Werken als Compliance Analist

Wat doet een Compliance Analist?

Een Compliance Analist onderzoekt of een organisatie zich houdt aan wetten en aan de eigen interne regels, en legt vast wat hij of zij vindt. De functie hoort bij het vakgebied compliance en privacy. De titel verschilt per organisatie. Vooral in de financiële sector heten vergelijkbare functies soms KYC-analist of AML-analist. Let daarom op de taken in de vacature en niet op de naam.

Een werkdag in de financiële sector laat zien wat de functie inhoudt. Het transactiemonitoringssysteem markeert opvallende contante stortingen op een zakelijke rekening. Die melding heet een alert: een signaal dat wijst op een mogelijk ongebruikelijke transactie. De analist leest het cliëntprofiel, ziet wat voor bedrijf het is en wat er verwacht wordt, en vergelijkt de stortingen met het patroon van eerdere maanden. Blijkt er een logische verklaring te zijn, zoals een drukke zomerperiode bij een horecagelegenheid, dan schrijft de analist een korte conclusie en sluit de alert. Zo nodig zoekt de analist aanvullende informatie in openbare bronnen.

Blijft er een vraag open, dan gaat het dossier naar de Compliance Officer of naar de functie die over melden beslist. De analist onderzoekt en legt vast. Het besluit over de acceptatie van een cliënt of over een melding ligt bij de Compliance Officer, het management of de daartoe aangewezen functie.

Buiten de financiële sector kan het werk er anders uitzien. Bij een zorg- of overheidsorganisatie kan een Compliance Analist bijvoorbeeld controleren of verwerkingsovereenkomsten met leveranciers aanwezig zijn, bijhouden welke bevindingen uit een interne controle nog openstaan en een rapportage voor de Compliance Officer voorbereiden. Het ENISA-raamwerk voor cyberveiligheidsvaardigheden kent geen apart profiel voor deze functie. Wel heeft het profiel Cyber Legal, Policy & Compliance Officer als hoofdtaak onder meer het identificeren en vastleggen van gaten in de naleving.

Een alert van begin tot eind

Een alert komt uit het transactiemonitoringssysteem. Het is een signaal dat wijst op een mogelijk ongebruikelijke transactie. Volgens De Nederlandsche Bank is een transactie ongebruikelijk op grond van objectieve indicatoren, zoals een grensbedrag, of op grond van een subjectieve indicator: de transactie geeft de instelling aanleiding te veronderstellen dat zij verband kan houden met witwassen of financieren van terrorisme. Een good practice van DNB beschrijft dat de primaire verantwoordelijkheid voor transactiemonitoring bij de eerste lijn ligt. Heeft de instelling een compliancefunctie, dan adviseert en controleert die functie. Hieronder de stappen aan de hand van het voorbeeld met contante stortingen op een zakelijke rekening.

1. Binnenkomst. De alert staat in de lijst. Je ziet welke cliënt of rekening erbij hoort en welke regel de alert gaf.
2. Eerste beoordeling. Past deze transactie bij het verwachte profiel van de cliënt? Is dit al eerder gezien?
3. Context verzamelen. Wat voor bedrijf is het, wat wordt er verwacht, en wat is er eerder gebeurd?
4. Aanvullend onderzoek. Je doet bureauonderzoek, dat is deskresearch met bestaande data, en zoekt in openbare bronnen. Je kijkt ook of de zakelijke relatie negatief in het nieuws is geweest. Zo nodig vraag je de eerste lijn om uitleg.
5. Conclusie vastleggen. Je schrijft op welke overwegingen je had en tot welke conclusie je kwam. De instelling moet dat vastleggen, zodat het dossier later te volgen is.
6. Sluiten of doorzetten. Met een gewone verklaring sluit je de alert. Blijft er een vraag open, dan gaat het naar de Compliance Officer of de functie die over melden beslist.
7. Melden en geheimhouding. Wordt er gemeld aan de FIU, dan geldt een geheimhoudingsplicht: niemand mag laten merken dat er een melding is gedaan. De Wwft kent daarop enkele uitzonderingen onder strikte voorwaarden.
8. Terugkoppelen. Je kijkt of een regel of werkwijze beter kan en geeft dat door.

Welke taken horen bij de functie?

Het werk bestaat uit onderzoeken en vastleggen. Een Compliance Analist:

• onderzoekt cliëntdossiers en werkt ze bij. Het cliëntenonderzoek is risicogebaseerd: bij een laag verwacht risico kan het vereenvoudigd, bij middelhoog risico is het regulier en bij hoog risico is het verscherpt.
• stelt risicoprofielen op of herziet ze.
• beoordeelt alerts en meldingen.
• doet bureauonderzoek en raadpleegt openbare bronnen.
• legt bevindingen en conclusies met onderbouwing vast.
• bereidt een melding voor voor de functie die over melden beslist.
• voert controles en steekproeven uit.
• volgt open punten en levert bij aan rapportages en trainingen.

Volgens het ENISA-profiel hoort bij de verwante rol ook meewerken aan het ontwerpen, implementeren, auditen en testen van activiteiten voor naleving. De verdeling tussen deze taken verschilt per organisatie. In een klein team kan één persoon het hele palet doen.

Welke skills heb je nodig?

Onderzoek met meerdere bronnen. Je zoekt een cliënt op in het dossier, in het transactieverloop en in openbare bronnen. Je weegt wat je vindt en let op welke bron betrouwbaar is.

Patronen zien. Een reeks stortingen die elk op zichzelf normaal lijkt, kan samen een patroon vormen dat afwijkt van het verwachte profiel. Daarvoor moet je het profiel en de geschiedenis van de cliënt kennen.

