Introductie

Waar eerdere artikelen in deze reeks vooral zagen op onderzoeken naar incidenten, meldingen of specifieke transacties, ligt bij AML- en KYC-onderzoeken de nadruk op de voorkant van de relatie. Het doel is niet primair om achteraf vast te stellen wat er is misgegaan, maar om vooraf en tijdens de relatie te beoordelen met wie zaken worden gedaan, welk risico daarbij hoort en of dienstverlening kan worden misbruikt voor witwassen, terrorismefinanciering of sanctie-omzeiling. In een wereld waarin gewapende conflicten en geopolitieke spanningen directe doorwerking hebben op handelsstromen, betaalverkeer en eigendomsstructuren, is dat relevanter dan ooit. 

Dat maakt AML- en KYC-onderzoeken wezenlijk anders dan veel andere compliance-onderzoeken. Ze zijn niet eenmalig, maar doorlopend van aard. Het cliëntenonderzoek begint bij onboarding, maar houdt daar niet op. De relatie, de transacties en het risicoprofiel moeten gedurende de hele klantcyclus worden gevolgd en, waar nodig, opnieuw worden beoordeeld.  

Waarom AML- en KYC-onderzoeken meer zijn dan onboarding

In de praktijk wordt KYC nog vaak gezien als een verplicht onderdeel van de klantacceptatie: identiteitsdocument opvragen, UBO vaststellen, sanctielijsten controleren en vervolgens het dossier sluiten. Die benadering doet geen recht aan de systematiek van de Wwft. De wet verlangt van Wwft-plichtige instellingen een risico gebaseerde aanpak, waarbij niet alleen wordt gekeken wie de klant is, maar ook naar het doel van de relatie, de aard van de dienstverlening, de herkomst van middelen en het verwachte transactieprofiel. 

Daarmee verschuift de kern van het onderzoek. De vraag is niet alleen: “Wie is deze klant?”, maar vooral: “Past deze klant, met deze structuur, activiteiten en geldstromen, binnen het integriteits- en risicokader van de instelling?”. Dat vraagt om analyse, duiding en periodieke herijking, niet alleen om documentverzameling. 

De basis: Wwft, CDD en KYC

AML is het bredere anti-witwaskader, KYC is daarbinnen het proces van “ken uw klant”, en CDD, customer due diligence, is het cliëntenonderzoek waarmee dat in de praktijk wordt ingevuld. In Nederland is dit juridisch verankerd in de Nederlandse anti-witwaswetgeving. Die verplicht Wwft-plichtige ondernemingen onder meer om cliënten te identificeren en verifiëren, uiteindelijk belanghebbenden vast te stellen, het doel en de beoogde aard van de relatie te begrijpen, transacties te monitoren en ongebruikelijke transacties te melden. 

Op papier klinkt dat overzichtelijk. In de praktijk begint het echte onderzoek vaak pas wanneer de structuur achter de klant complexer blijkt dan op het eerste gezicht zichtbaar is. Achter een vennootschap kunnen buitenlandse holdings, stichtingen, nominee-constructies, trusts of UBO’s schuilgaan die slechts indirect zichtbaar zijn. Juist in dat soort dossiers wordt duidelijk dat AML/KYC niet alleen een administratief proces is, maar ook een onderzoeksmatige discipline. 

KYC ook buiten de Wwft: de verlegde compliance-druk van banken

Het belang van KYC wordt niet altijd volledig herkend door niet-Wwft-plichtige ondernemingen. In internationale handel leeft soms nog een ander beeld. KYC wordt daar vaak gezien als een onderwerp voor banken en betaaldienstverleners. Ook andere gereguleerde instellingen worden ermee geassocieerd. Formeel klopt dat onderscheid. In de praktijk werkt het inmiddels anders. Banken leggen een deel van hun compliance-druk neer bij klanten. Dat doen zij omdat zij worden afgerekend op portefeuillerisico’s.

Daardoor krijgen ook niet-gereguleerde ondernemingen steeds vaker aanvullende vragen. Die vragen gaan bijvoorbeeld over klantenbestanden en handelsstromen. Ook UBO-structuren en herkomst van gelden komen aan bod. Betrokken landen en interne beheersing spelen eveneens een rol. Vooral internationaal opererende handelsbedrijven krijgen hiermee te maken. Dat geldt ook voor import-exportstructuren en complexe supply chains. Banken kunnen aanvullende informatie verlangen. Soms verwachten zij een basaal compliance- of KYC-framework.

Vaak wordt dat belang pas gevoeld wanneer de bank vragen stelt. Dan blijkt de bestaande informatievoorziening onvoldoende. KYC verschuift dan van een abstract compliance-onderwerp naar een operationele kwestie. De bank kan aanvullende eisen stellen. Ook kan zij aandringen op implementatie van een compliance-framework. Daarnaast kunnen transacties scherper worden gemonitord. In het uiterste geval komt de klantrelatie onder druk te staan. Denk aan de-risking of offboarding. Juist daarom is vroegtijdige voorbereiding verstandig. Niet-Wwft-plichtige ondernemingen doen er goed aan vooruit te denken. Zij moeten nadenken over klant- en handelsrisico’s. Ook beoordeling en documentatie van counterparties zijn belangrijk.

Bronnenkeuze: data providers versus lokale registers

Een belangrijk, maar vaak onderbelicht onderdeel van AML- en KYC-onderzoeken is de vraag uit welke bron klantinformatie afkomstig is. In de praktijk wordt veel gewerkt met internationale commerciële databronnen, zoals Dun & Bradstreet of Bureau van Dijk/Moody’s, omdat zij snel, schaalbaar en gebruiksvriendelijk informatie ontsluiten over ondernemingen, aandeelhoudersstructuren en groepsrelaties. Zeker in internationale dossiers zijn dat waardevolle hulpmiddelen, omdat zij data uit veel jurisdicties op één plek samenbrengen.

Tegelijkertijd zit daar een belangrijk aandachtspunt. Zulke databronnen zijn in veel gevallen afgeleid van onderliggende primaire bronnen, zoals lokale handelsregisters, publicatieregisters of andere officiële registraties. Dat betekent dat er vertraging kan zitten tussen een wijziging in het lokale register en de verwerking daarvan in een commerciële database. Juist bij wijzigingen in bestuur, aandeelhouderschap, statutaire zetel of uiteindelijk belanghebbenden kan dat verschil relevant zijn.

Voor instellingen met een hogere risk appetite, of in laag-risico en grootschalige klantacceptatieprocessen, waarin veel nieuwe klanten worden on-board, kan het werken met een data provider een verdedigbare keuze zijn, zeker als snelheid, schaalbaarheid en operationele uitvoerbaarheid zwaar wegen. Maar naarmate het risico toeneemt, ligt het meer voor de hand om terug te gaan naar de primaire bron: het lokale handelsregister of een ander officieel register in de betreffende jurisdictie. Daar zit vaak de meest actuele en juridisch meest directe informatie, ook al is die minder gebruiksvriendelijk ontsloten.

De kernvraag is dus niet of data providers “goed” of “slecht” zijn, maar of de gekozen bron past bij het risicoprofiel van de klant en de risk appetite van de instelling. In low-risk processen kan een betrouwbare data provider proportioneel zijn. In complexe, internationale of high-risk dossiers is het vaak verstandig – en soms noodzakelijk – om gegevens uit commerciële bronnen te verifiëren aan de hand van lokale registers of andere primaire documentatie.

