Neen, het organiseren van een integrale compliance-aanpak kan op een traditionele wijze georganiseerd worden. Voor het organiseren van een effectieve bedrijfscompliance functie is gebruikmaken van het vertrouwensnetwerk wel aan te bevelen. De basis voor een effectieve bedrijfscompliance functie zijn betrouwbare bedrijfs- en persoonsgegevens.

Wij omschrijven een baseline als een overzicht met beheersdoelstellingen die een bedrijf wenst te behouden of te bereiken. Hierbij worden de maatregelen (per volwassenheidsniveau) genoemd, waardoor een bedrijf kan meten of de doelstelling is behaald en zonodig kan bijsturen.

De baselines zijn gebaseerd op algemene normenkaders zoals ISO en NEN (good practices) en wettelijke kaders zoals de AVG. Baselines kunnen bedrijfsspecifiek gemaakt worden door ze aan te vullen met doelstellingen van het bedrijf en contractuele rechten en verplichtingen.

Een baseline kan ook specifiek voor een bedrijfsactiviteit worden opgesteld, bijvoorbeeld een baseline met functionele en non-functionele specificaties voor de inkoop van een toepassing in de cloud of de aankoop van een IT-systeem.

Wij onderkennen geen verschil:

• Registeraccountants, belast met de audit van de financiële verantwoordingen, gebruiken het begrip ‘administratieve organisatie en interne controle’. Wetgevers en toezichthouders gebruiken het begrip ‘compliance (met wetgeving)’ voor verantwoordelijk zijn voor het organiseren van compliance met wettelijke en contractuele verplichtingen.
• Operationeel, als onderdeel van het effectief organiseren van bedrijfsactiviteiten met bedrijfsprocessen waarin beheersmaatregelen zijn opgenomen, spreken medewerkers van bedrijven veelal over interne beheersing.

Wij kunnen contractmanagement beschouwen als een bijzondere vorm van compliance. Een bedrijf maakt afspraken met haar partner over het leveren van een prestatie tegen betaling. Partijen wensen dat over en weer de verplichtingen worden voldaan zoals is afgesproken. In termen van compliance kan er door de partners een baseline worden afgesproken waaraan een ieder zich houdt.

Bedrijven brengen hun IT-behoeften naar de cloud. Veelal maken de bedrijven gebruik van de clouddiensten van Microsoft, Amazon en of Google (het is een gemis dat er geen Europese aanbieders in dit rijtje staan). Bedrijven wijzen voor het beheer van hun cloud tenant (gehuurde IT-omgeving) IT-bureaus aan en besteden vervolgens te weinig tijd aan (IT-) risk- en compliance-management waardoor het borgen van de bedrijfscontinuïteit en het behalen van de beloofde toegevoegde waarde in gevaar komt.

Het beleidsmatig afspreken en organisatorisch beleggen van bedrijfscompliance functie is een noodzakelijke randvoorwaarde voor succes. De praktische implementatie in de organisatie vinden wij in risk- en compliance management waarbij de cloudleveranciers effectieve IT-tools beschikbaar stellen.

Riskmanagement is gericht op het onderkennen van kwetsbaarheden die impact hebben op bedrijfsrisico’s, inventariseren en treffen van effectieve beheers- en beveiligingsmaatregelen waarmee het bedrijf haar bedrijfscontinuïteit borgt.

Compliance management richt zich op het vaststellen van het compliant zijn met beleidsmatige, wettelijke en contractuele verplichtingen.