De blinde vlek in de regelgeving: wat interim-CEO’s ontdekken als ze de boeken doornemen

door Nicolas Henckes, oprichter en CEO

De meeste opdrachten van interim CEO beginnen met een gesprek over strategie: groei, opvolging, een fusie die moet worden geïntegreerd, een crisis die moet worden gestabiliseerd. Regelgeving komt tijdens het eerste gesprek zelden ter sprake. Tegen de derde week is dat meestal wel het geval, niet omdat iemand het ter sprake heeft gebracht, maar omdat het vanzelf naar voren komt: in een arbeidscontract dat niemand nog eens heeft doorgenomen, een dossier met persoonsgegevens dat niemand heeft gedocumenteerd, of de handtekening van een oprichter op een uitvinding die niet formeel aan het bedrijf is overgedragen.

Dit is geen nalatigheid in de gebruikelijke betekenis van het woord. De Luxemburgse mkb-bedrijven en familiebedrijven zijn gebouwd op relaties, snelheid en vertrouwen, niet op compliance-afdelingen. Twintig of dertig jaar lang werkte dat prima. De kloof wordt pas zichtbaar op het moment van de overgang, en dat is precies wanneer er een ‘ interim CEO ’ in de kamer is.

Waarom deze kloof structureel is en niet toevallig

Een MKB-bedrijf met vijftien of vijftig werknemers heeft geen juridisch adviseur in dienst. Het heeft een oprichter die alles persoonlijk ondertekent, een boekhouder die de salarisadministratie regelt, en een fiduciaire die de wettelijk vereiste aangiften indient en verder niets. Meestal wordt er pas reactief op regelgeving ingespeeld, bijvoorbeeld wanneer een klant een bepaalde clausule eist of een inspecteur een vraag stelt. Niemand draagt hiervoor de vaste verantwoordelijkheid.

In een stabiele periode is dit een beheersbaar risico. Tijdens een overgangsfase, zoals een opvolging, een M&A-integratie, de oprichting van een dochteronderneming of een leiderschapswisseling, is het risico niet langer beheersbaar, omdat juist tijdens dergelijke overgangen de naleving van de regelgeving op de proef wordt gesteld: nieuwe aandeelhouders nemen de contracten onder de loep, nieuwe accountants vragen om de documentatie en het due diligence-team van een koper doorlicht alles grondig, zonder enige neiging tot coulance.

Onze ervaring leert dat er vier gebieden naar voren komen die vrijwel altijd terugkomen. Geen van deze gebieden is bijzonder. Ze worden allemaal op een voorspelbare, structurele manier verwaarloosd.

Vier blinde vlekken die we in bijna elke missie tegenkomen

1. Arbeidsovereenkomsten die in het afgelopen decennium nooit zijn aangepast aan de ontwikkelingen in het arbeidsrecht. Alleen al in de afgelopen drie jaar heeft Luxemburg het recht op ‘disconnect’ wettelijk vastgelegd (wet van 28 juni 2023), evenals verplichte interne klokkenluidersregeling voor elke particuliere werkgever met meer dan vijftig werknemers (wet van 16 mei 2023, ter omzetting van EU-richtlijn 2019/1937), en het blijft een al lang bestaande maar vaak verwaarloosde verplichting handhaven om voor elke werknemer een dagelijks arbeidstijdregister bij te houden (Code du travail, artikel L.211-29, hetzelfde principe dat het Hof van Justitie van de Europese Unie in zijn CCOO-arrest uit 2019 voor de hele EU heeft algemeen geldend verklaard). Dit is allemaal geen nieuwe wetgeving die als nieuw risico wordt gepresenteerd. Wat wel nieuw is, is de handhaving. Het recht op offline zijn kende een overgangsperiode van drie jaar voordat de administratieve sancties van kracht werden, een periode die de meeste kmo’s beschouwden als een vrijbrief om af te wachten in plaats van als een aftelling, en die periode is zojuist verstreken. Een kmo met zestig werknemers zonder klokkenluidersregeling, zonder beleid inzake offline zijn en met een werktijdregister dat niet meer werd bijgehouden vanaf het moment dat hybride werken van start ging, is geen uitzonderlijk geval. Het ligt dicht bij het gemiddelde.

