Twee identieke financiële dienstverleners. Dezelfde markt, dezelfde medewerkers, dezelfde gesprekken. De AFM belt bij allebei. Het enige verschil: de een heeft bewijs. De ander niet.
Beide organisaties willen compliant zijn. Maar als de AFM belt, telt alleen wat u kunt bewijzen. Het verschil zit in de architectuur, niet in de intentie.
Marieke is een composiet van compliance officers die wij bij Voclarion kennen. Geen fictief personage, maar een herkenbaar patroon. Haar situatie, haar vragen, haar vrijdagochtend: we zijn ze tientallen keren tegengekomen.
De AFM belde op een vrijdagochtend. Marieke van den Berg, Compliance Officer bij een middelgrote hypotheekadviseur in Utrecht, dacht dat ze klaar was. Ze had een checklist. Ze had beleid. Op papier klopte alles.
Ze was niet klaar.
De AFM had een themaonderzoek aangekondigd naar de kwaliteit van hypotheekadvies. Specifiek: of medewerkers met een actief Wft-diploma hadden geopereerd, of gesprekken waren opgenomen en bewaard, en of het adviesproces aantoonbaar voldeed aan de Wgfo. Toen Marieke haar IT-manager belde, begon het knagen.
"Had Marieke bewijs? Op papier wel. In de praktijk niet. Dat is het verschil dat telt als de AFM belt."
Het probleem was niet dat Marieke haar werk niet deed. Het probleem was dat de systemen nooit waren ontworpen voor compliance. Ze waren ontworpen voor communicatie. Dat is een fundamenteel verschil.
Een telefoonsysteem dat gesprekken opneemt voor kwaliteitsdoeleinden is geen compliance-systeem. Een compliance-systeem legt bewijs vast, bewaart het veilig, maakt het doorzoekbaar, en koppelt elk gesprek automatisch aan de medewerker. Inclusief verificatie of die medewerker op dat moment bevoegd was om te adviseren.
Marieke's organisatie had het eerste. Ze dacht dat het tweede was. De vraag is niet of de AFM ooit bij uw organisatie langskomt. De vraag is of u dan het bewijs heeft.
Vier wetgevingskaders raken tegelijkertijd uw communicatieinfrastructuur. Elk stelt andere eisen. Maar ze convergeren op hetzelfde object: het systeem waarop uw medewerkers bellen, adviseren en klanten te woord staan.
Elke medewerker die telefonisch adviseert, moet op het moment van het gesprek een geldig diploma bezitten voor het betreffende productdomein. Verlopen PE-cyclus = onbevoegd.
Het gegeven advies, de onderbouwing en de klantreactie moeten reproduceerbaar zijn. Gesprekken opgenomen, bewaard, op verzoek beschikbaar gesteld. Altijd. Aantoonbaar.
Opnames zijn persoonsgegevens. EU-opslag is verplicht en ongestructureerd gebruik van publieke AI is een direct datalek. Veilige, private AI-verwerking binnen een gesloten EU-omgeving en rolgebaseerde toegang zijn vereist.
Voor beleggingsdienstverleners: alle telefonische communicatie over transacties of adviezen moet opgenomen worden met exacte tijdstempels en metadata. Langste bewaarplicht.
Het is niet voldoende dat een medewerker ooit een diploma heeft behaald. Diploma's verlopen. Een medewerker die na een verlopen PE-cyclus nog gesprekken voert is niet bevoegd. ongeacht zijn kennis of ervaring.
Gespreksopnames op servers buiten de EU via een Amerikaanse cloudprovider zijn problematisch onder de AVG én de US Cloud Act. Amerikaanse autoriteiten kunnen die data opvragen zonder dat u dat kunt tegenhouden.
De AI-Paradox: Medewerkers willen AI gebruiken voor snelle gespreksamenvattingen. Kopiëren ze klantdata naar publieke tools zoals ChatGPT? Dan heeft u een datalek. Voclarion lost dit op met Voclarion Private AI: geautomatiseerde transcripties en samenvattingen binnen een 100% gesloten, EU-soevereine omgeving. Krachtige AI, zonder compliance-risico.
