Auteur: admin

  • ISO 14001:2026 uitgelegd: wat is er veranderd en moet jouw organisatie iets doen?

    ISO 14001:2026 uitgelegd: wat is er veranderd en moet jouw organisatie iets doen?

    Je organisatie is ISO 14001:2015-gecertificeerd. Het milieumanagementsysteem staat, milieuaspecten zijn beoordeeld en periodiek wordt gekeken of doelstellingen en maatregelen nog passen.

    En dan verschijnt er een nieuwe editie: ISO 14001:2026.

    Moet je de contextanalyse opnieuw uitvoeren? Moeten alle milieuaspecten opnieuw beoordeeld worden? Krijgen klimaatverandering en biodiversiteit ineens een veel grotere rol? En moet het hele milieumanagementsysteem op de schop?

    Waarschijnlijk niet.

    ISO 14001:2026 bouwt voort op de bestaande norm. De bekende structuur en de kern van het milieumanagementsysteem blijven herkenbaar. Wel vraagt de nieuwe editie op een aantal onderwerpen om scherper te kijken naar wat voor jouw organisatie relevant is, welke keuzes daaruit volgen en of maatregelen daadwerkelijk resultaat opleveren.

    Voor organisaties met een bestaand, goed functionerend milieumanagementsysteem betekent dat vooral: beoordelen en aanscherpen, niet opnieuw beginnen.

    ISO 14001:2026 vervangt ISO 14001:2015

    ISO 14001:2026 is op 15 april 2026 gepubliceerd als de vierde editie van de internationale norm voor milieumanagementsystemen. Daarmee is ISO 14001:2015 ingetrokken als actuele editie.

    Dat betekent niet dat bestaande ISO 14001:2015-certificaten op 15 april ineens ongeldig zijn geworden. Gecertificeerde organisaties krijgen tijd om over te stappen. ISO spreekt over een overgang binnen de certificeringscyclus, doorgaans rond drie jaar. De concrete afspraken moet je afstemmen met je certificerende instelling.

    Ook inhoudelijk is geen sprake van een reset. Onderwerpen zoals de context van de organisatie, milieuaspecten, complianceverplichtingen, risico’s en kansen, doelstellingen, operationele beheersing, monitoring, interne audits, managementreview en continue verbetering blijven onderdeel van het systeem.

    De belangrijkste veranderingen zitten vooral in hoe je deze onderdelen toepast.

    De relevante vraag is daarom niet welke woorden in de norm zijn gewijzigd, maar:

    Welke veranderingen kunnen ertoe leiden dat wij iets anders moeten beoordelen, besluiten of uitvoeren?

    Daar springen vijf onderwerpen uit.

    1. Je moet breder kijken naar de omgeving waarin je opereert

    De contextanalyse was al onderdeel van ISO 14001. De editie van 2026 maakt explicieter welke milieuomstandigheden daarbij relevant kunnen zijn.

    ISO noemt onder andere klimaatverandering, vervuiling, beschikbaarheid van natuurlijke hulpbronnen, biodiversiteit en de gezondheid van ecosystemen.

    Dat betekent niet dat iedere organisatie voor al deze onderwerpen een apart programma nodig heeft.

    Voor een softwarebedrijf met twintig medewerkers zijn andere onderwerpen relevant dan voor een producent die grote hoeveelheden energie, water of grondstoffen gebruikt.

    De norm vraagt vooral dat je bewust bepaalt welke omstandigheden relevant zijn voor jouw organisatie. Daarbij kijk je zowel naar omstandigheden die invloed hebben op de organisatie als naar de invloed die je eigen activiteiten op het milieu hebben.

    Voor bestaande ISO 14001-gebruikers is dit daarom een logisch moment om de contextanalyse opnieuw langs te lopen. Niet om hem volledig opnieuw te schrijven, maar om te controleren of relevante ontwikkelingen of afhankelijkheden buiten beeld zijn gebleven.

    De beslisvraag is:

    Hebben we klimaat, vervuiling, hulpbronnen, biodiversiteit en ecosystemen serieus beoordeeld voor zover ze voor onze organisatie relevant kunnen zijn?

    2. De verantwoordelijkheid van de directie wordt nadrukkelijker

    Topmanagement had binnen ISO 14001:2015 al een duidelijke verantwoordelijkheid. ISO 14001:2026 legt nog sterker de verbinding tussen milieuprestaties, strategie, cultuur en leiderschap.

    Het is daardoor onvoldoende wanneer milieumanagement vooral bij één coördinator of verantwoordelijke ligt en de directie alleen periodiek wordt bijgepraat.

    De directie moet begrijpen welke milieuonderwerpen relevant zijn, welke prioriteit ze krijgen en welke keuzes daaruit volgen.

    Stel dat energiegebruik een belangrijk milieuaspect is. Een overzicht met verbruikscijfers laat dan zien wat er gebeurt, maar nog niet hoe daarop wordt gestuurd.

    Moet je investeren in energiezuinigere apparatuur? Is het huidige verbruik acceptabel? Heeft een eerdere maatregel voldoende effect gehad? Welke doelstelling krijgt prioriteit?

    Dat zijn bestuurlijke keuzes.

    De praktische toets is daarom:

    Kan de directie uitleggen welke milieuonderwerpen voor de organisatie belangrijk zijn en welke keuzes zij op basis daarvan maakt?

    Juist daar raken milieumanagement en governance elkaar.

    3. Niet alleen aantonen wat je doet, maar ook wat het oplevert

    Een milieumanagementsysteem kan procedureel prima functioneren zonder dat duidelijk is of de milieuprestatie daadwerkelijk verbetert.

    Er zijn doelstellingen. Acties worden uitgevoerd. Verbruik wordt gemeten. De managementreview vindt plaats.

    Maar leveren de genomen maatregelen ook iets op?

    ISO 14001:2026 legt sterker de verbinding tussen milieuaspecten, complianceverplichtingen, acties en aantoonbare resultaten. De aandacht verschuift daarmee verder van alleen het onderhouden van processen naar de vraag wat die processen daadwerkelijk opleveren.

    Een doel als:

    “We willen ons energiegebruik verminderen”

    geeft weinig houvast.

    Een doel als:

    “We willen het elektriciteitsgebruik per medewerker in 2027 met 10 procent verminderen ten opzichte van 2026”

    maakt duidelijker wat je wilt bereiken en hoe je achteraf kunt beoordelen of de aanpak heeft gewerkt.

    Een doelstelling hoeft niet altijd in een percentage te worden uitgedrukt. Wel moet je kunnen beoordelen of het doel is bereikt en of de gekozen aanpak effectief was.

    Die lijn komt ook terug in interne audits en de managementreview. ISO noemt explicieter vastgelegde auditprogramma’s en auditdoelstellingen en een meer gestructureerde managementreview. Het gaat dus niet alleen om de vraag of deze activiteiten plaatsvinden, maar ook om welke informatie ze opleveren voor besluitvorming en verbetering.

    De beslisvraag is:

    Kunnen we aantonen of onze milieumaatregelen daadwerkelijk resultaat opleveren?

    4. Risico’s, kansen en veranderingen worden explicieter onderdeel van besluitvorming

    Risico’s en kansen zijn niet nieuw binnen ISO 14001. De editie van 2026 verduidelijkt de systematiek, onder andere met een nieuwe paragraaf 6.1.4.

    Daarnaast krijgt het plannen en beheersen van veranderingen met paragraaf 6.3 explicieter aandacht.

    Dat klinkt normtechnisch, maar de praktische gedachte is eenvoudig.

    Denk aan een nieuwe leverancier, een ander productieproces, een verhuizing, een nieuwe machine, een andere grondstof of een nieuwe productlijn.

    Zo’n verandering kan invloed hebben op milieuaspecten, verplichtingen of bestaande risico’s.

    Het is weinig zinvol wanneer je pas tijdens een volgende periodieke beoordeling ontdekt dat een verandering van maanden geleden de milieu-impact van de organisatie heeft gewijzigd.

    Je hebt daarom een herkenbaar moment nodig waarop relevante veranderingen aanleiding geven om opnieuw te beoordelen wat ze betekenen.

    Dat hoeft geen zwaar wijzigingsproces te worden. Het gaat er vooral om dat de beoordeling plaatsvindt wanneer je nog invloed op de verandering kunt uitoefenen.

    De beslisvraag is:

    Herkennen we veranderingen die invloed kunnen hebben op onze milieu-impact en beoordelen we die op tijd?

    5. Je moet verder kijken dan alleen je eigen organisatie

    ISO 14001 keek al naar de levenscyclus en naar activiteiten buiten de directe organisatiegrenzen. In de editie van 2026 wordt die blik verder verduidelijkt. De norm spreekt breder over extern geleverde processen, producten en diensten.

    Dat betekent niet dat iedere leverancier dezelfde aandacht vraagt.

    De relevante vraag is waar belangrijke milieu-impact kan ontstaan en waar jouw organisatie die impact daadwerkelijk kan beheersen of beïnvloeden.

    Een leverancier van kantoorartikelen vraagt bijvoorbeeld waarschijnlijk een andere beoordeling dan een productiepartner die een belangrijk onderdeel van jouw product maakt of namens jouw organisatie een milieubelastend proces uitvoert.

    Voor sommige organisaties verandert hierdoor nauwelijks iets. Voor andere kan juist de manier waarop leveranciers worden geselecteerd, beoordeeld of aangestuurd aandacht vragen.

    De beslisvraag is:

    Welke externe processen, producten en diensten hebben relevante invloed op onze milieuprestaties, en waar kunnen wij daarop redelijkerwijs sturen?

    Wat verandert juist niet?

    Een nieuwe editie kan de indruk wekken dat het bestaande managementsysteem verouderd is. Dat is bij ISO 14001:2026 niet het juiste uitgangspunt.

    De basis blijft herkenbaar. Je blijft milieuaspecten en verplichtingen beoordelen, doelen stellen, risico’s en kansen meenemen, prestaties volgen, interne audits uitvoeren en via de managementreview beoordelen of het systeem nog geschikt en effectief is.

    Heb je een volwassen ISO 14001:2015-systeem, dan hoef je daarom waarschijnlijk niet opnieuw te beginnen.

    De uitdaging is vooral om te bepalen waar je moet actualiseren, verduidelijken of versterken.

    Wat betekent ISO 14001:2026 voor jouw organisatie?

    Hoeveel werk nodig is, hangt vooral af van waar je nu staat.

    Je bent al ISO 14001:2015-gecertificeerd

    Voer een gerichte beoordeling uit van de verschillen tussen je huidige milieumanagementsysteem en ISO 14001:2026. Kijk vooral naar context, leiderschap, risico’s en kansen, wijzigingsbeheer, relevante ketenrelaties, doelstellingen, interne audits en managementreview.

    Pas daarna aan wat werkelijk nodig is.

    Stem daarnaast met je certificerende instelling af hoe de overgang naar ISO 14001:2026 binnen jouw certificeringscyclus wordt ingericht.