Van identificatie naar risicobeoordeling

Een goed AML- of KYC-onderzoek bestaat niet uit één handeling, maar uit een opeenvolging van stappen. Eerst wordt de klant geïdentificeerd en geverifieerd. Daarna wordt gekeken wie namens de klant optreedt, wie de uiteindelijk belanghebbenden zijn, of er sprake is van PEP’s, sanctierisico’s of verhoogde geografische risico’s, en wat het verwachte gebruik van de dienstverlening zal zijn. 

Dat mondt uit in een risico-inschatting. Niet elke klant vraagt hetzelfde niveau van onderzoek. Een lokale onderneming met een eenvoudige structuur en voorspelbare activiteiten vraagt iets anders dan een internationaal actieve groep met meerdere lagen, geldstromen via verschillende landen en nauwe contacten met hoog-risicojurisdicties. Juist daarom werkt AML/KYC risico gebaseerd: hoe hoger het risico, hoe dieper het onderzoek en hoe zwaarder de motivering moet zijn. 

In de praktijk stopt de vraag van cliënten of interne stakeholders daar vaak niet. Zij willen niet alleen weten of een partij als groen, oranje of rood moet worden gekwalificeerd, maar vooral wat dat vervolgens betekent voor de zakelijke beslissing. Met andere woorden: kunnen of moeten we op basis van deze bevindingen wel of geen zaken doen? Dat is een begrijpelijke vraag, maar geen puur technische exercitie. Een risicokwalificatie is geen automatische go/no-go-knop; zij vormt de basis voor een bredere afweging waarin compliance, business, legal en soms ook het bestuur moeten bepalen of een risico acceptabel is, onder welke voorwaarden, en welke mitigerende maatregelen nodig zijn. 

Juist bij oranje en rode bevindingen ligt daar vaak de echte meerwaarde van een goed KYC-onderzoek. Niet alleen het signaleren van een verhoogd risico, maar ook het helpen duiden van de consequenties. Soms leidt dat tot aanvullende documentatie, een verdiepend onderzoek, strengere monitoring of specifieke contractuele voorwaarden. In andere gevallen is de conclusie dat de relatie niet past binnen de risk appetite van de onderneming of dat de bankrelatie, vergunning(en) of reputatie te veel onder druk komt te staan om verantwoord door te gaan. 

Doorlopende monitoring en transacties

Een van de grootste misverstanden is dat KYC stopt na klantacceptatie. In werkelijkheid begint daar pas de volgende fase. De Wwft verplicht instellingen om zakelijke relaties continu te monitoren. Ook transacties moeten worden getoetst aan het klantprofiel uit de onboarding. Verandert een klant plotseling van handelslanden of transactiestructuur? Dan moet herbeoordeling volgen. Hetzelfde geldt bij opvallende stijgingen in volumes.

Binnen AML- en KYC-onderzoeken krijgt sanctiescreening steeds meer aandacht. Gewapende conflicten en geopolitieke spanningen spelen daarbij een belangrijke rol. Sanctieregimes veranderen sneller dan voorheen. Ook worden sanctielijsten vaker aangepast. Daarnaast groeit de aandacht voor omzeilingsconstructies via derde landen. Dat geldt ook voor tussenpersonen en complexe handelsketens. Een eenmalige screening bij onboarding is daarom niet meer voldoende.

Vooral internationale klanten vragen om voortdurende alertheid. Dat geldt ook voor handelsstromen en betalingen via risicovolle jurisdicties. Veranderingen in partijen of landen kunnen risico’s verhogen. Hetzelfde geldt voor gewijzigde goederenstromen of UBO’s. Zulke wijzigingen beïnvloeden direct het risicoprofiel.

Sanctiescreening gaat daarom verder dan namen controleren op lijsten. Ook transacties en structuren kunnen risico’s signaleren. Dat geldt vooral bij mogelijke sanctie-omzeiling. Deze risico’s spelen sterk binnen internationale handel en logistiek. Ook grondstoffenhandel en complexe supply chains vragen extra aandacht. De gevolgen voor klant- en transactierisico’s kunnen groot zijn.

AML- en KYC-onderzoeken zijn daardoor sterk dynamisch. Nieuwe bestuurders kunnen aanleiding geven voor herbeoordeling. Dat geldt ook voor gewijzigde aandeelhoudersstructuren of veranderende UBO’s. Sanctiewijzigingen en negatieve media spelen eveneens een rol. Een klant met een laag risicoprofiel kan later sterk veranderen.

Hier raken cliëntenonderzoek en transactiemonitoring elkaar. Soms ontstaat daarbij ook een meldplicht. Afwijkingen moeten verklaarbaar zijn. Ongebruikelijke transacties vragen om extra onderzoek. Het onderzoek verschuift dan naar een verdiepend integriteits- of AML-onderzoek.

Veelvoorkomende knelpunten in de praktijk

In veel organisaties zit de spanning niet in de regels zelf, maar in de uitvoering. Dossiers zijn onvolledig, informatie uit verschillende systemen sluit niet op elkaar aan, commerciële druk botst met compliance-eisen en periodieke reviews worden vooruitgeschoven. Daarnaast ervaren klanten vragen over herkomst van vermogen, eigendomsstructuren of buitenlandse entiteiten regelmatig als belastend of onbegrijpelijk, zeker wanneer aanvullende informatie op meerdere momenten wordt opgevraagd. 

Een ander knelpunt is dat KYC soms te veel als administratief proces wordt ingericht. Daardoor verschraalt het onderzoek tot documentverzameling, terwijl juist de analyse centraal zou moeten staan. Een dossier is pas sterk als niet alleen alle stukken aanwezig zijn, maar ook duidelijk is waarom een klant wel of niet acceptabel wordt geacht en hoe dat besluit zich verhoudt tot het vastgestelde risico. 

Ook brongebruik speelt hier een rol. Wie blind vaart op één databron of screeningstool, loopt het risico dat verouderde of onvolledige informatie wordt overgenomen in het dossier. Zeker bij internationale klanten kan het verschil tussen een data provider en een lokaal register bepalend zijn voor de vraag of een dossier nog actueel genoeg is om op te vertrouwen. 

De rol van compliance, business en externe partijen

AML- en KYC-onderzoeken zijn niet exclusief van compliance. De business kent de klant, sales of relatiemanagers signaleren afwijkingen in de praktijk, compliance stelt de kaders en second line controls, en operations of onboarding-teams verwerken en verifiëren gegevens. In complexe dossiers worden daarnaast vaak externe databronnen, screeningtools of gespecialiseerde onderzoeks- en legal partijen ingezet, bijvoorbeeld bij internationale structuren, sanctierisico’s of escalaties rond account closures.

Juist omdat AML/KYC doorloopt gedurende de hele relatie, is samenwerking cruciaal. Een goed dossier ontstaat niet door één goede onboarding, maar door consistente vastlegging, periodieke herijking en tijdige escalatie zodra signalen niet meer passen bij het klantprofiel. Dat geldt niet alleen voor Wwft-plichtige instellingen, maar in toenemende mate ook voor ondernemingen die via hun bank, financiers of handelspartners worden geconfronteerd met indirecte compliance-eisen.

