Van vinkje naar risicogebaseerd onderzoek | LexisNexis

Jarenlang benaderden veel organisaties third-party due diligence als een verplichte procedure. Een verzameling formulieren. Een standaard screeningscontrole. Een compliance-vakje dat moest worden afgevinkt voordat een leverancier, partner of andere derde partij kon worden onboarded.

In 2026 is dat model niet langer voldoende — en in sommige gevallen zelfs niet langer verdedigbaar.

De wereldwijde regelgeving die wordt beschreven in de 2026 Due Diligence Checklist laat een duidelijke verschuiving zien. Toezichthouders vragen niet langer alleen óf screening heeft plaatsgevonden. Zij willen weten of deze screening proportioneel, risicogebaseerd en doorlopend is uitgevoerd.

Dat lijkt een subtiel verschil, maar de impact is groot. Het markeert het verschil tussen het naleven van een proces en het daadwerkelijk beheersen van risico's.

Waarom een vinkjesaanpak tekortschiet

Traditionele due diligence-processen passen vaak dezelfde controles toe op alle derde partijen. Iedere leverancier ontvangt dezelfde vragenlijst. Iedere onboarding volgt dezelfde workflow. Monitoring vindt, indien aanwezig, meestal periodiek plaats in plaats van continu.

Het probleem is dat risico's niet gelijk verdeeld zijn

Het framework voor 2026 benadrukt dat de blootstelling aan risico sterk varieert afhankelijk van factoren zoals:

• Geografie
• Sector
• Type transactie
• Eigendomsstructuren
• Betrokkenheid van PEP's (Politically Exposed Persons)
• ESG-risico's
• Sanctieblootstelling

Een lokale leverancier in een laagrisicoland heeft een fundamenteel ander risicoprofiel dan een distributeur die actief is in een sanctiegevoelige regio of een partner binnen een sector met verhoogde risico's, zoals infrastructuur, overheidsaanbestedingen of defensie.

Op beide partijen exact dezelfde mate van onderzoek toepassen is op zijn best inefficiënt — en op zijn slechtst nalatig.

Toezichthouders verwachten steeds vaker dat organisaties kunnen aantonen dat de diepgang van hun due diligence aansluit bij het daadwerkelijke risiconiveau.

De opkomst van het risicogebaseerde model

Een risicogebaseerde aanpak begint niet met formulieren, maar met een beoordeling van risico's.

De checklist beschrijft een gestructureerd proces waarbij organisaties eerst vaststellen waar zaken worden gedaan, welke wet- en regelgeving van toepassing is, welke sectorspecifieke risico's bestaan, of er PEP's betrokken zijn, welke negatieve berichtgeving beschikbaar is en wie de uiteindelijk belanghebbenden (UBO's) zijn.

Pas na deze eerste beoordeling wordt bepaald of vereenvoudigde, uitgebreide of specialistische due diligence noodzakelijk is.

Dit gelaagde model sluit aan bij de verwachtingen van toezichthouders in verschillende jurisdicties. In het Verenigd Koninkrijk moeten organisaties die een beroep willen doen op "adequate procedures" onder anti-corruptiewetgeving aantonen dat hun beheersmaatregelen proportioneel zijn ten opzichte van het risico. Binnen de Europese Unie verplicht nieuwe duurzaamheidswetgeving bedrijven om de meest ernstige risico's binnen hun waardeketens te identificeren en te prioriteren.

Enhanced Due Diligence in de praktijk

Wanneer verhoogde risico's worden vastgesteld, wordt Enhanced Due Diligence (EDD) essentieel.

Dit gaat verder dan basisidentiteitscontroles of eenvoudige online zoekopdrachten. Het vereist een gestructureerde screening van onder meer:

• Sanctielijsten
• Toezicht- en waarschuwingslijsten van toezichthouders
• Databases met Politically Exposed Persons (PEP's)
• Compliance-gerelateerde watchlists
• Bedrijfs- en UBO-gegevens
• Juridische procedures
• Wereldwijde negatieve mediaberichtgeving

Het vermogen om negatieve berichtgeving efficiënt te filteren, patronen te herkennen en historische beschuldigingen in context te plaatsen wordt daarbij cruciaal.

Handhavingszaken van de afgelopen jaren laten zien dat organisaties die duidelijke signalen hebben gemist — vooral wanneer deze publiek beschikbaar waren — moeite hebben om hun due diligence-aanpak te verdedigen.

In deze omgeving zijn uitgebreide databronnen en geavanceerde zoekmogelijkheden geen luxe. Ze vormen de basis van effectieve due diligence.

Continue monitoring: het ontbrekende onderdeel

Een van de meest voorkomende tekortkomingen binnen traditionele due diligence-programma's is het ontbreken van doorlopende monitoring.

De checklist benadrukt dat onboardingcontroles moeten worden aangevuld met periodieke herbeoordelingen en geautomatiseerde monitoring. Het risicoprofiel van een derde partij kan immers snel veranderen door nieuwe sancties, juridische procedures, ESG-controverses of governanceproblemen.

Zonder voortdurende monitoring kunnen organisaties lange tijd blootgesteld blijven aan risico's nadat de initiële screening is afgerond.

Een risicogebaseerde aanpak omvat daarom geautomatiseerde bulkcontroles, vernieuwde sanctiescreening en continue monitoring van negatieve berichtgeving. Due diligence wordt daarbij beschouwd als een doorlopend proces gedurende de gehele relatiecyclus, niet als een eenmalige controle.

Risicogebaseerde due diligence op schaal mogelijk maken

Het implementeren van een risicogebaseerd framework voor honderden of duizenden derde partijen vereist meer dan een beleidswijziging. Het vraagt om de juiste infrastructuur.

Organisaties moeten in staat zijn om:

• Grote aantallen entiteiten tegelijkertijd te screenen
• Consistente workflows toe te passen
• Besluitvorming te documenteren
• Toegang te krijgen tot hoogwaardige wereldwijde databronnen
• Negatieve berichtgeving efficiënt te identificeren
• Controleerbare rapportages te genereren

Nexis Diligence+ ondersteunt gestructureerde screening van derde partijen en workflows voor Enhanced Due Diligence. Functionaliteiten zoals bulk uploads, monitoring van ESG- en negatieve mediarisico's en begeleide onderzoeksprocessen helpen organisaties om consistent en aantoonbaar zorgvuldig te werken.

Voor organisaties die compliance willen integreren in interne analyse- en risicomodellen biedt Nexis® Data+ via API-toegang gelicentieerde wereldwijde nieuws-, bedrijfs- en regelgevingsdata. Hiermee kunnen risicoscores worden ontwikkeld en continue monitoring worden ondersteund.

Daarnaast kan Nexis+ AI onderzoeks- en samenvattingsprocessen versnellen wanneer deze zijn gebaseerd op betrouwbare, gelicentieerde databronnen. Hierdoor kunnen analisten zich richten op materiële risico's in plaats van tijdrovende documentreview.

Technologie vervangt menselijk oordeel niet. Technologie maakt het mogelijk om proportionaliteit, documentatie en snelheid te realiseren binnen steeds complexere regelgevingsomgevingen.

Ontdek het complete framework voor third-party risk management in 2026

Download de 2026 Due Diligence Checklist en ontdek hoe uw organisatie een risicogebaseerde aanpak kan implementeren voor effectiever beheer van derdepartijrisico's.

Download de 2026 Due Diligence Checklist