Compliance betekent in Nederlandse organisaties dat wetgeving, toezichtverwachtingen en interne normen aantoonbaar worden vertaald naar beleid, controles en besluitvorming. Sinds de invoering van de AVG in 2018 is die verantwoordelijkheid zichtbaarder geworden buiten juridische afdelingen en financiële instellingen.
Een compliancemanager is de professional die dat stelsel van naleving organiseert, bewaakt en verbetert. De rol draait om meer dan regels kennen: een effectieve compliancemanager maakt risico’s bespreekbaar, helpt de organisatie keuzes vast te leggen en zorgt dat bestuur, management en medewerkers begrijpen wat aantoonbare naleving in de praktijk betekent.
Deze tekst is bijgewerkt voor 2026 en gebruikt Nederlandse termen en kaders. Het artikel is bedoeld als loopbaan- en oriëntatiegids, niet als juridisch advies; voor formele interpretatie van wet- en regelgeving blijven officiële bronnen zoals Rijksoverheid, DNB, AFM, Autoriteit Persoonsgegevens, NEN en ENISA leidend.
Waarom de rol in Nederland anders aanvoelt dan een algemene compliancefunctie
Veel internationale artikelen over compliance leggen de nadruk op Amerikaanse regels of op cloudbeveiliging. In Nederland is de werkelijkheid breder. Een compliancemanager kan te maken krijgen met de AVG, de Wwft, de Wft, sanctieregelgeving, integriteitsbeleid, uitbestedingsvereisten, sectorale normen en interne gedragscodes. In de publieke sector spelen de BIO en NIS2 een rol, in de zorg komt NEN 7510 vaak terug, en in informatiebeveiliging sluit ISO/IEC 27001 aan op de manier waarop organisaties hun beheersmaatregelen structureren.
Toezichthouders zoals DNB en AFM werken in veel gevallen principles-based. Dat betekent dat een organisatie niet alleen moet kunnen laten zien dat een vinkje is gezet, maar ook waarom de gekozen maatregelen passen bij het risico. Een beleidsdocument zonder eigenaarschap, training, monitoring en opvolging van bevindingen overtuigt dan zelden. De praktische waarde van compliance zit juist in aantoonbare governance: risicoanalyses, besluitverslagen, control testing, issue management en rapportages die aansluiten op de werkelijke bedrijfsvoering.
De internationale groei van compliance en risicobeheer wordt vaak aangehaald met marktverwachtingen, bijvoorbeeld in analyses over innovatie in banking, compliance en risk management op NASSCOM Community. Zulke cijfers geven context, maar ze vervangen geen Nederlandse analyse. Voor iemand die in Nederland compliancemanager wil worden, zijn sector, toezichthouder, organisatietype en volwassenheid van de interne beheersing belangrijker dan wereldwijde uitgavenramingen.
Wat een compliancemanager doet
De kern van de functie is het ontwerpen en onderhouden van een complianceprogramma dat past bij de risico’s van de organisatie. Dat programma bestaat meestal uit beleid, risicoanalyses, controles, training, rapportage en opvolging van incidenten of tekortkomingen. De compliancemanager werkt daarbij met directie, juridische zaken, risk management, internal audit, privacy, informatiebeveiliging, HR, operations en soms rechtstreeks met toezichthouders.
In een financiële instelling kan de rol zwaar leunen op Wwft, KYC, transactiemonitoring, klantintegriteit en rapportage aan bestuur of toezichthouder. In een zorgorganisatie ligt de nadruk vaker op patiëntgegevens, AVG, NEN 7510, leveranciersbeheer en veilige gegevensuitwisseling. Bij een gemeente of uitvoeringsorganisatie gaat het eerder om publieke verantwoording, BIO, informatiebeveiliging, privacy, aanbesteding en veranderende Europese verplichtingen zoals NIS2. In een technologiebedrijf wordt compliance vaak gekoppeld aan privacy-by-design, productontwikkeling, ISO/IEC 27001, cloudcontracten en klantvragen over assurance.
Een veelgemaakte fout is compliance vereenzelvigen met privacy of informatiebeveiliging. Die functies raken elkaar, maar hebben een andere opdracht. De functionaris gegevensbescherming houdt onafhankelijk toezicht op privacyverplichtingen, de CISO stuurt informatiebeveiliging aan, en compliance bewaakt breder of wetgeving, beleid en integriteitsnormen worden nageleefd. In volwassen organisaties werken deze rollen nauw samen zonder elkaars mandaat over te nemen.