Afronding en vooruitblik: van klantonderzoek naar compliance audits

AML- en KYC-onderzoeken vormen in zekere zin de dagelijkse praktijkvariant van wat in eerdere artikelen terugkwam bij due diligence en integriteitsonderzoeken. Ook hier draait het om de vraag met wie zaken worden gedaan, welke risico’s daarbij horen en hoe wordt voorkomen dat een organisatie onbewust onderdeel wordt van een groter integriteitsprobleem.

Waar due diligence vaak ziet op een eenmalig beslismoment, gaat AML/KYC over continue alertheid. Daarmee vormt dit type onderzoek een brug tussen preventie en detectie: van klantacceptatie naar transactiemonitoring, van dossieropbouw naar mogelijke melding, en soms uiteindelijk naar verdiepend intern onderzoek.

In het volgende en laatste artikel in deze reeks verschuift de focus naar compliance audits. Waar AML- en KYC-onderzoeken zich richten op individuele klanten, dossiers en transacties, kijken compliance audits juist breder naar de opzet, werking en effectiviteit van het compliance-framework als geheel. Daarmee vormt dat slotartikel het logische sluitstuk van deze reeks: van incident en dossier, naar systeem en beheersing.

Uitnodiging tot consultatie

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website.  

<h3>Vooruitblik naar het volgende artikel

In het volgende artikel duiken we in de ongemakkelijke waarheid: Internal Audit vs. de Business. Waarom auditteams vaak als “remmende factor” worden gezien – en hoe je dat omdraait.  

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

Lees hier meer artikelen.

Bij fusies, overnames, grote klantrelaties en investeringen, in binnen en buitenland, ligt de nadruk traditioneel op financiële en juridische due diligence. Balansen worden doorgelicht, contracten nagekeken en fiscale structuren geanalyseerd. Toch blijkt in de praktijk vaak dat niet de cijfers, maar juist integriteitskwesties, sanctierisico’s en reputatieschade de echte dealbreakers zijn. 

In dit artikel staat daarom Integrity Due Diligence (IDD) centraal – in de internationale praktijk ook wel reputational due diligence genoemd. IDD is geen vervanging van legal, tax en financial DD, maar een aanvullende laag die antwoord geeft op een andere vraag: “willen we met deze partij geassocieerd worden?”. 

Waarom financiële en juridische DD niet genoeg zijn 

Financial, tax en legal DD zijn onmisbaar. Ze brengen in kaart of cijfers kloppen, welke contractuele verplichtingen bestaan en welke harde claims, zekerheden en fiscale risico’s er spelen. Toezichthouders en wetgevers verwachten bovendien dat organisaties hun huis financieel en juridisch op orde hebben. 

Tegelijkertijd verschuift de lat. Sanctieregimes worden strenger, Wwft/Wft‑verwachtingen worden concreter ingevuld, en zowel media als NGO’s en toezichthouders kijken scherper naar ESG, mensenrechten en ketenverantwoordelijkheid. Bestuurders krijgen daarbij steeds vaker te horen dat zij “hadden kunnen weten” dat een overnamekandidaat of belangrijke partner integriteitsproblemen had.  

Daar komt bij dat reputatieschade moeilijk te herstellen is. Het traditionele idee dat legal, tax en financial samen “de due diligence” vormen, en dat integriteitsonderzoek slechts een optionele aanvulling is, sluit daardoor steeds minder aan bij de praktijk. 

In transacties zien we bovendien vaak dat er één totaalbudget voor due diligence wordt afgesproken. Dat bedrag gaat doorgaans eerste op aan de standaardonderdelen. Alles wat daarbuiten valt wordt dan al snel als nice‑to‑have weggezet en valt als eerste af als er moet worden geschrapt. Precies daar ontstaan de blinde vlekken. 

De basis: standaard DD, met IDD als aanvullende laag 

Tegenwoordig bestaat due diligence allang niet meer alleen uit het klassieke rijtje financial, tax en legal. Die vormen blijven de basis – zonder goed inzicht in cijfers, fiscale positie en contractuele verplichtingen kun je geen verantwoorde deal sluiten – maar daarbovenop is een hele generatie “aanvullende” DD‑sporen ontstaan. Cyber‑ en IT‑DD, technische DD, commerciële en ESG‑DD en meer sectorspecifieke varianten zoals environmental‑ of regulatory‑DD worden steeds vaker als aparte werkstroom opgezet. 

In dit artikel zoomen we in op één van die aanvullende sporen: Integrity Due Diligence (IDD), in de internationale praktijk ook wel reputational due diligence of investigative due diligence genoemd. IDD is geen concurrerend alternatief voor financial, tax en legal DD, maar een bewuste verbreding. Waar het gebruikelijke onderzoek zich vooral richt op de formele kant van de onderneming – cijfers, structuren, contracten – kijkt IDD juist naar gedrag, integriteit en reputatie van de organisatie én de mensen eromheen. 

Daarbij komen open bronnenonderzoek, achtergrondchecks en reputatieanalyse samen: registers, sanctielijsten, rechtspraak, toezichthoudersites, media, NGO‑rapporten en social media worden gecombineerd met het track record van bestuurders, UBO’s en sleutelpersonen. Het resultaat is één samenhangend beeld dat niet alleen laat zien of de onderneming formeel klopt, maar vooral ook of je er als koper, investeerder of financier daadwerkelijk naast wílt staan. 

Kruisbestuiving tussen legal, tax, financial en IDD 

Op papier vullen legal, tax, financial DD en IDD elkaar mooi aan. Legal en tax/Financial‑teams werken in de dataroom en via Q&A‑rondes, IDD‑onderzoekers gebruiken vooral open bronnen en externe signalen. In de praktijk lopen die sporen echter vaak te veel naast elkaar, waardoor belangrijke feiten niet worden gespiegeld. 

Een illustratief voorbeeld uit onze praktijk: een standaardvraag is of bestuurders of aandeelhouders ooit betrokken zijn geweest bij een faillissement. In een legal Q&A werd die vraag ontkennend beantwoord. Vanuit het IDD‑onderzoek, dat onder meer het handelsregister, faillissementsregister en media doorzocht, bleek dat een van de betrokkenen eerder wel degelijk bestuurder was geweest van een failliete vennootschap. Dat stond gewoon in openbare bronnen. Pas door de antwoorden uit de legal‑Q&A naast de OSINT‑bevindingen uit de IDD te leggen, viel die discrepantie op. 

Dezelfde kruisbestuiving is mogelijk met financial en tax DD. Openbare jaarrekeningen en geconsolideerde rapportages geven een grove toets op omzet, winst, solvabiliteit en trends, die te vergelijken zijn met de cijfers in de dataroom. Faillissementsverslagen, rechtspraak en registers tonen eerdere faillissementen, bestuurdersaansprakelijkheid en beslagleggingen die zowel juridisch als financieel relevant zijn. Fiscale geschillen en boetes worden zichtbaar in rechtspraak, jaarrekeningen en nieuws‑ of vakmedia en kunnen naast de uitkomsten van tax DD worden gelegd. En zekerheden en (her)financieringen laten zich deels herleiden uit pand‑ en hypotheekregisters en persberichten. 

Niemand verwacht dat je met open bronnen een volledige financial of tax DD “namaakt”. Het punt is juist dat je ziet of het interne beeld ongeveer aansluit bij het openbare spoor en waar eventuele witte vlekken of spanningen zitten. Daarvoor is een bewuste informatiebrug nodig: gerichte toegang tot relevante Q&A‑onderwerpen voor het IDD‑team en systematische terugkoppeling van IDD‑bevindingen richting legal, tax en financial. 

