Auteur: admin

  • Wie is verantwoordelijk voor het niet nemen van een besluit?

    Wie is verantwoordelijk voor het niet nemen van een besluit?

    Het gebeurt vaker dan je denkt.

    Een kritieke leverancier is al maanden onderwerp van gesprek. Iedereen weet dat er geen goed alternatief is. De afhankelijkheid is bekend, het risico staat ergens genoteerd en bij ieder overleg wordt kort bevestigd dat dit aandacht vraagt.

    Toch gebeurt er niets.

    Niet omdat niemand het belangrijk vindt. Niet omdat het risico onbekend is. Maar omdat het nooit echt tot een keuze komt. Er wordt niet besloten om een alternatief te zoeken. Er wordt ook niet uitgesproken dat de afhankelijkheid voorlopig bewust wordt geaccepteerd. Het onderwerp blijft tussen die twee opties in hangen.

    In andere organisaties gaat het om een verouderde werkwijze, een bekende afhankelijkheid van één medewerker of een beveiligingsmaatregel die nog niet goed werkt. De situatie verschilt, maar het patroon is hetzelfde: het risico is zichtbaar, alleen de keuze blijft uit.

    Dat voelt soms veilig. Zolang er geen expliciet besluit ligt, lijkt niemand echt verantwoordelijk voor de uitkomst. Het risico is immers benoemd. Het is niet genegeerd. Maar in de praktijk verandert er niets.

    Dat is een kwetsbare vorm van schijncontrole. Het sluit aan bij de eerdere blog Een risico wordt pas relevant wanneer iemand moet kiezen, waarin we beschreven dat risico’s pas betekenis krijgen wanneer ze verbonden worden aan een concrete afweging.

    Geen besluit is ook een keuze

    In risicobeheer gaat veel aandacht naar zichtbare besluiten. Een risico wordt verminderd, geaccepteerd, vermeden of overgedragen. Dat klinkt overzichtelijk. Maar in de praktijk is de lastigste categorie vaak niet het verkeerde besluit, maar het uitgestelde besluit.

    Een risico blijft liggen omdat niemand uitspreekt dat het voorlopig wordt geaccepteerd. Of dat het nu niet wordt opgepakt, omdat andere risico’s zwaarder wegen. Of dat het thuishoort bij iemand die mandaat heeft om hierover te beslissen.

    Daardoor ontstaat een grijs gebied. Het risico is zichtbaar, maar hoort bij niemand echt thuis. Iedereen weet dat het bestaat, maar niemand draagt zichtbaar verantwoordelijkheid voor wat er niet gebeurt.

    Dat zie je vooral in organisaties waar mensen meerdere rollen combineren. Afwegingen worden snel gemaakt, vaak met goede redenen. Alleen worden ze niet altijd expliciet genoeg vastgehouden. Dan lijkt het alsof er geen besluit is genomen, terwijl de organisatie ondertussen wel handelt alsof het risico acceptabel is.

    Waarom meer overzicht dit niet oplost

    De eerste reflex is vaak om het risico-overzicht aan te scherpen. Meer toelichting. Een betere score. Een extra statusveld. Misschien een aparte categorie voor risico’s die nog beoordeeld moeten worden.

    Dat kan tijdelijk helpen, maar het lost de kern niet op.

    Een overzicht maakt zichtbaar dat iets bestaat. Het maakt niet automatisch duidelijk wie mag bepalen wat ermee gebeurt. Ook een uitgebreide risicoanalyse voorkomt niet dat verantwoordelijkheid blijft zweven.

    Een andere reflex is om het risico vaker terug te laten komen in overleg. Ook dat lijkt logisch. Maar wanneer het gesprek steeds eindigt zonder duidelijke afweging, wordt herhaling verward met beheersing.

    Het probleem is dan niet dat het risico onbekend is. Het probleem is dat het overleg geen besluitvormingsmoment creëert.

    Structuur maakt niet-handelen uitlegbaar

    Structuur betekent niet dat elk risico direct opgelost moet worden. Dat is onrealistisch. Er zijn altijd meer aandachtspunten dan capaciteit. Sommige risico’s zijn tijdelijk acceptabel. Andere zijn minder urgent dan ze op papier lijken. Soms is wachten een verstandige keuze.

    Maar dan moet wel duidelijk zijn dát het een keuze is.

    Wie mag bepalen dat het risico voorlopig blijft liggen? Op basis waarvan is dat verdedigbaar? Wanneer wordt die keuze opnieuw bekeken? En wat moet later nog te begrijpen zijn als iemand vraagt waarom er toen niet is ingegrepen?

    Die vragen maken het verschil tussen uitstel en bewuste acceptatie.

    Een risico niet oppakken kan dus een prima besluit zijn. Maar zonder zichtbare afweging wordt het lastig om later onderscheid te maken tussen bewust accepteren en simpelweg vergeten. Datzelfde patroon zie je bij verbeterpunten: vaak zit het probleem niet in het herkennen van aandachtspunten, maar in wat daarna wel of niet gebeurt. Dat werkten we eerder uit in Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt.

    Van losse registratie naar gedeeld geheugen

    Wanneer risico’s, keuzes en verantwoordelijkheden uit elkaar gaan lopen, ontstaat behoefte aan meer houvast. Niet om het werk zwaarder te maken, maar om te voorkomen dat afwegingen verdwijnen in losse notities, herinneringen of overzichten die alleen door één persoon goed worden begrepen.

    Dat is ook waarom spreadsheets op een bepaald moment beginnen te schuren. Ze kunnen goed vastleggen dát iets bestaat, maar minder goed vasthouden waarom iets zo is beoordeeld. In Het moment waarop Excel niet meer helpt, maar tegenwerkt schreven we daarover breder: data bewaren is iets anders dan betekenis bewaren.

    Een hulpmiddel kan ondersteunen door risico’s, keuzes en eigenaarschap bij elkaar te houden. Maar het neemt de verantwoordelijkheid niet over. Het systeem beslist niet of een risico acceptabel is. Het voorkomt hooguit dat een impliciete keuze later wordt aangezien voor geen keuze.

    Daar zit de waarde. Niet in meer registratie, maar in minder ruis.

    Tot slot

    De vraag bij risicobeheer is niet alleen wie verantwoordelijk is voor actie. Minstens zo belangrijk is wie verantwoordelijk is voor het uitblijven van actie.

    Want ook niets doen heeft gevolgen. Soms zijn die gevolgen acceptabel. Soms niet. Maar zolang die afweging niet zichtbaar wordt gemaakt, blijft de organisatie afhankelijk van aannames.

    Wie merkt dat risico’s regelmatig terugkomen zonder dat er iets verandert, kijkt waarschijnlijk niet naar een analyseprobleem. Het is eerder een teken dat eigenaarschap en besluitvorming onvoldoende expliciet zijn.

    De volwassenheid zit niet in het direct oplossen van ieder risico, maar in het zichtbaar maken van de afweging. Wie mag bepalen dat iets blijft liggen? Waarom is dat verdedigbaar? En wanneer komt die keuze opnieuw op tafel?

    Pas dan wordt niet-handelen iets anders dan vergeten.

    Verder lezen

    Een risico wordt pas relevant wanneer iemand moet kiezen
    Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt
    Het moment waarop Excel niet meer helpt, maar tegenwerkt
    De risicoanalyse: een onmisbaar instrument voor elke ondernemer

  • Een risico wordt pas relevant wanneer iemand moet kiezen

    Een risico wordt pas relevant wanneer iemand moet kiezen

    Het begint vaak met een situatie die iedereen herkent.

    Een klant vraagt om extra zekerheid over informatiebeveiliging voordat een contract wordt verlengd. Intern is bekend dat een aantal maatregelen nog niet volledig werkt zoals bedoeld. Er is een risico-overzicht. De kwetsbaarheid staat erin. De impact is beoordeeld. Er is zelfs een mogelijke maatregel genoemd.

