Werken als Compliance Officer

Wat doet een Compliance Officer?

Een Compliance Officer bewaakt of de organisatie doet wat de wet en haar eigen regels van haar vragen, en adviseert het management daarover. De rol is geen eigenaar van het risico, want dat blijft bij de business, de eerste lijn. Het is ook geen audit: een auditor beoordeelt achteraf en onafhankelijk, en die hoort in de derde lijn.

De Wwft vraagt van een instelling, voor zover passend bij haar aard en omvang, een onafhankelijke en effectieve compliancefunctie. Die functie controleert of de wettelijke regels en de eigen regels van de instelling worden nageleefd. Lees de actuele tekst van de Wwft op wetten.overheid.nl, want wetgeving verandert.

Neem een accountmanager die een zakelijke relatie wil aangaan met een bedrijf waarvan de eigenaar een politiek prominent persoon (PEP) is. De Compliance Officer kijkt naar het totaalbeeld, zoals de herkomst van het vermogen en het risico bij acceptatie, en schrijft een advies. Dat advies gaat naar het hoger leidinggevend personeel, dat besluit. Volgens een good practice van DNB wordt zo'n advies zwaarwegend meegewogen. Het wordt vastgelegd, maar de Compliance Officer beslist niet alleen.

In een ander geval blijkt bij een controle dat een afdeling een afgesproken stap uit het beleid overslaat. De Compliance Officer bespreekt dat met het afdelingsmanagement, schrijft een rapportage met afgesproken acties en volgt of die zijn uitgevoerd. Het gaat er niet om iemand te betrappen, maar om het beleid aantoonbaar te laten werken.

Bij sommige organisaties ziet een week er zo uit: adviesvragen van collega's ("mag dit zo?"), beoordeling van nieuwe producten of leveranciers voordat ze live gaan, een steekproef in dossiers en een rapportage voor het management. De Compliance Officer adviseert en controleert daarbij de eerste lijn.

Compliance in en buiten de financiële sector

De titel betekent in de praktijk drie dingen. Bij een financiële instelling is de compliancefunctie in wetgeving vastgelegd. Artikel 21 lid 1 van het Besluit prudentiële regels Wft noemt onder meer een bank, een verzekeraar met beperkte risico-omvang en een betaalinstelling, die een organisatieonderdeel met een compliancefunctie moeten hebben. Een toezichthouder als DNB of AFM stelt daar vragen over. De wettekst kan wijzigen, dus lees de actuele versie op wetten.overheid.nl.

De tweede variant is een organisatie die onder de Wwft valt zonder een bank te zijn. Artikel 1a lid 4 van de Wwft wijst onder meer belastingadviseurs, externe registeraccountants, notarissen en trustkantoren aan. Ook hier geldt dat de functie passend moet zijn bij aard en omvang, dus niet elke organisatie heeft een Compliance Officer.

De derde variant zit bij organisaties zonder financiële toezichthouder. Daar ligt het zwaartepunt bij privacy, informatiebeveiliging, integriteit en contracten, en de overlap met de Data Protection Officer, de Privacy Officer en de GRC Consultant is groot. De vacature maakt meestal duidelijk welke variant het is.

Welke taken horen bij de functie?

Dit zijn de taken, in gewone taal:

• Naleving toetsen en adviseren. Je controleert of de regels worden gevolgd en beantwoordt vragen van collega's en het management over wat mag.
• Gaten vastleggen. Waar de organisatie de regels nog niet haalt, leg je vast wat er mis is en wat er moet gebeuren. Je houdt beleid en procedures bij.
• Monitoren, testen en rapporteren. Je volgt of maatregelen blijven werken, test steekproefsgewijs en legt bevindingen en afgesproken acties voor aan de leiding.
• Contact met toezichthouders en autoriteiten. Waar de functie dat vraagt, onderhoud je die relatie.
• Collega's trainen. Je legt uit wat van hen wordt gevraagd en stelt bewustwordingstrainingen voor.
• Ongebruikelijke transacties melden. Volgens een good practice van DNB is die taak bij de compliancefunctie belegd, als de instelling er een heeft. De Wwft noemt ook het verstrekken van gegevens aan de Financiële inlichtingen eenheid (FIU) als onderdeel van die functie.

Het European Cybersecurity Skills Framework van ENISA beschrijft de rol als Cyber Legal, Policy & Compliance Officer. Volgens het profiel horen twee opleveringen bij de rol: een Compliance Manual en een Compliance Report.

Welke skills heb je nodig?

Het werk draait om regels lezen en vertalen naar de praktijk. ENISA noemt het begrijpen van de gevolgen van wetswijzigingen, het uitleggen van privacyonderwerpen aan belanghebbenden en het ontwikkelen van beleid dat past bij de bedrijfsbehoefte en de wettelijke eisen.

Persoonlijk gaat het om een onafhankelijk oordeel, ook als dat niet gewenst is. Je onderbouwt een nee zo dat het uit te leggen is, ook als de business haast heeft. Je schrijft helder en beknopt, blijft rustig bij weerstand en bent discreet, want een deel van wat je ziet is vertrouwelijk.

