onderzoeken gaan vaak over individuele personen in zichtbare functies. Dat maakt zorgvuldigheid in omgang met persoonsgegevens, communicatie en hoor en wederhoor extra belangrijk.​ 

Juist die mix maakt integriteitsonderzoek voor bestuurders, HR en compliance spannend én waardevol: het dwingt organisaties concreet te worden over hun waarden. 

Integriteitsonderzoek: als gedrag onder het vergrootglas ligt

Waar fraudeonderzoek dus regelmatig draait om vervalste documenten, financiële benadeling en mogelijke strafrechtelijke elementen, beweegt een integriteitsonderzoek zich vaker in het grijze gebied. Het gaat om vragen als: welke belangen spelen hier mee, welke normen gelden, en wat mag je van een professional of leidinggevende verwachten? In de praktijk nemen meldingen over mogelijke belangenverstrengeling, nevenactiviteiten, omgangsvormen en schending van gedragscodes al jaren toe, zowel in publieke als private organisaties.​ Om het iets tastbaarder te maken volgt wat casuïstiek. 

“Jij wilt toch ook geen lastige werksfeer” 

Een groot familiebedrijf in de logistieke sector staat bekend om zijn betrouwbaarheid en klantgerichtheid. De rust wordt verstoord als er een anonieme melding binnenkomt bij de compliance-officer. Een medewerker van de inkoopafdeling zou regelmatig kostbare cadeaus accepteren van een leverancier – van dure diners tot tickets voor exclusieve evenementen. Op zichzelf misschien onschuldig, ware het niet dat deze medewerker verantwoordelijk is voor het toewijzen van transportcontracten. Bij nader onderzoek komt aan het licht dat hij ook een nevenfunctie heeft bij een startup die actief is in dezelfde markt. De startup blijkt gebruik te maken van concurrentiegevoelige data, die mogelijk via informele gesprekken met de medewerker zijn verkregen. 

Maar dat is niet alles. Uit diepgaander onderzoek blijkt dat de medewerker niet alleen cadeaus aannam, maar ook subtiel druk uitoefende op collega’s om “realistisch” om te gaan met de prestatiecijfers. Kleine aanpassingen in de rapportages, net genoeg om de bonustargets te halen. Collega’s hadden wel signalen opgemerkt, maar zwegen – “het was niet hun afdeling” en “je wilt ook geen lastige werksfeer creëren”. Wat begon als een eenvoudige melding over cadeaus, onthult al snel een web van belangenverstrengeling, een cultuur van wegkijken, en subtiele data-manipulatie om prestatiebonussen te rechtvaardigen. 

Deze casus is geen uitzondering. Het illustreert precies de trends die we eerder noemden en illustreert hoe integriteitsrisico’s zich vaak niet als dusdanig manifesteren, maar sluipenderwijs groeien in de dagelijkse routine van organisaties. Het toont ook aan hoe verschillende risico’s – belangenverstrengeling, nevenactiviteiten, groepsdruk en datafraude – met elkaar verweven kunnen zijn. 

In een onderzoek naar een dergelijke situatie wordt gekeken naar besluitvorming rond de aanbestedingen, documentatie over offertes en gunningsbesluiten, e-mail- of agendacontacten en publiek beschikbare informatie over nevenfuncties. Deze verschillende bronnen worden naast elkaar gelegd om drie kernvragen te beantwoorden: 

  1. Waren er persoonlijke of zakelijke belangen die een rol hadden kunnen spelen?
  2. Waren die belangen gemeld of transparant gemaakt, bijvoorbeeld via een nevenfunctieregister of integriteitsverklaring?​
  3. Is er aantoonbaar anders besloten dan redelijkerwijs verwacht mocht worden, gegeven prijs, kwaliteit en beleid? 

Uitkomsten zijn zelden zwart-wit. Soms blijkt dat de formele regels niet zijn overtreden, maar dat er wel een schijn van belangenverstrengeling is ontstaan die vraagt om duidelijke afspraken of aanpassing van rollen. In andere gevallen komt naar voren dat beleid bewust is omzeild of informatie is achtergehouden, en is de normschending duidelijker. 

