Gepubliceerd op 4 november 2025 · Laatst bijgewerkt op 13 september 2026
Een compliancebeleid is niet voor elke onderneming wettelijk verplicht. De verplichting ontstaat uit specifieke wetgeving: de Wet op het financieel toezicht voor financiele ondernemingen, de Wet ter voorkoming van witwassen en financieren van terrorisme voor aangewezen instellingen, en sinds 15 augustus 2026 de Cyberbeveiligingswet voor entiteiten in achttien aangewezen sectoren. Daarnaast gelden losse verplichtingen die samen een beleid afdwingen.
Inhoudsopgave
Wat is een compliancebeleid juridisch gezien?
Compliance is het naleven van wet- en regelgeving en van de eigen interne normen. Een compliancebeleid is het geheel van vastgelegde procedures waarmee een onderneming die naleving organiseert, controleert en aantoonbaar maakt. Dat laatste woord is het belangrijkste: veel wetgeving verlangt niet alleen dat u de regels naleeft, maar dat u kunt laten zien dat u het doet.
Juridisch bestaat er geen algemene wet die alle ondernemingen een compliancebeleid oplegt. De verplichting is versnipperd over sectorwetten, Europese verordeningen en algemene zorgvuldigheidsnormen. Wie wil weten of hij eraan vastzit, moet dus niet zoeken naar een compliancewet maar inventariseren welke regimes op zijn onderneming van toepassing zijn.
Een beleid bestaat in de kern uit vier onderdelen: een risicoanalyse waarin staat welke regels op u van toepassing zijn en waar het mis kan gaan, procedures die beschrijven hoe medewerkers handelen, controle en monitoring om vast te stellen of dat ook gebeurt, en een meldkanaal met opvolging. Zonder het vierde onderdeel blijft een beleid papier.
Wanneer schrijft de wet een compliancebeleid voor?
De hardste verplichting geldt in de financiele sector. Ondernemingen met een vergunning op grond van de Wet op het financieel toezicht moeten een integere en beheerste bedrijfsvoering hebben, met een onafhankelijke compliancefunctie, procedures voor het beheersen van integriteitsrisico’s, een regeling voor belangenconflicten en een incidentenregeling. De Autoriteit Financiele Markten en De Nederlandsche Bank toetsen daarop, ieder vanuit hun eigen taak.
De tweede harde verplichting volgt uit de Wet ter voorkoming van witwassen en financieren van terrorisme. Die geldt niet alleen voor banken, maar ook voor accountants, belastingadviseurs, notarissen, advocaten in bepaalde diensten, makelaars, trustkantoren en handelaren in goederen bij contante betalingen boven de wettelijke grens. Deze instellingen moeten cliëntenonderzoek verrichten, de uiteindelijk belanghebbende vaststellen aan de hand van de drempel van 25 procent belang, transacties monitoren en ongebruikelijke transacties melden bij de Financial Intelligence Unit Nederland. Wat er misgaat wanneer dat niet gebeurt, staat in het artikel over witwassen binnen een BV.
Een derde categorie is nieuw. Sinds 15 augustus 2026 gelden de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten. Daarmee zijn de Europese NIS2- en CER-richtlijnen in Nederland omgezet, na een lange vertraging. Ook beursvennootschappen kennen via de Corporate Governance Code een verplichting tot risicobeheersing, al is dat een pas-toe-of-leg-uitnorm en geen wet.
Wat betekent de Cyberbeveiligingswet voor uw organisatie?
De Cyberbeveiligingswet richt zich op essentiele en belangrijke entiteiten in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, zorg, vervoer, bankwezen, chemie, afvalbeheer, levensmiddelen, post en overheid. Of u eronder valt, hangt af van de sector en van de omvang van de organisatie. Veel bedrijven die zichzelf niet als vitaal zien, vallen er wel degelijk onder, bijvoorbeeld als aanbieder van datacenter-, cloud- of beheerde ICT-diensten.
De wet legt drie verplichtingen op. Ten eerste een registratieplicht in het entiteitenregister. Ten tweede een zorgplicht: passende en evenredige technische en organisatorische maatregelen om de risico’s voor de netwerk- en informatiesystemen te beheersen, inclusief maatregelen in de toeleveringsketen. Ten derde een meldplicht bij significante incidenten aan het aangewezen computercrisisteam, waarbij een eerste melding op zeer korte termijn moet volgen.