    Op papier is het risico dus niet nieuw.

    Toch voelt het ineens anders. Want nu moet iemand bepalen wat er gebeurt. Gaan we de klant geruststellen en later verbeteren? Stellen we de contractverlenging uit totdat de maatregel echt werkt? Accepteren we tijdelijk het risico? Of trekken we capaciteit weg bij ander werk om dit eerst op te lossen?

    Op dat moment verandert het risico van een observatie in een keuze.

    Dat is vaak het moment waarop risicobeheer echt spannend wordt. Niet wanneer risico’s worden geïnventariseerd. Niet wanneer ze in een matrix worden gezet. Maar wanneer iemand moet bepalen wat het risico betekent voor gedrag, prioriteit en verantwoordelijkheid.

    Een risico wordt pas relevant wanneer iemand moet kiezen.

    Waarom risico’s vaak abstract blijven

    Veel organisaties beginnen risicobeheer vanuit de behoefte aan overzicht. Dat is logisch. Zonder overzicht weet je niet waar je kwetsbaar bent, welke afhankelijkheden belangrijk zijn en welke onderwerpen terug blijven komen.

    Maar overzicht is nog geen sturing.

    Een risico beschrijven is iets anders dan bepalen wat je ermee doet. Je kunt precies weten dat een leverancier kwetsbaar is, dat een proces afhankelijk is van één persoon of dat een beveiligingsmaatregel nog onvoldoende werkt. Toch verandert er weinig zolang die kennis niet verbonden wordt aan een keuze.

    Daar gaat het in de praktijk vaak mis. Risico’s worden geïnventariseerd, beoordeeld en besproken, maar blijven daarna hangen in algemene formuleringen. “We moeten hier iets mee.” “Dit houden we in de gaten.” “Dit pakken we later op.”

    Soms is dat terecht. Niet elk risico vraagt direct actie. Niet alles hoeft opgelost te worden. Maar wanneer niet duidelijk is wie de afweging maakt en waarom een risico wel of niet wordt opgepakt, ontstaat schijnzekerheid.

    De organisatie weet dan dat er een risico is, maar niet wat dat betekent. En juist daar zit het verschil tussen weten en sturen.

    Het probleem ontstaat bij de overgang van inzicht naar besluit

    Risicobeheer wordt vaak benaderd als een analyseproces. Eerst risico’s identificeren. Daarna beoordelen. Vervolgens prioriteren. Dat lijkt overzichtelijk, maar het belangrijkste moment komt daarna pas: wat doen we met deze informatie?

    Daar ontstaat spanning.

    Want kiezen betekent dat je iets expliciet maakt. Je zegt niet alleen dat een risico bestaat, maar ook hoe zwaar het weegt ten opzichte van andere belangen. Tijd, geld, capaciteit, klantdruk, continuïteit, snelheid en betrouwbaarheid komen samen in één afweging.

    Zolang een risico in een overzicht staat, blijft het relatief veilig. Het is benoemd. Het is zichtbaar. Het ligt ergens vast. Maar zodra iemand moet besluiten of het risico wordt geaccepteerd, verminderd, uitgesteld of geëscaleerd, wordt het concreet.

    Dan wordt zichtbaar of er echt governance is.

    Niet in de vorm van dikke beleidsstukken, maar in een paar eenvoudige vragen. Wie mag hierover beslissen? Op basis waarvan? En kunnen we later nog uitleggen waarom deze keuze op dat moment verdedigbaar was?

    In organisaties waar compliance naast veel ander werk wordt gedaan, is dat vaak extra lastig. Rollen lopen door elkaar. Dezelfde persoon is betrokken bij uitvoering, klantcontact, kwaliteit en informatiebeveiliging. Besluiten worden snel genomen, vaak terecht, omdat het werk door moet.

    De echte risicobeslissing valt dan niet altijd in een formeel overleg, maar in een klantgesprek, een planningsoverleg of een korte afstemming tussen mensen die ook nog ander werk hebben liggen.

    Juist daardoor blijven afwegingen impliciet.

    Iedereen begrijpt op dat moment waarom iets gebeurt. Totdat iemand later vraagt waarom het zo is gegaan.

    Waarom gangbare oplossingen tekortschieten

    De eerste reflex is vaak om de risicoanalyse uitgebreider te maken. Meer risico’s opnemen. Scores aanscherpen. Extra kolommen toevoegen. Meer toelichting vragen.

    Het idee daarachter is begrijpelijk: als we beter analyseren, kunnen we beter sturen.

    Maar meer analyse leidt niet automatisch tot betere keuzes. Sterker nog, het kan besluitvorming juist vertragen. Hoe voller het overzicht, hoe makkelijker het wordt om nog even door te praten. Er is altijd nog een nuance, afhankelijkheid of onzekerheid die verder onderzocht kan worden.

    Daarmee krijgt een risico-overzicht hetzelfde probleem als veel documentatie: het oogt logisch, maar levert weinig op als het niet helpt op het moment dat iemand moet kiezen. Dat raakt aan het bredere thema uit [Wanneer documentatie logisch klinkt, maar niets oplevert].

    Een andere reflex is om risico’s vooral procedureel op te lossen. Er komt een maatregel, een controle, een processtap of een periodieke check. Ook dat kan zinvol zijn, maar het lost niet altijd de kern op.

    Soms is het echte vraagstuk niet welke maatregel mogelijk is, maar welk risico de organisatie bereid is te dragen.

    Daarvoor is geen checklist voldoende. Een checklist kan helpen om niets te vergeten. Een matrix kan helpen om risico’s te ordenen. Een overzicht kan helpen om patronen te zien. Maar geen van die hulpmiddelen neemt de keuze over.

    Ze maken hooguit zichtbaar waar gekozen moet worden.

    Wanneer die keuze vervolgens niet wordt gemaakt, blijft risicobeheer hangen in administratie.

    Een risico zonder eigenaar blijft een observatie

    Een risico wordt pas bestuurbaar wanneer duidelijk is wie ermee verder moet. Niet alleen wie het risico heeft genoteerd, maar wie mag bepalen wat ermee gebeurt.

    Dat onderscheid is belangrijk.

    In veel organisaties registreert iemand een risico omdat hij of zij het ziet. Een compliance-verantwoordelijke, een kwaliteitsmedewerker, een projectleider of iemand uit IT. Maar degene die het risico ziet, is niet altijd degene die de afweging kan maken.

    Als er extra budget nodig is, ligt de keuze ergens anders. Als een klantbelofte geraakt wordt, moet commercie of directie meewegen. Als een proces verandert, raakt het uitvoering. Als het risico bewust wordt geaccepteerd, moet iemand kunnen uitleggen waarom die keuze op dat moment verdedigbaar was.

    Zonder eigenaar blijft het risico zweven. Iedereen weet ervan, maar niemand voelt zich bevoegd of verantwoordelijk om de knoop door te hakken.

    Dat is niet altijd onwil. Vaak is het onduidelijkheid. De organisatie heeft wel risico’s benoemd, maar niet ingericht hoe besluiten over risico’s worden genomen.

    Zodra eigenaarschap helder is, wordt in elk geval zichtbaar wie de afweging moet maken en waar opvolging stokt. Dat is geen garantie dat elk risico direct wordt opgelost. Dat hoeft ook niet. Het maakt wel zichtbaar of uitstel, acceptatie of actie een bewuste keuze is.

    En dat verschil is groot.

    Structuur als manier om keuzes uitlegbaar te maken

    Structuur betekent hier niet dat elk risico door een zwaar formeel proces moet. Zeker niet in organisaties waar mensen meerdere rollen combineren. Daar werkt dat vaak averechts. Het vertraagt, maakt mensen voorzichtig en creëert afstand tussen compliance en de dagelijkse praktijk.

    Goede structuur is lichter.

    Ze helpt zichtbaar te maken wat het risico is, welke keuze is gemaakt en waarom die keuze op dat moment verdedigbaar was.