Indicatoren uit de praktijk 

Naast bovenstaande casus komen in integriteitsonderzoeken steeds weer andere typen kwesties terug. Enkele van de bekende boosdoeners: 

  • De cultuur van ‘niet vragen, niet vertellen’: Misschien wel het meest schadelijke risico is de cultuur waarin medewerkers liever wegkijken dan vragen stellen. Vaak durven veel medewerkers nog steeds niet te spreken uit angst voor repercussies of omdat ze niet willen ‘zeuren’. Een typisch voorbeeld: een medewerker die signalen van fraude opmerkt, maar zwijgt omdat “het niet zijn afdeling is.” 
  • Datafraude: De stille saboteur: In de jacht naar targets en bonussen kan de verleiding groot zijn om cijfers net iets mooier voor te stellen dan ze zijn. Bij een financiële instelling in Rotterdam bleek een teamleider maandenlang klanttevredenheidscijfers te hebben bijgesteld. “Iedereen doet het,” was zijn verdediging. Maar de gevolgen waren te merken: het vertrouwen van klanten en toezichthouders was gekelderd, en de organisatie moest een dure hersteloperatie uitvoeren. Met de opkomst van AI-tools die data-analyses uitvoeren, wordt dit risico alleen maar groter. Wie controleert de controller? 
  • Omgangsvormen en machtsverhoudingen: Meldingen over grensoverschrijdend gedrag, ongepaste opmerkingen of druk vanuit leidinggevenden vallen formeel ook onder integriteit. Hier ontbreekt vaak een financiële component; het draait om sociale veiligheid, machtsgebruik en de vraag of gedrag past binnen de gedragscode en professionele normen. Onderzoek richt zich dan vooral op patronen: is dit incidenteel, of al jaren bekend?​ 
  • Omgang met vertrouwelijke informatie: Een oud-medewerker wordt ervan beschuldigd vertrouwelijke documenten te hebben meegenomen naar een nieuwe werkgever. De vraag is of geheimhoudingsafspraken zijn geschonden, of bestanden ongeoorloofd zijn gekopieerd en of gevoelige informatie ergens is opgedoken waar dat niet hoort. Ook hier kruisen juridische, technische en gedragsmatige vragen elkaar. 

Deze voorbeelden laten zien dat integriteitsonderzoek niet alleen maar over “regels” gaat. Het gaat over vertrouwen, voorbeeldgedrag en de geloofwaardigheid van afspraken over integriteit. Naast deze meer algemeen bekende integriteitskwesties willen we een aantal onderschatte kwesties benoemen. 

De onderschatte risico’s: Wat u niet ziet, maar wel tegenaan kunt lopen 

Een aantal minder bekende risico’s maar ons inziens wel degelijk noemenswaardig: 

  • Loyaliteitsconflicten: Het is een groeiend fenomeen: medewerkers die naast hun baan een eigen bedrijfje starten, advieswerk doen, of zelfs een bijbaan hebben bij een concurrent. Op zichzelf niet verkeerd, maar wel riskant als er sprake is van vertrouwelijke informatie of belangenconflicten. Denk aan de IT-medewerker die in zijn vrije tijd een app ontwikkelt met data uit zijn hoofdbaan, of de inkoper die ‘toevallig’ ook voor een concurrent werkt. Organisaties monitoren dit vaak onvoldoende, terwijl de gevolgen groot kunnen zijn: van datalekken tot juridische claims. 
  • Groepsdruk en ‘groupthink’: Beslissingen worden (doorgaans) in teams genomen, maar wat als kritische stemmen worden genegeerd? Bij een tech-startup in Amsterdam leidde de druk om snel te groeien ertoe dat ethische bezwaren tegen een nieuwe dataverkoopstrategie werden genegeerd. Het resultaat: een schending van de AVG en een boete van de Autoriteit Persoonsgegevens. Groepsdruk kan leiden tot tunnelvisie, waarbij alternatieven en risico’s niet meer worden overwogen. Een simpele, maar effectieve oplossing? Benoem tijdens vergaderingen bewust een ‘devil’s advocate’ die kritische vragen stelt. 
  • Greenwashing: De valkuil van maatschappelijke claims: Duurzaamheid en maatschappelijke verantwoordelijkheid zijn hot. Maar wat als de werkelijkheid achterblijft bij de beloftes? Een kledingmerk dat claimt ‘100% circulair’ te zijn, maar bij nader inzien slechts 10% gerecycled materiaal gebruikt, loopt niet alleen reputatieschade op, maar ook het risico op juridische stappen. Externe verificatie van duurzaamheidsrapportages is geen overbodige luxe meer, maar een noodzaak. 

Deze voorbeelden laten zien dat integriteitsrisico’s niet altijd zichtbaar zijn, maar wel degelijk impact hebben. Ze ontstaan vaak in grijze gebieden, waar regels en ethiek elkaar raken. Het gevaar is dat organisaties zich richten op de bekende risico’s, terwijl de echte dreigingen zich juist afspelen in de dagelijkse praktijk – in informele afspraken, onuitgesproken verwachtingen en goedbedoelde maar ondoordachte beslissingen.  