Wat deze wet onderscheidt van eerdere regelgeving, is de rol van het bestuur. Het bestuur moet de beveiligingsmaatregelen goedkeuren en zich daarover laten scholen; het is geen onderwerp dat aan de ICT-afdeling kan worden gedelegeerd. De Wet weerbaarheid kritieke entiteiten richt zich daarnaast op fysieke weerbaarheid van een beperkte groep aangewezen organisaties, met een risicobeoordeling en een zorgplicht binnen enkele maanden na aanwijzing en een meldplicht binnen 24 uur bij verstoringen. De Rijksoverheid licht beide wetten toe, en de gevolgen voor de praktijk staan in het artikel over NIS2 en de Cyberbeveiligingswet.
Voor financiele ondernemingen loopt daarnaast de verordening digitale operationele weerbaarheid, kortweg DORA, die eigen eisen stelt aan ICT-risicobeheer, incidentrapportage, weerbaarheidstests en het beheer van ICT-dienstverleners. Die eisen komen bovenop de Cyberbeveiligingswet en zijn uitgewerkt in het artikel over DORA.
Welke verplichtingen gelden voor vrijwel elke onderneming?
Ook zonder sectorale verplichting stapelen algemene normen zich op tot iets wat feitelijk een compliancebeleid is. De Algemene verordening gegevensbescherming verlangt van elke verwerkingsverantwoordelijke passende maatregelen en de mogelijkheid om naleving aan te tonen. Concreet: een verwerkingsregister, een grondslag per verwerking, verwerkersovereenkomsten, beveiligingsmaatregelen, en het melden van een datalek aan de Autoriteit Persoonsgegevens binnen 72 uur wanneer dat risico oplevert.
Een hardnekkig misverstand is dat u voor elke verwerking toestemming nodig hebt. De verordening kent zes grondslagen, waarvan toestemming er slechts een is en in commerciele verhoudingen zelden de meest geschikte. Uitvoering van de overeenkomst, een wettelijke verplichting en het gerechtvaardigd belang zijn in de praktijk belangrijker. Een overzicht staat in het artikel over de Nederlandse privacywetgeving.
Op arbeidsrechtelijk terrein verplicht de Arbeidsomstandighedenwet elke werkgever met personeel tot een risico-inventarisatie en -evaluatie met een plan van aanpak, ook bij een enkele medewerker, en tot actualisering zodra de werkmethoden of omstandigheden wijzigen. De Nederlandse Arbeidsinspectie houdt daarop toezicht en kan boetes opleggen of werk stilleggen. Daarnaast gelden de Arbeidstijdenwet, de Wet minimumloon en minimumvakantiebijslag en de toepasselijke cao.
Een verplichting die vaak wordt vergeten: op grond van artikel 2 van de Wet bescherming klokkenluiders moet elke werkgever bij wie in de regel ten minste vijftig werknemers werkzaam zijn, een interne meldprocedure vaststellen. Die procedure moet vastleggen hoe een melding wordt gedaan, wie haar behandelt en binnen welke termijnen wordt teruggekoppeld, en de melder is beschermd tegen benadeling. De wettekst is kort; de uitwerking is dat niet, zoals blijkt uit het artikel over de rechten van klokkenluiders.
Wie moet rapporteren over duurzaamheid?
Op dit punt is het beeld in korte tijd volledig gekanteld. Onder de oorspronkelijke richtlijn duurzaamheidsrapportage zou de rapportageplicht gefaseerd gelden voor grote ondernemingen en uiteindelijk ook voor beursgenoteerde kleine en middelgrote ondernemingen. Richtlijn (EU) 2026/470 van 24 februari 2026, de zogeheten omnibusrichtlijn, heeft die reikwijdte fors versmald.