    Je bent bezig met ISO 14001-certificering

    Begin je nu met de inrichting van een milieumanagementsysteem, dan ligt het voor de hand ISO 14001:2026 als uitgangspunt te nemen.

    Zit je al verder in een certificatietraject tegen ISO 14001:2015, bespreek dan met je certificerende instelling wanneer je de overgang maakt. Veel van wat al is ingericht blijft bruikbaar, dus opnieuw beginnen is doorgaans niet logisch.

    Je gebruikt ISO 14001 zonder certificering

    Dan hoef je geen formele certificatietransitie te doorlopen.

    Gebruik de nieuwe editie vooral om te beoordelen of onderwerpen zoals milieucontext, resultaten, veranderingen en relevante ketenrelaties voldoende onderdeel zijn van je besluitvorming.

    Daarvoor is niet automatisch een groot implementatieproject nodig.

    Je doet nog niets met ISO 14001

    Dan is het verschijnen van ISO 14001:2026 op zichzelf geen reden om de norm te implementeren.

    Begin bij je eigen context. Vragen klanten om aantoonbaar milieumanagement? Speelt ISO 14001 een rol in aanbestedingen? Zijn milieu-impact, grondstoffengebruik of wettelijke verplichtingen relevant? Krijg je vanuit de keten vaker vragen over milieuprestaties?

    Pas wanneer daar een duidelijke aanleiding ligt, wordt de vraag relevant welke vorm van milieumanagement daarbij past.

    ISO is een middel, geen doel.

    Wat moet je nu concreet doen?

    Voor bestaande ISO 14001-gebruikers kan de eerste beoordeling relatief compact blijven:

    1. Beoordeel de wijzigingen in ISO 14001:2026 en bepaal welke jouw organisatie daadwerkelijk raken.
    2. Herbeoordeel de organisatiecontext en neem actuele milieuomstandigheden mee waar die relevant zijn.
    3. Controleer milieuaspecten, verplichtingen, risico’s en kansen en bepaal of nieuwe onderwerpen of afhankelijkheden zichtbaar worden.
    4. Beoordeel doelstellingen en maatregelen en kijk of duidelijk is welk resultaat je wilt bereiken en hoe je de effectiviteit beoordeelt.
    5. Bekijk leiderschap, wijzigingsbeheer en relevante ketenrelaties en bepaal waar verantwoordelijkheden of werkwijzen aangescherpt moeten worden.
    6. Leg alleen de noodzakelijke aanpassingen vast en stem bij certificering de transitie af met je certificerende instelling.

    De volgorde is belangrijk.

    Eerst bepalen waar het verschil werkelijk zit. Pas daarna investeren.

    Wat moet je vooral niet doen?

    Alles opnieuw documenteren. Een nieuwe normeditie betekent niet dat ieder bestaand proces, beleid of document vervangen moet worden. Wat nog past bij de praktijk en aan de nieuwe eisen voldoet, hoeft niet opnieuw geschreven te worden.

    Ieder milieuthema even zwaar behandelen. Dat klimaat, biodiversiteit, vervuiling en hulpbronnen explicieter aandacht krijgen, betekent niet dat ze voor iedere organisatie even belangrijk zijn. Juist je context bepaalt waar actie nodig is.

    Beginnen bij tooling. Een systeem maakt je niet compliant met ISO 14001:2026. Begin bij de inhoud: wat is relevant, welke keuze is gemaakt, wie is verantwoordelijk en wat moet worden opgevolgd? Daarna kun je bepalen welke ondersteuning nodig is om dat beheersbaar en aantoonbaar te houden.

    Conclusie: aanscherpen, niet opnieuw beginnen

    ISO 14001:2026 verandert het fundament van milieumanagement niet. De nieuwe editie vraagt wel nadrukkelijker aandacht voor actuele milieuomstandigheden, leiderschap, veranderingen, de waardeketen en aantoonbare resultaten.

    Ben je gecertificeerd of bezig met certificering, dan moet je dus bepalen welke wijzigingen jouw milieumanagementsysteem raken en waar aanpassing nodig is.

    Maar dat is iets anders dan opnieuw beginnen.

    Voor de meeste bestaande ISO 14001-gebruikers zal de overgang vooral bestaan uit gericht beoordelen, actualiseren en versterken van wat al aanwezig is.

    Dat is ook de verstandigste aanpak. Niet starten met nieuwe documenten, nieuwe processen of nieuwe software, maar eerst bepalen waar ISO 14001:2026 daadwerkelijk een andere beoordeling, keuze of actie vraagt.

    Kun je daarna eenvoudig zichtbaar houden welke eisen relevant zijn, welke risico’s en maatregelen daarbij horen, wie verantwoordelijk is en welke acties nog openstaan?

    Daar kan CompliTrack bij ondersteunen. Niet door ISO 14001 voor je in te vullen, maar door eisen, risico’s, maatregelen, verantwoordelijkheden en opvolging op één plek met elkaar te verbinden.

    Breng eerst in kaart wat ISO 14001:2026 voor jouw organisatie verandert. Zorg daarna dat de relevante acties, verantwoordelijkheden en onderbouwing niet in losse documenten verdwijnen.

    Verder lezen

    Milieumanagement eenvoudig gemaakt: zo helpt GRC-software bij ISO 14001
    Een praktische introductie op ISO 14001, milieuaspecten, doelstellingen, audits en de inrichting van milieumanagement.

    ISO 31000 uitgelegd: wanneer wordt risicomanagement meer dan een risicolijst?
    Over hoe risico’s pas bestuurbaar worden wanneer ze leiden tot keuzes, maatregelen, eigenaarschap en opvolging.

    Waarom risico’s zonder actie betekenisloos zijn
    Over het verschil tussen een risico registreren en daadwerkelijk zorgen dat maatregelen worden uitgevoerd en geëvalueerd.

  • Hoe bewijs vanzelf ontstaat als werk gestructureerd is

    Hoe bewijs vanzelf ontstaat als werk gestructureerd is

    Een belangrijke leverancier wordt opnieuw beoordeeld. De verantwoordelijke bekijkt de prestaties van het afgelopen halfjaar en ziet dat er meerdere verstoringen zijn geweest. De leverancier blijft bruikbaar, maar er moet wel iets veranderen. Daarom wordt kort vastgelegd waarom de samenwerking voorlopig wordt voortgezet, welke verbetering nodig is en wie de opvolging bewaakt.

    Een paar maanden later komt de vraag waarom deze leverancier ondanks de verstoringen nog steeds als acceptabel wordt beschouwd.

    Het antwoord hoeft niet uit mailboxen, losse notities en herinneringen te worden opgebouwd. De beoordeling, de afweging en de opvolging vormen samen al het spoor.

    Niet omdat iemand speciaal bewijs heeft gemaakt, maar omdat tijdens het gewone werk zichtbaar bleef wat er gebeurde en waarom.

    Bewijs als bijproduct van het gewone werk

    In Waarom bewijs verzamelen achteraf altijd faalt zagen we wat er gebeurt wanneer zo’n spoor ontbreekt. Dan moet achteraf worden gereconstrueerd wie iets heeft gedaan, wanneer dat gebeurde en waarop een conclusie was gebaseerd.

    Het probleem ontstaat meestal niet door onzorgvuldigheid. Het ontstaat doordat uitvoering en bewijsvoering twee verschillende activiteiten zijn geworden.

    Eerst wordt het werk gedaan. Later wordt bedacht hoe kan worden aangetoond dat het is gebeurd.

    Daarmee wordt bewijsvoering een aparte activiteit naast het gewone werk. E-mails worden teruggezocht, bestanden verzameld en losse registraties bij elkaar gebracht. Niet om het werk beter uit te voeren, maar om achteraf zichtbaar te maken wat eerder al had moeten blijken.

    Meer bewaren lost dat niet op

    De logische reactie is vaak om voortaan meer te bewaren. Dat kan de vindbaarheid verbeteren, maar maakt bewijs niet automatisch begrijpelijker.

    Losse registraties laten regelmatig zien dát iets is gebeurd, maar niet waarom een conclusie werd getrokken of welke opvolging daarop volgde. De informatie bestaat dan wel, maar de samenhang ontbreekt.

    De belangrijkste context ontstaat tijdens het werk, op de momenten waarop iemand beoordeelt, beslist en opvolgt.

    Juist daar moet betekenis behouden blijven.

    Structuur houdt betekenis vast

    Gestructureerd werken betekent niet dat iedere handeling uitgebreid moet worden gedocumenteerd. Het betekent vooral dat belangrijke keuzes niet verdwijnen zodra de aandacht verschuift.

    Wie was verantwoordelijk? Wat was de uitkomst? Welke afwijking werd gevonden? Welke keuze is vervolgens gemaakt?

    Bij de leveranciersbeoordeling hoeft daarvoor geen uitgebreid verslag te ontstaan. Een korte vastlegging van de beoordeling, de afweging en de afgesproken opvolging kan voldoende zijn om later te begrijpen waarom de situatie acceptabel werd gevonden.

    De registratie is dan geen aparte bewijsactie voor een audit, maar onderdeel van de manier waarop het werk wordt uitgevoerd en afgerond.

    Dat heeft ook intern waarde. Het wordt eenvoudiger om te zien wat daadwerkelijk is uitgevoerd, wat nog openstaat en waarop eerdere keuzes zijn gebaseerd. De organisatie wordt daardoor minder afhankelijk van het geheugen van degene die bij het oorspronkelijke gesprek aanwezig was.

    Uitlegbaarheid ontstaat tijdens het werk

    Wanneer keuzes hun context behouden, ontstaat gedurende het gewone werk een herkenbaar spoor. Een geaccepteerd risico houdt zijn afweging. Een verbeteractie houdt zijn eigenaar en resultaat. Een beoordeling houdt de conclusie die eruit volgde.

    Daarmee hoeft uitlegbaarheid later niet opnieuw te worden opgebouwd.

    Tooling kan helpen om die informatie bij elkaar te houden en historie herkenbaar te maken. Maar een systeem creëert die samenhang niet vanzelf. Zonder een duidelijke werkwijze ontstaat alleen een centrale verzameling registraties waarvan later alsnog moet worden uitgezocht wat ze betekenen.

    Structuur moet daarom eerst in het werk zelf zitten.

    Van bewijs verzamelen naar bewijs terugvinden

    Daar zit uiteindelijk het verschil.

    Wanneer bewijsvoering losstaat van de dagelijkse uitvoering, begint het werk zodra iemand om onderbouwing vraagt. Wanneer het werk voldoende gestructureerd is, bestaat het belangrijkste spoor op dat moment al.

    Er moet misschien nog informatie worden opgezocht of geselecteerd, maar de oorspronkelijke afweging hoeft niet opnieuw te worden gereconstrueerd.