Vakinhoudelijk heb je kennis nodig van de wetten in je sector, van risicobeoordeling, van steekproeven en controleprincipes, en van de basis van privacy en informatiebeveiliging. Omgaan met data en dossiers vraagt ook om data governance.

Onafhankelijkheid is een kern van de rol en tegelijk een spanning, want de functie adviseert het management en maakt er deel van uit. DNB schrijft dat de mensen die de compliancefunctie uitoefenen in beginsel niet tegelijk betrokken zijn bij de activiteiten die zij controleren. Bij kleine instellingen kan dat onevenredig zijn, en dan kan de functie geheel of gedeeltelijk worden uitbesteed.

Welke kaders en systemen gebruikt een Compliance Officer?

In de financiële sector gaat het om de Wwft en de Wft. Over de Wwft lees je meer in het artikel voor compliance-professionals. Voor persoonsgegevens is dat de AVG, met de AVG-vacatures erbij. Bij organisaties die onder NIS2 of DORA vallen, is dat een kader waar je mee werkt. Voor informatiebeveiliging is ISO 27001 de norm voor een managementsysteem.

Systemen vallen in een paar soorten: een plek voor beleid en procedures, een systeem om bevindingen en acties te volgen en, in de financiële sector, het transactiemonitoringssysteem waaruit meldingen komen. Welke tools een werkgever gebruikt, staat in de vacature.

Welke opleiding en certificeringen passen bij een Compliance Officer?

Een hbo- of wo-opleiding in recht, bedrijfskunde, economie of ICT is een mogelijke start. De functie is ook bereikbaar vanuit een andere functie in dezelfde organisatie. Voor compliance in de financiële sector bestaan eigen opleidingen die deze gids niet behandelt.

Certificeringen die dicht bij het werk liggen: CIPP/E voor privacywetgeving in Europa, CISA voor de audit van informatiesystemen, CRISC voor risico en beheersing, en de ISO 27001 Lead Auditor-opleiding voor de audit van een informatiebeveiligingsmanagementsysteem. Een certificering vervangt geen ervaring, en een werkgever stelt eigen eisen.

DNB noemt als good practice dat de compliancefunctie aanvullende opleidingen volgt om op de hoogte te blijven van ontwikkelingen in wet- en regelgeving. Een leerhouding hoort dus bij de functie, en die kun je ook laten zien.

Hoe word je Compliance Officer?

Je kunt instromen via een uitvoerende rol zoals Compliance Analist, of via een rol in klantonderzoek, juridische zaken, audit of risicomanagement. Ook IT- en securityprofessionals kunnen overstappen naar de variant met informatiebeveiliging.

Laat zien dat je een regel uit een wet of beleid kunt vertalen naar een advies, en dat je een bevinding helder kunt opschrijven. Bij financiële instellingen kan screening van medewerkers horen: de Wwft verplicht instellingen hun werknemers te screenen, voor zover relevant voor hun taken.

Waar werk je als Compliance Officer?

Compliancefuncties vind je bij financiële dienstverleners, zoals in de vacatures voor financiële dienstverlening en de vacatures voor verzekeringen en pensioenen. Ook de consultancy- en data services-sector kent deze rol. Organisaties buiten de financiële sector richten ook compliancefuncties in. Werkgevers die een Compliance Officer zoeken, staan op de werkgeverspagina voor Compliance Officer.

Waar groei je naartoe?

Dit is een overzicht, geen belofte. Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

• Senior Compliance Officer. Je pakt complexere dossiers op en stemt af met de toezichthouder. Bekijk de vacatures voor Compliance Officer.
• Hoofd compliance. Je leidt het team en bepaalt de visie op compliance in de organisatie.
• GRC Consultant. Je adviseert klanten over compliance, risico en governance. Lees de rolgids voor de GRC Consultant.
• Data Protection Officer of Privacy Officer. Je specialiseert je in persoonsgegevens. Lees de rolgids voor de Data Protection Officer of de rolgids voor de Privacy Officer.
• Risk Manager. Je kijkt breder naar risico's dan alleen naleving. Lees de rolgids voor de Risk Manager.
• Information Security Officer. Je werkt aan de kant van informatiebeveiliging. Lees de rolgids voor de Information Security Officer.

Compliance Officer of Risk Manager?

Beide rollen kunnen tot de tweede lijn horen, en ze kunnen elkaar nodig hebben. In het Three Lines Model Statement of Position van The IIA uit 2026 geeft de tweede lijn deskundige ondersteuning en advies op gebieden als risico, compliance en security.

Een IT-auditor is een derde optie. Die geeft onafhankelijke assurance achteraf en hoort bij de derde lijn. Lees de rolgids voor de IT-auditor en de rolgids voor de Risk Manager om de verschillen te zien.

Vacatures en werkgevers

Open functies vind je op de vacaturepagina voor Compliance Officer. Werkgevers die deze rol zoeken, staan op de werkgeverspagina. Meer over het vakgebied staat op compliance en privacy.