    Dat hoeft niet ingewikkeld te zijn. Het vraagt vooral consistentie. Wanneer een risico wordt geaccepteerd, moet zichtbaar zijn wie dat heeft gedaan en op basis van welke afweging. Wanneer een maatregel wordt gekozen, moet helder zijn welk probleem die maatregel moet verkleinen. Wanneer iets wordt uitgesteld, moet duidelijk zijn of dat bewust gebeurt of omdat niemand eigenaar is.

    Die vastlegging is geen administratie om de administratie. Het is het geheugen van de keuze. Het voorkomt dat dezelfde discussie later opnieuw gevoerd moet worden zonder context.

    Uitlegbaarheid ontstaat dan niet achteraf, vlak voor een audit, klantvraag of incidentbespreking. Ze ontstaat op het moment dat de keuze wordt gemaakt.

    Dat is precies waarom risicobeheer niet alleen gaat over analyseren, maar over het vasthouden van afwegingen. Niet alles hoeft uitgebreid beschreven te worden. Maar de keuzes die later betekenis hebben, moeten herkenbaar blijven.

    De rol van prioriteren

    Niet elk risico verdient dezelfde aandacht. Dat klinkt vanzelfsprekend, maar in de praktijk is het vaak moeilijk.

    Zeker wanneer organisaties serieus met compliance bezig zijn, ontstaat de neiging om alles belangrijk te maken. Elk risico krijgt een eigenaar, elke maatregel een deadline, elke afwijking een actie. Dat lijkt zorgvuldig, maar het maakt het systeem zwaar en uiteindelijk minder betrouwbaar.

    Want als alles belangrijk is, is niets echt belangrijk.

    Prioriteren betekent niet dat lagere risico’s worden genegeerd. Het betekent dat de organisatie bewust kiest waar beperkte aandacht naartoe gaat. Dat is geen zwakte, maar volwassenheid.

    Een team met beperkte capaciteit kan niet alles tegelijk verbeteren. Iemand die compliance erbij doet naast andere verantwoordelijkheden, kan niet elk risico even diep opvolgen. Juist daarom moeten risico’s niet alleen beoordeeld worden op kans en impact, maar ook op beslisbaarheid.

    Wat vraagt nu een keuze? Wat kan wachten? Wat accepteren we bewust? En wat mag niet blijven liggen omdat de gevolgen te groot zijn?

    Daar wordt risicobeheer praktisch.

    Niet doordat elk risico volledig is uitgewerkt, maar doordat duidelijk wordt welke risico’s nu richting vragen.

    Tooling volgt uit behoefte aan consistentie

    Wanneer risico’s, keuzes en opvolging structureel zichtbaar moeten blijven, ontstaat vanzelf behoefte aan ondersteuning. Niet omdat tooling het probleem oplost, maar omdat losse documenten en spreadsheets op een gegeven moment te veel context veronderstellen.

    Een hulpmiddel kan helpen om risico’s, eigenaren, keuzes en acties bij elkaar te houden. Het kan zichtbaar maken wat openstaat, wat bewust is geaccepteerd en waar opnieuw naar gekeken moet worden.

    Maar het uitgangspunt blijft hetzelfde: tooling vervangt het besluit niet.

    Het maakt alleen duidelijker dat een besluit nodig is, wie daarbij betrokken is en wat daarna onthouden moet worden. Zonder dat denkkader wordt elk systeem een opslagplaats. Met dat denkkader wordt het een manier om consistent te blijven.

    De vraag is dus niet welk systeem de keuze overneemt. De vraag is hoe je voorkomt dat keuzes verdwijnen zodra de druk van het moment voorbij is.

    Tot slot

    Een risico is niet relevant omdat het in een overzicht staat. Het wordt relevant wanneer het invloed heeft op een keuze.

    Daar zit vaak het verschil tussen risicobeheer als administratie en risicobeheer als sturing. Het eerste beschrijft wat mis kan gaan. Het tweede helpt bepalen wat je daarmee doet.

    Voor organisaties waar verantwoordelijkheden dicht op elkaar zitten, is dat onderscheid belangrijk. Niet omdat zij minder professioneel werken, maar omdat keuzes sneller doorwerken. Eén uitgestelde maatregel, één onduidelijke verantwoordelijkheid of één impliciet geaccepteerd risico kan later bepalend blijken voor het gesprek met een klant, auditor of collega.

    De vraag is daarom niet of alle risico’s volledig beschreven zijn. De betere vraag is: welke risico’s vragen op dit moment om een keuze, wie mag die keuze maken en kunnen we later nog uitleggen waarom dit verstandig leek?

    Wie die vragen kan beantwoorden, heeft meer dan een risico-overzicht. Die heeft een manier om onzekerheid bespreekbaar en bestuurbaar te maken.

    Niet omdat alle onzekerheid verdwijnt, maar omdat duidelijk wordt waar verantwoordelijkheid begint.

    Gerelateerde artikelen

    Deze blog sluit aan op eerdere artikelen over documentatie, risicoanalyse en opvolging. In Wanneer documentatie logisch klinkt, maar niets oplevert gaat het over vastlegging die wel logisch oogt, maar weinig richting geeft. De risicoanalyse: Een onmisbaar instrument voor elke ondernemer behandelt de basis van risico’s inventariseren en beoordelen. Wie verder wil naar maatregelen en opvolging, kan terecht bij Effectieve risicoanalyse: Van inventarisatie tot mitigerende maatregelen en Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt.

  • SOC 2, ISO 27001 of ISAE 3402: wat vraagt je klant nu eigenlijk van je?

    SOC 2, ISO 27001 of ISAE 3402: wat vraagt je klant nu eigenlijk van je?

    Een klant stelt een ogenschijnlijk eenvoudige vraag:

    “Hebben jullie ISO 27001?”
    of
    “Kunnen jullie een SOC 2 rapport delen?”

    Op het eerste gezicht lijkt het duidelijk wat er gevraagd wordt. Toch is dat in de praktijk zelden het geval.

    De vraag gaat namelijk meestal niet over een specifiek certificaat of rapport, maar over vertrouwen. Alleen wordt dat vertrouwen vaak vertaald naar termen die niet precies aansluiten bij wat de klant daadwerkelijk probeert te toetsen. En juist daar ontstaan keuzes die achteraf niet goed blijken te passen.

    De vraag achter de vraag

    Wanneer een klant vraagt om ISO 27001, SOC 2 of ISAE 3402, probeert hij in de meeste gevallen één van drie dingen duidelijk te krijgen: of je zorgvuldig met informatie omgaat, of je interne beheersmaatregelen daadwerkelijk werken, of dat hij jouw processen veilig kan opnemen in zijn eigen keten.

    Dat zijn wezenlijk verschillende vragen. Toch zie je in de praktijk dat organisaties ze vaak op dezelfde manier beantwoorden, namelijk door te kijken welk certificaat of rapport ze nodig hebben. Daarmee verschuift de focus van de onderliggende behoefte naar de vorm waarin die behoefte wordt uitgedrukt.

    Het gevolg is dat trajecten worden gestart die óf zwaarder zijn dan nodig, óf onvoldoende aansluiten op wat de klant eigenlijk wil weten.

    Wat deze vormen van assurance écht betekenen

    Hoewel de termen vaak door elkaar worden gebruikt, verschillen ze inhoudelijk behoorlijk van elkaar.

    ISO 27001 is een certificering van een managementsysteem voor informatiebeveiliging. Het laat zien dat je structureel risico’s identificeert, passende maatregelen neemt en blijft verbeteren. Daarmee zegt het vooral iets over hoe je organisatie als geheel is ingericht en hoe je omgaat met informatiebeveiliging.