    Dat maakt bewijsvoering minder tot een afzonderlijke complianceactiviteit en meer tot een logisch gevolg van zorgvuldig werken.

    De relevante vraag voor je eigen organisatie is daarom niet hoeveel bewijs je bewaart.

    De interessantere vraag is hoeveel van wat je vandaag als afgerond beschouwt, over een half jaar nog begrijpelijk is zonder degene erbij te halen die het destijds heeft gedaan.

    Als daarvoor eerst mailboxen, herinneringen en losse bestanden moeten worden doorzocht, zit het probleem waarschijnlijk niet alleen in de vindbaarheid van bewijs.

    Dan ontbreekt vooral de structuur waardoor dat bewijs vanzelf herkenbaar had kunnen ontstaan.

    Verder lezen

  • Waarom losse screenshots en exports vaak niet genoeg zijn

    Waarom losse screenshots en exports vaak niet genoeg zijn

    De audit komt dichterbij en iemand stelt de bekende vraag: hebben we hier eigenlijk bewijs van?

    Even later staat er een map vol screenshots. Een afbeelding van de huidige beveiligingsinstellingen. Een export van gebruikersaccounts. Een overzicht uit een beheersysteem. Alles voorzien van duidelijke bestandsnamen en datums.

    Op het eerste gezicht lijkt het probleem opgelost. Er is immers iets tastbaars om te laten zien.

    Maar zodra iemand doorvraagt, ontstaat twijfel.

    Wanneer gold deze instelling precies? Was dit ook de situatie toen de controle had moeten plaatsvinden? Wie heeft de export beoordeeld? En wat is er gebeurd met de afwijkingen die daarin zichtbaar waren?

    Het bestand bestaat. De context ontbreekt.

    Een screenshot kan bewijs zijn, maar waarvan?

    Screenshots en exports kunnen prima als bewijs dienen, zolang duidelijk is wat ze daadwerkelijk aantonen.

    Een screenshot kan bijvoorbeeld laten zien hoe een instelling op een specifiek moment was geconfigureerd. Een export kan zichtbaar maken welke gebruikers of rechten op dat moment in een systeem geregistreerd stonden.

    Het probleem ontstaat wanneer zo’n momentopname meer moet bewijzen dan zij kan.

    Stel dat toegangsrechten periodiek worden beoordeeld. Een export kan laten zien welke rechten bestaan. Hij toont daarmee nog niet dat iemand die rechten daadwerkelijk heeft beoordeeld, welke afwijkingen zijn gevonden en wat daarmee is gedaan.

    Bewijs gaat dus niet alleen over wat ergens staat, maar over de vraag welke bewering je ermee probeert te onderbouwen.

    In Wat auditors verstaan onder ‘bewijs’ kwam dat al terug: een document, registratie of screenshot krijgt betekenis binnen de context van wat je wilt aantonen.

    Waarom meer verzamelen het probleem niet oplost

    Wanneer hierover twijfel ontstaat, is de eerste reactie vaak om meer materiaal te bewaren.

    Niet één screenshot, maar meerdere. Naast de export ook een e-mail waarin iemand bevestigt dat deze is bekeken. Alles wordt opgeslagen in een aparte bewijsmap.

    Dat maakt informatie beter vindbaar. Het maakt de samenhang nog niet vanzelf duidelijk.

    Welke export hoorde bij welke beoordeling? Welke versie was leidend? Was die bevestigingsmail het einde van de controle of slechts een tussenstap?

    Precies daar gaat bewijs verzamelen achteraf mis. Niet omdat er per definitie te weinig bestanden zijn, maar omdat tijdens het werk onvoldoende is vastgehouden wat er is gebeurd en waarom dat relevant was.

    Meer bewijsstukken verzamelen kan daardoor juist meer reconstructiewerk opleveren.

    Een digitaal spoor is iets anders dan een momentopname

    Technologie kan hier helpen, maar niet doordat zij automatisch meer bewijs produceert.

    Het relevante verschil zit tussen een handmatig gemaakte momentopname en informatie die tijdens de uitvoering ontstaat. Denk aan een registratie van een uitgevoerde controle, inclusief datum en verantwoordelijke, een wijzigingshistorie of de vastgelegde opvolging van een afwijking.

    Wanneer zulke gegevens betrouwbaar en herleidbaar zijn, geven ze context aan wat daadwerkelijk is gebeurd.

    Ook dat maakt technologie niet automatisch tot de oplossing. Honderd registraties zonder duidelijke samenhang vertellen nog steeds geen helder verhaal. Structuur blijft bepalend voor de vraag of informatie later begrijpelijk is.

    Begin bij wat je wilt kunnen uitleggen

    Een beter uitgangspunt is daarom niet welk bestand je moet bewaren, maar wat later begrijpelijk moet blijven.

    Als je zegt dat een controle is uitgevoerd, wil je kunnen herleiden wat is gecontroleerd, wanneer dat gebeurde, wie verantwoordelijk was en wat de uitkomst was.

    Als je zegt dat een maatregel werkt, wil je kunnen uitleggen waarop dat oordeel gebaseerd is.

    Daar raakt bewijsvoering direct aan uitlegbaarheid. Als de context pas ontstaat wanneer iemand er later naar vraagt, wordt de organisatie afhankelijk van geheugen en reconstructie.

    Dat is niet alleen lastig tijdens een audit. Het maakt het ook voor jezelf moeilijker om vast te stellen waarom je denkt dat iets daadwerkelijk onder controle is.

    Het probleem zit niet in het bestandsformaat

    Screenshots en exports kunnen waardevol bewijs zijn. Het risico ontstaat wanneer zij het enige antwoord worden op de vraag hoe je weet dat iets werkelijk is uitgevoerd of beheerst.

    Kijk daarom niet alleen naar hoeveel bestanden je kunt produceren, maar vooral naar hoeveel uitleg nog uit het geheugen van medewerkers moet komen voordat duidelijk wordt wat die bestanden aantonen.

    Als pas na vijf minuten uitleg duidelijk wordt wat een screenshot eigenlijk bewijst, zit de zwakte niet in de afbeelding.

    Wat ontbreekt, is de context die eraan betekenis geeft.

    En juist dat verschil laat zien of je bewijs bewaart, of daadwerkelijk kunt uitleggen waarom je denkt dat iets op orde is.

  • Wat auditors verstaan onder ‘bewijs’

    Wat auditors verstaan onder ‘bewijs’

    De auditor stelt een eenvoudige vraag: “Kun je laten zien waarom deze maatregel als afgerond staat?”

    Er wordt een map geopend. Daarin staan een procedure, een screenshot, een export en een paar e-mails. Er is duidelijk veel bewaard. Toch blijft het antwoord lastig.

    De procedure beschrijft wat er zou moeten gebeuren. De screenshot laat zien hoe een instelling er nu uitziet. In een e-mail staat dat iemand ermee bezig is geweest. Maar welk stuk laat zien wat daadwerkelijk is uitgevoerd en waarop de conclusie is gebaseerd dat de maatregel afgerond is?

    Dat is het verschil tussen informatie hebben en bewijs kunnen leveren.

    Wat maakt informatie tot bewijs?

    Bij auditvoorbereiding wordt bewijs gemakkelijk gezien als iets tastbaars: een document, rapportage, screenshot of registratie. Daardoor ontstaat de gedachte dat een volle map automatisch een sterke onderbouwing vormt.

    Een auditor kijkt anders. Bewijs is verifieerbare informatie die relevant is voor wat op dat moment wordt getoetst.

    Als je zegt dat toegangsrechten periodiek worden beoordeeld, moet aannemelijk en controleerbaar zijn dat die beoordeling daadwerkelijk plaatsvindt. Als een maatregel als afgerond staat, is relevant waarop die conclusie is gebaseerd. En wanneer een risico bewust is geaccepteerd, telt niet alleen dát die status ergens staat, maar ook of de afweging daarachter nog herkenbaar is.

    Een procedure kan dus aantonen dat een werkwijze is afgesproken. Zij bewijst niet vanzelf dat die werkwijze ook in de praktijk wordt gevolgd.

    Bewijs zit niet alleen in documenten

    Een auditbeeld ontstaat meestal uit verschillende informatiebronnen.

    Een gesprek met een medewerker kan inzicht geven in hoe een controle in de praktijk werkt. Een registratie kan laten zien wanneer die controle is uitgevoerd. Een waarneming kan duidelijk maken hoe een proces daadwerkelijk verloopt. Een vastgelegd besluit kan verklaren waarom bewust van de gebruikelijke werkwijze is afgeweken.

    De waarde ontstaat in de samenhang. Wanneer uitleg, registratie en dagelijkse praktijk hetzelfde beeld geven, wordt de uitvoering beter verifieerbaar. Wanneer beleid iets anders zegt dan medewerkers uitleggen of registraties niet aansluiten op de praktijk, ontstaan juist nieuwe vragen.

    Eén bewijsstuk hoeft daarom zelden het volledige verhaal te vertellen.

    Waarom meer verzamelen niet automatisch helpt

    Wanneer twijfel ontstaat, is de logische reactie vaak om meer te bewaren. Extra screenshots, exports, notulen en bevestigingen moeten voorkomen dat er bij een volgende audit iets ontbreekt.

    Daarmee groeit de hoeveelheid informatie, maar niet automatisch de waarde als auditbewijs.

    Tien losse bestanden kunnen minder zeggen dan één duidelijke registratie waarin zichtbaar is wat is beoordeeld, door wie, wanneer en met welke uitkomst. Het gaat niet om hoeveel materiaal beschikbaar is, maar om de relatie tussen de informatie en wat je ermee wilt aantonen.

    Zodra die relatie ontbreekt, moet achteraf worden gereconstrueerd wat bestanden waarschijnlijk betekenen. Precies dat probleem staat centraal in Waarom bewijs verzamelen achteraf altijd faalt.

    Bewijs gaat ook over je eigen grip

    Dit probleem wordt niet pas zichtbaar wanneer een auditor langskomt.

    Zeker wanneer compliance naast andere verantwoordelijkheden wordt uitgevoerd, zit veel context bij enkele mensen. Als je voor de status van een maatregel telkens degene nodig hebt die “nog weet hoe het zat”, wordt het ook intern moeilijker om vast te stellen waarom iets als afgerond, acceptabel of voldoende wordt beschouwd.

    Daarmee raakt bewijsvoering aan een bredere vraag: weet je zelf waarop je oordeel is gebaseerd?

    Dat sluit aan op Uitlegbaarheid ontstaat niet achteraf. Zodra alleen de uitkomst van een keuze overblijft en de oorspronkelijke afweging verdwijnt, wordt uitleg later onnodig moeilijk.

    Structuur maakt bewijs begrijpelijk

    Goede bewijsvoering vraagt daarom niet in de eerste plaats om meer documentatie. Het vraagt om voldoende samenhang in wat tijdens het werk wordt vastgehouden.