Het goede nieuws? Door bewust stil te staan bij deze onderschatte risico’s, en door een cultuur te creëren waarin medewerkers zich veilig voelen om vragen te stellen, kunt u veel problemen voorkomen. Een open dialoog, regelmatige risico-inventarisaties en duidelijke afspraken over nevenactiviteiten, besluitvorming en communicatie zijn essentieel. Want integriteit is geen kwestie van geluk, maar van alertheid en actie. Hoe eerder u deze risico’s herkent, hoe beter u ze kunt beheersen – voordat ze escaleren. 

Steeds meer aandacht voor Integriteit 

In recente rapporten en governance codes die in ons werk voorbijkomen valt op dat integriteit steeds vaker gekoppeld wordt aan concrete normen, toetsingen en handreikingen. Voorbeelden zijn:​ 

  • Aangescherpte gedragscodes voor bestuurders en commissarissen, met nadruk op transparante nevenfuncties en belangenregistratie;​ 
  • Lokale en sectorale gedragscodes (bijvoorbeeld voor gemeenten, onderwijs, woningcorporaties) waarin expliciet is vastgelegd hoe wordt omgegaan met geschenken, nevenfuncties en besluitvorming bij twijfelgevallen;​ 
  • Handreikingen voor veilige meldprocedures (klokkenluiders) en onafhankelijke afhandeling, juist om te zorgen dat melders zich beschermd weten en onderzoek niet “in de lijn” blijft hangen.​ 

Integriteitsonderzoek sluit daar direct op aan: het is het instrument waarmee wordt nagegaan of deze normen in de praktijk ook echt worden geleefd. 

Uitnodiging tot consultatie 

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website. 

Vooruitblik naar het vierde artikel 

De risico’s die we bespraken – van loyaliteitsconflicten tot groepsdruk – blijven vaak verborgen tot iemand de moed heeft om ze te melden. In het vierde artikel van onze reeks duiken we daarom dieper in klokkenluidersonderzoeken: hoe ga je om met meldingen van binnenuit (of buitenaf)? Hoe zorg je dat medewerkers wél spreken? En hoe vertaal je een melding en de resultaten van het onderzoek naar échte verandering? 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

Het tegengaan van fragmentatie en het stimuleren van harmonisatie door EU-toezicht op crypto-assetdiensten

Crypto-assetactiviteiten zijn de afgelopen jaren snel gegroeid binnen de Europese Unie (EU). Deze groei heeft geleid tot een toename van het risico op witwassen en terrorismefinanciering (ML/TF), met name in situaties waarin het regelgevend toezicht gefragmenteerd of onvolledig was. De Europese Bankautoriteit (EBA) publiceerde in het najaar van 2025 een rapport waarin werd toegelicht hoe bepaalde crypto-assetbedrijven kwetsbaarheden hebben gecreëerd en hoe de Markets in Crypto-Assets Regulation (MiCA) en het Europees anti-witwaskader (AMLR en AMLD6) beogen het toezicht te verbeteren¹. Dit artikel biedt een beknopt overzicht van de belangrijkste bevindingen uit dit rapport. 

Toezichthouders constateerden dat sommige cryptobedrijven zonder vergunning opereerden, tussen EU-lidstaten verhuisden om toezicht te ontwijken, of misbruik maakten van wettelijke vrijstellingen. Veel van deze ondernemingen beschikten over zwakke systemen voor klantenonderzoek, het detecteren van verdachte transacties of het naleven van sanctieregimes. Daarnaast maakten sommige partijen gebruik van complexe eigendomsstructuren of samenwerkingsverbanden met partnerbedrijven om actief te blijven, ondanks eerdere toezichtsmaatregelen. Dit gedrag beperkte het vermogen van autoriteiten om risico’s effectief te beheersen en creëerde ruimte voor witwassen en terrorismefinanciering. 

MiCA en de nieuwe EU-anti-witwasregelgeving introduceren strengere waarborgen om deze problemen aan te pakken. Alle aanbieders van crypto-assetdiensten (Crypto-Asset Service Providers, CASPs) moeten voortaan één EU-brede vergunning aanvragen op basis van geharmoniseerde regels. Hiermee worden verschillen tussen lidstaten weggenomen en wordt voorkomen dat ondernemingen zich vestigen in jurisdicties met minder streng toezicht. Dienstverleners moeten aantonen dat zij beschikken over een transparante eigendomsstructuur, een solide interne governance en betrouwbare systemen voor klanten- en transactiemonitoring voordat zij hun activiteiten mogen starten. De AML-verordening en AMLD6 versterken daarnaast de samenwerking tussen nationale toezichthouders, vergroten de transparantie over uiteindelijk belanghebbenden en vereisen meer consistente risicobeoordelingen. De toekomstige Europese Anti-Witwasautoriteit (AMLA) zal bovendien direct toezicht houden op high-risk bedrijven, wat een extra dimensie aan toezicht toevoegt. 

