Wat is een compliancevragenlijst?

Een compliancevragenlijst (in het Engels compliance questionnaire) dient als schriftelijke controle: de leverancier beantwoordt elke vraag in het formaat van de koper en een senior verantwoordelijke keurt de response goed. In het beheer van leveranciersrisico's en in offertetrajecten controleert een koper er een leverancier mee waarop hij steunt; binnen de eigen compliancefunctie van een bedrijf verwijst dezelfde term naar een jaarlijkse vragenlijst waarin medewerkers of bestuurders bevestigen dat ze de bedrijfsregels volgen. Doorgaans komt de vragenlijst binnen vóór de ondertekening van een contract of wanneer een contract aan verlenging toe is.

Wat een compliancevragenlijst vraagt

Compliancevragenlijsten gaan over de wetten, normen en beleidsregels waarvoor een koper verantwoording moet afleggen en die hij doorgeeft aan de leveranciers waarop hij steunt. Typische onderdelen bevatten vragen over gegevensbescherming, informatiebeveiliging, de bestrijding van omkoping en corruptie, sancties en exportcontroles, moderne slavernij en bedrijfscontinuïteit. Veel vragenlijsten peilen ook of de leverancier de gedragscode voor leveranciers van de koper aanvaardt: de regels waarvan de koper verwacht dat elke leverancier ze naleeft.

De OECD Responsible Business Outlook 2026 toont hoe wijdverbreid publieke engagementen van grote bedrijven over een aantal van deze onderwerpen zijn. Volgens het rapport maakt 69% van de grootste beursgenoteerde bedrijven een engagement bekend over minstens één van deze thema's: mensenrechten, kinderarbeid, dwangarbeid, vrijheid van vereniging, broeikasgasemissies, biodiversiteit of corruptie. Een koper die zo'n engagement is aangegaan, heeft reden om zijn leveranciers over dezelfde onderwerpen te bevragen.

Er zijn twee vormen. Veel kopers sturen hun eigen spreadsheet of laten leveranciers antwoorden in een onlineportaal: een website waar de leverancier zijn antwoorden invoert en bestanden uploadt. Andere gebruiken een standaardformulier, zoals de SIG-vragenlijst (Standardized Information Gathering) van Shared Assessments, die bedoeld is om de eerste beoordeling van leveranciers en andere derde partijen door een koper te standaardiseren.

Veel vragen vereisen zowel een document als een antwoord. Bij een vraag over bedrijfscontinuïteit kan dat het plan zelf zijn, bij een vraag over informatiebeveiliging een certificaat zoals ISO 27001. Het antwoord en het document moeten overeenstemmen, want de koper vergelijkt ze met elkaar. Een leverancier die veel van zulke vragenlijsten ontvangt, kan goedgekeurde antwoorden voor verschillende kopers hergebruiken. Dat werk komt aan bod onder vragenlijst-response.

Waarom kopers compliancevragenlijsten sturen

Een koper stuurt een compliancevragenlijst omdat hij moet aantonen dat hij de leveranciers controleert waarop hij steunt. Grote bedrijven engageren zich publiek over de manier waarop ze zakendoen, en die engagementen reiken tot in hun toeleveringsketens. Uit hetzelfde OESO-rapport blijkt dat ongeveer 40% van de 10.000 grootste beursgenoteerde bedrijven engagementen over verantwoord ondernemen in hun toeleveringsketens bekend heeft gemaakt.

Een engagement aangaan is één ding, ernaar handelen is iets anders. Het rapport stelt ook vast dat slechts een minderheid van de bedrijven maatregelen meldt die negatieve gevolgen daadwerkelijk in kaart brengen en aanpakken: de schade die hun activiteiten kunnen toebrengen aan mens of milieu. De kloof is het grootst op het vlak van mensenrechten en in de toeleveringsketen. Een belofte van een leverancier voegt aan dat beeld weinig toe. Daarom vraagt een compliancevragenlijst voor leveranciers naar wat de leverancier doet en kan aantonen, niet alleen naar wat hij van plan is.

Dezelfde logica geldt wanneer een bank, verzekeraar of investeerder die op een leverancier steunt, zo'n vragenlijst verstuurt. Een leverancier die de regels overtreedt, stelt de organisatie die hem heeft gekozen bloot aan risico's. Bij contractverlenging gaat de vragenlijst na of wat bij de ondertekening van het contract gold, nog steeds geldt.

