“Comply or Explain” toegelicht voor commissarissen en leden RvT

Afgelopen jaren is de term “Comply or Explain” in zwang geraakt en komt deze ook terug in stukken die naar toezichthouders worden gestuurd. Niet altijd op de juiste manier. Het komt weleens voor dat de bestuurder zelf maar gelijk ‘explain’ invult als de organisatie niet compliant is, en daarmee meent de RvT voldoende te hebben geïnformeerd. Maar ‘comply or explain’ (of in het Nederlands ‘Pas toe of leg uit’) heeft niets te maken met het opbiechten van onvolkomenheden.  

‘Pas toe of leg uit’ verwijst naar het wel of niet gebruiken van een set van normen, samengebracht onder een standaard. 

Oorsprong standaarden

Omdat het voor organisaties veel en lastig werk is om de wet te interpreteren en toe te passen op hun eigen organisatie zijn gezamenlijke standaarden bedacht. Denk aan keurmerken, ISO/NEN-normenkaders en kwaliteitsstandaarden. Die set van normen in standaarden worden niet opgesteld door de wetgever, maar door de markt zelf. Het is een doorvertaling van begrippen uit de wet als ‘veilig’, ‘noodzakelijk’ of ‘transparant’. 

Een bekende set van standaarden is de Baseline Informatiebeveiliging Overheid (BIO). Op de vraag waarom de organisatie wel of geen meerfactor-authenticatie bij een proces toepast kan gemakkelijk geantwoord worden: “Wij volgen de BIO en daaruit volgt dat…”. Dit soort sets van normen in een standaard zijn flexibeler dan wetgeving, dus makkelijker en sneller aan de specifieke omstandigheden van de sector aan te passen. De basisstandaarden vormen geen extra verplichting, maar zijn vooral een prettig handvat voor organisaties om de wet toe te passen. De verplichting komt vanuit de wet- en regelgeving; de standaard helpt alleen bij vertalen naar de eigen praktijk.

Lees meer...

Comply & Pas toe: toepassen van en voldoen aan de standaard.

Als de organisatie zich aan zo’n standaard houdt, kan deze zonder extra uitleg laten zien aan de wet te voldoen op de manier die de standaard voorschrijft. Het kunnen verwijzen naar de standaard levert organisaties tijdsbesparing op, zo is het idee. Bijkomend voordeel is dat organisaties hun processen en organisatieonderdelen kunnen (laten) auditen op deze normen waardoor ze aantoonbaar aan kwaliteitsstandaarden voldoen. Ze voldoen dan in ieder geval aan de wet, maar ook nog aan zelfgekozen specifieke standaarden. Denk aan “ISO gecertificeerd” of “EKO” biologisch product.

Explain & Leg uit: verantwoorden hoe alsnog binnen wet- en regelgeving gebleven wordt.

Hoe fijn het ook is om een set van vuistregels te hebben; soms is een organisatie net te speciaal voor de algemene set. In dergelijke gevallen wil een organisatie af kunnen wijken van de standaard norm, zonder het kind met het badwater weg te gooien en bijvoorbeeld het kwaliteitskeurmerk te verliezen. Bovendien kunnen organisaties een eigen oplossing hebben die net zo ‘veilig’ en ‘goed’ is als de norm, maar nog niet in de standaard beschreven staat. Voor díe gevallen is het principe “pas toe of leg uit” bedacht.

Als de standaardnorm niet wordt toegepast, moet de organisatie wel alsnog zelf uitleggen waarom de door haar gekozen maatregel (die afwijkt van de norm) passend is en maakt dat de organisatie binnen het wettelijk kader opereert.

Dat is het ‘uitleg’ gedeelte. Het ‘explain’ slaat dus niet op het uitleggen dat de organisatie afwijkt van de norm, het slaat op het verantwoorden van de zelfgekozen nieuwe norm en de uitleg op basis waarvan de organisatie meent dat deze aan de hand van deze afwijkende norm ook binnen de geldende wet- en regelgeving blijft.

Commissarissen of leden RvT

Voor toezichthouders is van belang om steeds te onderscheiden of het gaat om het naleven van een norm of het naleven van de wet. Van normen uit een standaard mag de organisatie best afwijken, indien onderbouwd kan worden hoe de organisatie alsnog binnen de wet blijft (“pas toe of leg uit”). Bij vastgestelde wetgeving kan dat niet en volgt een ander gesprek.

Het belangrijkste voor toezichthouders is te onthouden dat het gesprek niet stopt bij ‘pas toe of leg uit’ maar juist begint. Het is de uitgelezen kans om samen in gesprek te gaan over de vertaling van open normen in wetgeving naar de organisatie.

Al snel gaat dan het gesprek over de kaders die de organisatie zélf zinnig vindt om mee te geven en de onderbouwing daarvan. Ik vermoed dat beide kanten van de tafel opgelucht kunnen ademhalen in de wetenschap dat ‘comply or explain’ niets te maken heeft met het afvinken van een compliance-lijstje, maar alles met werkelijk toezien op en meedenken over naleving in de praktijk.

Marjolein Louwerse,

Juni 2026

Noot: Marjolein Louwerse is Functionaris Gegevensbescherming bij de Nationale Politie, Toezichtversterker, Columnist bij Binnenlands Bestuur en onze verse Regiodirecteur voor Zuid-Holland.