Deze maatregelen dragen bij aan een veiliger en transparanter kader voor crypto-activiteiten binnen de EU. De belangrijkste les uit recente casussen is dat sterk, gecoördineerd toezicht en consistente regels in alle lidstaten noodzakelijk zijn om financiële-criminaliteitsrisico’s te beperken. Duidelijke standaarden, tijdige informatie-uitwisseling en strikte handhaving geven toezichthouders de middelen om problemen vroegtijdig te signaleren en ervoor te zorgen dat alleen integere en verantwoordelijke ondernemingen toegang krijgen tot actief worden en/of blijven binnen de Europese markt. De EBA formuleert negen aandachtsgebieden die moeten worden ingericht om het vergunningsproces daadwerkelijk als ‘poortwachter’ te laten functioneren, om mazen in de regelgeving te dichten en om sterke samenwerkingsmechanismen binnen de EU op te bouwen. 

Hoewel een deel van de taken van de EBA tegen het einde van 2025 zal worden overgedragen aan AMLA, zal de EBA onder haar MiCA-mandaat blijven bijdragen aan het bevorderen van toezichtconvergentie en het vroegtijdig signaleren van risico’s. 

 

Zoekt u ondersteuning bij het versterken van uw Crypto Compliance Framework?

Neem contact met ons op via: info@compliancechamps.com

Lees hier meer artikelen.

Het landschap van compliance onderzoeken: fraudeonderzoek anno nu

Wat verstaan we onder forensisch fraudeonderzoek?

Als we het hebben over fraudeonderzoek, spreken we ook wel van forensisch onderzoek. Forensisch onderzoek in de private sector richt zich op het onafhankelijk en diepgaand analyseren van financiële, administratieve en digitale gegevens. Het doel is het vaststellen van mogelijke fraude, misstanden of onregelmatigheden binnen organisaties. Dit type onderzoek combineert boekhoudkundige en financiële expertise met onderzoeksvaardigheden. Zo kunnen onderzoekers feiten reconstrueren, patronen herkennen en oorzaken en gevolgen inzichtelijk maken. De uitkomsten dienen niet alleen om fraude aan te tonen of uit te sluiten, maar ook om organisaties te ondersteunen bij besluitvorming, interne beheersing en eventuele civielrechtelijke procedures.

Nieuwe realiteit en risico’s voor organisaties

Fraude vormt nog altijd een reëel en groeiend risico voor organisaties in de private sector. Digitalisering, hybride werken en internationale bedrijfsstructuren bieden kansen voor efficiëntie, maar vergroten tegelijkertijd de kwetsbaarheid voor financiële en andere vormen van fraude. Waar fraude zich vroeger vaak beperkte tot eenvoudige verduistering of valse declaraties, zien we tegenwoordig complexere constructies. Daarbij komen digitale sporen, interne processen en menselijke factoren (online) samen.

Onderzoeken laten zien dat online fraude en oplichting sinds 2014 sterk zijn toegenomen. Dit geldt met name voor aankoopfraude, misbruik van online betaalmiddelen en identiteitsfraude. Tegelijkertijd laten trendrapporten zien dat ruim driekwart van de bedrijven in de Benelux in de afgelopen twee jaar te maken kreeg met fraudepogingen. Daarbij neemt ook de financiële impact toe.

Fraude blijft één van de meest hardnekkige risico’s binnen organisaties. Opvallend genoeg verandert de manier waarop fraude wordt ontdekt al jaren nauwelijks. Uit verschillende internationale onderzoeken, waaronder het jaarlijkse ACFE Report to the Nations, blijkt dat nog steeds ongeveer 40% van de fraudezaken aan het licht komt dankzij tips en klokkenluidersmeldingen. Medewerkers, klanten en leveranciers spelen hierin een cruciale rol. Zij signaleren misstanden vaak eerder dan interne controles of audits.

Hoewel de manier van fraudedetectie nauwelijks is veranderd, ontwikkelt de uitvoering van forensisch onderzoek zich wel degelijk mee met de tijd. Het werk is vrijwel volledig digitaal geworden. eDiscovery (het juridisch doorzoeken van digitale data) en AI spelen daarbij een centrale rol. Tegelijkertijd zijn de eisen rondom privacy en bewijsbaarheid scherper dan ooit. Hieronder schetsen we eerst deze trends. Daarna volgt een uitgebreide beschrijving van hoe een forensisch onderzoek er in de hedendaagse praktijk uit kan zien: van opdrachtbevestiging tot rapportage.