    Bij een maatregel moet bijvoorbeeld herkenbaar blijven wie verantwoordelijk was en waarop de status is gebaseerd. Bij een risicoacceptatie is vooral de afweging relevant. Bij een periodieke controle moet zichtbaar zijn dat de afgesproken activiteit daadwerkelijk heeft plaatsgevonden.

    Dat hoeft geen uitgebreid dossier op te leveren. Juist wanneer informatie op het juiste moment wordt vastgehouden, is achteraf minder herstelwerk nodig.

    Tooling kan helpen om zulke relaties herkenbaar te houden, maar maakt informatie niet vanzelf betekenisvol. Zonder duidelijke samenhang blijft ook een centraal systeem vooral een verzameling registraties.

    Tot slot

    Een auditor zoekt uiteindelijk geen indrukwekkende verzameling bestanden. Er moet voldoende betrouwbare informatie zijn om vast te stellen of wat is afgesproken ook herkenbaar terugkomt in de praktijk.

    Daarom is “hoeveel bewijs hebben we?” zelden de interessantste vraag.

    Relevanter is: als we zeggen dat iets is uitgevoerd, afgerond of onder controle is, kunnen we dan zonder reconstructie laten zien waarop we dat baseren?

    Wie die vraag gemakkelijk kan beantwoorden, is niet alleen beter voorbereid op een audit. Die organisatie begrijpt ook zelf beter waarom zij denkt dat iets op orde is.

    Verder lezen

  • Waarom bewijs verzamelen achteraf altijd faalt

    Waarom bewijs verzamelen achteraf altijd faalt

    De audit staat over twee weken gepland.

    Op zichzelf lijkt er weinig aan de hand. De risicoanalyse is uitgevoerd, maatregelen zijn besproken en verschillende controles zijn het afgelopen jaar gewoon uitgevoerd. Alleen het bewijs daarvan moet nog even bij elkaar worden gezocht.

    Dus begint de zoektocht.

    Een collega duikt in zijn mailbox om terug te vinden wanneer een bepaald risico is besproken. Iemand anders zoekt naar rapportages waarvan niet direct duidelijk is welke versie destijds is gebruikt. Er worden screenshots gemaakt van instellingen die waarschijnlijk al maanden zo staan. En bij een maatregel die als afgerond staat geregistreerd, ontstaat discussie over wat er precies is gedaan.

    Het werk is waarschijnlijk uitgevoerd.

    Alleen is achteraf nauwelijks meer vast te stellen wat er op dat moment bekend was, welke afweging is gemaakt en waarom de organisatie vond dat de genomen maatregel voldoende was.

    Daar zit het probleem met bewijs verzamelen achteraf.

    Niet omdat bestaand bewijs niet later mag worden opgehaald. Een systeemlog, goedgekeurd besluit of tijdgestempelde registratie kun je prima maanden later terugvinden. Het probleem ontstaat wanneer dat spoor tijdens het werk nooit is ontstaan en je achteraf moet reconstrueren wat er waarschijnlijk is gebeurd.

    Bewijs zonder context zegt minder dan je denkt

    Wanneer bewijs vlak voor een audit, klantvraag of evaluatie wordt verzameld, lijkt het probleem meestal administratief. Documenten ontbreken, screenshots moeten nog worden gemaakt of informatie staat verspreid over verschillende plekken.

    Maar dat is slechts het zichtbare deel.

    Bewijs krijgt pas betekenis door de context eromheen.

    Een screenshot laat zien dat een instelling op een bepaald moment op een bepaalde manier staat geconfigureerd. Hij vertelt niet vanzelf sinds wanneer dat zo is, waarom daarvoor is gekozen of welk risico ermee werd beheerst.

    Een e-mail kan aantonen dat iets is besproken. Zonder zichtbaar besluit blijft onduidelijk wat daarna daadwerkelijk is afgesproken.

    Een risico-overzicht kan laten zien dat een risico als acceptabel is beoordeeld. Als niet meer te achterhalen is waarom, laat het vooral zien dat ooit een beoordeling is ingevuld.

    Goede bewijsvoering gaat daarom niet alleen over aantonen dat iets bestaat.

    Het gaat om de samenhang tussen wat je hebt gezien, welke afweging daarop volgde, wat je hebt besloten en wat daarna daadwerkelijk is gedaan.

    Wanneer context verdwijnt, begint reconstructie

    Tijdens het dagelijkse werk is veel meer context beschikbaar dan organisaties zich realiseren.

    Een risico wordt opnieuw besproken omdat een leverancier problemen heeft gehad. Een maatregel wordt aangepast omdat een bestaande werkwijze niet praktisch blijkt. Een uitzondering wordt geaccepteerd omdat de resterende impact beperkt is en een aanvullende maatregel op dat moment niet proportioneel wordt gevonden.

    Op dat moment begrijpt iedereen de redenering.

    Maar vaak wordt alleen de uitkomst vastgelegd.

    Risico geaccepteerd.

    Maatregel uitgevoerd.

    Actie afgerond.

    Daarmee verdwijnt een deel van het denkproces dat de uitkomst betekenis gaf.

    Een paar maanden later is de aanleiding minder scherp. Mensen herinneren zich verschillende delen van het gesprek. Rollen kunnen zijn veranderd en nieuwe informatie beïnvloedt hoe naar de eerdere situatie wordt gekeken.

    Zodra die context ontbreekt, vullen mensen de gaten begrijpelijkerwijs in met wat logisch lijkt.

    De maatregel stond als afgerond geregistreerd, dus hij zal wel zijn gecontroleerd. De instelling staat nu goed, dus vermoedelijk stond hij destijds ook zo. We werken al jaren op deze manier, dus dit zal toen ook de bedoeling zijn geweest.

    Dat hoeft geen bewuste verdraaiing te zijn. Het is simpelweg reconstructie vanuit de kennis van vandaag.

    Maar daarmee verandert bewijsvoering ongemerkt in interpretatie.

    Meer verzamelen lost dat niet op

    De gebruikelijke reactie is om voortaan meer te bewaren.

    Er komt een centrale map. Teams spreken af vaker screenshots te maken. Documenten worden consequenter opgeslagen en voor een audit wordt gecontroleerd of alles compleet is.

    Dat maakt zoeken makkelijker, maar lost het kernprobleem niet op.

    Meer bewijs betekent niet automatisch betere bewijsvoering.

    Een goed georganiseerde verzameling losse bestanden blijft een verzameling losse bestanden wanneer de onderlinge samenhang ontbreekt. Hoe meer informatie wordt verzameld, hoe moeilijker het soms zelfs wordt te bepalen wat werkelijk iets aantoont.

    De vraag verschuift dan van “hebben we bewijs?” naar “wat laat eigenlijk zien waarom deze keuze is gemaakt?”

    Het probleem is dan geen tekort aan informatie.

    Het is een tekort aan betekenis.

    Bewijs ontstaat tijdens het werk, niet bij de audit

    Een bruikbaarder uitgangspunt is dat bewijs ontstaat terwijl het werk wordt uitgevoerd.

    Neem een risico dat bewust wordt geaccepteerd.

    Op dat moment zijn een paar zaken relevant. Wat is het risico? Welke impact en waarschijnlijkheid zien we? Welke maatregelen zijn al aanwezig? Waarom vinden we aanvullende maatregelen niet nodig of niet proportioneel? En wie neemt verantwoordelijkheid voor die keuze?

    Wanneer die afweging op dat moment herkenbaar wordt vastgehouden, ontstaat bewijs zonder aparte bewijsactiviteit.

    Hetzelfde geldt voor maatregelen.

    Niet alleen vastleggen dat iets is uitgevoerd, maar ook zichtbaar houden waarom die maatregel nodig was en waarop is gebaseerd dat het resultaat voldoende is.

    Zo ontstaat een logisch spoor van risico naar afweging, besluit, maatregel en evaluatie.

    Dat spoor is uiteindelijk belangrijker dan een stapel losse documenten.

    Waarom dit onderdeel is van risicobeheer

    Een risico-overzicht kan uitstekend laten zien welke risico’s zijn geïdentificeerd en hoe ze zijn beoordeeld. Maar een overzicht alleen stuurt niets.

    De werkelijke waarde ontstaat bij de keuzes die erop volgen.

    Een hoog risico zonder vervolgbesluit vertelt weinig. Een geaccepteerd risico zonder argumentatie ook. En een maatregel zonder zichtbaar resultaat blijft uiteindelijk een aanname.

    Dit raakt dus niet alleen auditvoorbereiding. Het raakt de kwaliteit van besluitvorming.

    Als drie mensen eerst moeten reconstrueren waarom een risico negen maanden geleden is geaccepteerd, is niet alleen tijd verloren. Je kunt ook moeilijk beoordelen of die oorspronkelijke keuze vandaag nog verdedigbaar is.

    Bewijsvoering wordt daarmee onderdeel van risicobeheer zelf.

    Niet omdat ieder risico uitgebreid gedocumenteerd moet worden, maar omdat belangrijke keuzes hun betekenis moeten behouden.

    Structuur voorkomt herstelwerk achteraf

    Dat vraagt niet om het vastleggen van ieder detail.

    Structuur betekent vooral dat duidelijk is welke momenten betekenisvol zijn.

    Wanneer is een risico beoordeeld? Wie heeft een besluit genomen? Welke actie volgde daaruit? En wanneer werd vastgesteld dat het resultaat voldoende was?

    Wie die lijn kan volgen, heeft vaak veel minder afzonderlijke bewijsstukken nodig.

    De kracht zit niet in de hoeveelheid, maar in de verbinding.

    Daardoor verandert ook het gesprek wanneer later uitleg nodig is. Bij een audit, overdracht of klantvraag hoef je niet terug te redeneren vanuit losse documenten. Je kunt de oorspronkelijke besluitvorming volgen zoals die daadwerkelijk heeft plaatsgevonden.

    Dat maakt bewijsvoering eenvoudiger en vooral beter herleidbaar.

    Tooling volgt pas daarna

    Wanneer deze manier van werken logisch wordt, ontstaat vanzelf behoefte aan ondersteuning.

    Besluiten moeten herkenbaar blijven. Acties moeten aan risico’s gekoppeld kunnen worden. Verantwoordelijkheden mogen niet uitsluitend afhankelijk zijn van individueel geheugen. Eerdere afwegingen moeten terug te vinden zijn zonder door mailboxen, mappen en verschillende versies te zoeken.

    Tooling kan dat ondersteunen.

    Maar een systeem creëert die structuur niet vanzelf.

    Zonder helder denkkader wordt ook een nieuw systeem vooral een plek waar informatie wordt opgeslagen. Met voldoende structuur helpt het juist om het spoor dat tijdens het werk ontstaat intact te houden.

    Tooling is dan geen oplossing voor slechte bewijsvoering, maar een logisch gevolg van de wens om besluitvorming consistent en uitlegbaar te houden.

