Navigeren met compliance Ron van Loon

1. Navigeren met complianceRon van Loon

2. Navigeren met complianceOfwel:Nieuwe wielen uitvinden met GRCRotterdam, 22 juni 2010

3. Even voorstellen • Ron van Loon • 46 jaar • Economie, accountancy • Organisatie-adviseur en Trainer Compliance, Risk management en AO • Docent bij o.a.: • Universiteit van Amsterdam • Universiteit van Maastricht • Universiteit Utrecht

4. Het motto: Hetzelfde maar dan anders • Met GRC zijn we vooral bezig om nieuwe wielen uit te vinden • … Dit is trouwens iets anders het wiel opnieuw uitvinden

5. Agenda • Een korte geschiedenis van Compliance • Compliance, risk en audit, het blijft wennen aan elkaar • De uitvinding van GRC • GRC-pakketten, de heruitvinding van Easyflow?

6. Rabo Barings bank Shell Allied Irish Bank Worldcom ABNAMRO Bank Societe Generale Enron Ahold Parmalat Control missers m.b.t. Compliance

7. Voorbeelden van compliance missers Gevoelige tik voor LegioLease (update) Aandelenleasers hoeven een deel van hun restschuld aan LegioLease niet terug te betalen. Dat heeft de Klachtencommissie DSI donderdag bekendgemaakt. • “ABN Amro also admits that its officers falsified documents connected to billions of dollars in transactions with Iran and Libya, which are the target of U.S. sanctions. Last week, ABN Amro entered into a settlement with U.S. and Dutch regulators calling for $80 million in fines addressing both the failure to report suspicious transactions and the illegal business with Iran and Libya” (Wall Street Journal).

8. Wikipedia zegt... • Compliance is een term die de afgelopen jaren met name in het bank- en verzekeringswezen wordt gebezigd en in de (van De Nederlandsche Bank afkomstige) Regeling organisatie en beheersing (Rob) wordt gedefinieerd als de naleving van wet- en regelgeving, alsmede het werken volgens de normen en regels die een instelling zelf heeft opgesteld

9. Compliance kan gedefinieerd worden.. • Heel breed • Compliance with laws and regulations (bv. COSO) • Dus ook ARBOwet, Bouwbesluit, Warenwet, ...... • Verschil met Juridische Zaken? • Smaller • Gerelateerd aan besturing en financiële regelgeving • SOx, Tabaksblat, IFRS, ... • Specifiek • Financiële sector: Wetgeving gericht op financiële integriteit

10. Compliance m.b.t. financiële integriteit • Naar klanten • Klantenacceptatie / Client Due Dilligence, KYC • Privacy • Naar produkten • Zorgplicht • Transparantie • Naar personeel • Effectentransacties • Integriteit • Naar werkwijze • Dossieropbouw • Volgen van procedures en voorschriften

11. Norm-extractie Norm- Risico- Toetsing vertaling afdekking Produkt W Produkt audit Wet- en regelgeving Norm 1 artikel Systeem X Op. audit artikel Norm 2 Procedure Y Interne regels Examen voorschrift Medewerker Z Het compliance-proces

12. De explosie van compliance officers • Oorzaak 1 • Explosie van wetgeving • Oorzaak 2 • Incidenten, conflicten met de toezichthouder • Het resultaat: • Toename van Compliance-afdelingen van soms 1000% • Overkill?

13. De rol van de compliance officer • Van partttimer ….. • Naar (meerdere) full timers • Van effectenchecker….. • Naar mede-beleidsbepaler • Van veilige, administratieve funktie….. • Naar Kop van Jut?

14. De organisatorische positie • Onder RvB / directie? • Gelaagd stelsel van CO’s • Stafafdeling met directe bevoegdheden tot uitschrijven van regels • Relaties met: • HR-funktie • Juridische Zaken • Inrichtende afdelingen: AO, IT, … • Audit!

15. De CO: Externe en interne druk • Externe druk • Veelheid aan wetgeving • Forse toename in hoeveelheid toezicht • Steeds meer “Telegraaf-effect” • Interne druk • Afschuifmentaliteit van management • “Laat de Compliance Officer het maar afschieten als het niet goed is” • Squeeze tussen grote verantwoordelijkheid en (soms) beperkte bevoegdheid Is het wel leuk om CO te zijn?

16. Voor ieder probleem een nieuw committee • Opkomst van het Compliance Committee • Op niveau directie • Verschil met audit committee? • Is er een principieel bezwaar tegen integratie? • Audit (risk- ) en compliance committee

17. Iedereen zijn eigen charter • Audit charter • Risk charter • Compliance charter • Noodzaak tot formele vastlegging positie, bevoegdheden, verantwoordelijkheden • Overdreven juridisering?

18. Compliance is een nieuw wiel • Verschil met Legal afdeling? • Compliance begint normaal te worden in andere sectoren • Industrie, telecom • Gezondheidszorg • Goede taakafbakening met Legal essentieel

19. “10 jaar compliance” • 1995 Wet Toezicht Effectenverkeer • 1999 Nadere regeling toezicht effectenverkeer • Compliance in de financiële sector begint volwassen te worden • Krimp: Van kwantiteit naar kwaliteit • De weg omhoog is gevonden • Compliance committee • Rechtstreekse lijn naar CEO en/of commissaris

20. De issues in compliance anno 2010 • De risico-reflex regel beheersen • Nog meer regels? • Hoe succesvol is principle based eigenlijk? • Creative compliance • Hoe tegengaan? • De scope van Compliance: • Puur regelgeving of Compliance plus? • De plus staat voor soft compliance, normen en waarden, ethiek, …… • GRC lijkt niet op de agenda te staan

21. Agenda • Een korte geschiedenis van Compliance • Compliance, risk en audit: Het blijft wennen aan elkaar • De uitvinding van GRC • GRC-pakketten, de heruitvinding van Easyflow?