Nieuwe trends in forensisch onderzoek

Fraude laat zich steeds minder vangen in simpele boekhoudfouten of losse transacties. Door digitale sporen, complexe organisatiestructuren en snel groeiende hoeveelheden data verandert ook het forensisch onderzoek in de private sector. Onderzoekers moeten sneller, slimmer en technologisch vaardiger werken om verborgen patronen en subtiele signalen te herkennen. Deze ontwikkelingen zorgen voor ingrijpende veranderingen in de manier waarop organisaties fraude opsporen, onderzoeken en proberen te voorkomen.

Binnen deze ontwikkeling tekenen zich drie duidelijke trends af:

  • Online en hybride fraudevormen nemen toe. Denk aan phishing en nep-betaalverzoeken, misbruik van online handelsplatformen, het verhullen van fraude via bv-structuren en het onterecht declareren binnen zorg- en subsidieregelingen. Deze vormen maken fraude complexer en vragen om een geïntegreerde aanpak. Daarbij combineren onderzoekers financieel onderzoek met digitale analyse en openbronnenonderzoek (OSINT) om verbanden, geldstromen en betrokken partijen zichtbaar te maken.
  • eDiscovery ontwikkelt zich tot een sleuteldiscipline voor het reduceren en analyseren van enorme hoeveelheden elektronische data. AI en taalmodellen helpen hierbij om snel relevante documenten, conversaties en patronen te identificeren.
  • ‘Forensic readiness’ krijgt een steeds prominentere plek op de agenda. Onderzoeken en praktijkcases laten zien dat organisaties zonder goede logging, passende bewaartermijnen, duidelijke toegangsrechten en heldere afspraken met externe IT-beheerders grote moeite hebben om achteraf een compleet en betrouwbaar beeld te reconstrueren.

Tegen deze achtergrond is het relevant om stap voor stap te bekijken hoe een forensisch fraudeonderzoek in de praktijk verloopt. Tegelijkertijd geven we u inzicht in hoe wij een dergelijk onderzoek benaderen.

Van opdrachtbevestiging tot onderzoeksplan

Een onderzoek start doorgaans met een signaal. Dit kan een interne constatering uit controles zijn, een melding via een klokkenluiderskanaal, een opmerkelijke transactie of een verzoek van een externe partij, zoals een toezichthouder of subsidieverstrekker. Het eerste (of tweede) contact met de fraudeonderzoeker vindt plaats tijdens een intakegesprek. In dit gesprek worden de feiten, de context en de juridische kaders scherp gesteld. Daarbij wordt gekeken naar wat er precies is geconstateerd, welke periode en systemen mogelijk zijn geraakt en of er risico is op strafrechtelijke implicaties of toezichthandhaving.

Op basis hiervan stellen partijen een opdrachtbevestiging en een onderzoeksplan op. Hierin worden de doelstelling, scope, rollen, planning en deliverables vastgelegd. Ook de randvoorwaarden voor gegevensverwerking en privacy komen aan bod. Denk hierbij aan de categorieën persoonsgegevens die waarschijnlijk worden verwerkt, de toepasselijke grondslag onder de AVG, eventuele beperkingen voor toegang tot mailboxen en privéapparaten en de vraag of een DPIA nodig is. In de praktijk blijkt juist dit onderdeel vaak een zwak punt. Organisaties willen wel onderzoek laten uitvoeren, maar beschikken niet altijd over een helder proces om bij een incident snel en rechtmatig te handelen, zeker wanneer IT deels is uitbesteed.

Financieel forensisch onderzoek

Financieel forensisch onderzoek vormt vaak de ruggengraat van het feitencomplex. Onderzoekers analyseren onder meer grootboekmutaties, projectadministraties, betaalstromen, inkoop- en verkoopdossiers, declaraties en contracten. Het doel is het herkennen van afwijkende patronen. In zaken rondom misbruik van steunregelingen of zorgbudgetten kijken onderzoekers bijvoorbeeld naar de aansluiting tussen gedeclareerde uren en feitelijk geleverde diensten. Ook onlogische geldstromen via tussenvennootschappen krijgen daarbij aandacht.

Met data-analyse sporen onderzoekers anomalieën op. Denk aan ongebruikelijke journaalposten, ronde bedragen vlak onder autorisatielimieten, fictieve of dubbel aangemaakte leveranciers, afwijkende marges en rondboekingen tussen gelieerde partijen. Visualisaties van geldstromen en netwerkanalyses van relaties tussen rechtspersonen en natuurlijke personen maken complexe constructies inzichtelijk. Dit is bijvoorbeeld relevant wanneer bedrijven worden gebruikt als dekmantel voor witwassen of btw-carrouselfraude.