    Bewijsvoering begint veel eerder dan de audit

    Wie vlak voor een audit veel bewijs moet reconstrueren, ontdekt meestal geen nieuw probleem. De audit maakt vooral zichtbaar wat gedurende het jaar al ontbrak.

    Niet noodzakelijk de controles.

    Niet noodzakelijk de maatregelen.

    Maar de verbinding tussen aanleiding, afweging, keuze, uitvoering en resultaat.

    Daarom faalt bewijs verzamelen achteraf zo vaak. Niet omdat bestaande registraties later niet meer bruikbaar zijn, maar omdat betekenis die nooit is vastgehouden zich maar beperkt laat reconstrueren.

    De relevante vraag is dus niet hoeveel bewijs je vandaag zou kunnen verzamelen.

    Interessanter is welke belangrijke keuzes van de afgelopen maanden je nu nog zonder moeite kunt uitleggen. Kun je zien wat destijds bekend was? Waarom een risico werd geaccepteerd? Waarom juist die maatregel werd gekozen? En waarop is gebaseerd dat die voldoende werkte?

    Als het antwoord vooral afhankelijk is van degene die toevallig bij het gesprek aanwezig was, ontbreekt waarschijnlijk niet alleen bewijs.

    Dan ontbreekt vooral een deel van het geheugen van de organisatie.

    Verder lezen

  • Cyber Resilience Act uitgelegd: moet jij vanaf 11 september kwetsbaarheden en incidenten melden?

    Cyber Resilience Act uitgelegd: moet jij vanaf 11 september kwetsbaarheden en incidenten melden?

    Ontwikkel of lever je software, hardware of een ander digitaal product? Dan kan 11 september 2026 een belangrijke datum zijn.

    Vanaf die dag gelden de meldverplichtingen uit artikel 14 van de Cyber Resilience Act, de CRA. Dat betekent niet dat ieder beveiligingsprobleem voortaan moet worden gemeld. De verplichting richt zich specifiek op fabrikanten van producten met digitale elementen en op twee situaties: actief uitgebuite kwetsbaarheden en ernstige incidenten die gevolgen hebben voor de beveiliging van zo’n product.

    De eerste vraag is daarom niet hoe je een CRA-melding doet.

    De eerste vraag is: valt jouw product onder de CRA en ben jij daarvoor de fabrikant?

    Vanaf 11 september geldt de CRA nog niet volledig

    De Cyber Resilience Act trad op 10 december 2024 in werking. De belangrijkste verplichtingen voor producten en fabrikanten worden vanaf 11 december 2027 van toepassing. De meldverplichtingen uit artikel 14 gelden echter al vanaf 11 september 2026.

    11 september is dus geen algemene deadline waarop je de volledige CRA geïmplementeerd moet hebben. Het is vooral de datum waarop je in staat moet zijn een meldplichtige kwetsbaarheid of incident tijdig te herkennen en te melden.

    Valt jouw product onder de CRA?

    De CRA gaat over producten met digitale elementen die op de Europese markt worden aangeboden en waarvan het bedoelde of redelijkerwijs voorzienbare gebruik een directe of indirecte verbinding met een apparaat of netwerk omvat.

    Dat kunnen zowel hardware- als softwareproducten zijn. Voor een softwarebedrijf kan bijvoorbeeld een applicatie of afzonderlijk aangeboden softwarecomponent binnen de CRA vallen.

    Ook verwerking op afstand kan onderdeel zijn van zo’n product. Dat geldt wanneer de software daarvoor door of onder verantwoordelijkheid van de fabrikant is ontwikkeld en het product zonder die verwerking een functie niet kan uitvoeren. Een API of backend die noodzakelijk is voor de werking van een product kan daar bijvoorbeeld onder vallen.

    En hoe zit het met SaaS?

    Het label SaaS geeft op zichzelf geen antwoord op de vraag of de CRA van toepassing is.

    De CRA maakt onderscheid tussen noodzakelijke verwerking op afstand die onderdeel is van een product en zelfstandige cloudservices. SaaS, PaaS en IaaS vallen dus niet alleen vanwege hun servicemodel binnen de CRA. Bij een combinatie van software, cloudverwerking en aanvullende dienstverlening moet je kijken naar wat er daadwerkelijk als product op de markt wordt gebracht en welke online functionaliteit daarvan noodzakelijk onderdeel is.

    De relevante vraag is daarom niet simpelweg:

    Wij leveren software, vallen we onder de CRA?

    Maar:

    Wat brengen wij precies op de Europese markt en welke rol hebben wij daarbij?

    Ben jij volgens de CRA de fabrikant?

    Je hoeft geen fysieke apparatuur te produceren om onder de CRA fabrikant te zijn.

    Ook een organisatie die software ontwikkelt of laat ontwikkelen en die vervolgens onder de eigen naam of het eigen merk op de markt brengt, kan fabrikant zijn. Ook importeurs en distributeurs kunnen in bepaalde situaties fabrikant worden, bijvoorbeeld wanneer zij een product onder hun eigen naam aanbieden of het substantieel wijzigen.

    Voor een eerste beoordeling zijn vier vragen vooral relevant:

    1. Bied je een software- of hardwareproduct met digitale elementen aan op de Europese markt?
      Zo nee, dan liggen directe CRA-productverplichtingen minder voor de hand.
    2. Ontwikkel je het product zelf, laat je het ontwikkelen of breng je het onder je eigen naam of merk uit?
      Zo ja, onderzoek dan je positie als fabrikant.
    3. Geldt voor het product een specifieke uitzondering of andere Europese sectorale regeling?
      Voor sommige productcategorieën gelden afzonderlijke regimes waardoor de CRA geheel of gedeeltelijk buiten toepassing kan blijven.
    4. Ben je fabrikant van een product dat binnen de CRA valt?
      Dan zijn de meldverplichtingen vanaf 11 september direct relevant.

    Wat moet je vanaf 11 september melden?

    Hier zit een belangrijk onderscheid: niet iedere kwetsbaarheid en niet ieder securityincident is een CRA-melding.

    Actief uitgebuite kwetsbaarheden

    Artikel 14 richt zich op kwetsbaarheden waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende partij deze daadwerkelijk zonder toestemming in een systeem heeft misbruikt.

    Stel dat een pentest een kwetsbaarheid in je applicatie ontdekt. Die bevinding moet uiteraard worden onderzocht en opgelost, maar is daardoor nog niet automatisch meldplichtig onder artikel 14.

    Krijg je betrouwbaar bewijs dat aanvallers dezelfde kwetsbaarheid daadwerkelijk misbruiken, dan verandert de situatie.

    Ernstige incidenten rond het product

    Ook een securityincident binnen je organisatie is niet automatisch een CRA-incident.

    De meldplicht ziet op ernstige incidenten die gevolgen hebben voor de beveiliging van een product met digitale elementen. Denk bijvoorbeeld aan een situatie waarin een compromise ertoe leidt of kan leiden dat kwaadaardige code in het product of in systemen van gebruikers wordt uitgevoerd.

    Ook de oorzaak hoeft niet uitsluitend in het eindproduct zelf te zitten. Een compromise van een ontwikkel-, onderhouds- of updateproces kan eveneens relevant zijn wanneer daardoor de beveiliging van het product of zijn gebruikers wordt geraakt.

    Een phishingmail aan een medewerker is daarom niet automatisch een CRA-melding. Een gecompromitteerd software-updateproces waarmee schadelijke code bij klanten terecht kan komen, kan dat wel zijn.

    Ook bestaande producten kunnen al geraakt worden

    Een belangrijke overgangsbepaling wordt gemakkelijk gemist.

    Voor veel algemene CRA-verplichtingen geldt een overgang naar 11 december 2027. Dat betekent echter niet dat bestaande producten tot die datum buiten artikel 14 vallen.

    De CRA bepaalt expliciet dat de meldverplichtingen ook gelden voor producten die al vóór 11 december 2027 op de markt zijn gebracht, zolang zij binnen de reikwijdte van de verordening vallen.

    De redenering ons product bestaat al jaren, dus de CRA raakt ons voorlopig niet kan daardoor verkeerd uitpakken.

    Voor bestaande software kan 11 september 2026 juist de eerste concrete CRA-deadline zijn.

    Hoe snel moet je melden?

    Zodra je als fabrikant kennis krijgt van een meldplichtige gebeurtenis, gaan korte termijnen lopen.

    MomentActief uitgebuite kwetsbaarheidErnstig incident
    Binnen 24 uurEerste waarschuwingEerste waarschuwing
    Binnen 72 uurNadere kwetsbaarheidsmeldingNadere incidentmelding
    Definitieve rapportageUiterlijk 14 dagen nadat een corrigerende of mitigerende maatregel beschikbaar is.Binnen één maand na de incidentmelding uit de 72 uursfase

    De wettelijke termijnen worden gekoppeld aan het moment waarop de fabrikant kennis krijgt van de actief uitgebuite kwetsbaarheid of het ernstige incident.

    De eerste melding hoeft dus geen volledig afgerond forensisch onderzoek te bevatten. Het proces is bewust opgebouwd uit verschillende fasen waarin steeds meer informatie beschikbaar kan komen.

    Dat maakt één punt bijzonder belangrijk:

    je hoeft binnen 24 uur niet alles te weten, maar je moet wel tijdig herkennen dat de meldplicht is gaan lopen.

    Voor Nederlandse fabrikanten vindt de melding vanaf 11 september plaats bij het NCSC via mijn.NCSC.nl. De CRA schrijft voor dat meldingen via het Europese Single Reporting Platform worden ingediend bij het coördinerende CSIRT en tegelijkertijd toegankelijk zijn voor ENISA.

    CRA en Cyberbeveiligingswet zijn niet hetzelfde

    De nieuwe meldplicht volgt kort na de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026. Toch kijken beide regelingen vanuit een ander perspectief.

    De Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, richt zich op de digitale weerbaarheid van organisaties en diensten. De CRA richt zich op de cybersecurity van producten met digitale elementen.

    Een gebeurtenis kan daardoor vanuit meerdere regelingen relevant zijn, maar de reden waarom je moet beoordelen of melden verschilt.

    Wil je bepalen of jouw organisatie rechtstreeks door NIS2 wordt geraakt? Lees dan ook Cyberbeveiligingswet uitgelegd: val je er vanaf 15 augustus onder?.

    Je moet mogelijk ook je gebruikers informeren

    De verplichting houdt niet op bij een melding aan de autoriteiten.

    Na kennisneming van een actief uitgebuite kwetsbaarheid of ernstig incident moet de fabrikant getroffen gebruikers informeren en, waar passend, alle gebruikers. Wanneer dat nodig is, moet daarbij ook duidelijk worden gemaakt welke maatregelen gebruikers zelf kunnen nemen om de gevolgen te beperken.

    Je moet daarom niet alleen weten wie de formele melding uitvoert. Je moet ook kunnen bepalen welke gebruikers geraakt zijn, welke correctieve maatregelen beschikbaar zijn en wie verantwoordelijk is voor de communicatie.