    SOC 2 heeft een andere insteek. Dit is geen certificaat, maar een assurance-rapport waarin een auditor beoordeelt hoe interne beheersmaatregelen zijn ingericht en functioneren. Daarbij is het onderscheid tussen Type I en Type II relevant. Een Type I-rapport kijkt naar de opzet van maatregelen op een bepaald moment, terwijl een Type II-rapport ook beoordeelt of die maatregelen over een langere periode aantoonbaar hebben gewerkt. De nadruk ligt daarmee meer op werking dan alleen op inrichting.

    ISAE 3402 richt zich weer op een ander vraagstuk. Deze rapportage is bedoeld voor situaties waarin een organisatie processen uitvoert die onderdeel zijn van de interne beheersing van haar klant. Denk aan uitbestede processen die invloed hebben op bijvoorbeeld financiële verslaggeving of operationele controles. In zo’n geval wil de klant zekerheid over hoe die processen zijn ingericht en functioneren, omdat hij daar zelf op moet kunnen steunen.

    Waarom deze begrippen door elkaar lopen

    In de praktijk zie je dat organisaties een klantvraag vaak direct vertalen naar een oplossing. Er wordt gevraagd om zekerheid, dus er wordt gedacht aan een certificaat of assurance-rapport.

    Die stap is begrijpelijk, maar vaak te snel.

    Een klant die om ISO 27001 vraagt, wil in veel gevallen simpelweg zeker weten dat informatiebeveiliging serieus en structureel wordt aangepakt. Een vraag naar SOC 2 kan voortkomen uit de behoefte om te zien dat maatregelen niet alleen bestaan, maar ook daadwerkelijk werken. En soms ligt de vraag nog een laag dieper, bijvoorbeeld wanneer een klant wil begrijpen wat er precies gebeurt in een proces dat hij aan jou uitbesteedt.

    Als je die onderliggende bedoeling niet scherp hebt, is de kans groot dat je optimaliseert voor de verkeerde uitkomst.

    De stap die vaak wordt overgeslagen

    Wat in dit soort situaties vaak ontbreekt, is een eenvoudige maar cruciale stap: doorvragen naar de bedoeling achter de vraag.

    Niet welk rapport of certificaat gewenst is, maar welk risico de klant probeert af te dekken en waar hij zekerheid over wil krijgen. In veel gevallen blijkt dat de oorspronkelijke vraag slechts een afgeleide is van een bredere zorg.

    Door dat gesprek te voeren, ontstaat vaak meer ruimte. Soms blijkt een lichtere vorm van bewijs voldoende. In andere gevallen wordt juist duidelijk dat een zwaardere vorm van assurance wél nodig is, maar dan met een heldere reden.

    Wanneer kies je wat?

    De keuze voor ISO 27001, SOC 2 of ISAE 3402 ontstaat idealiter pas nadat duidelijk is wat er precies wordt gevraagd.

    ISO 27001 past wanneer je wilt laten zien dat informatiebeveiliging structureel is ingericht en geborgd in je organisatie.

    SOC 2 is logischer wanneer je moet aantonen dat interne beheersmaatregelen niet alleen bestaan, maar ook aantoonbaar werken over een bepaalde periode.

    ISAE 3402 komt in beeld wanneer jouw processen onderdeel zijn van de controleomgeving van je klant en hij daar expliciet zekerheid over nodig heeft.

    De keuze zelf is dus minder ingewikkeld dan hij vaak lijkt. De complexiteit zit vooral in het goed begrijpen van de vraag die eraan voorafgaat.

    De valkuil van “meer is beter”

    Een veelgemaakte aanname is dat meer bewijs automatisch leidt tot meer vertrouwen. In dat denken voelt een combinatie van certificaten en rapportages al snel als de veilige keuze.

    In de praktijk werkt dat vaak anders.

    Zwaardere trajecten brengen meer auditdruk met zich mee, vragen meer onderhoud en maken processen complexer. Als die extra inspanning niet direct aansluit op wat de klant wil weten, levert het weinig op en kan het zelfs averechts werken.

    Vertrouwen ontstaat niet door de hoeveelheid bewijs, maar door de aansluiting ervan op de vraag.

    Structuur vóór certificering

    Veel organisaties beginnen bij de vorm: welk certificaat of welk rapport is nodig?

    Een sterkere aanpak begint eerder, namelijk bij de onderliggende structuur.

    Welke risico’s spelen er? Welke maatregelen zijn getroffen? Wie is waarvoor verantwoordelijk? En hoe wordt zichtbaar dat maatregelen daadwerkelijk werken?

    Wanneer die basis helder is, volgt de keuze voor een passende vorm van assurance bijna vanzelf. Zonder die basis wordt elk traject zwaarder, omdat het moet compenseren voor onduidelijkheid die eerder al aanwezig was.

    Wat klanten uiteindelijk willen zien

    Uiteindelijk zoeken klanten geen norm op zichzelf. Ze zoeken voorspelbaarheid.

    Ze willen begrijpen wat er gebeurt, waar risico’s zitten en hoe daarmee wordt omgegaan. Een certificaat of rapport is een manier om dat inzicht te geven, maar blijft altijd een middel.

    Niet het doel.

    Tot slot

    De vraag is dus niet zozeer of je ISO 27001 nodig hebt of een SOC 2 rapport moet laten opstellen.

    De relevantere vraag is wat je klant eigenlijk probeert zeker te weten.

    Wie dat scherp krijgt, voorkomt dat compliance een doel op zich wordt en maakt keuzes die passen bij de werkelijkheid in plaats van alleen bij de formulering van de vraag.

    Verder lezen

    Wil je dit onderwerp verder verdiepen?

  • Waarom je Statement of Applicability meer is dan een ISO 27001 control-lijst

    Waarom je Statement of Applicability meer is dan een ISO 27001 control-lijst

    Tijdens een audit komt de vraag vroeg of laat op tafel.

    Waarom is deze maatregel wel of niet van toepassing?

    Op dat moment wordt duidelijk hoe stevig de basis is. Niet in het document zelf, maar in het verhaal erachter.

    Veel organisaties hebben een Statement of Applicability die op papier klopt. Alle maatregelen staan erin, alles is ingevuld. Maar zodra er wordt doorgevraagd, blijkt dat keuzes lastig te herleiden zijn. Onderbouwing zit verspreid, of alleen nog in hoofden.

    En precies daar zit het verschil tussen voldoen aan ISO 27001 en begrijpen wat je doet.

    Wat een Statement of Applicability eigenlijk is

    De Statement of Applicability, of SoA, wordt vaak gezien als een overzicht van beheersmaatregelen uit Annex A. Dat klopt, maar het is slechts de vorm.

    In de kern is het document een overzicht van keuzes.

    Per maatregel leg je vast of deze van toepassing is, wat de motivatie is, hoe de implementatie eruitziet en waar dat aantoonbaar is. Maar belangrijker dan die velden is wat ze samen laten zien. Ze maken zichtbaar hoe een organisatie naar risico’s kijkt en welke afwegingen daarbij zijn gemaakt.

    De SoA is daarmee geen lijst van controls, maar een samenvatting van hoe beslissingen tot stand komen.

    Waarom auditors hier zwaar op leunen

    In de praktijk gebruiken auditors de SoA als startpunt om te begrijpen hoe een organisatie werkt.

    Niet omdat het document volledig moet zijn, maar omdat het laat zien of keuzes logisch en consistent zijn. Sluiten maatregelen aan op de risicoanalyse? Zijn uitsluitingen onderbouwd? Komt wat op papier staat overeen met hoe er daadwerkelijk gewerkt wordt?

    Daarmee wordt de SoA een toets op samenhang. Niet alleen binnen het document zelf, maar tussen risico’s, maatregelen en uitvoering.

    In veel situaties geeft dit document richting aan de audit. Als de onderbouwing klopt, verlopen gesprekken inhoudelijk. Als die ontbreekt, verschuift de audit naar zoeken en verklaren achteraf.

    Wat er misgaat als de SoA een control-lijst wordt

    De verleiding is groot om de SoA zo veilig mogelijk in te vullen. Alles op “van toepassing”, een bekende template gebruiken en minimale toelichting geven.