Na die wijziging geldt de rapportageplicht in beginsel alleen voor ondernemingen die aan twee voorwaarden tegelijk voldoen: gemiddeld meer dan duizend werknemers over het boekjaar en een netto-omzet van meer dan 450 miljoen euro. Bovendien zijn de invoeringsdata verder opgeschoven. Voor het overgrote deel van het Nederlandse bedrijfsleven, inclusief veel ondernemingen die zich al aan het voorbereiden waren, vervalt daarmee de directe verplichting. De tekst van de omnibusrichtlijn geeft de precieze drempels.
Hetzelfde pakket wijzigde de richtlijn over gepaste zorgvuldigheid in de waardeketen. Het geharmoniseerde civiele aansprakelijkheidsregime is geschrapt, het boeteplafond is vastgesteld op drie procent van de netto-omzet en de omzettingstermijn loopt tot 26 juli 2028. Nationaal is er op dit terrein weinig: de Wet zorgplicht kinderarbeid is nooit in werking getreden en wordt ingetrokken.
Toch verdwijnt de druk niet. Grote ondernemingen die zelf moeten rapporteren, leggen hun leveranciers contractueel informatie- en gedragsverplichtingen op. Voor het midden- en kleinbedrijf komt de verplichting dus via het contract binnen in plaats van via de wet. Wat dat betekent voor uw aansprakelijkheid, staat in het artikel over ketenverantwoordelijkheid en in het artikel over ESG-compliance.
Wat vraagt de AI-verordening van u?
Verordening (EU) 2024/1689 wordt gefaseerd van toepassing. De verboden praktijken, de bepalingen over AI-modellen voor algemene doeleinden en de transparantieplicht van artikel 50 gelden al. Wie een chatbot inzet of synthetische inhoud publiceert, moet daar dus nu al duidelijk over zijn.
Het zware regime voor hoogrisicosystemen is uitgesteld: voor de systemen uit bijlage III, waaronder toepassingen in werving en selectie, kredietverlening en verzekeringen, tot 2 december 2027, en voor bijlage I tot 2 augustus 2028. Dat uitstel is geen reden om af te wachten, omdat de vereiste datagovernance, documentatie en het menselijk toezicht niet in enkele maanden zijn ingericht.
Praktisch begint AI-compliance met een inventarisatie: welke AI-systemen gebruikt de organisatie, in welke rol treedt zij op, en in welke risicoklasse valt elk systeem. Die inventarisatie sluit direct aan op de verwerkingsregisters die u voor de gegevensbescherming al bijhoudt.
Waarom een beleid ook zonder verplichting loont
Het argument dat een compliancebeleid strafrechtelijke aansprakelijkheid uitsluit, klopt niet. Artikel 51 van het Wetboek van Strafrecht maakt strafbare feiten van rechtspersonen vervolgbaar, en of een gedraging aan de rechtspersoon kan worden toegerekend hangt af van de omstandigheden van het geval. Daarbij weegt onder meer of de gedraging paste in de normale bedrijfsvoering, of de rechtspersoon erover kon beschikken en die aanvaardde, en of hij de zorg heeft betracht die redelijkerwijs van hem kon worden gevergd om het feit te voorkomen.
Juist dat laatste element maakt een aantoonbaar nageleefd beleid relevant. Een onderneming die kan laten zien dat zij risico’s in kaart bracht, maatregelen trof, medewerkers instrueerde en signalen opvolgde, staat aanmerkelijk sterker dan een onderneming die alleen een handboek in een la had liggen. Hetzelfde geldt bij bestuurdersaansprakelijkheid en bij de vaststelling van een bestuurlijke boete, waarbij toezichthouders de mate van verwijtbaarheid meewegen.
Daarnaast is compliance in toenemende mate een contractuele toegangseis. Grote afnemers, aanbestedende diensten en financiers verlangen aantoonbare beheersing van privacy-, cyber-, sanctie- en integriteitsrisico’s. Ondernemingen die internationaal handelen krijgen bovendien te maken met exportcontrole en de Sanctiewet, waarover meer in het artikel over sanctiewetgeving en compliance.
Hoe bouwt u een beleid op dat standhoudt?
Begin met een inventarisatie van de toepasselijke regimes, gevolgd door een risicoanalyse waarin u per risico de kans en de impact beoordeelt. Zonder die analyse wordt een beleid een verzameling algemeenheden die nergens op aansluit. Leg de analyse schriftelijk vast met datum en uitgangspunten, zodat later navolgbaar is waarop de keuzes rustten.
