SIRA: van verplichting naar sturingsinstrument voor integriteitsrisico’s

De systematische integriteitsrisicoanalyse (SIRA) is voor veel organisaties een vast onderdeel van het toezichtskader. Financiële instellingen, waaronder pensioenfondsen, zijn verplicht om integriteitsrisico’s systematisch in kaart te brengen en te beheersen. Toezichthouders, waaronder De Nederlandsche Bank (DNB), hebben deze verplichting de afgelopen jaren verder geconcretiseerd in guidance en good practices. Soortgelijke verplichtingen bestaan ook voor bijvoorbeeld zorg- en onderwijsinstellingen, waarmee het zoals dat meestal het geval is zal lonen om naleving met een cross-sectorale blik in te richten.

Met de publicatie van de nieuwe Good Practices SIRA (26 augustus 2025) is deze lijn verder aangescherpt. DNB legt daarbij minder nadruk op vaste formats en meer op een risicogebaseerde, proportionele en contextgedreven benadering van integriteitsrisico’s. De SIRA moet niet alleen volledig zijn, maar vooral relevant voor de specifieke kenmerken van de organisatie.

Hoewel deze publicatie nog relatief recent is, is de richting inmiddels duidelijk. Voor organisaties betekent dit dat bestaande SIRA-processen steeds vaker worden bezien in het licht van de vraag of zij voldoende aansluiten bij deze meer contextgedreven benadering van toezicht en risicobeheersing.

Relevantie voor risicomanagement

Voor risicomanagers en compliance officers raakt de SIRA direct aan de invulling van een integere en beheerste bedrijfsvoering. In verschillende sectoren is de verplichting wettelijk verankerd, zoals in de Wwft, in het Besluit prudentiële regels Wft voor banken en verzekeraars en in artikel 143 Pensioenwet voor pensioenfondsen. De kern blijft dat organisaties integriteitsrisico’s moeten identificeren, beoordelen, beheersen en hierover verantwoording moeten afleggen.

In de praktijk wordt de SIRA vaak ingevuld via een kans-impactanalyse. Daarmee ontstaat structuur in de risico-inventarisatie, maar blijft de onderliggende afweging niet altijd expliciet zichtbaar. Risico’s worden gescoord, maar de vraag waarom bepaalde risico’s zwaarder wegen dan andere blijft soms impliciet.

Juist op dat punt sluit de recente nadruk van DNB aan. Niet alleen de aanwezigheid van risico’s is relevant, maar ook de manier waarop organisaties deze wegen en vertalen naar hun risicobereidheid. Welke risico’s worden geaccepteerd, onder welke voorwaarden, en welke worden als onaanvaardbaar beschouwd? Uit de Good Practices van DNB zijn vier belangrijke aandachtspunten te distilleren waarmee organisaties verder kunnen gaan dan het klassieke type risicomanagement en -analyse:

1. afstand van een 'mechanische benadering' van de richtlijnen waarbij inzicht ontbreekt;
2. expliciete erkenning van soft controls en cultuur naast harde data;
3. gebruik van KRIs en data-analyse om risico's tijdig te signaleren;
4. maatschappelijk onbetamelijke handelen van de organisatie op gebied van bijvoorbeeld geopolitiek, ESG en klokkenluiders.

Deze ontwikkeling met deze specifieke accenten sluit aan bij een bredere benadering die wordt aangeduid als waardegedreven compliance. Daarbij staat niet alleen naleving van regels centraal, maar ook de bedoeling achter die regels en de waarden die ermee worden beschermd. Voor risicomanagers en compliance officers betekent dit dat de SIRA niet uitsluitend een risicoregister is, maar ook een middel om deze onderliggende afwegingen zichtbaar en bespreekbaar te maken.

De aanpak voor compliance met impact voor organisaties zowel als de samenleving kan worden vormgegeven langs de lijn van moeten, willen en kunnen. De wettelijke verplichtingen moeten daarbij worden nageleefd, die functioneren daarmee als de bodem ofwel het minimum van doelstellingen en maatregelen. Deze staan vast in bijvoorbeeld de Pensioenwet, de Wet op financieel toezicht of de Wet tegen witwassen en financiering van terrorisme.

Deze vereisten kan je als organisatie vervolgens uitbreiden met wat je van jezelf verwacht op basis van je missie en visie. Daarmee kom je uit op waar de mensen in je organisatie en de stakeholders rondom je organisatie willen dat je aan voldoet. Het inrichten van de SIRA als een springplank om je doel te bereiken, en niet als een doel op zich, is een grote stap richting waardegedreven compliance.

Als laatste zal er altijd een toets op haalbaarheid om de hoek komen kijken. Wat organisaties willen is soms meer dan ze kunnen bereiken in het huidige risicoklimaat. Een duidelijk beeld van de governance, heldere prioriteiten en stoepranden (waar ligt de grens van willen naar moeten?) en een open cultuur waar de mogelijkheden en beperkingen gemakkelijk besproken kunnen worden zorgt ervoor dat het maximale uit de beschikbare capaciteit gehaald kan worden.

Verdieping en handelingsperspectief

Van generieke analyse naar organisatierisicoprofiel       
De ontwikkeling rond de SIRA heeft gevolgen voor de inrichting van governance en risicobeheersing binnen organisaties. Een belangrijk vertrekpunt daarbij is het organisatierisicoprofiel.

