Bewijs van compliance-opleiding: wat de auditor wil zien

Om een compliance-opleiding aan te tonen aan een toezichthouder of een auditor, moet je drie dingen kunnen laten zien: wie is opgeleid en wanneer, op welke inhoud, en wat die opleiding heeft opgeleverd. Aanwezigheidslijsten beantwoorden de eerste vraag, het programma de tweede. De derde vraagt evaluaties, en daar zijn veel dossiers zwak.

Dit artikel somt de te bewaren stukken op en wat autoriteiten aanbevelen na te gaan. Het toont ook wat gedebriefde oefensessies als bewijs van competentie toevoegen. Het vult onze gids over verplichte compliance-opleidingen aan.

Wat vragen de autoriteiten als bewijs?

De teksten eisen vaak een opleiding zonder te zeggen hoe je ze bewijst. De aanbevelingen van de Franse anticorruptie-instantie (AFA), gepubliceerd in het Franse Publicatieblad van 12 januari 2021, zijn preciezer. Ze beschrijven een opleidingsprogramma voor leidinggevenden en de meest blootgestelde medewerkers. Die doelgroep wordt bepaald op basis van de risicokaart.

Deze aanbevelingen moedigen hulpmiddelen aan om na te gaan of de opleidingen goed zijn begrepen, bijvoorbeeld een test tijdens de sessie of na een termijn. Ze stellen ook voor het dekkingspercentage van de doelgroep en het aantal uren dat aan compliance wordt besteed op te volgen. Ze preciseren dat de compliance-verantwoordelijke de kalender en de inhoud van de opleidingen moet kennen en de uitrol ervan moet kunnen controleren.

Voor de gedragscode vraagt de AFA het spoor van de overhandiging of beschikbaarstelling te bewaren. In de financiële sector maakt DORA (artikel 13, lid 6) bewustmakingsprogramma’s over ICT-beveiliging verplicht binnen de opleidingsplannen. Ze richten zich op alle werknemers en de directie. De auditor zal willen zien dat ze bestaan en gevolgd zijn.

De stukken die je in een bewijsdossier bewaart

Een solide dossier bestaat uit vijf families van documenten. Elk beantwoordt een vraag die de auditor waarschijnlijk stelt.

1. Het toepassingsgebied. Wie is betrokken en waarom: lijst van blootgestelde doelgroepen, afgeleid uit de risicokaart of de analyse van het beroep.
2. De inhoud. Programma, doelstellingen, materiaal, versie en datum van bijwerking. Als de inhoud verandert, bewaar dan de historiek.
3. De uitvoering. Data, duur, aanwezigheden of aanmeldingen, dekkingspercentage van de doelgroep.
4. De evaluatie. Tests, resultaten, drempels, herinneringen aan personen die gefaald hebben.
5. Het vervolg. Acties die na de opleiding zijn beslist, meldingen, bijwerkingen van de inhoud op basis van de vaststellingen.

Deze structuur volgt de logica van de aanbevelingen van de AFA: nagaan dat de opleiding heeft plaatsgevonden, dat ze is begrepen en dat de pilot van het programma er lessen uit trekt. Opleidingsorganisaties die ook een kwaliteitscertificering voorbereiden, zoals het Franse Qualiopi, hanteren een verwante documentaire logica.

Waarom aanwezigheid en quiz niet volstaan

Een aanwezigheidslijst bewijst dat iemand erbij was, of dat hij een module heeft geopend. Een eindquiz bewijst dat hij enkele juiste antwoorden herkende. Geen van beide bewijst dat hij zou weten te handelen.

Een aandachtige auditor stelt dus de volgende vraag: “Hoe weet u dat uw adviseurs de waakzaamheidsvraag echt stellen?” Antwoorden “ze hebben allemaal de module gevalideerd” is eerlijk, maar het antwoord blijft broos. Dezelfde grenzen worden beschreven in ons artikel over voltooiing en competentie.

Het meest overtuigende bewijs combineert meerdere niveaus: verspreiding, begrip en, wanneer mogelijk, observatie van gedrag in situatie. Dat derde niveau kan door gedebriefde oefening worden gevoed.

Wat gedebriefde oefensessies toevoegen

In een oefensituatie doet de deelnemer wat van hem wordt verwacht, of niet. Het spoor is niet langer een aangevinkt vakje, maar een waarneming: wat hij heeft gezegd, wat hij heeft nagelaten, zijn niveau op elke doelstelling. Meerdere sessies tonen bovendien zijn vooruitgang.

Met Face Up leidt elke sessie tot een debriefing: bereikte of niet-bereikte doelen, sterke punten, verbeterpunten, actieplan en citaten van wat de deelnemer heeft gezegd. De trainer kan deze elementen nalezen, van de ene sessie met de andere vergelijken en gebruiken om de competentie te documenteren. De casussen zijn die welke de trainer zelf heeft geschreven, op basis van zijn echte situaties.

Dit spoor komt bovenop de klassieke bewijzen zonder ze te vervangen. Het beantwoordt de vraag die controleurs steeds vaker stellen: wat kan de opgeleide persoon?