Vier wetten stellen eisen aan uw telefoonsysteem. Geen van die wetten is tevreden met "we doen ons best." Ze vragen bewijs. aantoonbaar, reproduceerbaar, leverbaar op het moment dat de AFM belt. Niet daarna.
AFM-boete + herstelkosten + schadeclaims + media-aandacht + reputatieverlies.
Schikking: gemiddeld €5.000–€50.000 per zaak. Bij patroon: class action of AFM-onderzoek.
AVG-boete tot 4% van de wereldwijde jaaromzet. Meldplicht bij AP. Reputatieschade bij datalek.
Het systeem verifieert bij elke call de actuele diplomastatus van de medewerker in uw CRM of HR-systeem. Diploma verlopen? Het gesprek wordt automatisch doorgezet naar een bevoegde collega. Technisch onmogelijk gemaakt en niet beleidsmatig geregeld.
Elk gesprek automatisch opgenomen, voorzien van metadata (tijdstip, medewerker, klant, diplomastatus op moment van gesprek) en opgeslagen op Europese servers. Geen map met bestanden, maar een geïndexeerd archiefrecord. Op verzoek van de AFM binnen minuten te exporteren.
Gespreksdata staan 100% op servers binnen de EU. In plaats van een datalek naar publieke AI-tools, biedt Voclarion Private AI voor automatische transcripties, samenvattingen en compliance-extractie ("Zijn de risico's benoemd?"). Krachtig, gesloten en veilig.
Als compliance by design correct is geïmplementeerd, verandert er iets fundamenteels: u hoeft niet meer actief na te denken over compliance. Het systeem doet dat voor u. En als de AFM belt. u heeft bewijs. Direct. Aantoonbaar. Leverbaar.
Dit zijn de vragen die de AFM u stelt bij een onderzoek. Kunt u ze beantwoorden? Klik aan wat u met zekerheid. aantoonbaar, niet intuïtief. kunt bevestigen.
10–12: U heeft bewijs als de AFM belt. Laat dit bevestigen via een audit.
6–9: U heeft niet alle bewijs op orde. Er zijn blinde vlekken. Een compliance-audit is urgent.
0–5: U heeft onvoldoende bewijs als de AFM belt. Neem direct contact op.
Bewijs hebben als de AFM belt. Niet als wens, maar als aantoonbare realiteit. Dit is de volgorde die werkt.
Fase 1: Weet u waar uw bewijs is? (Week 1–2)
Welk systeem? Welke provider? Waar worden opnames opgeslagen? Op welke servers, in welk land? Als uw IT-afdeling dit niet direct kan beantwoorden, is dat zelf al een bevinding.
Voor elke medewerker met klantcontact: welk Wft-diploma is vereist, wat is de huidige geldigheid, wanneer verloopt de volgende PE-cyclus? De uitkomst bepaalt de urgentie.
De twaalf vragen uit hoofdstuk vijf. samen. De overlap tussen IT, privacy en compliance is waar de blinde vlekken zitten.
Fase 2: Borgt u dat bewijs automatisch? (Week 3–8)
Zie de interactieve check hieronder. De antwoorden bepalen of uw huidige provider compliance by design kan leveren.
Met uw telecomprovider en elke partij met toegang tot gespreksdata. Controleer expliciet de sub-verwerkers: in welke landen opereren die?
De koppeling tussen telefoonsysteem en diplomadatabase moet automatisch zijn: geen medewerker kan een adviesgesprek voeren waarvoor hij niet bevoegd is. technisch onmogelijk.
Fase 3: Kunt u het bewijs leveren? (Week 9–13)
Simuleer een AFM-verzoek: vraag uw team om alle gesprekken van een willekeurige medewerker in een willekeurige periode te exporteren. Meet de tijd. Langer dan vier uur = operationeel probleem.
Één middag per kwartaal om de zelfscan te herhalen, verwerkersovereenkomsten te controleren en Wft-status te valideren. Minder dan de tijd die een AFM-onderzoek u kost.
Stel deze vragen aan uw huidige telecomprovider. Klik "ja" of "nee" en zie direct het risico.
"De provider die deze vragen direct en concreet beantwoordt, heeft compliance in zijn architectuur gebouwd. De provider die twijfelt, heeft dat niet."