De rol van compliance manager in het MKB

“Wie is er verantwoordelijk voor ISO?” is een vraag die in veel MKB-organisaties niet scherp is beantwoord. Soms is het de directeur, soms de kwaliteitsmanager, soms de HR-manager en soms iemand die het “er even bij doet”. Dat leidt onvermijdelijk tot fragmentatie: niemand heeft het geheel in beeld en bij een externe audit blijkt het systeem niet goed onderhouden. De oplossing is een duidelijke compliance manager-rol — maar hoe organiseert je dat in een MKB zonder grote compliance-afdeling?

Wat doet een compliance manager?

Een compliance manager — ook wel kwaliteitsmanager, CISO (voor informatiebeveiliging) of managementsysteembeheerder genoemd — is verantwoordelijk voor het beheren, onderhouden en verbeteren van het managementsysteem. De rol omvat een breed scala aan taken:

Documentbeheer: Het bijhouden van procedures, werkinstructies en beleidsverklaringen. Ervoor zorgen dat documenten actueel zijn, de juiste versie in gebruik is en verouderde versies worden gearchiveerd.

Interne audits: Het plannen, coördineren en (mede-)uitvoeren van interne audits. Dit omvat het opstellen van het auditprogramma, het aansturen van auditoren en het bewaken van de opvolging van bevindingen.

Non-conformiteitenbeheer: Het bijhouden van afwijkingen, klachten en incidenten en het bewaken dat corrigerende maatregelen worden uitgevoerd en effectief zijn.

Directiebeoordeling voorbereiden: Het verzamelen van inputinformatie, het opstellen van de agenda en het faciliteren van de directiebeoordeling.

Training en bewustwording: Het zorgen dat medewerkers de relevante eisen kennen en voldoende competent zijn om hun bijdrage aan het managementsysteem te leveren.

Contactpersoon certificeringsinstantie: Het zijn van het primaire aanspreekpunt voor de externe auditor en het coördineren van certificerings- en surveillanceaudits.

Is de compliance manager een full-time functie?

In een grote organisatie: ja. In het MKB: vrijwel nooit. De meeste MKB-organisaties beleggen de compliance manager-rol als een deeltijdfunctie bij een bestaande medewerker of manager.

Hoeveel tijd de rol vergt, hangt af van:

Factor	Invloed op tijdsbesteding
Aantal ISO-normen	Meer normen = meer beheerwerk
Organisatiegrootte	Meer medewerkers = meer processen, documenten, audits
Maturiteit van het systeem	Nieuw systeem vergt meer tijd dan volwassen systeem
Gebruik van software	Compliance software reduceert administratieve last aanzienlijk
Auditfrequentie	In het jaar van externe audit meer werk

Voor een organisatie van 20–50 medewerkers met één ISO-norm is 0,1–0,2 FTE een realistisch startpunt. Bij twee of drie normen of een complexer systeem loopt dit op naar 0,2–0,4 FTE.

Tip: Beleg de compliance manager-rol bij iemand die het werk begrijpt én de organisatie kent, niet alleen bij iemand die “het erbij kan doen”. Een compliance manager zonder mandaat of kennis van de norm levert een papieren systeem op dat tijdens een externe audit door de mand valt.

Competenties van een effectieve compliance manager

Wat maakt een goede compliance manager? Technische kennis van de norm is noodzakelijk maar niet voldoende. De meest effectieve compliance managers combineren:

Normenkennis: Degelijk begrip van de relevante ISO-norm(en) — niet alleen de letter, maar ook de geest. Wat wil de norm bereiken? Hoe past een eis in het grotere geheel?

Proceskennis: Inzicht in hoe de organisatie werkt. Zonder begrip van de bedrijfsprocessen kan een compliance manager geen relevante procedures schrijven of effectieve audits uitvoeren.

Communicatieve vaardigheden: De compliance manager moet zowel met de werkvloer als met het management communiceren. Hij of zij maakt complexe normeisen begrijpelijk en haalt draagvlak op voor het managementsysteem.

Organisatievermogen: Het bijhouden van documenten, audits, acties en deadlines vereist een gestructureerde werkwijze en een sterk overzicht.

Doorzettingsvermogen: Compliance is niet altijd populair. Een compliance manager die opgeeft bij de eerste weerstand, bereikt weinig.

De externe compliance manager: een alternatief

Sommige MKB-organisaties kiezen ervoor om de compliance manager-rol (gedeeltelijk) extern in te vullen. Een externe ISO-adviseur of compliance specialist beheert het systeem op afstand en is aanwezig bij audits en directiebeoordelingen.

Voordelen: gegarandeerde normenkennis, geen HR-lasten, flexibel inzetbaar. Nadelen: minder diepgaande kennis van de organisatiecultuur, hogere kosten bij intensief gebruik, afhankelijkheid van een externe partij.

Toekomstige ontwikkelingen in de compliance-rol

De rol van compliance manager is de afgelopen jaren sterk veranderd en zal dat blijven doen. Enkele trends die van invloed zijn op de rol in het MKB:

Digitalisering: Compliance software neemt steeds meer administratieve taken over. De compliance manager hoeft minder tijd te besteden aan het bijhouden van registers en kan meer tijd investeren in het verbeteren van processen en het vergroten van bewustwording.

Integratie van normen: Steeds meer organisaties combineren meerdere ISO-normen in een geintegreerd managementsysteem. De compliance manager wordt daarmee verantwoordelijk voor een breder systeem met meer normen tegelijk.

Regeldruk: Nieuwe wetgeving zoals de EU AI Act, CSRD (duurzaamheidsrapportage) en aanscherping van AVG-handhaving vergroot de compliance-last voor MKB. De compliance manager krijgt er verantwoordelijkheden bij die voorheen buiten zijn of haar domein vielen.

FAQ

Moet de compliance manager gecertificeerd zijn?

De ISO-normen stellen geen certificeringsverplichting voor de compliance manager. Wel wordt verwacht dat de persoon aantoonbaar competent is. Een relevante opleiding (bijv. Lead Implementer of Lead Auditor opleiding voor de betreffende norm) vergroot de geloofwaardigheid en de kwaliteit van het werk.

Mag de directeur ook compliance manager zijn?

Technisch gezien wel, maar het is niet ideaal. De directeur heeft als topmanagement een bewakings- en beslissingsrol; de compliance manager heeft een uitvoerende en coördinerende rol. Door beide rollen bij dezelfde persoon te beleggen, verliest je de checks and balances die de norm beoogt.

Wat als onze compliance manager vertrekt?

Dat is een van de grootste risico’s voor ISO-gecertificeerde organisaties. Zorg voor kennisoverdracht, actuele documentatie en bij voorkeur een tweede persoon die het systeem kent. Compliance software helpt hierbij: als het systeem goed is ingericht, is kennis minder persoonsgebonden.

---

Klaar om te starten? Control One begeleidt je stap voor stap.