De positie van compliance in het Three Lines of Defense-model
De invloed van een compliancemanager hangt sterk af van de plaats in het besturingsmodel. Veel organisaties gebruiken het Three Lines of Defense-model om verantwoordelijkheden te scheiden. Dat model helpt voorkomen dat compliance eigenaar wordt van alle risico’s, terwijl de eerste lijn verantwoordelijk blijft voor processen en klantbeslissingen.
| Lijn |
Rol in de organisatie |
Wat dit betekent voor compliance |
| Eerste lijn |
Business, operations, productteams en proceseigenaren |
Voert processen uit, beheerst risico’s dagelijks en legt keuzes vast. |
| Tweede lijn |
Compliance, risk, privacy en security governance |
Adviseert, stelt kaders, monitort naleving en rapporteert over risico’s. |
| Derde lijn |
Internal audit |
Geeft onafhankelijke assurance over opzet, bestaan en werking van beheersing. |
Voor een aankomende compliancemanager is dit onderscheid belangrijk. Wie uit operations komt, is vaak gewend beslissingen zelf te nemen en processen direct te sturen. In de tweede lijn draait het meer om beïnvloeden, adviseren, escaleren en monitoren. Dat vraagt andere vaardigheden: duidelijke normuitleg, diplomatie, dossieropbouw, rapportagevaardigheid en de moed om risico’s zichtbaar te maken wanneer commerciële of operationele druk hoog is.
Vaardigheden die zwaarder wegen dan regelkennis alleen
Regelkennis is noodzakelijk, maar niet voldoende. Een compliancemanager moet wetgeving kunnen vertalen naar werkbare processen. Een abstracte AVG-verplichting wordt bijvoorbeeld pas bruikbaar wanneer duidelijk is wie verwerkingsverantwoordelijke is, waar de data staan, welke bewaartermijn geldt, hoe rechten van betrokkenen worden afgehandeld en welk bewijs beschikbaar is bij een audit of datalekonderzoek.
Analytisch vermogen is minstens zo belangrijk. Compliancewerk begint vaak met onduidelijke signalen: een incidentmelding, een toezichthouderbrief, een nieuwe wet, een interne auditbevinding of een reeks uitzonderingen in een proces. De manager moet bepalen of het om een geïsoleerd probleem gaat of om een structureel control-gat. Daarbij helpt ervaring met risk control self assessments, key risk indicators, issue tracking en root-cause analyse.
Communicatie bepaalt vervolgens of aanbevelingen daadwerkelijk landen. Een bestuursrapportage vraagt andere taal dan een training voor klantacceptatieteams of een gesprek met softwareontwikkelaars. Goede compliancemanagers vermijden juridisch jargon waar dat niet nodig is, maar blijven precies genoeg om misverstanden te voorkomen. Zij kunnen uitleggen waarom een maatregel nodig is, welk risico ermee wordt beperkt en welke keuze het management formeel moet maken.
Instroomroutes naar compliancemanagement
Er is geen enkel vast startpunt voor deze loopbaan. Veel professionals komen binnen vanuit internal audit, legal counsel, risk management, finance, operations, privacy of IT/security. De logische route loopt vaak van compliance analyst of compliance officer naar compliancemanager en later eventueel naar head of compliance. In de eerste fase ligt de nadruk op monitoring, dossiervorming, controles en beleidsuitvoering. Op managementniveau verschuift het werk naar programma-inrichting, stakeholdermanagement, KRI’s, rapportage en prioritering. Op head-of-compliance-niveau komen strategie, bestuursadvisering en toezichtrelaties zwaarder naar voren.
De beste instaproute hangt af van de sector. Wie vanuit finance komt, kan zich relatief snel ontwikkelen richting Wwft, AML, KYC en klantintegriteit. Een jurist heeft vaak voordeel bij interpretatie van wetgeving en beleidsvorming, maar moet soms meer leren over operationele controlewerking. Een auditor begrijpt bewijsvoering en control testing, terwijl een IT- of securityprofessional sterk staat bij ISO/IEC 27001, cloud governance en technische risico’s. De ontwikkelopgave is dus niet voor iedereen hetzelfde.