    Dat wil je tijdens een incident niet meer hoeven organiseren.

    Wat moet je vóór 11 september geregeld hebben?

    Je hoeft vóór september niet de hele CRA-implementatie voor 2027 af te ronden. De voorbereiding kan veel gerichter.

    Weet welke producten binnen je scope vallen

    Maak geen inventarisatie van alle IT binnen je organisatie. Kijk specifiek naar de producten die je ontwikkelt, laat ontwikkelen of onder eigen naam op de markt brengt.

    Leg bij twijfel vast waarom je denkt dat een product wel of niet binnen de CRA valt en onderzoek de onduidelijke gevallen verder.

    Weet wie de fabrikant is

    Bij volledig eigen software is dit vaak duidelijk. Bij white-labelproducten, gezamenlijke ontwikkeling, reselling en integraties kan de rolverdeling minder vanzelfsprekend zijn.

    Zorg dat je niet pas tijdens een incident moet vaststellen welke partij verantwoordelijk is.

    Zorg voor een herkenbaar ingangspunt

    Een klant, securityonderzoeker, leverancier of medewerker kan het eerste signaal van een kwetsbaarheid geven.

    Dan moet duidelijk zijn waar dat signaal terechtkomt. Een mogelijk actief uitgebuite kwetsbaarheid die enkele dagen in een algemene mailbox blijft staan, is moeilijk te verenigen met een meldtermijn van 24 uur.

    Maak classificatie expliciet

    Je proces moet snel antwoord kunnen geven op vier vragen: heeft dit betrekking op een CRA-product, is er betrouwbaar bewijs van actieve exploitatie, is sprake van een ernstig incident en wanneer kregen we hiervan kennis?

    Dat laatste moment is belangrijk omdat daaraan de meldtermijnen zijn gekoppeld.

    Leg eigenaarschap vast

    Je hebt hiervoor geen uitgebreide nieuwe complianceorganisatie nodig.

    Wel moet duidelijk zijn wie een mogelijke meldplicht beoordeelt, wie besluit dat wordt gemeld, wie de melding uitvoert en wie de opvolging bewaakt.

    Bij een termijn van 24 uur is duidelijk eigenaarschap waardevoller dan een uitgebreid beleidsdocument.

    Wat volgt op 11 december 2027?

    De meldplicht is slechts één onderdeel van de Cyber Resilience Act.

    Vanaf 11 december 2027 gaan de belangrijkste overige CRA-verplichtingen gelden. Fabrikanten krijgen dan onder meer te maken met eisen rond cybersecurity gedurende ontwerp en ontwikkeling, cybersecurityrisicobeoordeling, vulnerability handling, technische documentatie, informatie voor gebruikers, conformiteitsbeoordeling en CE-markering.

    Het onderscheid tussen beide data is daarom eenvoudig:

    11 september 2026: zorg dat je meldplichtige situaties kunt herkennen en binnen de wettelijke termijnen kunt handelen.

    11 december 2027: zorg dat je product en de bijbehorende ontwikkel- en beheerprocessen aan de bredere CRA-eisen voldoen.

    Zo voorkom je dat je nu een volledig implementatieproject probeert af te ronden, maar ook dat je een verplichting mist die al ruim een jaar eerder ingaat.

    Begin bij toepasselijkheid, niet bij het meldformulier

    Vanaf 11 september hoef je niet ieder beveiligingsprobleem te melden.

    Maar ben je fabrikant van een product met digitale elementen, dan moet je wel snel kunnen herkennen wanneer een kwetsbaarheid actief wordt uitgebuit of een ernstig beveiligingsincident onder artikel 14 valt.

    Daarvoor heb je vooral drie dingen nodig: duidelijkheid over je producten, een werkbare classificatie en expliciet eigenaarschap.

    De meldplicht vraagt daarmee niet automatisch om een zwaar nieuw complianceproces. Wel moet de structuur vóór een incident duidelijk zijn. Anders verlies je kostbare tijd aan vragen die je vooraf al had kunnen beantwoorden: wie is verantwoordelijk, wanneer is de meldtermijn begonnen en welke acties zijn al genomen?

    CompliTrack helpt om risico’s, incidenten, verantwoordelijkheden en vervolgacties centraal vast te leggen. Zo blijft opvolging niet afhankelijk van losse spreadsheets, documenten en mailboxen.

    Bekijk hoe CompliTrack helpt om incidenten en compliance-acties beheersbaar te organiseren.

    Verder lezen

  • ISO 9001:2026 komt eraan: wat verandert er en wat moet je nu al voorbereiden?

    ISO 9001:2026 komt eraan: wat verandert er en wat moet je nu al voorbereiden?

    Je organisatie is ISO 9001:2015-gecertificeerd. Het kwaliteitsmanagementsysteem staat, interne audits worden uitgevoerd en periodiek beoordeelt het management of het systeem nog doet wat het moet doen.

    En dan verschijnt er ineens een nieuw jaartal: ISO 9001:2026.

    Moet het kwaliteitshandboek opnieuw? Moeten processen worden aangepast? Is een nieuwe gap-analyse nodig? En hoeveel tijd en geld moet je daar nu voor reserveren?

    Waarschijnlijk minder dan je denkt.

    Je hoeft nu geen nieuw kwaliteitsmanagementsysteem in te richten en ook nog geen definitieve norm-gap uit te voeren. Wat je wel kunt doen, is kijken naar de onderwerpen waarop ISO meer nadruk legt en beoordelen hoe goed die nu al functioneren.

    ISO 9001:2026 is bijna gepubliceerd, maar nog niet de actuele editie

    Op het moment van schrijven is ISO 9001:2026 nog niet gepubliceerd. De revisie bevindt zich inmiddels in de laatste productiefase. ISO vermeldt september 2026 als verwachte publicatiemaand en geeft aan dat de nieuwe editie ISO 9001:2015 zal vervangen.

    Tot die tijd is ISO 9001:2015, inclusief Amendment 1:2024, de huidige gepubliceerde editie. Organisaties die daartegen gecertificeerd zijn, krijgen na publicatie een overgangsperiode om naar de nieuwe editie te migreren. ISO heeft op dit moment nog geen concrete duur van die periode gepubliceerd.

    De conclusie is daarom vrij eenvoudig: voorbereiden is verstandig, vooruitlopen op een norm die nog niet gepubliceerd is niet.

    Waarom wordt ISO 9001 aangepast?

    ISO 9001:2015 bestaat inmiddels ruim tien jaar. Na internationale consultatie werd in 2023 besloten dat een herziening waarde zou toevoegen, zodat de norm beter blijft aansluiten op de behoeften van organisaties en andere belanghebbenden.

    Daarbij verandert het fundament niet.

    ISO presenteert de nieuwe editie als een doorontwikkeling van het bestaande kwaliteitsmanagementsysteem, met gerichte aanpassingen om de norm duidelijker, bruikbaarder en relevanter te maken.

    Heb je nu een KMS dat daadwerkelijk wordt gebruikt om kwaliteit te beheersen en te verbeteren, dan is er dus geen reden om opnieuw te beginnen.

    Wat verandert er in ISO 9001:2026?

    ISO communiceert inmiddels een aantal duidelijke accenten: meer aandacht voor leiderschap en kwaliteitscultuur, een meer strategische benadering van risico’s en kansen, duidelijkere formuleringen, een nieuwe Annex A en een betere aansluiting op andere ISO-managementsysteemstandaarden.

    Voor organisaties die met ISO 9001 werken, zijn vooral de praktische gevolgen daarvan interessant.

    Meer nadruk op leiderschap, verantwoordelijkheid en kwaliteitscultuur

    Een kwaliteitsmanagementsysteem werkt niet omdat procedures bestaan. Het werkt wanneer mensen weten wat van hen wordt verwacht en het management kwaliteit daadwerkelijk meeweegt in keuzes.

    ISO kondigt daarom een sterkere focus aan op leiderschap, kwaliteitscultuur en accountability.

    Dat betekent niet automatisch dat je nieuwe overlegstructuren of functies nodig hebt. De relevantere vraag is of zichtbaar is hoe het management daadwerkelijk op kwaliteit stuurt.

    Welke kwaliteitsvraagstukken bereiken het management? Welke informatie wordt gebruikt om prioriteiten te bepalen? Wie neemt verantwoordelijkheid wanneer prestaties achterblijven? En welke besluiten volgen uit klachten, auditresultaten, afwijkingen en verbeteringen?

    Een goede management review speelt daarin een belangrijke rol. Niet als jaarlijks ISO-document, maar als moment waarop prestaties, risico’s en verbeteringen worden vertaald naar bestuurlijke keuzes.

    Risico’s én kansen krijgen meer duidelijkheid

    Risicogebaseerd denken bestaat al in ISO 9001:2015. In de nieuwe editie legt ISO meer nadruk op duidelijkheid rond risico’s en kansen en op een meer strategische benadering daarvan.

    Dat betekent niet simpelweg dat je een uitgebreidere risicoanalyse moet maken.

    De interessantere vraag is of zichtbaar is welke onzekerheden je kwaliteitsdoelstellingen kunnen beïnvloeden, welke kansen je bewust wilt benutten en welke keuzes daaruit volgen.

    Kun je uitleggen waarom sommige risico’s prioriteit krijgen? Wie daarover beslist? Welke maatregelen volgen? En wanneer een risico bewust wordt geaccepteerd?

    In ISO 31000 uitgelegd: wanneer wordt risicomanagement meer dan een risicolijst? gaan we uitgebreider in op precies dat verschil tussen risico’s registreren en risico’s daadwerkelijk gebruiken bij besluitvorming.

    Duidelijkere eisen en een nieuwe Annex A

    ISO kondigt daarnaast duidelijkere formuleringen aan en een nieuwe Annex A die belangrijke begrippen en de bedoeling achter eisen verder verduidelijkt.

    Dat klinkt misschien als een detail, maar kan in de praktijk juist veel verschil maken.

    Onduidelijke normeisen leiden gemakkelijk tot schijndocumentatie. Een organisatie denkt dat een auditor een procedure, formulier of register verwacht en maakt dat daarom maar aan. Vervolgens moet die documentatie jarenlang worden onderhouden, terwijl niemand haar daadwerkelijk gebruikt.

    Meer duidelijkheid over de bedoeling van een eis hoeft daarom niet tot méér administratie te leiden. Het kan juist helpen om overbodige documentatie te voorkomen.

    Dat sluit aan op Wanneer documentatie logisch klinkt, maar niets oplevert: documentatie heeft pas waarde wanneer zij helpt om werkwijzen en keuzes te begrijpen.

    Betere aansluiting op andere managementsystemen

    ISO noemt ook een betere aansluiting op andere ISO-managementsysteemstandaarden. Dat past bij de bredere manier waarop ISO deze standaarden structureert, zodat verschillende managementdisciplines eenvoudiger kunnen worden geïntegreerd.