Verdiepende anticorruptie‑DD: meer dan FCPA alleen 

Bij internationaal opererende groepen met veel overheidscontacten of activiteiten in hoog‑risicolanden is een generiek IDD‑onderzoek soms niet voldoende. In die situaties wordt het IDD vaak aangevuld met een expliciet anticorruptie spoor, waarin wordt gekeken of de praktijk van betalingen, tussenpersonen en besluitvorming aansluit bij de eisen van moderne anti‑omkopingswetgeving. 

De FCPA (de Amerikaanse Foreign Corrupt Practices Act) is daarin een bekende referentie, maar zeker niet de enige. Ook de UK Bribery Act, de Franse Sapin II‑wet en de Braziliaanse Clean Company Act leggen ondernemingen stevige normen op rond (buitenlandse) omkoping, anti-witwassen en interne beheersing, en verwachten aantoonbare due diligence op derde partijen. Autoriteiten publiceren bovendien uitgebreide guidance over wat zij onder een effectief anticorruptieprogramma verstaan. 

In de praktijk vertaalt zich dat naar een verdiepend DD‑spoor binnen IDD: gericht kijken naar high‑risk betalingen, de rol van agents en consultants, contractvoorwaarden, approvals en monitoring in landen en sectoren met verhoogd risico. Het doel is niet om alle wetgeving uitputtend te toetsen, maar om te beoordelen of het integriteits‑ en controleniveau past bij de jurisdicties waarin de partij actief is én bij de risk appetite van koper of financier. 

Het IDD‑rapport als dossier dat “meegroeit” 

Een mooi bijeffect van een goed IDD‑onderzoek is dat het rapport niet slechts éénmalig waarde heeft. Steeds vaker zien we dat zo’n rapport in de volledige levenscyclus van een deal terugkomt. 

In de eerste fase ondersteunt het de go/no‑go‑beslissing: wil je deze partij wel in je portfolio, in jouw merkarchitectuur of in jouw financieringsboek? Later blijkt hetzelfde rapport bruikbaar richting banken voor (her)financiering, richting andere gereguleerde partijen in de keten die hun eigen integriteitschecks moeten doen, en richting subsidieverstrekkers of fondsen die aan hun stakeholders willen laten zien dat er zorgvuldig naar integriteits‑ en sanctierisico’s is gekeken. 

Een casus uit onze praktijk illustreert dat heel mooi. In een traject rond een nieuw datacenter is een uitgebreide screening gedaan op een partij die de grootste klant in het datacenter zou worden. De directe aanleiding was de vraag of men die klantrelatie wel wilde aangaan, maar de investeerder keek nadrukkelijk verder: het vastgoed en de klantenportefeuille konden in de toekomst worden doorverkocht. Een gedegen IDD‑rapport moest dan kunnen dienen als bewijs richting toekomstige financiers en kopers dat er vooraf serieus naar integriteits‑, sanctie‑ en reputatierisico’s is gekeken en dat men bewust bepaalde risico’s heeft geaccepteerd of gemitigeerd. IDD wordt zo een terugkerend bouwblok in de documentatie‑keten van de asset. 

Rode vlaggen en de vertaalslag naar risico 

Het IDD levert vaak een mix op van harde feiten, beschuldigingen, oude kwesties en ruis. Niet elk negatief bericht is een dealbreaker. De kunst is om te bepalen wanneer er daadwerkelijk sprake is van een rode vlag. 

Patronen van terugkerende corruptie‑, omkopings‑ of fraudezaken, betrokkenheid bij sanctie‑omzeiling via dubieuze tussenpersonen en ondoorzichtige off‑shores of herhaaldelijk toezichtsingrijpen door autoriteiten wijzen op structurele integriteitsproblemen. Ook langdurige controverses rond mensenrechten, milieu of arbeidsomstandigheden in de keten vallen in die categorie. 

De volgende stap is steeds dezelfde: de vertaalslag van feit naar risico. Hoe oud is de kwestie en hoe is deze afgewikkeld? Ging het om een incident of zie je een patroon? Zijn er sindsdien aantoonbare verbetermaatregelen genomen? En wat betekent dit concreet voor strategie, vergunningen, financiers en stakeholders? Die analyse bepaalt of je door wilt, onder welke voorwaarden en met welke aanvullende waarborgen. 

Wie doet wat: bestuur, compliance en onderzoekers 

Een goede IDD komt alleen van de grond als rollen en verantwoordelijkheden helder zijn. Bestuur, investment‑ en M&A‑teams bepalen de risk appetite en maken uiteindelijk de go/no‑go‑beslissing. Compliance en legal vertalen die appetite naar concrete onderzoeksvragen, beoordelingskaders en rapportageformaten. Externe onderzoeks‑ en forensische partijen voeren vervolgens het diepgravende OSINT‑, integriteits‑ en reputatieonderzoek uit, en waar nodig (bijvoorbeeld) een verdiepend anti-corruptiespoor dat aansluit op FCPA, UKBA, Sapin II of vergelijkbare wetgeving. Financiers en subsidieverstrekkers verwachten ten slotte dat grote transacties en projecten aantoonbaar zijn getoetst op integriteit, sancties, ESG en governance, en baseren daar hun eigen krediet‑ en subsidiebesluiten op. 

Afronding en vooruitblik: van deal‑DD naar KYC 

IDD’s zijn de voorkant van hetzelfde speelveld waar integriteitsonderzoeken, klokkenluidersdossiers en arbeidsrechtelijke trajecten de achterkant van vormen. Wat je niet of onvoldoende onderzoekt vóór je ‘ja’ zegt, loop je grote kans later terug te krijgen als incident, onderzoek of crisis. 

In het volgende artikel in deze reeks verschuift de focus van eenmalige deal‑DD naar de dagelijkse praktijk: KYC‑screenings en klantonderzoek (CDD). Daarin gaat het om de vraag hoe je de principes uit integriteits‑ en reputational DD vertaalt naar doorlopend klantonderzoek, UBO‑vaststelling, sanctie‑ en PEP‑screening en monitoring gedurende de hele klantrelatie. 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

Lees hier meer artikelen.

AML/CFT internal audit is belangrijker dan ooit. Niet omdat de regelgeving dat zegt. Maar omdat de gevolgen van falen (boetes, reputatieschade, ingrijpende toezichthouders) steeds groter worden. 

En juist daarom is het opvallend hoe vaak de gesprekken over AML/CFT audits blijven hangen in… theorie. Regulatory kaders. Best practices. Kernprincipes die iedereen al kent. Veilig.  Correct. En eerlijk gezegd: weinig zeggend. 

Want in de praktijk gaat het zelden mis omdat iemand de regels niet kent. Het gaat mis omdat audits niet scherp genoeg zijn. Omdat risico’s worden gemist. Omdat niemand de ongemakkelijke vragen stelt. 

Precies dáár gaat deze reeks over. Niet over hoe het zou moeten, maar over waar het daadwerkelijk fout gaat. 

Achter veel auditrapporten schuilt een ongemakkelijke waarheid: organisaties die “compliant” lijken, maar risico’s structureel missen. Audits die netjes afvinken wat moet en ondertussen compleet voorbijgaan aan wat er écht toe doet. 