    Dat voorkomt discussie op papier, maar zorgt in de praktijk juist voor extra werk.

    Tijdens audits ontstaan meer vragen. Bewijs moet alsnog worden verzameld. Keuzes moeten achteraf worden uitgelegd. Ook richting klanten of partners kan onduidelijkheid ontstaan over waarom bepaalde maatregelen wel of niet zijn ingericht.

    Het probleem is zelden dat informatie ontbreekt. Het probleem is dat de afweging erachter niet zichtbaar is.

    En juist die afweging is waar auditors op toetsen.

    De relatie tussen risicoanalyse, Annex A en de SoA

    De SoA staat niet op zichzelf. Het document is onderdeel van een keten.

    De risicoanalyse bepaalt welke onderwerpen aandacht vragen. Annex A fungeert daarbij als referentiekader om te controleren of alle relevante beheersmaatregelen zijn overwogen. De SoA maakt vervolgens zichtbaar welke keuzes daaruit volgen.

    Zonder risicoanalyse wordt de SoA willekeurig. Dan is niet duidelijk waarom een maatregel wel of niet relevant is.

    Zonder SoA blijft de risicoanalyse abstract. Dan is niet zichtbaar wat er met die inzichten is gedaan.

    In de praktijk is dit ook het punt waar inhoud en besluitvorming samenkomen. Elke maatregel vraagt tijd, aandacht of investering. De SoA laat zien waarom die inzet logisch is, of waarom bewust voor een andere oplossing wordt gekozen.

    Voor een bredere uitleg van hoe risicoanalyse hierin werkt, zie ook De risicoanalyse: een onmisbaar instrument voor elke ondernemer.

    Wanneer je maatregelen bewust kunt uitsluiten

    Een veelvoorkomende misvatting is dat alle maatregelen uit Annex A moeten worden geïmplementeerd.

    Dat is niet hoe ISO 27001 bedoeld is.

    Wat wel verwacht wordt, is dat je kunt uitleggen waarom een maatregel niet van toepassing is. Bijvoorbeeld omdat deze niet relevant is voor de dienstverlening, omdat het risico aantoonbaar laag is, of omdat de maatregel op een andere manier wordt ingevuld.

    De kwaliteit zit niet in het vermijden van uitsluitingen, maar in de onderbouwing ervan.

    Een goed beargumenteerde keuze om iets niet te doen, is vaak sterker dan een maatregel die alleen op papier bestaat. In de praktijk gaat dit ook regelmatig mis, zoals beschreven in ISO 27001 Veelgemaakte fouten: 5 valkuilen en hoe je ze voorkomt.

    Wat een goede SoA zegt over je organisatie

    Een sterke SoA laat zien dat keuzes expliciet zijn gemaakt en dat risico’s serieus zijn afgewogen.

    Niet doordat alles is ingevuld, maar doordat de logica klopt. Maatregelen zijn herleidbaar. Uitsluitingen zijn begrijpelijk. De samenhang is zichtbaar.

    Voor auditors en klanten is dat vaak het eerste signaal van vertrouwen. Nog voordat ze de details bekijken, geeft dit document richting aan hoe de organisatie wordt beoordeeld.

    Wie dit goed op orde heeft, merkt dat audits minder defensief worden en meer gaan over inhoud. Dat sluit aan bij wat auditors feitelijk testen, zoals ook terugkomt in Wat auditors feitelijk testen, ook als ze het niet zo noemen.

    Hoe je de SoA werkbaar houdt

    De neiging is om dit zwaar te maken, met uitgebreide beschrijvingen en veel detail. Dat is meestal niet nodig.

    Wat wel nodig is, is duidelijkheid.

    Per maatregel moet helder zijn waarom deze relevant is en hoe die keuze tot stand is gekomen. Die motivatie hoeft niet lang te zijn, maar wel begrijpelijk. Daarnaast helpt het om steeds hetzelfde denkkader te gebruiken, zodat keuzes consistent blijven.

    De SoA werkt het best als hij aansluit op bestaande risico’s en acties. Niet als los document, maar als onderdeel van hoe je werkt.

    Wanneer die samenhang ontbreekt, ontstaat hetzelfde probleem dat je ook ziet bij andere compliance-documentatie. Op papier klopt het, maar de uitleg kost steeds opnieuw moeite. Dat effect wordt ook beschreven in ISO 27001 is geen eindpunt: Zo blijf je compliant zonder gedoe.

    Tot slot

    De Statement of Applicability is geen verplicht document voor de audit.

    Het is de plek waar zichtbaar wordt hoe serieus je keuzes neemt.

    Niet hoeveel maatregelen je hebt vastgelegd, maar of je kunt uitleggen waarom ze er zijn en hoe ze samenhangen.

    Daar zit het verschil tussen een document dat wordt bijgehouden en een document dat daadwerkelijk richting geeft.

    Verder lezen

    Maak keuzes zichtbaar zonder extra administratie

    Merk je dat je Statement of Applicability vooral een lijst is geworden?

    Of dat je per maatregel wel iets hebt ingevuld, maar niet altijd kunt herleiden waar de keuze vandaan komt?

    In de praktijk zit de uitdaging zelden in het document zelf, maar in de samenhang erachter. Hoe zorg je dat risico’s, maatregelen en bewijs logisch op elkaar aansluiten, zonder dat het extra werk oplevert?

    Dat begint niet met meer vastleggen, maar met beter vasthouden wat je al besluit. Zodra keuzes op één plek samenkomen en herleidbaar blijven, ontstaat overzicht vanzelf. En daarmee ook rust richting audits, klanten en interne besluitvorming.

  • Wanneer documentatie belangrijker wordt dan wat ze moet uitleggen

    Wanneer documentatie belangrijker wordt dan wat ze moet uitleggen

    Het begint vaak met een goed voornemen.

    Na een audit, incident of klantvraag ontstaat het gevoel dat zaken beter vastgelegd moeten worden. Er komt een extra procedure. Een risico-overzicht wordt aangevuld. Een actielijst krijgt meer toelichting. Een eerder besluit wordt alsnog uitgewerkt in een notitie.

    Op dat moment voelt dat logisch. Er was onduidelijkheid, dus er komt meer documentatie. Daarmee lijkt het probleem opgelost.

    Totdat dezelfde vragen later opnieuw terugkomen. Waarom is dit risico zo beoordeeld? Wat was de reden dat deze maatregel voldoende werd gevonden? Wie heeft besloten dat dit punt afgerond is? En waarom wijkt de praktijk af van wat in het document staat?

    Dan blijkt dat er wel documentatie is, maar geen echt houvast.

    Hoe documentatie een doel op zichzelf wordt

    Documentatie wordt problematisch wanneer het bestaan ervan belangrijker wordt dan de functie ervan. Het document is er. De procedure bestaat. De afspraak staat ergens genoteerd. Daarmee ontstaat het gevoel dat iets geregeld is.

    Maar vastleggen is niet hetzelfde als begrijpen.

    In organisaties waar verantwoordelijkheden overlappen en tijd schaars is, ontstaat documentatie vaak reactief. Er gebeurt iets, er wordt iets gevraagd of er komt druk van buitenaf. Vervolgens wordt vastgelegd wat op dat moment nodig lijkt. Elk document heeft een logische aanleiding en is afzonderlijk goed te verklaren.

    Het probleem ontstaat pas later, wanneer al die documenten samen geen verhaal vormen. De procedure staat op één plek, de toelichting in een overlegverslag en de reden achter een keuze in het hoofd van degene die erbij was.

    Dan is documentatie geen geheugen meer, maar opslag.

    Waarom meer documenten zelden helpen

    De gangbare oplossing is vaak: beter documenteren. Meer detail, meer formats, meer toelichting, meer controle op volledigheid.