Een praktisch startpunt is het kiezen van één domein waarin de professional geloofwaardigheid wil opbouwen. In financiële dienstverlening kan dat Wwft en klantintegriteit zijn. In de zorg ligt verdieping in AVG en NEN 7510 voor de hand. In overheid en publieke sector sluiten BIO, NIS2 en leveranciersrisico’s vaak beter aan. In technologiebedrijven is de combinatie van privacy-by-design, ISO/IEC 27001 en cloudcontracten regelmatig waardevol.
Welke certificeringen zinvol zijn
Certificeringen helpen vooral wanneer ze aansluiten op het gekozen domein. Een willekeurige stapel certificaten maakt een profiel niet automatisch sterker. Werkgevers kijken meestal naar de combinatie van inhoudelijke focus, toepasbare ervaring en het vermogen om beleid te vertalen naar gedrag en bewijs.
Voor privacygerichte rollen ligt verdieping in Europese privacywetgeving en privacy management voor de hand, bijvoorbeeld via CIPP/E of CIPM. Voor informatiebeveiligingscompliance is ISO/IEC 27001 relevant, vooral wanneer de professional betrokken is bij een ISMS, leveranciersbeoordelingen of auditvoorbereiding. Voor cloud- en securitygerichte compliance kan een route via CCSP, AWS Security Essentials, Microsoft Security, Compliance and Identity Fundamentals of CompTIA Cloud+ passen, afhankelijk van het platform en de rol. Readynez kan hier als opleidingspartner relevant zijn wanneer iemand een gestructureerde route zoekt in security- en compliancegerelateerde trainingen, maar de keuze voor certificering hoort eerst uit de functie-inhoud te volgen.
In financiële compliance is een gespecialiseerde AML- of KYC-opleiding vaak nuttiger dan een brede cloudcertificering. Bij zorg en publieke sector kan kennis van NEN 7510, BIO, AVG en leveranciersmanagement meer verschil maken. De vraag is daarom steeds: welke risico’s moet de organisatie aantoonbaar beheersen, en welk certificaat helpt om juist die verantwoordelijkheid beter uit te voeren?
Tooling en evidence: begin kleiner dan vaak wordt gedacht
Nieuwe compliancemanagers voelen vaak druk om direct een GRC-platform te selecteren. In praktijk is tooling pas effectief wanneer processen, eigenaarschap en definities stabiel zijn. Een organisatie die nog niet weet wat een issue, control, policy exception of risk acceptance precies betekent, automatiseert vooral onduidelijkheid.
Een volwassen aanpak begint met registers en evidencebeheer. Dat kan in een GRC-tool, maar bij kleinere of minder volwassen organisaties ook tijdelijk in SharePoint, Jira, ServiceNow of een goed beheerde documentstructuur. Belangrijker dan het systeem is dat duidelijk is wie eigenaar is van een risico, welke controle bewijs oplevert, hoe bevindingen worden opgevolgd en wanneer escalatie nodig is.
Een kernset metrieken helpt om compliance zichtbaar te maken zonder te verdrinken in rapportages. Denk aan policy coverage, deelname aan verplichte trainingen, doorlooptijd voor issue remediation, openstaande auditbevindingen, uitzonderingen op kritieke controles en KRI’s die gekoppeld zijn aan wetgevingsrisico’s. Zulke metrieken zijn bruikbaar wanneer ze leiden tot managementgesprekken, niet wanneer ze alleen in een dashboard staan.
Salaris en arbeidsmarkt in Nederland
Salarisinformatie voor compliancemanagers varieert sterk per sector, regio, senioriteit, toezichthouderdruk en schaarste aan domeinkennis. Financiële instellingen, fintechs en grotere gereguleerde organisaties betalen doorgaans anders dan kleinere zorginstellingen, scale-ups of publieke organisaties. Ook het verschil tussen een operationele compliance officer en een eindverantwoordelijke manager met bestuursrapportage is groot.