Het is belangrijk dat onderzoekers de gebruikte analysemethoden goed documenteren en reproduceerbaar maken. Alleen dan houden bevindingen stand bij toetsing door accountants, toezichthouders of een rechter. Bij het inzetten van nieuwe AI-technieken is het daarom essentieel om ook de onderliggende modellen te begrijpen. Dit is nodig om te kunnen voldoen aan de eisen rondom reproduceerbaarheid van het onderzoek.

Digitaal forensisch onderzoek en eDiscovery

Digitale sporen spelen in bijna elk onderzoek een rol. Denk aan e-mailverkeer, chatberichten, toegangslogs, documentversies, CRM- of ERP-data, cloudopslag en soms ook mobiele telefoons. Digitaal forensisch onderzoek richt zich op het veiligstellen, analyseren en interpreteren van deze gegevens. Daarbij is er strikte aandacht voor chain of custody, data-integriteit en privacy.

Bij grootschalige datasets zetten onderzoekers eDiscovery in om grote hoeveelheden ‘user-generated’ bestanden te doorzoeken, met name e-mailverkeer. Dit proces reduceert het datavolume en brengt de meest relevante subset naar voren. eDiscovery is het proces waarbij digitaal opgeslagen informatie systematisch wordt geïdentificeerd, veiliggesteld, doorzocht en geanalyseerd voor gebruik in een onderzoek, geschil of juridische procedure. eDiscovery-platformen, zoals Relativity en Reveal, ondersteunen onder meer deduplicatie, filtering op metadata, keyword searches, concept- en topicclustering en steeds vaker AI-gestuurde prioritering van documenten en conversaties.

In de praktijk wordt hier regelmatig het ontbreken van goede forensic of litigation readiness zichtbaar. Wanneer mailboxen volledig bij een externe IT-dienstverlener draaien zonder duidelijke afspraken over incidenttoegang, ontstaat er een risico. Als logging is uitgeschakeld om opslagkosten te besparen of bewaartermijnen te kort zijn ingesteld, kunnen cruciale sporen simpelweg verdwenen zijn. Tegelijkertijd moeten onderzoekers zorgvuldig omgaan met privacy. Zij verzamelen alleen data die mogelijk relevant is, beperken de toegang tot een klein en geautoriseerd team, passen versleuteling en logging toe en verwijderen of anonimiseren waar mogelijk irrelevante persoonsgegevens.

Interviews en gesprekken

Naast het onderzoeken van de financiële gegevens en digitale data blijven interviews een essentieel onderdeel van forensisch onderzoek. Gesprekken met betrokken medewerkers, leidinggevenden, sleutelfiguren in processen en, waar relevant, externe partijen helpen om het verhaal achter de data te begrijpen. In onderzoeken naar bijvoorbeeld subsidiemisbruik of complexe declaratiefraude kan uit interviews blijken dat bepaalde handelingen “altijd al zo gingen”, dat er impliciete druk was om doelen te halen, of dat men vertrouwde op instructies van anderen zonder zelf te controleren.​

Vooraf wordt bepaald in welke volgorde personen worden gehoord, welke informatie zij krijgen over de aanleiding en scope, en hoe hun rechten en plichten worden toegelicht. Notities of opnames worden zorgvuldig vastgelegd en bewaard, met duidelijke afspraken over vertrouwelijkheid en gebruik. Verklaringen worden steeds getoetst aan de ‘harde’ data uit financieel, digitaal en openbronnenonderzoek; juist inconsistenties tussen verhaal en feitelijke sporen zijn vaak waardevolle aanknopingspunten, maar vragen tevens om behoedzame interpretatie. Hier speelt ervaring een zeer grote rol.

Openbronnenonderzoek (OSINT)

Openbronnenonderzoek is in fraudezaken vaak een vast onderdeel van het forensisch onderzoek. Onderzoekers raadplegen handelsregisters, sanctielijsten, rechtspraak, nieuwsarchieven, sectorpublicaties en publieke online informatie om relaties, bedrijfsstructuren en reputatie-indicatoren in beeld te brengen.

OSINT wordt altijd zorgvuldig gedocumenteerd: welke bronnen zijn geraadpleegd, welke filters zijn gebruikt en welke beperkingen gelden voor de betrouwbaarheid van gevonden informatie. Hierin kunnen tools een rol spelen om bijvoorbeeld bezochte websites vast te leggen en de aangetroffen informatie te indexeren.

Ook hier speelt privacy een rol: niet elke online gevonden persoonsinformatie is relevant of mag zonder meer in een onderzoek worden verwerkt.