2. Gegevensbescherming die eenmalig is opgezet en daarna nooit meer is herzien. De AVG is niet nieuw, maar de naleving ervan door het MKB is vaak blijven steken op het niveau van rond 2018: een privacybeleid op de website, een register dat nooit is bijgewerkt, HR-dossiers zonder bewaartermijnen. Tijdens een transitie wordt dit op de proef gesteld: een nieuw HR-systeem, een due diligence-onderzoek door aandeelhouders, de dataroom van een overnemende partij. De CNPD is de Luxemburgse toezichthoudende autoriteit voor de AVG en is onlangs ook aangewezen als nationale autoriteit voor de AI-wet, wat de derde blinde vlek vormt.

3. AI-governance: het komt sneller dan de meeste mkb-bedrijven verwachten. De verplichting uit de AI-wet inzake AI-geletterdheid (ervoor zorgen dat medewerkers voldoende inzicht hebben in de AI-tools die ze inzetten) geldt sinds februari 2025, zonder omvangdrempel en zonder vrijstelling voor kmo’s. De verplichtingen voor systemen met een hoog risico worden in augustus 2026 volledig van kracht, waarbij een voorstel voor een ‘Digital Omnibus’-pakket momenteel de EU-instellingen doorloopt om de termijnen te versoepelen en de vereenvoudigingen voor kmo’s uit te breiden naar mid-caps. Dit is allemaal geen theorie voor een Luxemburgs MKB-bedrijf dat al een op AI gebaseerde planningstool, een chatbot of een aanbevelingsengine gebruikt. De fout ligt niet in onwetendheid over de AI-wet. Het is de aanname dat „we te klein zijn om hieronder te vallen”, een aanname waarvan de Luxemburgse toezichthouders zelf, tijdens de conferentie van de CNPD over dit onderwerp in januari 2026, expliciet hebben aangegeven dat deze niet klopt.

4. Intellectuele eigendom en bedrijfsgeheimen die nooit formeel zijn vastgelegd. De Luxemburgse auteursrechtwetgeving vereist dat de overdracht van rechten schriftelijk wordt aangetoond en hanteert een restrictieve interpretatie ten gunste van de maker, wat betekent dat een oprichter die het product, het merk of de code persoonlijk heeft ontwikkeld, deze rechten mogelijk niet daadwerkelijk aan het bedrijf heeft overgedragen, zelfs niet na jarenlang deze rechten als bedrijfsactiva te hebben behandeld. Sinds de omzetting van de EU-richtlijn inzake bedrijfsgeheimen in 2019 biedt Luxemburg bedrijven ook een daadwerkelijke civielrechtelijke rechtsmiddel tegen het onrechtmatige gebruik of de onrechtmatige openbaarmaking van niet-openbaar gemaakte knowhow, maar alleen voor informatie die daadwerkelijk als geheim werd beschermd. Een map die voor het hele kantoor toegankelijk is, valt hier niet onder. Evenmin als de laptop van een vertrekkende werknemer die niemand heeft vergrendeld.

Waarom dit niet langer abstract is

Er zijn twee factoren die ervoor zorgen dat een verwaarloosd compliance-dossier tot een reële kostenpost wordt.