    Dat helpt soms tijdelijk, maar lost het kernprobleem niet op. Want het probleem is meestal niet dat er te weinig informatie is. Het probleem is dat de samenhang ontbreekt.

    Een risico-overzicht zonder besluitcontext geeft geen richting. Een maatregel zonder eigenaar blijft kwetsbaar. Een procedure zonder uitleg over uitzonderingen wordt al snel een formele tekst naast de werkelijkheid.

    Meer documentatie kan daardoor juist extra ruis veroorzaken. Mensen moeten niet alleen weten welk document bestaat, maar ook welk document leidend is, hoe onderdelen zich tot elkaar verhouden en welke afspraak nog actueel is.

    Zo kan documentatie bijdragen aan schijnzekerheid: het lijkt alsof iets beheerst is, terwijl niemand precies kan uitleggen waarop die beheersing gebaseerd is.

    Structuur gaat niet over meer vastleggen

    De oplossing zit niet in méér documentatie, maar in betere structuur.

    Structuur betekent dat duidelijk is welke keuzes zichtbaar moeten blijven. Wanneer is iets als risico beoordeeld? Waarom is een maatregel passend gevonden? Wie is verantwoordelijk voor opvolging? Wanneer wordt opnieuw gekeken of de keuze nog klopt?

    Dat zijn de momenten waarop risico’s daadwerkelijk worden gewogen. Als die momenten niet herkenbaar zijn, blijft het onduidelijk waarop beslissingen zijn gebaseerd en waar bijsturing nodig is.

    Goede documentatie hoeft daarom niet omvangrijk te zijn. Ze moet vooral helpen om later te begrijpen waarom iets zo is ingericht. Niet door alles vast te leggen, maar door de afweging achter keuzes zichtbaar te houden.

    Pas wanneer die structuur helder is, ontstaat vanzelf de behoefte aan een manier om afspraken consistent vast te houden.

    Van vastleggen naar gedeeld begrip

    Een belangrijk risico van documentatie als doel is dat iedereen denkt dat hetzelfde is bedoeld, terwijl dat niet zo is. Wat voor de één een risico is, is voor de ander een aandachtspunt. Wat voor de één afgerond is, voelt voor de ander nog open. Wat in een procedure duidelijk lijkt, blijkt in de praktijk afhankelijk van interpretatie.

    Daarmee verschuift het probleem van ontbrekende informatie naar uiteenlopende interpretatie. Besluiten worden minder voorspelbaar. Discussies keren terug. En het wordt lastiger om uit te leggen waarom iets wel of niet is opgepakt.

    Zolang begrippen, verantwoordelijkheden en keuzes niet eenduidig zijn, blijft documentatie afhankelijk van context en personen.

    Verder lezen

    Tot slot

    Documentatie wordt pas waardevol wanneer zij helpt om keuzes te blijven begrijpen.

    Niet elk besluit hoeft uitgebreid beschreven te worden. Niet elk proces vraagt om een lange procedure. Maar keuzes die later uitgelegd moeten kunnen worden, verdienen wel structuur.

    De vraag is daarom niet hoeveel documenten er zijn, maar of ze helpen wanneer iemand doorvraagt.

    Als uitleg afhankelijk blijft van herinneringen, losse toelichtingen of dezelfde persoon die er altijd bij was, dan ligt de kern niet in meer vastlegging, maar in de vraag welke keuzes begrijpelijk moeten blijven wanneer de oorspronkelijke context verdwenen is.

  • Waarom meer documentatie zelden meer grip geeft

    Waarom meer documentatie zelden meer grip geeft

    Het begint vaak met een goed voornemen.

    Na een audit, een klantvraag of een intern overleg ontstaat het gevoel dat dingen beter vastgelegd moeten worden. Er komt een map, documenten worden toegevoegd, werkinstructies uitgewerkt en overzichten bijgehouden. Wat eerst impliciet was, krijgt een plek op papier.

    En voor even voelt dat als vooruitgang.

    Totdat iemand een eenvoudige vraag stelt. Hoe werkt dit precies? Waarom hebben we dit zo ingericht? Wie heeft dit ooit besloten?

    Het antwoord is er wel. Maar verspreid. Over documenten, notities en herinneringen. En nergens compleet.

    Waar het probleem ontstaat

    Documentatie wordt vaak gezien als middel om grip te krijgen. Als iets belangrijk is, moet het worden vastgelegd. En als het nog niet duidelijk genoeg is, moet er meer worden vastgelegd.

    Maar grip ontstaat niet door het aantal documenten. Het ontstaat door samenhang.

    In de praktijk groeit documentatie zelden vanuit één logisch geheel. Ze ontstaat in stappen. Een procedure na een audit. Een werkinstructie voor een nieuwe collega. Een overzicht voor rapportage. Elk document heeft een eigen aanleiding en een eigen doel.

    Op zichzelf klopt het. Samen vormt het geen geheel.

    Wat ontstaat, is geen structuur maar een verzameling.

    En een verzameling vraagt uitleg.

    Waarom meer documentatie het probleem vergroot

    Zodra documentatie begint te schuren, is de reflex bijna altijd hetzelfde. Er wordt uitgebreid. Meer toelichting, meer detail, meer documenten.

    Dat lijkt zorgvuldig, maar heeft een bijeffect.

    Elk nieuw document voegt een extra perspectief toe. Een extra plek waar iets “klopt”. Een extra versie van hoe iets bedoeld is. Zonder duidelijk kader ontstaat overlap.

    De formele werkwijze staat in het ene document. De praktische uitleg in een ander. De reden achter de keuze zit nog steeds in het hoofd van degene die erbij was.

    Op papier is alles aanwezig. In de praktijk moet iemand alsnog reconstrueren wat bedoeld werd.

    Daarmee verschuift het probleem. Niet een gebrek aan documentatie, maar een gebrek aan betekenis.

    Dit sluit aan bij Wanneer documentatie logisch klinkt, maar niets oplevert. Een document kan volledig en logisch zijn, en toch weinig helpen op het moment dat iemand moet begrijpen wat er echt speelt.

    Groei maakt dit zichtbaar

    Zolang dezelfde mensen betrokken blijven, werkt impliciete afstemming verrassend goed. Besluiten worden genomen in overleg en blijven hangen in het collectieve geheugen.

    Dat verandert zodra de organisatie groeit.

    Nieuwe mensen missen de voorgeschiedenis. Rollen verschuiven. Verantwoordelijkheden worden gedeeld. Vragen komen vaker van buitenaf en minder vanuit gedeelde context.

    Dan blijkt dat documentatie vooral laat zien wat er is vastgelegd, maar niet waarom.

    Waarom is dit acceptabel?
    Waarom is deze keuze gemaakt?
    Waarom is hier afgeweken?

    Zonder die context blijft uitleg afhankelijk van degene die het zich nog herinnert.

    Waarom gangbare oplossingen tekortschieten

    Wanneer documentatie onvoldoende houvast biedt, volgen meestal twee routes.

    De eerste is aanscherpen. Strakkere formats, meer verplichte velden en duidelijkere afspraken. Dat helpt tijdelijk, maar blijft afhankelijk van discipline.

    De tweede is uitbreiden. Meer detail, meer toelichting, meer documentatie. Dat maakt het geheel zwaarder zonder dat het begrijpelijker wordt.

    In beide gevallen blijft de kern hetzelfde. Er wordt gewerkt aan hoeveelheid, niet aan samenhang.

    Een nuttiger perspectief staat in Waarom vastleggen geen administratie is, maar geheugen. Vastleggen helpt pas als het ervoor zorgt dat je later nog begrijpt waarom iets zo is gedaan.

    Structuur en uitlegbaarheid

    Grip ontstaat wanneer keuzes herkenbaar blijven.

    Niet alles hoeft vastgelegd te worden. Juist de momenten waarop iets wordt besloten, afgewogen of bewust anders wordt gedaan, maken het verschil.