Hoe een leverancier een compliancevragenlijst beantwoordt

Een compliancevragenlijst beantwoorden betekent: elk onderdeel toewijzen aan wie de feiten kent, het bewijs verzamelen en de volledige response laten goedkeuren door één eindverantwoordelijke. Stel dat een kleine softwareleverancier een compliancevragenlijst ontvangt van een koper wanneer hun contract aan verlenging toe is. Een coördinator, de persoon die de voortgang van de response bewaakt, verdeelt de spreadsheet van de koper per onderdeel.

Gegevensbescherming en informatiebeveiliging gaan naar de IT-verantwoordelijke. Omkopingsbestrijding, sancties en de gedragscode voor leveranciers gaan naar de financiële of juridische afdeling. Bedrijfscontinuïteit gaat naar de operationele afdeling. Iedereen beantwoordt de vragen in het eigen onderdeel en levert het bijbehorende bewijsstuk aan.

Daarna volgt de goedkeuring, de laatste stap voordat iets wordt verstuurd. Bij een leverancier met een bidteam geeft de bidmanager, die verantwoordelijk is voor de response, die goedkeuring. In een klein bedrijf zonder bidteam is dat vaak de eigenaar. Degene die goedkeurt, toetst elk antwoord aan het bijbehorende bewijs. Elk antwoord is immers een feitelijke verklaring over hoe de leverancier nu werkt, en de koper kan zich daarop baseren bij de beslissing om al dan niet te verlengen.

Een antwoord dat niet door bewijs wordt ondersteund, is een onjuiste verklaring, ongeacht de intentie. Als er voor een onderdeel geen goed antwoord is, bevat een eerlijk antwoord een toelichting. Bij een overheidsaanbesteding in de EU wordt elk antwoord vóór verzending aan de bron getoetst, omdat volgens de EU-regels voor overheidsopdrachten een ernstige onjuiste verklaring tot uitsluiting van de leverancier kan leiden.

Het verschil met vergelijkbare vragenlijsten

Een security questionnaire is beperkter van opzet, een DDQ is breder, een ESG-vragenlijst volgt een rapportagekader en een PQQ hoort bij één fase van een aanbesteding. Eén verzoek van een koper kan onderdelen van meerdere soorten vragenlijsten bevatten.

Security questionnaire

Een security questionnaire gaat uitsluitend over informatiebeveiligingsmaatregelen. De vragen betreffen hoe de leverancier toegang beheert, gegevens beschermt, incidenten afhandelt en zijn systemen herstelt. Een compliancevragenlijst bevat doorgaans een onderdeel over beveiliging, maar gaat verder en behandelt ook omkoping, sancties, arbeidspraktijken en de gedragscode van de koper.

Due-diligence-vragenlijst (DDQ)

Een due-diligence-vragenlijst (DDQ) is nog ruimer. Banken, investeerders en zakelijke kopers gebruiken die om een leverancier als geheel te beoordelen. Naast compliance komen daarom ook eigendomsstructuur, financiën, bestuur en bedrijfsvoering aan bod. Een compliancevragenlijst richt zich op de regels die de leverancier volgt.

ESG-vragenlijst

Een ESG-vragenlijst over prestaties op het vlak van milieu, maatschappij en bestuur volgt doorgaans een gepubliceerd rapportagekader en vraagt zowel naar gegevens, zoals emissiecijfers, als naar beleidsdocumenten. Een verzoek via CDP is daar een voorbeeld van: de leverancier beantwoordt de hoofdvragenlijst van CDP en daarnaast vragen over de toeleveringsketen die specifiek zijn voor de koper die het verzoek deed. Een compliancevragenlijst behandelt deels dezelfde onderwerpen, zoals arbeidspraktijken, maar vraagt niet naar prestatiegegevens: ze gaat na of de leverancier zich aan de regels houdt.

Prekwalificatievragenlijst (PQQ)

Een prekwalificatievragenlijst (PQQ) hoort bij één fase van één aanbesteding: de selectiefase, waarin de koper beslist welke leveranciers een volledige offerte mogen indienen. Een PQQ vraagt naast compliance ook naar financiële draagkracht, ervaring en bekwaamheid. Sommige vragen zijn knock-outcriteria: een foutief of ontbrekend antwoord sluit de leverancier uit voordat zijn offerte wordt gelezen. Een compliancevragenlijst is niet gebonden aan een aanbestedingsfase en kan op elk moment in de relatie tussen koper en leverancier binnenkomen.