In de komende weken nemen we je mee in een reeks die die realiteit blootlegt:
“AML/CFT Internal Audits – De Onzichtbare Strijd” 

Geen theorie. Geen standaard praatjes. Wel de patronen die wij keer op keer zien en die bepalen of een audit waarde toevoegt… of juist schijnzekerheid creëert. 

We starten met vier artikelen waarvan de onderwerpen je waarschijnlijk pijnlijk bekend voorkomen: 

1. Waarom 80% van de AML/CFT-audits niet werkt (en hoe je bij de andere 20% hoort)
   Over de illusie van compliance — en waarom “goed op papier” vaak gevaarlijk is.
2. De 3 grootste blind spots in AML/CFT-audits (en hoe ze je organisatie kunnen ruïneren)
   Cultuur, data en menselijk gedrag: de risico’s die je auditrapport zelden écht vangt.
3. De ongemakkelijke waarheid: InternalAudit vs. de Business (wie wint?)
   Wat er gebeurt als kritische audits botsen met commerciële realiteit. 
4. AML/CFT-audits in 2026: Waarom oude methodes niet meer werken
   Nieuwe vormen van criminaliteit — en audits die daar simpelweg niet tegenop gewassen zijn.

En daarna? 

Dan gaan we een laag dieper.
Naar de onderwerpen waar minder over gesproken wordt maar die vaak de échte impact bepalen: 

• De verborgen gevolgen waar niemand vooraf rekening mee houdt 

• De krachten achter de schermen die audituitkomsten beïnvloeden 

• Waarom goede bevindingen tóch nergens landen 

• En wat er fundamenteel moet veranderen om audits toekomstbestendig te maken 

Deze reeks is voor iedereen die betrokken is bij AML/CFT — en zich afvraagt: 

“Doen we het juiste… of doen we vooral wat verwacht wordt?” 

Volg de serie en begin met jezelf die vraag te stellen. 

Vooruitblik

In het volgende artikel analyseren we de drie grootste blind spots in AML/CFT-audits en waarom juist daar structureel risico’s over het hoofd worden gezien.

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

Lees hier meer artikelen.

Klokkenluiders zijn onmisbaar voor het blootleggen van (ernstige) misstanden. Toch bepaalt de opvolging van een melding of een organisatie écht integer is, of dat het bij een papieren werkelijkheid blijft. Sinds de invoering van de Wet bescherming klokkenluiders (Wbk) is het speelveld strenger gereguleerd. Maar hoe vertaal je een ‘onverwachte’ melding naar een deugdelijk feitenonderzoek en uiteindelijk naar blijvende verandering? 

Een juridische lappendeken: Wbk, Wwft en sectorwetten 

De Wbk verplicht organisaties met 50 of meer medewerkers tot een interne meldregeling en een passende onderzoeksprocedure. Maar voor veel sectoren is de Wbk slechts de basis. Er geldt een “lex specialis”: specifieke wetten die vaak nog strengere eisen stellen aan meldkanalen. Denk bijvoorbeeld aan: 

1. Wwft (Anti-Money Laundering and Anti-Terrorist Financing Act)
   Sector: Financiële instellingen, advocatuur, accountancy, etc.
   Focus: Witwassen en terrorismefinanciering. 
2. Wft (Financial Supervision Act)
   Sector: Financiële instellingen, verzekeraars, beleggingsinstellingen, etc.
   Focus: Financiële integriteit en marktmisbruik. 
3. Wta (Audit Firms Supervision Act)
   Sector: Accountantsorganisaties
   Focus: Schending van beroepsregels en onafhankelijkheid. 
4. AVG (GDPR)
   Sector: Alle sectoren
   Focus: Datalekken en privacy-inbreuken. 

Het risico voor organisaties is een versnipperd landschap van verschillende “loketjes”. De trend is daarom de inzet van één gecentraliseerd, multi-compliant meldplatform dat meldingen op basis van het onderwerp direct terecht laat komen bij de juiste expert (zoals de Compliance Officer of externe klokkenluidersfunctionaris), terwijl de anonimiteit en wettelijke termijnen gewaarborgd blijven. 

Verder kijken dan de eigen organisatie 

Vooruitstrevende organisaties openen hun meldkanaal inmiddels ook voor ketenpartners, zoals leveranciers en zzp’ers. Hoewel strikte rapportageverplichtingen zoals de CSRD en CSDDD door de komst van de “Omnibus-richtlijn”1 voor sommige bedrijven naar de achtergrond zijn verschoven, blijft de maatschappelijke noodzaak onverminderd groot. 

Vanuit maatschappelijke betrokkenheid valt er alles voor te zeggen om zicht te houden op integriteit buiten de eigen muren. Voor verzekeraars is dit zelfs een bittere noodzaak: onder de Wft zijn zij medeverantwoordelijk voor een integere bedrijfsvoering in hun gehele distributieketen (zoals volmachten). 

Een fundamentele vraag staat hier overeind: hoe zorg je ervoor dat al die signalen, van binnen én van buiten, daadwerkelijk boven tafel komen? Maatschappelijke betrokkenheid en wettelijke kaders scheppen de plicht om te luisteren, maar ze garanderen nog niet dat mensen ook durven te spreken. Dat vraagt om meer dan een beleidskeuze; het vraagt om vertrouwen in het meldproces zelf. 

Daarmee komen we bij het beginpunt van elk klokkenluidersonderzoek. Want of een misstand zich nu voordoet in de organisatie of in de keten eromheen, alles staat of valt met die eerste stap: de melding. Hoe die wordt gedaan, ontvangen en opgevolgd, bepaalt of een signaal uitgroeit tot echte verandering, of ongehoord blijft. 

Melding tot échte verandering

I. De Melding: Hoe zorg je dat medewerkers spreken?

Elke klokkenluiderszaak begint met een moment van twijfel. Een medewerker ziet iets wat niet klopt, voelt dat er iets moet gebeuren, maar aarzelt. De grootste hobbel is zelden de inhoud van de melding; het is de angst voor wat daarna komt. Reputatieschade, een verstoorde werkrelatie of subtiele vormen van benadeling liggen op de loer. De Wet bescherming klokkenluiders probeert die angst weg te nemen met de omgekeerde bewijslast: als een melder nadeel ondervindt, moet de werkgever aantonen dat dit niets met de melding te maken heeft. Dat biedt houvast, maar overtuigt lang niet iedereen. 

Wie medewerkers echt wil bewegen om hun stem te laten horen, moet verder kijken dan juridische waarborgen alleen. De praktijk laat zien dat vertrouwen vooral ontstaat door de manier waarop melden is ingericht. Toegankelijke, goed doordachte techniek speelt daarin een sleutelrol. 

Moderne meldplatformen fungeren als stille gidsen in dat eerste, kwetsbare stadium. Ze zorgen ervoor dat een melding niet blijft hangen op een algemeen e-mailadres, maar direct terechtkomt bij de juiste deskundige: compliance, HR of een onafhankelijke klokkenluidersfunctionaris. Dat geeft de melder het gevoel dat zijn signaal serieus wordt genomen vanaf het eerste moment. 

Minstens zo belangrijk is de mogelijkheid om anoniem te blijven, zonder in stilte te verdwijnen. Beveiligde systemen maken het mogelijk om volledig anoniem te melden én toch in gesprek te blijven. Via een afgeschermde chat kunnen onderzoekers verduidelijkende vragen stellen en aanvullende informatie ophalen. Zo groeit een eerste signaal uit tot een volwaardig verhaal, in plaats van een melding die vastloopt omdat essentiële details ontbreken. 