    Wanneer die momenten expliciet zijn, ontstaat een gedeeld referentiekader. Documentatie wordt dan geen verzameling losse stukken, maar een manier om betekenis vast te houden.

    Daarvoor is eenduidigheid nodig. Als dezelfde begrippen verschillend worden geïnterpreteerd, blijft uitleg nodig. In Waarom compliance software pas werkt als iedereen hetzelfde bedoelt wordt dat scherp zichtbaar gemaakt.

    Zonder gedeelde betekenis ontstaat geen grip, maar interpretatie.

    Tooling als gevolg

    Wanneer samenhang ontbreekt, ligt de stap naar tooling voor de hand. Een systeem waarin alles wordt vastgelegd en bijgehouden.

    Maar zonder duidelijk denkkader verandert een systeem vooral in een archief.

    Pas wanneer helder is welke keuzes zichtbaar moeten blijven en hoe ze samenhangen, kan ondersteuning helpen om consistentie vast te houden. Dan volgt tooling als logisch gevolg van structuur.

    Niet om meer vast te leggen, maar om te voorkomen dat betekenis verloren gaat.

    Tot slot

    Meer documentatie voelt als controle. Als iets niet duidelijk is, schrijven we het op. Als het daarna nog steeds schuurt, schrijven we meer op.

    Maar de vraag is niet hoeveel er is vastgelegd.

    De vraag is of iemand die er niet bij was, kan begrijpen waarom dingen zijn zoals ze zijn.

    Als uitleg afhankelijk blijft van losse documenten, herinneringen en interpretaties, ontbreekt er geen documentatie. Dan ontbreekt er samenhang.

    En precies daar ontstaat het verschil tussen vastleggen en begrijpen.

  • Wanneer documentatie wel bestaat, maar niets uitlegt

    Wanneer documentatie wel bestaat, maar niets uitlegt

    Tijdens een interne audit ontstaat een herkenbaar moment.

    De auditor vraagt hoe risico’s worden opgevolgd. Iemand opent een map met documenten. Er is een risico-overzicht, een actielijst, een procedure, een paar notulen en nog een aanvullende toelichting uit een eerder overleg. Alles is aanwezig. Er is zichtbaar werk van gemaakt.

    Toch wordt het gesprek niet eenvoudiger.

    Wat is nu leidend? Waarom is dit risico zo beoordeeld? Wanneer is deze maatregel echt afgerond? En waarom is een vergelijkbare situatie eerder anders behandeld?

    De documenten geven antwoorden, maar geen richting.

    Waarom dit probleem ontstaat

    Dit soort situaties ontstaat zelden doordat er te weinig wordt vastgelegd. Meestal gebeurt het tegenovergestelde. Documentatie groeit mee met de behoefte aan overzicht en controle.

    Na een audit komt er een actieoverzicht bij. Na een incident een aanvullende toelichting. Na een discussie een aangescherpte werkwijze. Elk document heeft een logische aanleiding en wordt met zorg opgesteld.

    Het probleem zit niet in die documenten afzonderlijk, maar in wat er samen ontstaat.

    Een verzameling.

    In de ankerblog Wanneer documentatie logisch klinkt, maar niets oplevert wordt dat zichtbaar. Documentatie kan op zichzelf kloppen, maar toch tekortschieten zodra iemand moet begrijpen hoe keuzes tot stand zijn gekomen.

    Waarom meer documentatie zelden meer grip geeft

    Wanneer uitleg lastig wordt, is de eerste reflex vaak om meer vast te leggen. Meer detail in procedures, meer toelichting in overzichten, meer afspraken in notulen.

    Dat voelt zorgvuldig, maar het effect is beperkt.

    Het probleem is meestal niet de hoeveelheid informatie, maar het ontbreken van samenhang. De afspraak staat in het ene document, de status in een ander overzicht en de reden achter een keuze zit in een gesprek dat niemand meer precies kan reconstrueren.

    Dan ontstaat een situatie waarin alles ergens vastligt, maar niets direct te volgen is.

    Een procedure beschrijft wat er zou moeten gebeuren, maar niet wanneer iemand daarvan afwijkt. Een risico-overzicht laat prioriteiten zien, maar niet hoe die zijn bepaald. Een actielijst toont voortgang, maar niet wat daarmee inhoudelijk is opgelost.

    Documentatie wordt dan opslag in plaats van houvast.

    Vastleggen versus verzamelen

    Het verschil tussen vastleggen en verzamelen zit niet in hoeveelheid, maar in bedoeling.

    Verzamelen betekent dat informatie wordt bewaard. Vastleggen betekent dat betekenis behouden blijft.

    Bij verzamelen ontstaat een archief. Informatie is aanwezig, maar de lezer moet zelf reconstrueren wat relevant is en waarom.

    Bij vastleggen ontstaat een geheugen. Je kunt volgen hoe een risico leidt tot een maatregel, hoe een beslissing tot stand kwam en wat dat betekent voor de praktijk.

    Dat vraagt andere keuzes.

    Niet: wat moeten we opschrijven?
    Maar: wat moet later nog te begrijpen zijn?

    Structuur en uitlegbaarheid

    Structuur wordt vaak gezien als iets dat het werk zwaarder maakt. In de praktijk doet goede structuur het tegenovergestelde. Het voorkomt dat uitleg telkens opnieuw moet worden bedacht.

    Structuur betekent dat duidelijk is welke informatie bij elkaar hoort en waarom.

    Waarom is iets als risico gezien?
    Wie heeft bepaald dat een maatregel voldoende was?
    Wat betekent “afgerond” in deze context?

    Dat zijn de momenten waarop uitlegbaarheid ontstaat. Niet achteraf, maar op het moment dat keuzes worden gemaakt.

    Diezelfde gedachte komt terug in Waarom vastleggen geen administratie is, maar geheugen. Vastleggen heeft pas waarde wanneer iemand later kan begrijpen waarom iets zo is ingericht, zonder afhankelijk te zijn van degene die erbij was.

    Wat audits zichtbaar maken

    Audits maken dit verschil snel duidelijk. Niet omdat een auditor elk document afzonderlijk beoordeelt, maar omdat hij probeert te begrijpen hoe de organisatie werkt.

    Een auditvraag gaat zelden alleen over het bestaan van een document. De onderliggende vraag is of de organisatie kan uitleggen hoe een keuze tot stand kwam.

    Daar raakt dit onderwerp aan Wat auditors feitelijk testen, ook als ze het niet zo noemen. In de praktijk draait het vaak om consistentie, herleidbaarheid en eigenaarschap, niet om de hoeveelheid documentatie.

    Wanneer de uitleg verspreid is over documenten, mailboxen en herinneringen, wordt een eenvoudige vraag al snel een reconstructie. Wanneer keuzes samenhangend zijn vastgelegd, blijft het gesprek overzichtelijk.

    Van informatie naar gedeeld begrip

    Een bijkomend risico van losse documentatie is dat dezelfde termen verschillend worden gebruikt. Wat de één een risico noemt, ziet de ander als aandachtspunt. Wat voor de één afgerond is, voelt voor een ander nog open.

    Daarom sluit dit onderwerp aan op Waarom compliance software pas werkt als iedereen hetzelfde bedoelt. Niet vanwege de software zelf, maar vanwege het onderliggende punt: grip ontstaat pas wanneer betekenis gedeeld wordt.

    Zonder gedeeld begrip blijft documentatie afhankelijk van interpretatie. Dan lijkt alles vastgelegd, maar moet betekenis telkens opnieuw worden ingevuld.

    Reflectie

    Veel organisaties hebben meer documentatie dan ze denken. Het probleem is zelden dat er niets is opgeschreven.

    De relevantere vraag is of de documentatie helpt wanneer iemand doorvraagt.

    Kun je uitleggen waarom een keuze is gemaakt?
    Kun je laten zien hoe een risico leidde tot een maatregel?
    Kun je terugvinden waarom iets is geaccepteerd, uitgesteld of afgerond?