22. Operatio nal ISO 9000 Belasting ARBO DNB-eisen Mgt. Control Milieu-audit Verzek. kamer Financial Een leger auditors ....

23. De 4 Lines of Defense 4. External audit / toezichthouders 3. Internal audit 2. Staven Risk management, Compliance) 1. Lijnmanagement

24. Kan Audit wel toetsen op compliance? • Logische taak? • Ja, operational audit toetst de kwaliteit van beheersing” • Deel van compliance direct gerelateerd aan jaarrekening • Solvabiliteitseisen, voldoen aan eisen financiële verslaggeving • Wat is additioneel? • Additionele wetgeving, bv: • SHE (Safety Health Environment) • WFT

25. Kenmerken van het Compliance-risico • Is (nog veel meer dan andere risico’s) altijd latent aanwezig • Kan bij ontdekking enorme omvang hebben aangenomen • Potentiële schade is onbeperkt • Continuïteit van de onderneming, license to operate • Wordt soms met terugwerkende kracht een risico! • Door wijziging in normen, waarden en wat maatschappelijk acceptabel wordt gevonden

26. Specifieke kenmerken van compliance auditing • Noodzaak tot gedetailleerde kennis geldende wetgeving • Afbreukrisico = groot • Toezicht, sanctiemogelijkheden, publiciteit • Controletolerantie = 0? • Als bij een controle door de toezichthouder één dossier wordt gevonden dat niet compliant is dan is men dus niet compliant(de wet van slootwater) • Theoretisch en praktisch onmogelijk

27. Integratie van compliance in audits • Organisatorisch: • Gespecialiseerde medewerkers in auditafdeling • “Trekkingsrechten” op interne of externe specialisten door Audit • Werkwijze: • Specifieke compliance audits • Integratie in IEDERE audit als standaard onderdeel

28. Agenda • Een korte geschiedenis van Compliance • Compliance, risk en audit, het blijft wennen aan elkaar • De uitvinding van GRC • GRC-pakketten, de heruitvinding van Easyflow?

29. Het silodenken in de 2e en 3e lijn • Stelling“Sommige organisaties maken er een hobby van om voor ieder aspect een aparte afdeling op te richtenGeen wonder dat er nog steeds een fragmentarische benadering is van alle aspecten van control”

30. Het perfecte silodenken • Controller • Information security officer • Afdeling Veiligheidszaken • Risk management • Compliance officer • Afdeling AO / proces management • Afdeling Interne Controle • Afdeling Internal Audit • Juridische zaken • ………………………….

31. Het begrip afdeling • Een afdeling leidt tot een deling van • Personen • Taken, bevoegdheden, verantwoordelijkheden • Focus van leidinggevenden • Een afdeling leidt tot een toename van • Noodzaak tot meer interne informatie • Noodzaak tot interne coördinatie • Noodzaak tot meer communicatie met de eerste LoD • Duur en complexiteit van besluitvorming en feedbackmechanismen

32. De mate waarin de functies zijn samengevoegd Bron: onderzoek Auditmatch

33. De mate waarin men synergie ervaart tussen de functies Bron: onderzoek Auditmatch

34. Governance, risk en control compliance • Het lijkt zo logisch • Integraal denken • Co-ordinatie naar de eerste LoD • Eenduidig, geen dubbelingen, beperking tijd • Maar is het meer dan alleen een efficiency-actie?

35. Agenda • Een korte geschiedenis van Compliance • Compliance, risk en audit, het blijft wennen aan elkaar • De uitvinding van GRC • GRC-pakketten, de heruitvinding van Easyflow?

36. Gaan we weer procedures krassen? • Jaren 80 • Beschrijven van de AO • Easyflow, SDW-AO • Jaren 90 • Kwaliteitshandboeken • ISO 9000 • 2000 • Protocollisering • Specifieke branche-normen

37. Norm-extractie Norm- Risico- Toetsing vertaling afdekking Produkt W Produkt audit Wet- en regelgeving Norm 1 artikel Systeem X Op. audit artikel Norm 2 Procedure Y Interne regels Examen voorschrift Medewerker Z Wat moet een GRC-pakket meer kunnen?

38. Wat moet een GRC-pakketmeer kunnen? • Integrale ondersteuning • Van wet tot auditrapport • Externe voeding met regels • Automatische impactanalyse, van wet naar produkt, procedure, systeem en medewerker • Van organisatie naar auditplan • Van auditplan naar auditdossier

39. Zal IT de hefboom zijn om afdelingen samen te laten werken? • Introductie van één gezamenlijke tool dwingt tot samenwerking • Stroomlijnen definitie van processen, produkten tussen 2e LoD afdelingen en tussen 2e en 3e LoD • Zoveel mogelijk gebruik maken van ready-mades in plaats van eigen wielen…

40. Afsluitende stellingen • Er is niets mis mee om een wiel opnieuw uit te vinden,als het dan ook maar een beter wiel is

41. Afsluitende stellingen • GRC is niets nieuws, maar hopelijk leidt het tot het einde van het Silo-denken tussen de betrokken afdelingen

42. Afsluitende stellingen • Ook voor GRC-pakketten geldt:“Been there Seen thisDone that Got the T-shirt..”Tenzij ze echt integratie ondersteunen van externe regelgeving, interne processen en audits

43. Dank u voor uw aandacht