Juist in deze eerste fase wordt de toon gezet. Als medewerkers ervaren dat spreken veilig, laagdrempelig en zinvol is, ontstaat ruimte voor de volgende stap: een onderzoek dat niet alleen vaststelt wat er misging, maar ook de weg opent naar echte verandering. 

II. Het Onderzoek: Onafhankelijke feitenvaststelling

Na de melding volgt een beslissend moment. Binnen zeven dagen moet de ontvangst zijn bevestigd, maar in werkelijkheid begint dan pas het echte werk. Vanaf dit punt staat er meer op het spel dan alleen waarheidsvinding. De manier waarop het onderzoek wordt ingericht en uitgevoerd, bepaalt of het dossier intern tot rust komt of juist uitgroeit tot een kwestie die zijn weg vindt naar de media of toezichthouders zoals de Autoriteit Financiële Markten of De Nederlandsche Bank. 

In deze fase is onafhankelijkheid geen abstract principe, maar een harde randvoorwaarde. Een onderzoek dat wordt uitgevoerd door iemand met een hiërarchische, persoonlijke of organisatorische band met de beklaagde, roept al snel vragen op. Zelfs als de conclusies inhoudelijk kloppen, kan de schijn van belangenverstrengeling het vertrouwen ondermijnen. Daarom is het essentieel dat onderzoekers zichtbaar losstaan van de interne machtsverhoudingen. Onafhankelijkheid beschermt niet alleen de melder, maar ook de organisatie zelf. 

Daarnaast draait een goed onderzoek om transparantie in de aanpak. Betrokkenen moeten kunnen volgen hoe conclusies tot stand komen. Worden alle relevante feiten verzameld? Is hoor en wederhoor zorgvuldig en evenwichtig toegepast? Een navolgbare methodiek, gebaseerd op verifieerbaar bewijs, voorkomt dat het onderzoek later wordt weggezet als subjectief of gekleurd. Het verhaal moet kloppen, niet alleen inhoudelijk, maar ook procesmatig. 

Een bijzonder spanningsveld ontstaat wanneer het onderzoek zich niet meer uitsluitend richt op de melding, maar ook op de melder zelf. In de praktijk komt het regelmatig voor dat er een zogenoemde ‘tegenmelding’ opduikt: kritiek op het functioneren of gedrag van de melder. Dat kan legitiem zijn, maar vormt ook een risico. Wanneer deze lijnen door elkaar gaan lopen, verschuift de aandacht ongemerkt van de inhoud van de melding naar de persoon die deze deed. 

Een zorgvuldig onderzoek bewaakt die grens strikt. De feiten rond de melding worden onderzocht op hun eigen merites; eventuele HR-kwesties volgen een afzonderlijk spoor. Alleen zo blijft het onderzoek zuiver en wordt voorkomen dat het proces ontaardt in een strijd om geloofwaardigheid in plaats van een zoektocht naar de waarheid. 

Juist in deze fase laat een organisatie zien hoe serieus zij meldingen neemt. Onafhankelijke, zorgvuldige feitenvaststelling vormt de brug tussen spreken en oplossen — en daarmee de basis voor duurzame verandering. 

Wat klokkenluidersonderzoek uniek maakt, is dat het zich afspeelt op het snijvlak van feiten, vertrouwen en macht. Anders dan bij reguliere interne onderzoeken staat niet alleen het wat centraal, maar ook het wie en waarom. De melder is geen neutrale bron, maar vaak onderdeel van dezelfde organisatiecultuur die ter discussie staat. Dat vraagt van onderzoekers een scherp gevoel voor context, dynamiek en timing. Elk signaal, elke keuze in het proces kan door betrokkenen worden gelezen als bevestiging of ontkenning van hun gelijk. Juist daarom is klokkenluidersonderzoek meer dan een technische exercitie: het is een ‘test’ voor de integriteit van de organisatie zelf, waarin zorgvuldigheid en onafhankelijkheid bepalend zijn voor de geloofwaardigheid van de uitkomst. 

III. De Verandering: Impact en cultuur 

Een klokkenluidersonderzoek eindigt niet bij het rapport. Sterker nog, daar begint het spannendste deel pas. Feiten kunnen worden vastgesteld, conclusies zorgvuldig geformuleerd, maar zonder opvolging blijft een onderzoek een papieren werkelijkheid. De echte maatstaf voor succes is de vraag of de organisatie er aantoonbaar van leert en haar integriteit weet te herstellen. 

Dat vraagt om een vertaling van bevindingen naar structurele lessen. Soms blijkt een melding te gaan over een eenmalig incident, veroorzaakt door individuele keuzes. Vaker legt zij echter iets fundamentelers bloot: onduidelijke verantwoordelijkheden, gebrekkige interne controles of een cultuur waarin afwijkende signalen te lang zijn genegeerd. Juist op dat punt ontstaat echte verandering. Niet door schuldigen aan te wijzen en door te gaan, maar door processen, governance en gedrag kritisch tegen het licht te houden en waar nodig aan te passen. 

Minstens zo bepalend is wat deze fase doet met het gevoel van veiligheid binnen de organisatie. Psychologische veiligheid groeit niet door beleidsstukken, maar door zichtbaar handelen. Wanneer bestuur en leidinggevenden open communiceren over wat er met de melding is gebeurd, binnen de grenzen van vertrouwelijkheid, en laten zien dat misstanden daadwerkelijk consequenties hebben, verandert de perceptie. Zeker wanneer die consequenties ook de top raken, wordt een krachtig signaal afgegeven: integriteit geldt voor iedereen. 

In die zichtbare keuzes schuilt de lange termijn impact van klokkenluidersonderzoeken. Ze bepalen of medewerkers de volgende keer zwijgen, of juist durven spreken. En daarmee of melden wordt gezien als een risico, of als een essentieel onderdeel van een gezonde organisatiecultuur. 

Conclusie 

Klokkenluidersonderzoeken vragen om een evenwicht tussen juridische precisie en menselijke veiligheid. Het is een proces van melding tot verbetering dat de ruggengraat van een integere organisatie vormt. 

Uitnodiging tot consultatie 

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website. 

Vooruitblik naar het vijfde artikel: arbeidsrechtelijke onderzoeken 

In het volgende artikel in deze reeks verschuift de focus van klokkenluiders naar arbeidsrechtelijke onderzoeken. Daar komen veel lijnen samen: wat gebeurt er wanneer een melding of integriteitskwestie uitmondt in een serieus vermoeden van plichtsverzuim, vertrouwensbreuk of (ernstige) integriteitsschending door een individuele medewerker? We gaan in op de rol van feitenonderzoek binnen arbeidsrechtelijke trajecten, de spanning tussen onderzoek en privacy, en de vraag hoe organisaties voorkomen dat een slecht voorbereid onderzoek later in een ontslag- of sanctieprocedure als boemerang terugkomt. 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

Lees hier meer artikelen.

Integriteitsonderzoeken vormen een groot deel van de compliance onderzoeken. Ze gaan niet alleen over financiële fraude, maar bestrijken een breed spectrum aan kwesties: belangenverstrengeling, misbruik van positie, nevenactiviteiten en schendingen van gedragscodes. Waar een fraudeonderzoek vaak draait om harde cijfers en financiële sporen, zijn integriteitskwesties vaak subtieler. Het gaat om menselijke relaties, motieven en grijze gebieden waar regels en ethiek elkaar raken.  