Internationale salarisbronnen kunnen nuttig zijn als globale referentie, maar ze zijn niet geschikt om Nederlandse verwachtingen rechtstreeks op te baseren. De oorspronkelijke Amerikaanse Glassdoor-pagina voor compliance manager salary en een aparte Glassdoor-pagina voor global compliance manager salary laten vooral zien dat locatie en functieniveau veel uitmaken. Voor Nederland is het verstandiger om meerdere actuele bronnen naast elkaar te leggen, zoals Nederlandse vacatureteksten, salarisonderzoeken van recruitmentbureaus, Glassdoor NL, Intermediair Salariskompas en branchegerichte beloningsrapporten. Let daarbij op EUR per jaar, vaste en variabele beloning, pensioen, leasebudget, hybride werken en de vraag of de functie leidinggevend is.
Een praktijkvoorbeeld: van auditbevinding naar complianceprogramma
Een middelgrote Nederlandse dienstverlener kreeg na een interne audit meerdere bevindingen op leveranciersbeheer. Contracten bevatten verschillende privacy- en securitybepalingen, risicoacceptaties waren niet centraal vastgelegd en periodieke reviews vonden vooral plaats bij grote leveranciers. Er was geen acuut incident, maar de organisatie kon onvoldoende aantonen hoe zij AVG- en informatiebeveiligingsrisico’s structureel beheerste.
De nieuwe compliancemanager koos niet voor een groot transformatieprogramma als eerste stap. Eerst werden de kritieke leveranciers geïdentificeerd, bestaande contracten en verwerkersafspraken verzameld en eigenaarschap per leverancier bevestigd. Daarna kwam er een eenvoudig risicoregister, een standaard voor uitzonderingen en een kwartaalrapportage aan het management. Pas toen de definities en verantwoordelijkheden werkten, werd gekeken naar verdere automatisering.
De les uit zo’n situatie is dat compliancewaarde ontstaat door consistent bewijs en duidelijke besluitvorming. Een organisatie hoeft niet in de eerste maand alle tooling perfect te hebben. Zij moet wel kunnen uitleggen welke risico’s bekend zijn, wie actie onderneemt en waarom bepaalde risico’s tijdelijk zijn geaccepteerd.
De eerste 90 dagen als nieuwe compliancemanager
De eerste maanden bepalen vaak of de functie wordt gezien als praktische partner of als remmende controlelaag. Een nieuwe compliancemanager doet er goed aan eerst te begrijpen waar de organisatie al volwassen is en waar informele werkwijzen risico’s verhullen. Snel beleid herschrijven zonder draagvlak levert zelden blijvende verbetering op.
- Breng in de eerste weken de belangrijkste wettelijke verplichtingen, toezichthouders, beleidsdocumenten, audits, incidenten en openstaande bevindingen in kaart.
- Voer gesprekken met bestuur, legal, risk, audit, privacy, security, HR en proceseigenaren om verwachtingen en pijnpunten scherp te krijgen.
- Kies enkele quick wins, zoals een centraal issue-register, duidelijke policy-eigenaars en een betere opvolging van verplichte trainingen.
- Leg na 90 dagen een prioriteitenplan voor met risico’s, afhankelijkheden, metrieken en besluiten die managementaandacht vragen.
Deze aanpak voorkomt dat compliance alleen reageert op incidenten. De manager bouwt aan ritme: periodieke rapportages, vaste overlegstructuren, duidelijke escalatie en meetbare opvolging. Daarmee ontstaat ook een betere basis voor gesprekken met toezichthouders, auditors en externe klanten.
Waar deze loopbaan naartoe kan groeien
Compliancemanagement is een rol voor professionals die kunnen schakelen tussen regels, risico’s en mensen. De inhoud vraagt nauwkeurigheid, maar de impact ontstaat door samenwerking. Wie wil doorgroeien, doet er goed aan sectorfocus te kiezen, ervaring op te bouwen met evidence en rapportage, en te leren hoe besluitvorming in de organisatie werkelijk werkt.
De meest effectieve volgende stap is het vergelijken van de eigen achtergrond met de risico’s van de gewenste sector. Een auditor kan sneller waarde leveren in control testing, een jurist in normuitleg, een securityprofessional in informatiebeveiligingscompliance en een operations-professional in uitvoerbare processen. Vanuit dat vertrekpunt kan gerichte training, bijvoorbeeld via Unlimited Security Training van Readynez, helpen om ontbrekende kennis aan te vullen zonder de loopbaankeuze te laten afhangen van certificeringen alleen.