Vertaal de uitkomsten naar procedures die aansluiten op het feitelijke werkproces, wijs per procedure een verantwoordelijke aan en bepaal hoe u controleert of zij wordt gevolgd. Beleg de complianceverantwoordelijkheid bij iemand die rechtstreeks aan het bestuur rapporteert en die niet zelf de operationele beslissingen neemt waarop hij toeziet. In het midden- en kleinbedrijf hoeft dat geen voltijdfunctie te zijn, maar de rol moet wel benoemd zijn.
Zorg voor een meldkanaal en gebruik het. Een klokkenluidersregeling die niemand kent, voldoet niet aan de wettelijke eis en levert bij een incident juist een extra verwijt op. Train medewerkers met voorbeelden uit de eigen praktijk, leg vast wie welke training volgde, en evalueer het beleid jaarlijks en telkens bij een relevante wetswijziging.
Welke rol spelen interne controle en audit?
Beleid zonder controle is een intentieverklaring. Interne beheersing begint bij functiescheiding: degene die een uitgave goedkeurt, is niet degene die haar uitvoert en niet degene die haar boekt. Daarnaast horen daarbij autorisatieniveaus voor beslissingen met financieel gevolg, periodieke aansluiting van administratie en werkelijkheid, en toegangsbeheer voor systemen waarin persoonsgegevens of bedrijfsgeheimen staan.
Voor de jaarrekening kent Boek 2 van het Burgerlijk Wetboek een eigen controleplicht. Rechtspersonen die op grond van de groottecriteria in de artikelen 2:396 en 2:397 niet als klein kwalificeren, moeten hun jaarrekening laten onderzoeken door een accountant. Die controle richt zich op het getrouwe beeld van de jaarrekening en niet op naleving van alle regelgeving, maar de accountant signaleert in zijn managementletter wel tekortkomingen in de administratieve organisatie en interne beheersing. Dat document is in de praktijk een van de meest bruikbare complianceverslagen die een onderneming heeft.
Een interne audit vult dat aan door periodiek te toetsen of de eigen procedures daadwerkelijk worden gevolgd. Leg de bevindingen vast, koppel er een termijn en een verantwoordelijke aan, en controleer bij de volgende ronde of de maatregel is uitgevoerd. Juist die opvolging is wat een toezichthouder achteraf beoordeelt: niet of er ooit een tekortkoming was, maar wat u ermee deed toen u haar kende.
Wat riskeert u bij een gebrekkig beleid?
De sancties verschillen per regime. Voor overtredingen van de gegevensbeschermingsregels kan de Autoriteit Persoonsgegevens boetes opleggen tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt. Voor witwasregels, financieel toezicht en cyberbeveiliging gelden eigen boetestelsels, met daarnaast de bevoegdheid om een aanwijzing te geven, een last onder dwangsom op te leggen of uiteindelijk een vergunning in te trekken.
Naast bestuurlijke handhaving staan civiele en strafrechtelijke risico’s. Benadeelde partijen kunnen schade vorderen, en bij ernstige tekortkomingen kan het Openbaar Ministerie zowel de rechtspersoon als feitelijk leidinggevenden vervolgen. Bestuurders lopen daarnaast het risico van interne aansprakelijkheid wegens onbehoorlijke taakvervulling.
Het praktische risico is vaak groter dan het juridische: een aanbesteding die u niet mag ingaan, een financier die extra zekerheden vraagt, een verzekeraar die dekking beperkt, of een afnemer die het contract beeindigt. Die gevolgen treden op zonder dat er ooit een boete valt.
Met welke toezichthouder krijgt u te maken?
Het toezicht is verdeeld over gespecialiseerde autoriteiten die elk hun eigen wet uitvoeren. De Autoriteit Persoonsgegevens ziet toe op de gegevensbescherming, de Autoriteit Consument en Markt op mededinging en consumentenbescherming, de Autoriteit Financiele Markten op gedrag in de financiele sector en De Nederlandsche Bank op soliditeit en integriteit. Daarnaast houdt de Nederlandse Arbeidsinspectie toezicht op arbeidsomstandigheden en arbeidsmarktwetgeving, en zijn er sectorale toezichthouders voor voedsel, digitale infrastructuur en zorg.