Hoe presenteer je het bewijs aan een auditor

Een goed gepresenteerd dossier leest in enkele minuten. Hier is een doeltreffend stramien.

1. Een samenvattende pagina: de beoogde doelgroep, de kalender, het dekkingspercentage.
2. Het programma en zijn laatste bijwerking, met datum en auteur.
3. Een uittreksel van de resultaten: gemiddelde, verdeling, aantal personen aan wie een herinnering werd gestuurd.
4. Twee of drie geanonimiseerde voorbeelden van oefensituaties met hun debriefing.
5. De acties die na de opleiding zijn beslist, met hun opvolging.

De geanonimiseerde voorbeelden zijn vaak wat overtuigt. Ze tonen dat de opleiding de verwachte handelingen laat oefenen, niet alleen dat ze werd geopend. Denk eraan elk overbodig persoonsgegeven te verwijderen voor u ze in een auditdossier bewaart.

Voorbeeld van een opvolgfiche per sessie

Opdat elke sessie haar spoor oplevert zonder extra werk, volstaat een korte fiche. Ze kan de volgende velden bevatten.

• het thema en de geoefende situatie, met de versie van het scenario;
• de datum, de duur en de identiteit van de deelnemer;
• de doelstellingen van het gesprek en de bereikte;
• twee citaten van wat de deelnemer heeft gezegd, een geslaagde en een om te herwerken;
• de beslist actie en de datum van de volgende sessie.

Deze fiches, per team verzameld, vormen een historiek die de compliance-verantwoordelijke in enkele minuten kan raadplegen. Ze maken het ook mogelijk de collectieve punten op te sporen die opnieuw moeten worden bewerkt: als de helft van een team vergeet een gesprek vast te leggen, is het onderwerp organisatorisch, niet individueel.

De stevigheid van uw dossier testen vóór de audit

Een eenvoudige oefening bestaat erin de auditor te spelen. Neem een thema, bijvoorbeeld klantenwaakzaamheid of de preventie van pesterijen, en stel uzelf vier vragen.

1. Kan ik de betrokken personen opsommen en bewijzen dat ze zijn opgeleid?
2. Kan ik de exacte inhoud tonen die ze op die datum hebben gevolgd?
3. Kan ik tonen wat ze na afloop konden doen, verder dan aanwezigheid?
4. Kan ik tonen wat ik heb veranderd nadat ik de resultaten had gelezen?

Als een van de antwoorden “nee” of “min of meer” is, is het dossier daar broos. Dat intern ontdekken, met tijd om te corrigeren, is beter dan tegenover een controleur.

Veelgemaakte fouten in een bewijsdossier

• Een dossier dat de dag voor de audit wordt gereconstrueerd. De ontbrekende stukken worden te laat ontdekt. Voed het dossier gedurende het jaar.
• Een inhoud zonder datum. Onmogelijk te weten welke versie de werknemers hebben gevolgd.
• Percentages zonder noemer. “95 % opgeleid” zegt niets zonder de beoogde doelgroep.
• Geen actie na een slecht resultaat. De auditor wil weten wat u met uw vaststellingen hebt gedaan.
• Te veel persoonsgegevens. Bewaar wat nodig is, niet meer.

Het bewijs vanaf het ontwerp voorzien

De beste manier om een solide dossier op te bouwen, is eraan denken wanneer je de opleiding ontwerpt. Stel per thema drie vragen: wie is betrokken, welk gedrag moet je kunnen waarnemen en welk spoor zal daaruit voortkomen? Een zo ontworpen opleiding levert haar bewijs zonder extra inspanning.

In een aanpak met oefensituaties komt dit neer op het van bij het begin bepalen van de doelstellingen van het gesprek: de vraag stellen, weigeren, vastleggen, doorverwijzen. Die doelstellingen worden het evaluatierooster, dus het bewijs. Onze pagina over rollenspellen presenteert het principe.

Veelgestelde vragen

Hoe lang bewaar ik de bewijzen van opleiding?

De duur hangt af van de toepasselijke tekst en van de verjaringsregels van elke materie. Raadpleeg uw juridische dienst en uw functionaris voor gegevensbescherming. Bewaar persoonsgegevens zolang als nodig, niet langer.

Volstaat een aanwezigheidsattest?

Het bewijst de uitvoering, niet het begrip of de competentie. Vul het aan met evaluaties en, voor de meest blootgestelde doelgroepen, met waarnemingen in situatie.

Wie is verantwoordelijk voor het bewijsdossier?

Meestal de compliance-verantwoordelijke, samen met de opleidingsdienst. De aanbevelingen van de AFA geven aan dat de compliance-verantwoordelijke de uitrol van de opleidingen moet kunnen controleren. Iedereen moet weten waar de stukken zich bevinden.

Hoe beperk ik de vermoeidheid en bewaar ik toch het bewijs?

Door de opleiding in korte sessies te knippen die elk een spoor opleveren. Zie ons artikel over de vermoeidheid van jaarlijkse opleidingen.

Wilt u zien hoe gedebriefde oefensessies een bewijsdossier voeden? Boek een demo.