Analyses naar alle verzamelde informatie

Een onderzoek is een iteratief proces, waarbij op basis van nieuwe informatie uit de eerder beschreven onderzoeksstappen analyses worden uitgevoerd en gekeken wordt of de informatie verder verrijkt kan worden. Het komt regelmatig voor dat je weer een stap terug moet doen in een onderzoek om van daaruit weer verder onderzoek uit te voeren. Zo kan een open bronnen onderzoek weer informatie opleveren over bijvoorbeeld nieuwe personen of entiteiten die een rol als ‘foute’ leverancier kunnen spelen, waardoor in de financiële administratie nader onderzoek kan worden gedaan met bepaalde transacties. Of die namen dienen als nadere zoektermen in een eDiscovery proces worden betrokken.

Rapportage: het samenbrengen van alle lijnen

Aan het eind van het onderzoek presenteren onderzoekers alle relevante feiten in een rapportage. Deze start met een heldere beschrijving van de opdracht, scope, gehanteerde methodiek en eventuele beperkingen. Vervolgens geven zij de feitelijke bevindingen per deelonderzoek gestructureerd weer. Het gaat daarbij om financieel onderzoek, digitaal onderzoek, interviews en openbronnenonderzoek. Daarna volgt een analyse waarin de verschillende lijnen met elkaar worden verbonden.

Zo kan financiële data laten zien dat geldstromen afwijken. Digitale logs tonen bijvoorbeeld aan dat bepaalde mutaties zijn uitgevoerd vanaf specifieke accounts of locaties. eDiscovery kan relevante communicatie tussen betrokkenen aan het licht brengen, terwijl OSINT bevestigt dat bepaalde entiteiten of personen eerder in verband zijn gebracht met vergelijkbare constructies. Samen vormt dit een samenhangend beeld, onderbouwd met data en duidelijke bronverwijzingen.

Een modern onderzoeksrapport bevat altijd een expliciete toelichting op de omgang met persoonsgegevens en vertrouwelijke informatie. Onderzoekers beschrijven welke data zij hebben verzameld, op welke grondslag dit is gebeurd en welke beperkingen daarbij golden. Ook leggen zij vast hoe de beveiliging is ingericht en welke vormen van dataminimalisatie zijn toegepast. Dit is niet alleen van belang voor toezichthouders en rechters, maar ook voor het vertrouwen van medewerkers en andere betrokkenen.

Niet altijd ’forensic ready’

Een belangrijke rode draad uit onze recente praktijkervaring is dat veel organisaties inhoudelijk wel willen meewerken aan onderzoek, maar technisch, contractueel en praktisch niet altijd klaar zijn voor een forensische aanpak.

Dat leidt niet alleen tot onnodige vertraging en hogere kosten, maar soms ook tot onherstelbare gaten in de reconstructie. Tegen die achtergrond is één les al duidelijk, nog voordat over verbetertrajecten wordt gesproken: een goed forensisch onderzoek begint lang voor het eerste signaal, bij de manier waarop data, IT, contracten en privacy vandaag zijn ingericht.

Uitnodiging tot consultatie

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website.

Vooruitblik: van fraude naar bredere integriteitsonderzoeken

In het volgende artikel in deze reeks verschuift de focus van strikt forensisch fraudeonderzoek naar bredere integriteitsonderzoeken. Daarbij ligt de aandacht niet alleen op financiële schade of duidelijke fraude-indicatoren, maar juist op een breder spectrum aan integriteitskwesties. Zo gaat het onder meer om belangenverstrengeling, misbruik van positie, nevenactiviteiten en ongewenst gedrag.

In dit derde deel laten we zien hoe feitenonderzoek bij integriteitsmeldingen eruitziet. Daarnaast gaan we in op de centrale onderzoeksvragen en laten we zien hoe organisaties de balans kunnen vinden tussen zorgvuldigheid, vertrouwelijkheid en transparantie.

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

Blockrise heeft zijn MiCAR-licentie behaald!

We willen Blockrise van harte feliciteren met het behalen van de MiCAR-licentie!

Dit is een grote mijlpaal en een prestatie om enorm trots op te zijn!
Wij willen graag Jos Lazet en Jasper Hu hiermee feliciteren.

We zijn erg blij dat we het afgelopen jaar ondersteuning hebben kunnen bieden en een rol mochten spelen in jullie traject naar deze prachtige mijlpaal.

Op naar nog meer innovatie en leiderschap binnen de sector!

Het landschap van compliance onderzoeken: een introductie 

Compliance-onderzoeken worden voor organisaties steeds belangrijker, zeker nu het compliance-werkgebied steeds uitgebreider wordt door nieuwe wet- en regelgeving. Daarom zijn betrouwbaarheid, integriteit en naleving van die wet- en regelgeving fundamenteel om het vertrouwen van klanten, toezichthouders en medewerkers te behouden.

Vanuit Compliance Champs bieden wij verschillende soorten compliance-onderzoeken aan. Deze onderzoeken hebben veel overeenkomsten, maar tegelijkertijd ook duidelijke verschillen.