    Werk je bijvoorbeeld naast ISO 9001 ook met ISO 27001, ISO 14001 of ISO 45001, dan heb je niet automatisch voor iedere norm een afzonderlijk managementsysteem nodig.

    Onderwerpen zoals doelstellingen, risico’s, interne audits, verbeteracties en management reviews kunnen vaak vanuit één gezamenlijke structuur worden georganiseerd. De inhoudelijke eisen blijven verschillend, maar de manier waarop je erop stuurt hoeft niet steeds opnieuw te worden ingericht.

    Moet je je bestaande KMS opnieuw inrichten?

    Nee.

    Begin niet opnieuw omdat het jaartal op de norm verandert.

    De logische volgorde is eenvoudiger: wacht op de definitieve publicatie, bepaal welke eisen daadwerkelijk zijn gewijzigd, beoordeel welke onderdelen van je huidige KMS daardoor geraakt worden en pas alleen aan wat nodig is.

    Een nieuw kwaliteitshandboek puur vanwege ISO 9001:2026 voegt niets toe. Het volledig herschrijven van procedures voordat duidelijk is wat inhoudelijk geraakt wordt evenmin.

    Dat geldt ook voor tooling. Een nieuwe editie van ISO 9001 maakt je huidige systeem niet automatisch ongeschikt.

    De relevante vraag is of je risico’s, acties, verantwoordelijkheden, audits, doelstellingen en besluiten voldoende gestructureerd kunt beheren om te laten zien dat het KMS daadwerkelijk werkt.

    Wat kun je nu al wél voorbereiden?

    Je hoeft de publicatie van ISO 9001:2026 niet af te wachten om kritisch naar je huidige systeem te kijken.

    Begin bij managementbetrokkenheid. Niet met de vraag of een management review formeel heeft plaatsgevonden, maar met de vraag welke kwaliteitsinformatie daadwerkelijk tot besluiten leidt.

    Kijk vervolgens naar risico’s en kansen. Leidt je huidige aanpak tot prioriteiten en acties, of vooral tot een periodiek bijgewerkt overzicht?

    Kijk ook naar de documentatie die door de jaren heen is ontstaan. Welke documenten ondersteunen het werk werkelijk? Welke registraties helpen bij besluitvorming? En welke bestaan vooral omdat ooit werd gedacht dat ISO ze verlangde?

    Werk je met meerdere normen, beoordeel dan waar processen onnodig dubbel zijn ingericht. Misschien heb je niet voor iedere norm afzonderlijke actielijsten, auditprogramma’s of managementreviews nodig.

    Geen van deze verbeteringen is afhankelijk van de definitieve tekst van ISO 9001:2026. Ze maken je huidige KMS ook nu al sterker.

    Wat moet je juist nog niet doen?

    Gebruik de aangekondigde veranderingen om aandachtspunten te herkennen, maar voer nog geen definitieve gap-analyse uit alsof ISO 9001:2026 al de actuele editie is.

    Begin ook niet met een complete documentrevisie. Het vervangen van iedere verwijzing naar ISO 9001:2015 door ISO 9001:2026 zegt niets over de werking van je kwaliteitsmanagementsysteem.

    En schaf geen nieuw managementsysteem aan alleen vanwege de normwijziging.

    Een nieuwe tool lost geen onduidelijk eigenaarschap, slecht opgevolgde acties of zwakke managementbetrokkenheid op. Als je huidige ondersteuning voldoende structuur biedt, is een nieuwe normeditie op zichzelf geen reden om die te vervangen.

    Na publicatie: houd de overgang gericht

    Zodra ISO 9001:2026 gepubliceerd is, kun je bepalen welke wijzigingen daadwerkelijk relevant zijn voor jouw KMS, de impact beoordelen en noodzakelijke aanpassingen prioriteren. Controleer daarna via je normale evaluaties en interne audits of die wijzigingen ook in de praktijk werken.

    Volg daarbij de formele transitieafspraken voor bestaande certificaten zodra deze beschikbaar zijn. ISO bevestigt nu al dat gecertificeerde organisaties een overgangsperiode krijgen.

    ISO 19011:2026 uitgelegd: hoe richt je een intern auditprogramma in dat wél stuurt? geeft meer handvatten om interne audits vervolgens gericht in te zetten om te beoordelen waar het managementsysteem werkelijk aandacht nodig heeft.

    De belangrijkste vraag richting ISO 9001:2026

    De komst van ISO 9001:2026 is vooral een goed moment om te toetsen of je huidige KMS daadwerkelijk stuurt op kwaliteit.

    Wanneer kwaliteit vooral afhankelijk is van documenten, één kwaliteitsverantwoordelijke of het jaarlijkse auditmoment, geven de aangekondigde veranderingen voldoende aanleiding om daar nu al naar te kijken.

    Wanneer managementbetrokkenheid, verantwoordelijkheden, risico’s, verbeteringen en besluitvorming al onderdeel zijn van de dagelijkse bedrijfsvoering, is je uitgangspositie heel anders.

    De belangrijkste vraag is daarom misschien niet welke documenten je straks moet aanpassen.

    Werkt je kwaliteitsmanagementsysteem eigenlijk zoals je denkt dat het werkt?

    Houd de overgang beheersbaar

    ISO 9001:2026 hoeft geen nieuw complianceproject te worden. Begin bij wat je al hebt en kijk waar risico’s, acties, audits, doelstellingen en besluiten nu verspreid worden bijgehouden of samenhang missen.

    Wil je die onderdelen meer in samenhang beheren? CompliTrack helpt om structuur en overzicht aan te brengen zonder van kwaliteitsmanagement een zwaar systeem te maken.

  • Wanneer overzicht juist besluitvorming uitstelt

    Wanneer overzicht juist besluitvorming uitstelt

    Het risico staat al maanden bovenaan het overzicht.

    De mogelijke impact is bekend. De beoordeling is meerdere keren besproken en niemand betwist dat het onderwerp aandacht verdient. Toch volgt er opnieuw geen besluit.

    Eerst willen we weten wat de alternatieven kosten. Daarna blijkt aanvullende informatie nodig over de gevolgen. Bij het volgende overleg wordt voorgesteld de beoordeling nog eens te actualiseren, omdat de omstandigheden inmiddels iets zijn veranderd.

    Iedere stap klinkt zorgvuldig.

    En toch gebeurt er niets.

    Het risico blijft zichtbaar, wordt netjes bijgehouden en keert iedere maand terug. Het overzicht geeft daarmee niet alleen inzicht. Het biedt ook een comfortabele plek om het besluit nog even uit te stellen.

    Wanneer zorgvuldig werken verandert in uitstel

    In Waarom risico-overzichten rust geven, maar niets sturen beschreven we waarom een actueel risico-overzicht gemakkelijk een gevoel van grip creëert. Risico’s zijn zichtbaar, beoordeeld en bespreekbaar. Dat is waardevol, maar het betekent nog niet dat er wordt gestuurd.

    Juist bij lastige risico’s wordt dat verschil zichtbaar.

    Een risico kan maandenlang aandacht krijgen zonder dat duidelijk wordt wat er nodig is om tot een besluit te komen. Iedere bespreking levert nieuwe vragen op. Iedere nieuwe vraag lijkt aanvullende analyse te rechtvaardigen.

    Soms is dat terecht. Bepaalde informatie heb je nodig om verantwoord te kunnen kiezen.

    Het probleem ontstaat wanneer niet meer duidelijk is welke informatie de keuze nog daadwerkelijk kan veranderen.

    Wanneer weet je genoeg?

    Een besluit over een risico wordt vrijwel altijd genomen met onvolledige informatie. Je weet niet precies of het risico zich voordoet, hoe groot de uiteindelijke schade zal zijn of welk effect een maatregel precies heeft.

    Volledige zekerheid is daarom geen bruikbaar eindpunt.

    Een relevantere vraag is of voldoende bekend is om een verdedigbare keuze te maken.

    Als aanvullende informatie wezenlijk verschil kan maken, is verder onderzoek logisch. Dan moet wel duidelijk zijn welke vraag nog openstaat en wanneer daar opnieuw over wordt besloten.

    Maar wanneer steeds nieuwe informatie wordt verzameld zonder dat duidelijk is welk besluit daarvan afhankelijk is, verandert analyse langzaam in uitstel. Analyse voelt dan al snel aantrekkelijker dan een keuze waarbij tijd, geld of capaciteit moet worden ingezet terwijl onzekerheid blijft bestaan.

    Meer detail maakt kiezen niet vanzelf eenvoudiger

    De logische reactie is vaak om het risicobeheer verder te verfijnen. Meer scenario’s, uitgebreidere beoordelingen of vaker bespreken.

    Daarmee kan het overzicht nauwkeuriger worden, maar de feitelijke afweging hoeft nauwelijks te veranderen.

    Misschien verandert de beoordeling volgende maand. Misschien blijkt een maatregel toch goedkoper. Er is bijna altijd wel een reden om nog iets verder te onderzoeken.

    Zo groeit het dossier terwijl dezelfde keuze blijft liggen.

    Het probleem is dan niet langer een gebrek aan inzicht. Er ontbreekt een herkenbaar eindpunt aan de analyse.

    Structuur maakt ook besluituitstel zichtbaar

    Een bruikbaar risicoproces laat daarom niet alleen zien wat bekend is, maar ook waarom er nog geen besluit ligt.

    Welke informatie ontbreekt nog?
    Kan die informatie de keuze wezenlijk veranderen?
    Wanneer wordt daar opnieuw over besloten?

    Die vragen maken zichtbaar of een risico werkelijk wordt onderzocht of vooral blijft circuleren.

    Zodra voldoende bekend is om een verdedigbare keuze te maken, hoort het onderwerp niet automatisch opnieuw terug naar analyse. Dan ligt er een besluitvraag.

    Dat besluit kan betekenen dat een risico wordt verminderd, bewust wordt geaccepteerd of dat tijd en middelen voorlopig ergens anders nodig zijn. Geen van die keuzes neemt alle onzekerheid weg. Ze maken wel zichtbaar hoe de organisatie ermee omgaat en waarom.

    Daar zit het verschil tussen overzicht en sturing.

    Het ongemak achter een keurig overzicht

    Een uitgebreid en actueel risico-overzicht kan een teken zijn van volwassen risicobeheer. Maar het kan ook verhullen dat dezelfde beslissingen maand na maand worden doorgeschoven.

    Kijk daarom eens naar de risico’s die al langere tijd bovenaan staan.

    Welke nieuwe informatie heeft de afgelopen maanden daadwerkelijk tot een andere afweging geleid? Welke onderwerpen wachten aantoonbaar op iets dat nog onderzocht moet worden? En bij welke risico’s weten jullie eigenlijk al genoeg?

    Misschien ontbreekt daar geen inzicht meer.

    Misschien is het overzicht inmiddels vooral de plek geworden waar het besluit veilig kan blijven liggen.