Integriteit is de basis van vertrouwen in organisaties. Toch blijven integriteitsrisico’s soms onopgemerkt, met verstrekkende gevolgen voor reputatie, compliance en bedrijfscontinuïteit. In dit derde artikel van onze reeks staat niet de techniek van het onderzoek centraal, maar wat integriteitsonderzoek in de praktijk betekent: welke thema’s komen terug en welke patronen vallen op in recente casuïstiek. We bespreken niet alleen de bekende integriteitsrisico’s, maar ook de minder voor de hand liggende dreigingen.  

We kijken eerst kort naar de trends die integriteitsonderzoeken in 2025 vorm hebben gegeven. Ook duiden we even kort de verschillen met een fraudeonderzoek, besproken in het vorige artikel. Vervolgens duiken we in de praktijk: welke casussen komen terug, en hoe herkent u de signalen? We geven daarbij ook inzicht in een aantal onderbelichte indicatoren. 

Trends in integriteitsonderzoeken 

Integriteitskwesties verschuiven van louter corruptie en fraude naar bredere domeinen zoals botsing van belangen, reputatieschade en morele spanningen. Recente ontwikkelingen laten zien dat:​ 

• Belangenverstrengeling en schijn daarvan steeds vaker worden gemeld, vaak rond nevenfuncties, aanbestedingen of besluitvorming waar persoonlijke relaties een rol spelen.​ 
• Gedragscodes voor bestuurders, commissarissen en politieke ambtsdragers worden aangescherpt, met nadruk op transparantie over nevenbelangen en afkoelingsperiodes.​ 
• Toezichthouders zoals de AFM en DNB-eisen betrouwbaarheidstoetsen voor bestuurders en commissarissen, met expliciete aandacht voor integriteitsantecedenten.​ 

Deze trends maken integriteitsonderzoeken actueler dan ooit, omdat ze niet alleen reactief zijn, maar ook preventief bijdragen aan goed bestuur en integere cultuur. Verderop in de casus zien we één van de trends ook terugkomen. 

Wat integriteitsonderzoek anders maakt dan fraudeonderzoek 

Ten opzichte van het forensische fraudeonderzoek uit ons tweede artikel zijn er een paar belangrijke verschillen: 

• Meer normatieve discussie: Waar fraudeonderzoek vaak uitkomt op de vraag “is er financieel nadeel en wie is verantwoordelijk?”, draait integriteit veel vaker om normduiding: wat mocht van iemand verwacht worden, welke gedragsnormen golden, en hoe zwaar worden schijn en reputatierisico meegewogen?​ 
• Minder harde cijfers, meer context: In integriteitscasussen spelen relaties, cultuur en machtsverhoudingen een grotere rol. Eén e-mail of declaratie vertelt zelden het hele verhaal; pas in combinatie met verklaringen, gedragspatronen en beleid ontstaat een beeld. 
• Grotere gevoeligheid voor privacy en reputatie: Onderzoeken gaan vaak over individuele personen in zichtbare functies. Dat maakt zorgvuldigheid in omgang met persoonsgegevens, communicatie en hoor en wederhoor extra belangrijk.​ 

Juist die mix maakt integriteitsonderzoek voor bestuurders, HR en compliance spannend én waardevol: het dwingt organisaties concreet te worden over hun waarden. 

Integriteitsonderzoek: als gedrag onder het vergrootglas ligt

Waar fraudeonderzoek dus regelmatig draait om vervalste documenten, financiële benadeling en mogelijke strafrechtelijke elementen, beweegt een integriteitsonderzoek zich vaker in het grijze gebied. Het gaat om vragen als: welke belangen spelen hier mee, welke normen gelden, en wat mag je van een professional of leidinggevende verwachten? In de praktijk nemen meldingen over mogelijke belangenverstrengeling, nevenactiviteiten, omgangsvormen en schending van gedragscodes al jaren toe, zowel in publieke als private organisaties.​ Om het iets tastbaarder te maken volgt wat casuïstiek. 

“Jij wilt toch ook geen lastige werksfeer” 

Een groot familiebedrijf in de logistieke sector staat bekend om zijn betrouwbaarheid en klantgerichtheid. De rust wordt verstoord als er een anonieme melding binnenkomt bij de compliance-officer. Een medewerker van de inkoopafdeling zou regelmatig kostbare cadeaus accepteren van een leverancier – van dure diners tot tickets voor exclusieve evenementen. Op zichzelf misschien onschuldig, ware het niet dat deze medewerker verantwoordelijk is voor het toewijzen van transportcontracten. Bij nader onderzoek komt aan het licht dat hij ook een nevenfunctie heeft bij een startup die actief is in dezelfde markt. De startup blijkt gebruik te maken van concurrentiegevoelige data, die mogelijk via informele gesprekken met de medewerker zijn verkregen. 

Maar dat is niet alles. Uit diepgaander onderzoek blijkt dat de medewerker niet alleen cadeaus aannam, maar ook subtiel druk uitoefende op collega’s om “realistisch” om te gaan met de prestatiecijfers. Kleine aanpassingen in de rapportages, net genoeg om de bonustargets te halen. Collega’s hadden wel signalen opgemerkt, maar zwegen – “het was niet hun afdeling” en “je wilt ook geen lastige werksfeer creëren”. Wat begon als een eenvoudige melding over cadeaus, onthult al snel een web van belangenverstrengeling, een cultuur van wegkijken, en subtiele data-manipulatie om prestatiebonussen te rechtvaardigen. 

Deze casus is geen uitzondering. Het illustreert precies de trends die we eerder noemden en illustreert hoe integriteitsrisico’s zich vaak niet als dusdanig manifesteren, maar sluipenderwijs groeien in de dagelijkse routine van organisaties. Het toont ook aan hoe verschillende risico’s – belangenverstrengeling, nevenactiviteiten, groepsdruk en datafraude – met elkaar verweven kunnen zijn. 

In een onderzoek naar een dergelijke situatie wordt gekeken naar besluitvorming rond de aanbestedingen, documentatie over offertes en gunningsbesluiten, e-mail- of agendacontacten en publiek beschikbare informatie over nevenfuncties. Deze verschillende bronnen worden naast elkaar gelegd om drie kernvragen te beantwoorden: 

1. Waren er persoonlijke of zakelijke belangen die een rol hadden kunnen spelen?
2. Waren die belangen gemeld of transparant gemaakt, bijvoorbeeld via een nevenfunctieregister of integriteitsverklaring?​
3. Is er aantoonbaar anders besloten dan redelijkerwijs verwacht mocht worden, gegeven prijs, kwaliteit en beleid? 

Uitkomsten zijn zelden zwart-wit. Soms blijkt dat de formele regels niet zijn overtreden, maar dat er wel een schijn van belangenverstrengeling is ontstaan die vraagt om duidelijke afspraken of aanpassing van rollen. In andere gevallen komt naar voren dat beleid bewust is omzeild of informatie is achtergehouden, en is de normschending duidelijker. 