Nauwkeurig vastleggen. Een collega of toezichthouder moet het dossier kunnen volgen zonder jou te spreken. Schrijf op wat je deed, wanneer en waarom.

Onderbouwd concluderen. Zeg wat de bevindingen laten zien en benoem wat je niet weet. Een conclusie gaat niet verder dan de onderbouwing.

Biases herkennen. DNB noemt het bewust zijn van mogelijke vooringenomenheid als onderdeel van de opleiding van analisten. Een cliënt die vertrouwd voelt of juist niet, mag je oordeel niet kleuren.

Discretie. Over een melding praat je met niemand die er niet bij hoort, en de cliënt krijgt niets te horen.

Helder communiceren. Collega's in de eerste lijn hebben soms haast. Stel je vraag kort en concreet, zodat zij snel kunnen antwoorden.

Data en spreadsheets. Je werkt met overzichten en rapportages in spreadsheets. Daarnaast heb je basiskennis van de Wwft in de financiële sector en van de AVG voor persoonsgegevens.

Welke systemen en hulpmiddelen gebruikt een Compliance Analist?

Een Compliance Analist werkt met een paar categorieën hulpmiddelen. Een transactiemonitoringssysteem maakt alerts op basis van regels. Een dossier- of casesysteem bevat de cliëntdossiers, de bevindingen en de conclusies. Daarnaast gebruik je openbare bronnen, zoals nieuwsberichten, en spreadsheets voor overzichten en steekproeven.

DNB beschrijft als good practice dat een instelling alerts bij lagere risico's geautomatiseerd kan sluiten, mits het beslismodel goed is gedocumenteerd en die alerts worden geëvalueerd, bijvoorbeeld met een steekproef. Een relatief groot aantal geautomatiseerd gesloten alerts kan wijzen op een beslismodel dat niet adequaat is. Bij onderzoek naar fraude en risico's kom je de skills fraud detection, risk assessment en data governance tegen. De aanpak verschilt per organisatie en de vacature noemt de systemen die daar gebruikt worden.

Welke opleiding en certificeringen passen bij een Compliance Analist?

Een hbo- of wo-opleiding in een richting als recht, bedrijfskunde, economie of ICT is een mogelijke start. Ook mensen met ervaring uit klantacceptatie, administratie of audit kunnen instappen. Over opleiding binnen de organisatie zegt DNB dat de Wwft instellingen verplicht te zorgen dat werknemers periodiek opleidingen volgen die hen in staat stellen een ongebruikelijke transactie te herkennen en een cliëntenonderzoek goed en volledig uit te voeren.

Certificeringen zijn niet de ingang. Bij een variant met privacy of security kunnen ze wel passen: de CIPP/E voor privacy, de ISO 27001 Lead Auditor voor informatiebeveiliging en de CISA voor audit. Lees de artikelen over de CIPP/E-certificering, de ISO 27001 Lead Auditor-opleiding en de CISA-certificering. Een certificering vervangt ervaring niet. Voor compliance in de financiële sector bestaan eigen opleidingen die deze gids niet behandelt.

Hoe word je Compliance Analist?

Je kunt instromen via een stage of een traineefunctie. Ook kun je komen vanuit klantenservice, klantacceptatie of de backoffice van een financiële instelling, vanuit audit of juridische zaken, of vanuit IT of security voor de variant met informatiebeveiliging.

Wat je zelf kunt doen: lees de basis van de Wwft door. De DNB-richtlijnen zijn openbaar, dus je kunt ze zelf lezen. Werk een casus uit en schrijf een conclusie op, en oefen met het kritisch lezen van een bron. Oefen met het onderbouwen van je conclusie en benoem wat je niet weet.

In een gesprek laat je zien wat je kunt met een helder geschreven bevinding, nauwkeurigheid en nieuwsgierigheid. Neem een korte casus mee waarin je laat zien hoe je van een signaal naar een conclusie kwam. De Wwft verplicht instellingen om hun medewerkers te screenen, voor zover dat relevant is voor hun taken. Bij financiële instellingen kan screening dus onderdeel van het traject zijn.

Waar werk je als Compliance Analist?

Je vindt de functie bij financiële instellingen, verzekeraars en pensioenuitvoerders, betaalinstellingen en adviesorganisaties. Ook organisaties buiten de financiële sector kunnen een compliancefunctie hebben ingericht. Bekijk de vacatures in financiële dienstverlening, verzekeringen en pensioenen en consultancy en data services. De Wwft geldt ook voor beroepsgroepen buiten de banken, zoals belastingadviseurs, externe registeraccountants, notarissen en trustkantoren. Werkgevers die een Compliance Analist zoeken, vind je op deze pagina.

Compliance Analist of Compliance Officer?

Het verschil zit in de aanpak en in de mate waarin je beslist. Onderstaand overzicht is een hulpmiddel, geen vaste regel.

De grens tussen beide functies verschilt per organisatie. Bij een klein team kan één persoon beide taken doen. Meer over de Compliance Officer staat in de rolgids van de Compliance Officer.

Doorgroei kan bijvoorbeeld naar:

• Senior Compliance Analist, voor complexere dossiers.
• Compliance Officer, met advies en een eigen standpunt.
• GRC Consultant, met advies aan meerdere klanten. Zie de rolgids.
• Specialist in een onderwerp, zoals transactiemonitoring of privacy.
• Risk Manager of Operational Risk Analyst, voor een bredere blik op risico's.

Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

Vacatures en werkgevers

Bekijk de vacatures voor Compliance Analisten. Werkgevers die zoeken, vind je op de werkgeverspagina voor de Compliance Analist. Lees bij elke vacature welke taken erbij horen en welke systemen er gebruikt worden, want de titel zegt daar weinig over.