    Verder lezen

  • Waarom risico’s zonder actie betekenisloos zijn

    Waarom risico’s zonder actie betekenisloos zijn

    Tijdens een periodiek overleg komt een bekend risico opnieuw ter sprake. Een belangrijke medewerker bezit kennis die nauwelijks is overgedragen. Iedereen begrijpt wat er kan gebeuren als die persoon onverwacht uitvalt. Het risico staat al maanden als hoog in het overzicht.

    Er staat ook een voorgenomen maatregel bij: kennis beter documenteren.

    Toch verandert er weinig. Er is geen tijd gereserveerd, niemand heeft bepaald welke kennis als eerste moet worden overgedragen en er is geen moment afgesproken waarop wordt beoordeeld of de afhankelijkheid werkelijk kleiner is geworden.

    Het risico is zichtbaar. De organisatie blijft er even kwetsbaar voor.

    Een maatregel is nog geen actie

    Zoals we in Waarom risico-overzichten rust geven, maar niets sturen beschreven, kan een actueel overzicht rust geven zonder richting te geven. Weten welke risico’s bestaan is noodzakelijk, maar verandert de werkelijkheid nog niet.

    Datzelfde geldt voor het benoemen van een maatregel.

    Formuleringen als ‘proces verbeteren’, ‘leverancier aanspreken’ of ‘medewerkers bewuster maken’ klinken logisch. Ze beschrijven niet wat er concreet moet gebeuren. Er ontbreekt een uitvoerbare stap, een beoogd resultaat of een moment waarop wordt beoordeeld of de aanpak heeft gewerkt.

    De maatregel blijft daardoor een intentie. Het overzicht is bijgewerkt, maar het risico is niet kleiner geworden.

    Waarom intenties blijven liggen

    Een risico aanpakken vraagt om tijd, aandacht en soms geld. Daardoor concurreert iedere maatregel met de dagelijkse praktijk.

    Algemene formuleringen zijn dan aantrekkelijk. Iedereen kan ermee instemmen, zonder dat duidelijk wordt welke capaciteit nodig is of welk ander werk minder prioriteit krijgt.

    Ook het aanwijzen van een verantwoordelijke is niet voldoende. Iemand kan een naam bij de actie krijgen zonder de tijd, bevoegdheid of middelen om haar uit te voeren. De naam in het overzicht verandert dan, maar de situatie niet.

    Een actie is pas uitvoerbaar wanneer degene die haar draagt ook daadwerkelijk kan handelen.

    Wanneer een actie betekenis krijgt

    Niet ieder risico hoeft te worden verminderd. Een organisatie kan een risico verminderen, vermijden, delen of bewust accepteren. Soms is eerst aanvullend onderzoek nodig voordat daarover verantwoord kan worden besloten.

    Bij kennisafhankelijkheid is ‘kennis documenteren’ bijvoorbeeld te algemeen. Een uitvoerbare actie maakt duidelijk welke kritieke werkzaamheden overdraagbaar moeten worden, wie dat organiseert en wanneer wordt beoordeeld of een collega ze zelfstandig kan uitvoeren.

    Later moet ook te begrijpen zijn waarom juist deze aanpak passend werd gevonden. Dat is belangrijk wanneer omstandigheden veranderen of het risico onvoldoende blijkt afgenomen.

    Afronden is niet hetzelfde als effect bereiken

    Acties worden vaak als afgerond beschouwd zodra de afgesproken activiteit is uitgevoerd. Het document is geschreven, het gesprek met de leverancier heeft plaatsgevonden of de training is gegeven.

    Dat zegt nog niet dat het risico is veranderd.

    Een kennisdocument kan bestaan zonder dat iemand ermee kan werken. Een leverancier kan zijn aangesproken zonder dat afspraken zijn verbeterd. Medewerkers kunnen een training hebben gevolgd zonder dat hun handelen verandert.

    Daarom hoort bij een betekenisvolle actie ook een terugblik. Niet om uitgebreide rapportages te maken, maar om één vraag te beantwoorden: heeft deze actie het risico daadwerkelijk beïnvloed?

    Zonder die vraag lijkt de actie afgerond, terwijl de kwetsbaarheid mogelijk onveranderd is.

    Structuur verbindt risico en resultaat

    Goede structuur maakt de samenhang zichtbaar tussen het risico, de gekozen aanpak, de uitvoering en het bereikte effect. Daarvoor moet duidelijk blijven:

    • wat de organisatie wil bereiken;
    • wie de actie kan uitvoeren;
    • wanneer wordt beoordeeld of het risico is veranderd;
    • waarom de gekozen aanpak passend is.

    Dat hoeft geen zwaar proces te worden. Een korte en consistente vastlegging is vaak voldoende. Een centraal hulpmiddel kan helpen om die lijn vast te houden, maar neemt de afweging niet over.

    Van signaleren naar sturen

    Een risico wordt pas stuurinformatie wanneer het invloed heeft op wat een organisatie doet of bewust accepteert.

    De relevante vraag is daarom niet alleen welke risico’s bekend zijn. Belangrijker is welke besluiten, acties en resultaten uit dat inzicht zijn voortgekomen.

    Wanneer daarop geen helder antwoord bestaat, ontbreekt waarschijnlijk niet nog een analyse. Dan ontbreekt de verbinding tussen signaleren en handelen.

    Zolang die verbinding ontbreekt, blijft het risico een beschrijving van wat ooit mis kan gaan. Pas wanneer inzicht zichtbaar doorwerkt in keuzes en resultaten, helpt risicobeheer om werkelijk richting te geven.

    Verder lezen

  • Het verschil tussen weten en kiezen

    Het verschil tussen weten en kiezen

    Tijdens het maandelijkse overleg komt het risico-overzicht op tafel. De belangrijkste risico’s zijn bekend, de beoordelingen zijn actueel en bij ieder onderwerp staat een korte toelichting.

    Eén risico valt op. Een cruciale leverancier heeft al meerdere storingen gehad en er is geen realistisch alternatief beschikbaar. Iedereen begrijpt dat dit aandacht vraagt.

    Toch eindigt het gesprek zonder besluit. Eerst moet worden uitgezocht wat overstappen kost. Iemand wil de volgende storing afwachten. Een ander wijst erop dat de leverancier tot nu toe steeds snel heeft hersteld. Het risico blijft staan en schuift door naar het volgende overleg.

    De organisatie weet wat er kan gebeuren. Zij heeft alleen nog niet gekozen wat dat weten betekent.

    Waarom weten veilig voelt

    Risico’s benoemen geeft houvast. Een onduidelijke zorg wordt een herkenbaar onderwerp. Er komt een omschrijving, een beoordeling en misschien iemand die de opvolging bewaakt.

    Een gedeeld overzicht voorkomt dat risico’s alleen in hoofden leven. Maar kennis dwingt nog geen keuze af.

    Zolang een risico alleen wordt beschreven, hoeft niemand te bepalen welke investering voorrang krijgt, hoeveel onzekerheid acceptabel is of welk ander werk moet wachten.

    Weten maakt het probleem zichtbaar. Kiezen maakt de gevolgen concreet.

    Zoals we in Waarom risico-overzichten rust geven, maar niets sturen beschreven, kan een actueel overzicht rust geven. Die rust betekent alleen nog niet dat er ook richting is gekozen.

    Waarom organisaties blijven analyseren

    Wanneer een keuze lastig is, ontstaat al snel behoefte aan meer informatie. De beoordeling wordt opnieuw bekeken. De impact wordt preciezer omschreven. Er wordt een extra scenario toegevoegd of iemand anders wordt gevraagd nog eens naar de afweging te kijken.

    Meer inzicht kan nodig zijn. Maar analyse kan ook een veilige tussenstap worden waarmee het besluit wordt uitgesteld. Niet omdat mensen verantwoordelijkheid vermijden, maar omdat iedere keuze gevolgen heeft.

    Een risico verminderen vraagt tijd, geld of capaciteit. Een risico accepteren betekent bewust besluiten dat aanvullende actie op dat moment niet opweegt tegen de kosten of andere gevolgen. Prioriteit geven aan het ene risico betekent bovendien dat een ander onderwerp minder aandacht krijgt.

    Meer informatie maakt die afweging niet vanzelf eenvoudiger.

    Waarom een strakker proces niet vanzelf helpt

    Een veelvoorkomende reactie is om het risicoproces strakker te maken. Meer vaste velden, scherpere beoordelingen of frequentere evaluaties moeten zorgen voor betere sturing.

    Dat helpt bij consistentie, maar niet automatisch bij besluitvorming. De kwalificatie ‘hoog’ leidt niet vanzelf tot actie, zeker niet wanneer degene die het risico bijhoudt geen mandaat heeft om budget vrij te maken, werkzaamheden te herprioriteren of het risico te accepteren.

    Ook een maatregel toevoegen is nog geen keuze wanneer onduidelijk blijft wanneer deze wordt uitgevoerd, welke middelen beschikbaar zijn en welk resultaat wordt verwacht.

    De registratie wordt dan uitgebreider, terwijl er voor prioriteiten en uitvoering niets verandert.

    Structuur maakt de keuze zichtbaar

    Structuur helpt pas echt wanneer zij niet alleen vastlegt wat bekend is, maar ook zichtbaar maakt waar een besluit nodig is. Dat vraagt om een herkenbaar onderscheid tussen signaleren, beoordelen en kiezen.

    Bij ieder belangrijk risico moet duidelijk zijn welke afweging is gemaakt. Wordt het risico aangepakt of bewust geaccepteerd? Ontbreekt nog specifieke informatie die nodig is om te kunnen kiezen? Wie mag het besluit nemen? Wat wordt in de tussentijd aanvaard? En wanneer wordt de afweging opnieuw bekeken?

    Die vastlegging hoeft niet uitgebreid te zijn. Het gaat niet om een volledig verslag van iedere discussie, maar om voldoende context om later te begrijpen waarom de organisatie deze richting koos.

    Daarmee verandert een risico-overzicht van een verzameling zorgen in een geheugen van afwegingen. Een centrale vastlegging kan helpen om die samenhang te behouden, maar kan het besluit zelf niet overnemen.

    Weten is nog geen besluit

    Een organisatie kan haar risico’s goed kennen en toch weinig sturen. Het verschil zit niet in de kwaliteit van het overzicht, maar in wat er daarna gebeurt.

    De relevante vraag is niet alleen welke risico’s in beeld zijn, maar wat er daardoor aantoonbaar anders gebeurt.

    Wanneer dezelfde risico’s ieder overleg terugkeren zonder een herkenbare keuze, ontbreekt waarschijnlijk geen informatie. Dan ontbreekt het moment waarop iemand bepaalt wat de organisatie bereid is te doen, uit te stellen of te accepteren.

    Pas daar krijgt weten betekenis. Niet omdat onzekerheid verdwijnt, maar omdat duidelijk wordt hoe de organisatie ermee wil omgaan.

    Verder lezen