Indicatoren uit de praktijk 

Naast bovenstaande casus komen in integriteitsonderzoeken steeds weer andere typen kwesties terug. Enkele van de bekende boosdoeners: 

• De cultuur van ‘niet vragen, niet vertellen’: Misschien wel het meest schadelijke risico is de cultuur waarin medewerkers liever wegkijken dan vragen stellen. Vaak durven veel medewerkers nog steeds niet te spreken uit angst voor repercussies of omdat ze niet willen ‘zeuren’. Een typisch voorbeeld: een medewerker die signalen van fraude opmerkt, maar zwijgt omdat “het niet zijn afdeling is.” 
• Datafraude: De stille saboteur: In de jacht naar targets en bonussen kan de verleiding groot zijn om cijfers net iets mooier voor te stellen dan ze zijn. Bij een financiële instelling in Rotterdam bleek een teamleider maandenlang klanttevredenheidscijfers te hebben bijgesteld. “Iedereen doet het,” was zijn verdediging. Maar de gevolgen waren te merken: het vertrouwen van klanten en toezichthouders was gekelderd, en de organisatie moest een dure hersteloperatie uitvoeren. Met de opkomst van AI-tools die data-analyses uitvoeren, wordt dit risico alleen maar groter. Wie controleert de controller? 
• Omgangsvormen en machtsverhoudingen: Meldingen over grensoverschrijdend gedrag, ongepaste opmerkingen of druk vanuit leidinggevenden vallen formeel ook onder integriteit. Hier ontbreekt vaak een financiële component; het draait om sociale veiligheid, machtsgebruik en de vraag of gedrag past binnen de gedragscode en professionele normen. Onderzoek richt zich dan vooral op patronen: is dit incidenteel, of al jaren bekend?​ 
• Omgang met vertrouwelijke informatie: Een oud-medewerker wordt ervan beschuldigd vertrouwelijke documenten te hebben meegenomen naar een nieuwe werkgever. De vraag is of geheimhoudingsafspraken zijn geschonden, of bestanden ongeoorloofd zijn gekopieerd en of gevoelige informatie ergens is opgedoken waar dat niet hoort. Ook hier kruisen juridische, technische en gedragsmatige vragen elkaar. 

Deze voorbeelden laten zien dat integriteitsonderzoek niet alleen maar over “regels” gaat. Het gaat over vertrouwen, voorbeeldgedrag en de geloofwaardigheid van afspraken over integriteit. Naast deze meer algemeen bekende integriteitskwesties willen we een aantal onderschatte kwesties benoemen. 

De onderschatte risico’s: Wat u niet ziet, maar wel tegenaan kunt lopen 

Een aantal minder bekende risico’s maar ons inziens wel degelijk noemenswaardig: 

• Loyaliteitsconflicten: Het is een groeiend fenomeen: medewerkers die naast hun baan een eigen bedrijfje starten, advieswerk doen, of zelfs een bijbaan hebben bij een concurrent. Op zichzelf niet verkeerd, maar wel riskant als er sprake is van vertrouwelijke informatie of belangenconflicten. Denk aan de IT-medewerker die in zijn vrije tijd een app ontwikkelt met data uit zijn hoofdbaan, of de inkoper die ‘toevallig’ ook voor een concurrent werkt. Organisaties monitoren dit vaak onvoldoende, terwijl de gevolgen groot kunnen zijn: van datalekken tot juridische claims. 
• Groepsdruk en ‘groupthink’: Beslissingen worden (doorgaans) in teams genomen, maar wat als kritische stemmen worden genegeerd? Bij een tech-startup in Amsterdam leidde de druk om snel te groeien ertoe dat ethische bezwaren tegen een nieuwe dataverkoopstrategie werden genegeerd. Het resultaat: een schending van de AVG en een boete van de Autoriteit Persoonsgegevens. Groepsdruk kan leiden tot tunnelvisie, waarbij alternatieven en risico’s niet meer worden overwogen. Een simpele, maar effectieve oplossing? Benoem tijdens vergaderingen bewust een ‘devil’s advocate’ die kritische vragen stelt. 
• Greenwashing: De valkuil van maatschappelijke claims: Duurzaamheid en maatschappelijke verantwoordelijkheid zijn hot. Maar wat als de werkelijkheid achterblijft bij de beloftes? Een kledingmerk dat claimt ‘100% circulair’ te zijn, maar bij nader inzien slechts 10% gerecycled materiaal gebruikt, loopt niet alleen reputatieschade op, maar ook het risico op juridische stappen. Externe verificatie van duurzaamheidsrapportages is geen overbodige luxe meer, maar een noodzaak. 

Deze voorbeelden laten zien dat integriteitsrisico’s niet altijd zichtbaar zijn, maar wel degelijk impact hebben. Ze ontstaan vaak in grijze gebieden, waar regels en ethiek elkaar raken. Het gevaar is dat organisaties zich richten op de bekende risico’s, terwijl de echte dreigingen zich juist afspelen in de dagelijkse praktijk – in informele afspraken, onuitgesproken verwachtingen en goedbedoelde maar ondoordachte beslissingen.  

Het goede nieuws? Door bewust stil te staan bij deze onderschatte risico’s, en door een cultuur te creëren waarin medewerkers zich veilig voelen om vragen te stellen, kunt u veel problemen voorkomen. Een open dialoog, regelmatige risico-inventarisaties en duidelijke afspraken over nevenactiviteiten, besluitvorming en communicatie zijn essentieel. Want integriteit is geen kwestie van geluk, maar van alertheid en actie. Hoe eerder u deze risico’s herkent, hoe beter u ze kunt beheersen – voordat ze escaleren. 

Steeds meer aandacht voor Integriteit 

In recente rapporten en governance codes die in ons werk voorbijkomen valt op dat integriteit steeds vaker gekoppeld wordt aan concrete normen, toetsingen en handreikingen. Voorbeelden zijn:​ 

• Aangescherpte gedragscodes voor bestuurders en commissarissen, met nadruk op transparante nevenfuncties en belangenregistratie;​ 
• Lokale en sectorale gedragscodes (bijvoorbeeld voor gemeenten, onderwijs, woningcorporaties) waarin expliciet is vastgelegd hoe wordt omgegaan met geschenken, nevenfuncties en besluitvorming bij twijfelgevallen;​ 
• Handreikingen voor veilige meldprocedures (klokkenluiders) en onafhankelijke afhandeling, juist om te zorgen dat melders zich beschermd weten en onderzoek niet “in de lijn” blijft hangen.​ 

Integriteitsonderzoek sluit daar direct op aan: het is het instrument waarmee wordt nagegaan of deze normen in de praktijk ook echt worden geleefd. 

Uitnodiging tot consultatie 

We kunnen ons voorstellen dat u na het lezen van dit artikel vragen heeft en graag van gedachte wilt wisselen over bepaalde onderwerpen. Of dat u met een concrete casus zit waarover u van gedachte wilt wisselen. We nodigen u uit om vrijblijvend contact met ons op te nemen om kennis te maken met u (en/of uw casus). Onze contactgegevens vindt u op onze website. 

Vooruitblik naar het vierde artikel 

De risico’s die we bespraken – van loyaliteitsconflicten tot groepsdruk – blijven vaak verborgen tot iemand de moed heeft om ze te melden. In het vierde artikel van onze reeks duiken we daarom dieper in klokkenluidersonderzoeken: hoe ga je om met meldingen van binnenuit (of buitenaf)? Hoe zorg je dat medewerkers wél spreken? En hoe vertaal je een melding en de resultaten van het onderzoek naar échte verandering? 

Kom in contact

Dennis van der Meer | +31618948848 | dennis.van.der.meer@compliancechamps.com

Boy Custers | +31649935735 | boy.custers@compliancechamps.com

Lees hier meer artikelen.