Om die reden ontrafelen we in een blogserie stap voor stap de verschillende soorten compliance-onderzoeken: van verkennend tot forensisch, van data-gedreven tot mensgericht. Daarbij laten we zien wat ze opleveren en wanneer je ze het beste inzet.

Dit eerste artikel in de blogserie geeft daarom een overzicht van de verschillende soorten compliance-onderzoeken die vandaag de dag worden uitgevoerd. Daarnaast beschrijven we hun doelen en laten we zien hoe ze bijdragen aan een gezonde en toekomstbestendige organisatie.

Wat zijn compliance onderzoeken?

Compliance onderzoeken zijn gestructureerde trajecten om te achterhalen of en hoe regels, wetten, interne procedures en gedragsnormen binnen een organisatie worden nageleefd. Ze bieden inzicht in mogelijke schendingen, risico’s en verbeterpunten. Niet alleen de harde feiten (bijvoorbeeld fraude of verkeerde verslaglegging) staan centraal, maar ook zachte factoren zoals cultuur, gedrag en leiderschap komen in beeld. 

Typen compliance onderzoeken

Er zijn diverse typen onderzoeken die elk een specifieke focus en doel hebben: 

  • Fraudeonderzoeken: Gericht op het opsporen en vaststellen van fraude of financiële malversaties. Vaak beginnen deze door meldingen of onregelmatigheden en vereisen ze vaak een combinatie van data-analyse, interviews en forensische technieken. 
  • Integriteitsonderzoeken: Gericht op het onderzoeken van mogelijke belangenverstrengeling, corruptie, misbruik van positie of andere schendingen van integriteitsregels. Dit type onderzoek kijkt vaak ook naar gedragspatronen binnen de organisatie. 
  • Arbeidsrechtelijke compliance onderzoeken: Deze onderzoeken focussen op kwesties rond (ongewenst) gedrag binnen de werkvloer zoals concurrentiebedingen, ontvreemding van bedrijfsinformatie, of seksuele intimidatie, waarbij privacy en juridische kaders centraal staan. 
  • Due diligence en reputatieonderzoek: Voorafgaand aan fusies, overnames of investeringen wordt diepgaand onderzoek uitgevoerd om integriteitsrisico’s, sanctierisico’s en reputatievraagstukken te identificeren. 
  • AML- en KYC-onderzoeken: Voornamelijk voor organisaties in de financiële sector, gericht op het voorkomen van witwassen en het kennen van klanten, met intensieve cliëntenonderzoeken en monitoring. Maar zeker ook voor niet Wwft-plichtige ondernemingen. 
  • Compliance audits: Deze toetsen de naleving van regelgeving rond anti-witwassen (AML) en klantidentificatie (KYC). Ze beoordelen of processen effectief risico’s beheersen, zoals klantacceptatie, risicoclassificatie, transactie-monitoring en meldingsprocedures. De audit onderzoekt beleid, procedures en praktijk, en brengt lacunes in kaart om naleving en risicobeheersing te verbeteren. 
  • Klokkenluidersonderzoeken: Naar aanleiding van meldingen worden onafhankelijke feitenonderzoeken uitgevoerd met waarborgen voor anonimiteit en zorgvuldige opvolging. 
  • Cultuur- en gedragsmetingen: Onderzoeken die de effectiviteit van soft controls meten, zoals meldcultuur, ethisch gedrag en leiderschap, vaak via surveys en analyses. 

Samenhang en integrale aanpak

Organisaties kiezen er soms voor verschillende typen onderzoeken te combineren in integrale compliance- en governanceprogramma’s. Dit zorgt voor breed inzicht in risico’s en biedt aanknopingspunten om compliance structureel te versterken, op zowel procesmatig als cultureel vlak. 

Wat kun je verder verwachten?

In deze blogserie duiken we dieper in elk van deze typen compliance onderzoeken. We bespreken methodieken, best practices, actuele ontwikkelingen en lessons learned uit de praktijk. Zo helpen we je beter te navigeren in dit complexe en dynamische vakgebied. 


Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

 

Lees hier meer artikelen.

Compliance Champs is FD Gazelle 2025

Met trots mogen wij delen dat Compliance Champs behoort tot de snelst groeiende bedrijven van Nederland, in de regio West en categorie Klein.

Deze erkenning van Het Financieele Dagblad onderstreept onze sterke groei en gezamenlijke impact, mogelijk gemaakt door de expertise van ons team, het vertrouwen van onze klanten en partners, en onze toewijding om organisaties op een eerlijke manier verder te brengen op het gebied van compliance risk management.

We kijken ernaar uit om op 25 november tijdens de officiële uitreiking van de FD Gazellen Awards 2025 deze prestatie samen te vieren.