Compliance moet onzekerheid niet uitbannen, maar besturen
Europa vraagt zijn financiële sector om innovatie te financieren, terwijl datzelfde systeem is ingericht om elke onzekerheid uit te sluiten. Regelvereenvoudiging alleen lost dat niet op, stelt Frans van Bruggen van AIC4NL: banken moeten de ruimte pakken die de regels al bieden, met AI als hulpmiddel en een compliancefunctie die onzekerheid bestuurt in plaats van uitbant.
Van Bruggen is hoofd normen, waarden en regelgeving bij AIC4NL en was eerder bij DNB verantwoordelijk voor AI-beleid en -toezicht. Zijn visie werkt hij uit in een artikel in het Compliance, Ethics & Sustainability Journal en in een presentatie die hij aan bankiers geeft. Hij spreekt daarbij op persoonlijke titel, nadrukkelijk niet namens huidige of vorige werkgevers.
De vraag die hij zijn publiek voorlegt is simpel: kan een structureel risicomijdend financieel systeem nog een structureel innovatieve economie financieren? Beleidsmakers verwachten dat banken de digitale transformatie, de adoptie van AI en de groene transitie bekostigen. Tegelijk is de sector volgens hem “defensiever, procedureel complexer en minder in staat geworden om ondernemend risico te dragen”.
Dat kwam niet van de ene op de andere dag. Crises leidden tot meer regels, meer regels tot intensiever toezicht. De minst besproken stap kwam daarna: instellingen maakten de verwachtingen van de toezichthouder tot hun eigen norm. “De dominante vraag verschuift geleidelijk van ‘wat is proportioneel en effectief?’ naar ‘wat vindt de toezichthouder?’”, schrijft Van Bruggen. Het gevolg: “Financiële instellingen reguleren zichzelf uiteindelijk zwaarder dan toezichthouders formeel bedoelen.”
Regels stapelen sneller dan ze verdwijnen
Die zelfopgelegde strengheid komt bovenop een regelboek dat zelden krimpt. Nieuwe regels worden op bestaande kaders gelegd terwijl oudere verplichtingen blijven staan. Prudentiële regels, gedragstoezicht, antiwitwasverplichtingen, DORA en de AI Act kruisen elkaar binnen dezelfde instelling, “vaak zonder een volledig coherente architectuur op systeemniveau”.
Zelfs initiatieven die de regeldruk moeten verlagen leveren volgens hem geregeld nieuwe documentatie, overgangsmaatregelen en verduidelijkingen op.
De rekening daarvan is niet alleen operationeel. Nieuwe technologie strandt in lange goedkeuringscycli van juridische toetsen, risicoanalyses, modelvalidaties en ethische commissies. Kapitaal stroomt naar het voorspelbare, waardoor banken opschuiven naar een nutsrol in de economie. De diepste schade zit volgens Van Bruggen in de cultuur: “Documentatie vervangt denken. Escalatie vervangt eigenaarschap.”
Het Digital Omnibus-pakket van de Europese Commissie noemt hij daarom een belangrijke erkenning dat de huidige koers onhoudbaar wordt. Alleen lost Brussel het probleem niet op. “Het vereenvoudigen van regelgeving alleen zal niet volstaan om het innovatievermogen van Europa te herstellen”, stelt hij.
Zolang de defensieve cultuur van binnenuit dezelfde rigiditeit blijft reproduceren, moet het initiatief van de instellingen zelf komen.
De ruimte is er al
De sector heeft daar twee dingen voor in handen. Het eerste is AI, dat Van Bruggen niet primair ziet als object van toezicht, maar als fundament van het toekomstige compliancemodel: systemen die regelgeving continu volgen en interpreteren, monitoring scherper maken en rapportages automatiseren.
Dat speelt de compliance-professional vrij voor het werk waar menselijk oordeel onmisbaar blijft – regels duiden, het bedrijf adviseren en het gesprek met de toezichthouder voeren.
Het tweede is lef. Neem een bank waarvan de transactiemonitoring nog draait op een verouderd, regelgebaseerd systeem dat zeer veel valse meldingen produceert. Een machine-learningmodel zou die fors terugdringen en analisten naar werkelijk verdachte activiteiten leiden. De defensieve reactie is het oude systeem eindeloos in de lucht houden, “juist omdat het vertrouwd is voor toezichthouders en daarom veilig voelt om te verdedigen”.
De ondernemende reactie ziet er anders uit: het model grondig valideren, de logica en beperkingen vastleggen, menselijke beoordeling behouden en vervolgens zelf naar de toezichthouder stappen om de aanpak toe te lichten. “De regelgevende ruimte om dit te doen bestaat al; wat meestal ontbreekt is het zelfvertrouwen om die te gebruiken”, aldus Van Bruggen.
Innovation hubs en de sandboxes onder de AI Act bieden daar volgens hem al de ingang voor.
Die ruimte is niet onbegrensd. Waar een interpretatie een harde eis verzwakt of een wezenlijk risico onbeheerd laat, blijft de conservatieve lezing de juiste. Wie de ruimte wel verantwoord benut, zet volgens hem een cyclus in gang: toezicht verschuift van procedurecontrole naar het begrijpen van nieuwe governancemodellen, en wetgeving leert van de praktijk. De waarborgen zelf blijven daarbij overeind.
Ondernemende compliance is dan ook geen deregulering en geen soepelere integriteit, benadrukt hij. Het onderscheid is niet dat tussen “streng” en “soepel”, maar tussen statisch procedureel werken en intelligente governance. In zijn woorden: “De rol van compliance is niet om onzekerheid uit te bannen, maar om haar te besturen: het vertrouwen scheppen dat innovatie onder controle is, en de ruimte scheppen die innovatie nodig heeft om te slagen.”