De eerste is een directe sanctie. De ITM kan een werkgever per overtreding van de regels inzake het loskoppelen van werknemers een boete opleggen van tussen de 251 en 25.000 euro, afhankelijk van de ernst van de overtreding en de manier waarop de werkgever reageert zodra de overtreding aan het licht is gekomen. Een klokkenluidersregeling die nooit is opgezet, of een werktijdregister dat niet bestaat, is precies het soort tekortkoming dat bij een inspectie zonder veel moeite aan het licht komt. Hiervoor is geen ontevreden werknemer nodig om de zaak in gang te zetten. Een ITM-controle kan routinematig zijn. Bij inspecties door de ITM en de CNPD krijgen bedrijven die te goeder trouw handelen doorgaans enige ruimte om een tekortkoming te verhelpen voordat er een sanctie wordt opgelegd. Die respijtperiode geldt echter pas zodra de tekortkoming zichtbaar is en wordt verholpen – ze geldt niet met terugwerkende kracht wanneer een koper deze tekortkoming al in zijn bod heeft verwerkt na een due diligence-onderzoek.

De tweede, en vaak grotere, kostenpost komt pas later aan het licht: op het moment van de verkoop. Het due diligence-team van een koper beschouwt naleving op het gebied van personeel en gegevens niet als een formaliteit. Het behandelt elke niet-verholpen tekortkoming als een specifiek, meetbaar risico en prijst dit dienovereenkomstig in: een escrow-regeling, een prijsaanpassing, of een garantie die wordt uitgesloten en gereserveerd voor de dag na de afronding van de transactie. Een achterstand die beheersbaar leek toen de oprichter het bedrijf nog leidde, wordt een onderhandelingsmiddel in handen van een koper die geen reden heeft om hierover genereus te zijn. Onze ervaring leert dat de kosten van verwaarlozing hier het scherpst voelbaar zijn, niet in een boete die vandaag wordt betaald, maar in een waardering die maanden later stilletjes wordt verlaagd, om redenen die de verkoper pas volledig begrijpt wanneer het dataroomrapport op tafel ligt.

De tegenovergestelde fout is ook mogelijk

Dit alles is geen reden om een MKB-bedrijf van de ene op de andere dag om te vormen tot een compliance-afdeling. Een door de oprichter geleid bedrijf met vijf medewerkers heeft geen behoefte aan de bestuursstructuur van een beursgenoteerde onderneming, en een ‘ interim CEO ’ die met een map vol nieuwe beleidsregels aankomt voordat hij het bedrijf door en door kent, heeft de missie verkeerd begrepen. Het doel is niet maximale naleving. Het gaat erom de specifieke hiaten te dichten die het bedrijf daadwerkelijk schade zouden berokkenen als een inspecteur, een toezichthouder of het due diligence-team van een koper deze zou toetsen, en het verschil tussen beide te kennen.

Waarom dit bij de eerste weken hoort, en niet bij het afscheidsgesprek

We besteden geen maanden aan analyses. Al binnen de eerste weken van een opdracht moet een gestructureerde beoordeling in kaart brengen waar het bedrijf daadwerkelijk staat op deze vier punten – niet als een juridische controle omwille van de controle zelf, maar omdat elk punt een bron is van financiële en reputatierisico’s die toenemen naarmate ze langer onopgelost blijven, en een waardevermindering die op de loer ligt zodra een koper de zaken onder de loep neemt. Het bijwerken van een arbeidsrechtelijk kader, het op orde brengen van een AVG-register of het formeel toewijzen van intellectuele-eigendomsrechten is eenvoudig als dit in een vroeg stadium wordt gesignaleerd. Het is een heel ander, veel moeilijker gesprek als dit pas tijdens een due diligence-proces of een ITM-inspectie aan het licht komt.

Een ‘ interim CEO ’ die alleen de winst- en verliesrekening beheert en de risicopositie ten aanzien van de regelgeving precies zo laat zoals hij die aantrof, heeft zijn taak niet volbracht.

______________

Door Nicolas Henckes, oprichter en CEO van Kitsune Advisory. Kitsune Advisory biedt interim- en Parttime CEO -diensten aan bedrijven in Luxemburg, Frankrijk, België, Duitsland en Zwitserland.