Hun instrumentarium lijkt op elkaar. Zij kunnen inlichtingen vorderen, onderzoek ter plaatse doen, een aanwijzing geven, een last onder dwangsom opleggen om gedrag af te dwingen, en een bestuurlijke boete opleggen als bestraffing achteraf. Bij vergunninghouders komt daar de mogelijkheid bij om de vergunning te beperken of in te trekken. Een last onder dwangsom en een boete zijn beide besluiten in de zin van de Algemene wet bestuursrecht, met alle procedurele waarborgen van dien.
Dat is praktisch van belang, want tegen zo’n besluit staat bezwaar open bij de toezichthouder zelf, in beginsel binnen zes weken na bekendmaking, gevolgd door beroep bij de bestuursrechter. Wie een informatieverzoek of een voornemen tot boeteoplegging ontvangt, doet er goed aan direct te bepalen wat hij verplicht is te verstrekken en wat niet: bij een punitieve sanctie geldt een zwijgrecht en hoeft niemand aan zijn eigen bestraffing mee te werken. Reageer wel altijd binnen de gestelde termijn.
Veelgestelde vragen
Is een compliancebeleid verplicht voor het mkb?
Er bestaat geen algemene verplichting op grond van omvang. Wel gelden losse verplichtingen die vrijwel elke onderneming raken: de gegevensbeschermingsregels, de risico-inventarisatie en -evaluatie op grond van de Arbeidsomstandighedenwet, en vanaf vijftig werknemers een interne meldprocedure op grond van de Wet bescherming klokkenluiders. Valt u onder de Wwft, de Wft of de Cyberbeveiligingswet, dan is een uitgewerkt beleid wel verplicht.
Vanaf welke omvang moet ik over duurzaamheid rapporteren?
Na de omnibusrichtlijn van 24 februari 2026 geldt de rapportageplicht in beginsel alleen wanneer u gemiddeld meer dan duizend werknemers hebt en een netto-omzet van meer dan 450 miljoen euro. Voor de meeste ondernemingen vervalt de directe verplichting daarmee, al kunnen grote afnemers via het contract alsnog informatie verlangen.
Moet ik een compliance officer aanstellen?
Voor financiele ondernemingen onder de Wet op het financieel toezicht is een onafhankelijke compliancefunctie verplicht. Daarbuiten schrijft de wet geen functie voor, maar wel het resultaat: aantoonbare beheersing. Wijs daarom altijd een verantwoordelijke aan die rechtstreeks aan het bestuur rapporteert, ook als dat een deeltijdrol is.
Val ik onder de Cyberbeveiligingswet?
Dat hangt af van uw sector en uw omvang. De wet ziet op essentiele en belangrijke entiteiten in achttien sectoren, waaronder ook aanbieders van cloud-, datacenter- en beheerde ICT-diensten. Valt u eronder, dan geldt sinds 15 augustus 2026 een registratieplicht, een zorgplicht en een meldplicht bij significante incidenten, met een uitdrukkelijke rol voor het bestuur.
Beschermt een compliancebeleid mij tegen vervolging?
Niet automatisch. Artikel 51 van het Wetboek van Strafrecht laat vervolging van rechtspersonen toe, en toerekening hangt af van de omstandigheden. Een beleid dat aantoonbaar wordt nageleefd, kan wel meewegen bij de vraag of de onderneming de vereiste zorg heeft betracht, en bij de hoogte van een bestuurlijke boete.
Advies over uw compliancebeleid
De vraag is zelden of u iets moet regelen, maar welk regime op u van toepassing is en hoever dat gaat. Dat vergt een inventarisatie in plaats van een standaarddocument. Law & More brengt in kaart welke verplichtingen op uw onderneming rusten, stelt beleid, procedures en meldregelingen op die bij uw omvang passen, en staat u bij in het contact met toezichthouders en bij handhaving. Neem voor een beoordeling van uw situatie contact op via +31 40 369 06 80.