In de nieuwe Good Practices van DNB wordt dit expliciet benoemd als basis voor een effectieve SIRA. Door te kijken naar factoren zoals producten en diensten, klantgroepen, transacties, geografische spreiding en uitbestedingsrelaties ontstaat een samenhangend beeld van waar integriteitsrisico’s zich kunnen manifesteren.

Dit profiel voorkomt dat de SIRA een generieke exercitie wordt. Niet alle risico’s zijn immers voor iedere organisatie in dezelfde mate relevant. Door eerst het risicoprofiel vast te stellen, kunnen organisaties gerichter risicoscenario’s uitwerken en beter beoordelen of bestaande beheersmaatregelen aansluiten bij de feitelijke risico’s.

Risicobereidheid en expliciete afwegingen             
In de SIRA betekent dit dat risico’s niet alleen worden geïdentificeerd en gescoord, maar ook worden geplaatst in de context van de organisatie. Daarbij wordt expliciet gemaakt welke risico’s worden geaccepteerd, welke worden gemitigeerd en welke niet passen binnen de risicobereidheid.

Dit vraagt om expliciete keuzes, niet alleen om technische risicomodellen. Het maakt zichtbaar waar een organisatie bewust risico neemt en waar grenzen worden gesteld.

Eigenaarschap en uitbesteding       
Ten tweede raakt dit aan eigenaarschap en uitbesteding. In de praktijk worden integriteitsgevoelige processen, zoals transactiemonitoring of sanctiescreening, vaak (deels) uitbesteed. Toezichthouders signaleren dat organisaties hierbij niet altijd voldoende zicht houden op de feitelijke werking van deze processen.

Een SIRA die dit goed adresseert, vraagt daarom niet alleen om het benoemen van uitbestedingsrisico’s, maar ook om inzicht in de daadwerkelijke beheersing. Dit raakt aan de vraag in hoeverre een organisatie nog effectief kan sturen op processen die buiten de eigen organisatiegrenzen zijn belegd. Integriteitsbeheersing onder uitbesteding hangt sterk samen met het uitbestedingsbeleid en DORA-vereisten voor ICT-dienstverleners. De verantwoordelijkheid voor alle risico’s die gepaard gaan met het uitbesteden van diensten komen uiteindelijk hoe dan ook bij het bestuur terecht.

Cultuur en gedrag als risicofactor 
Ten derde speelt de culturele dimensie een belangrijke rol. Integriteitsrisico’s hangen vaak samen met gedrag, prikkels en dilemma’s in de dagelijkse praktijk. Denk aan belangenverstrengeling, omgang met vertrouwelijke informatie of indirecte vormen van uitsluiting of discriminatie.

Een SIRA kan deze risico’s alleen goed zichtbaar maken wanneer verschillende lagen in de organisatie worden betrokken. Dit vraagt om een dialoog over wat als acceptabel gedrag wordt gezien en waar grenzen liggen. Daarmee wordt de SIRA niet alleen een analyse-instrument, maar ook een middel om integriteit bespreekbaar te maken binnen de organisatie.

SIRA als cyclisch instrument             
Tot slot benadrukken zowel DNB als de Good Practices dat de SIRA een cyclisch instrument is. Nieuwe producten, samenwerkingen of incidenten kunnen aanleiding zijn om risico’s opnieuw te beoordelen. In die zin is de SIRA geen momentopname, maar onderdeel van een doorlopend proces van risicobeheersing en herijking.

Tot slot

De SIRA blijft een verplicht instrument binnen het toezichtskader, maar de invulling ervan ontwikkelt zich zichtbaar. De nadruk verschuift van het uitvoeren van een gestandaardiseerde analyse naar het benutten van de SIRA als instrument voor inzicht, afweging en sturing.

De recente Good Practices van DNB onderstrepen dat deze ontwikkeling niet alleen toekomstgericht is, maar ook nu al relevant. Voor organisaties betekent dit dat bestaande SIRA-processen steeds vaker worden gespiegeld aan de vraag of zij voldoende contextspecifiek, proportioneel en onderbouwd zijn ingericht.

Voor risicomanagers en compliance officers verschuift daarmee de focus van het invullen van modellen naar het expliciet maken van keuzes: hoe worden risico’s gewogen, hoe sluit dit aan op de risicobereidheid van de organisatie en in hoeverre is deze afweging uitlegbaar binnen de bredere context van toezicht en maatschappelijke verwachtingen. Met deze simpele stappen kan je morgen aan de slag om van de SIRA een waardevol kader te maken voor een impactvolle beheersing van integriteitsrisico’s:

1. Toets het huidige organisatierisicoprofiel tegen de nieuwe Good Practices;
2. Maak risicobereidheidskeuzes expliciet in het volgende SIRA-rapport;
3. Betrek soft controls en cultuur structureel in de jaarcyclus.

Zo ontwikkelt de SIRA zich verder, van een verplichting naar een instrument. De essentie van compliance zit immers niet in het invullen van energie-zuigende vragenlijsten, maar in het werkelijk inzicht geven en krijgen in hoe een organisatie omgaat met integriteitsrisico’s en welke waarden daarbij leidend zijn.

Afbeelding: Erremm, CC BY-SA 4.0 , via Wikimedia Commons