    Als dat niet lukt, ontbreekt meestal geen document.

    Dan ontbreekt structuur.

    En precies daar ligt het verschil tussen verzamelen en vastleggen. Een verzameling bewaart informatie. Goede vastlegging bewaart betekenis.

  • Wanneer documentatie logisch klinkt, maar niets oplevert

    Wanneer documentatie logisch klinkt, maar niets oplevert

    Het begint vaak met een document dat op zichzelf prima leest.

    Een beleidsstuk beschrijft hoe risico’s worden beoordeeld. Een procedure legt uit welke stappen gevolgd moeten worden. Een overzicht laat zien welke maatregelen bestaan, wie verantwoordelijk is en wat de status is.

    Wie het document los bekijkt, zal weinig opmerken. De taal is helder. De opbouw klopt. Het voelt compleet.

    Totdat iemand vraagt hoe het in de praktijk werkt.

    Wanneer wordt iets nu echt als risico gezien?
    Wie bepaalt of een maatregel voldoende is?
    Waarom is deze uitzondering geaccepteerd, terwijl een vergelijkbare situatie eerder tot een actie leidde?

    Op dat moment blijkt dat documentatie wel kan kloppen, maar toch weinig oplevert. Niet omdat er niets is vastgelegd, maar omdat het niet helpt op het moment dat er keuzes gemaakt moeten worden of uitleg nodig is.

    Waarom dit probleem ontstaat

    Documentatie ontstaat meestal met de bedoeling om duidelijkheid te creëren. Afspraken worden vastgelegd zodat ze niet verloren gaan. Dat is logisch en vaak noodzakelijk.

    Maar in de praktijk verschuift documentatie al snel van hulpmiddel naar verzameling. Er komt iets bij omdat het relevant lijkt. Er wordt extra toelichting toegevoegd omdat een vraag eerder lastig te beantwoorden was. Een overzicht wordt uitgebreid om niets te missen.

    Dat voelt zorgvuldig, maar het effect is beperkt als de samenhang ontbreekt.

    Het probleem zit zelden in te weinig informatie. Het zit in het ontbreken van context. Documenten beschrijven wat er is afgesproken, maar niet altijd waarom. Ze leggen stappen vast, maar niet wanneer een afweging nodig is. Ze noemen verantwoordelijkheden, maar maken niet altijd duidelijk wie eigenaar is van een besluit.

    Daardoor ontstaat een situatie waarin alles ergens staat, maar weinig echt richting geeft.

    Logisch is niet hetzelfde als bruikbaar

    Een document kan inhoudelijk logisch zijn en toch weinig bijdragen in het dagelijks werk.

    Dat gebeurt wanneer documentatie vooral is opgebouwd vanuit volledigheid. Begrippen worden netjes gedefinieerd. Processtappen staan op volgorde. Rollen zijn benoemd.

    Maar bruikbaarheid vraagt iets anders. Een document moet helpen op het moment dat iemand een keuze moet maken, iets moet overdragen of moet uitleggen waarom iets zo is gegaan.

    Juist daar ontstaat vaak spanning.

    Een procedure zegt dat afwijkingen beoordeeld moeten worden, maar niet wanneer iets als afwijking geldt. Een risico-overzicht toont prioriteiten, maar niet hoe die prioriteit tot stand is gekomen. Een maatregel staat op afgerond, maar zonder duidelijkheid over wat “afgerond” betekent.

    Dit zijn geen randzaken. Ze bepalen of documentatie richting geeft of alleen beschrijft hoe het bedoeld is.

    Waarom meer documentatie niet helpt

    Wanneer documentatie onvoldoende houvast biedt, volgt vaak een logische reactie: meer vastleggen.

    Een extra toelichting. Een aangescherpte procedure. Een nieuw format. Soms zelfs meerdere documenten die elkaar aanvullen.

    Dat creëert zelden structureel meer grip.

    Meer informatie maakt het niet per definitie duidelijker. Het vergroot de kans dat informatie verspreid raakt en dat samenhang ontbreekt. Dan staat de afspraak in het ene document, de praktische werkwijze in een ander overzicht en de echte uitleg in een overleg of mail.

    Op papier is alles aanwezig. In de praktijk moet iemand alsnog reconstrueren wat bedoeld werd.

    Op dat moment verandert documentatie van hulpmiddel naar onderhoud. Iets dat bijgewerkt moet worden, zonder dat het duidelijk bijdraagt aan betere keuzes.

    Het belang van gedeeld begrip

    Veel documentatieproblemen zijn in de kern begripsproblemen.

    Mensen gebruiken dezelfde termen, maar bedoelen niet altijd hetzelfde. Wat voor de één een risico is, is voor een ander pas relevant bij concrete impact. Wat voor de één afgerond is, vraagt voor een ander nog evaluatie.

    In de blog “Waarom compliance software pas werkt als iedereen hetzelfde bedoelt” wordt dat scherp zichtbaar. Zonder gedeeld begrip ontstaat geen grip, maar interpretatie.

    Dat geldt net zo goed voor documentatie. Een document kan alleen richting geven als de betekenis van de kernbegrippen herkenbaar en consistent is. Anders wordt het een bron van discussie in plaats van een hulpmiddel om die discussie te voorkomen.

    Structuur als houvast

    De oplossing zit niet in meer of uitgebreidere documentatie, maar in structuur.

    Structuur betekent niet dat alles moet worden vastgelegd. Het betekent dat duidelijk is waar keuzes worden gemaakt, wie daarbij betrokken is en welke afwegingen relevant zijn.

    Wanneer wordt een signaal een risico?
    Wanneer is een maatregel voldoende?
    Wanneer wordt iets bewust geaccepteerd, en door wie?

    Dit zijn geen vragen die alleen bij een audit horen. Ze spelen dagelijks, vaak impliciet.

    Zolang deze momenten niet expliciet zijn, blijft documentatie een beschrijving achteraf. Met structuur wordt zichtbaar hoe keuzes tot stand komen en waarom ze logisch zijn binnen de context.

    Wat audits zichtbaar maken

    Interne audits maken dit vaak pijnlijk duidelijk. Niet omdat er ineens nieuwe informatie boven tafel komt, maar omdat iemand van buiten vraagt om uitleg.

    Dan blijkt of documentatie echt helpt.

    Sluiten documenten aan op wat er in de praktijk gebeurt?
    Kunnen keuzes worden toegelicht zonder terug te vallen op geheugen?
    Is zichtbaar wat is besloten, en waarom?

    In de blog “Een interne audit werkt pas als mensen durven zeggen wat niet klopt” wordt duidelijk dat audits pas waarde krijgen wanneer het gesprek verder gaat dan het bestaan van documenten. Het gaat om begrijpen wat er schuurt en waar aannames niet meer kloppen.

    Documentatie speelt daarin een rol, maar alleen als ze dat gesprek ondersteunt.

    Tooling volgt uit structuur

    Wanneer documenten en overzichten onvoldoende houvast bieden, ontstaat vaak de behoefte aan tooling. Dat is begrijpelijk, maar het is niet het startpunt.

    Zonder duidelijk denkkader wordt een systeem vooral een opslagplaats. Het legt vast wat er is, maar niet waarom het zo is.

    Pas wanneer duidelijk is welke keuzes zichtbaar moeten blijven en welke context niet verloren mag gaan, kan tooling ondersteunen. Dan helpt het om consistent te blijven en om uitleg niet telkens opnieuw te hoeven reconstrueren.

    Niet als oplossing voor het probleem, maar als gevolg van het inzicht waar het probleem zit.

    Documentatie als geheugen

    Goede documentatie hoeft niet omvangrijk te zijn. Ze moet vooral helpen om te onthouden wat ertoe doet.

    Waarom is deze keuze gemaakt?
    Wie is verantwoordelijk?
    Wanneer kijken we opnieuw?
    Wat betekent “afgerond” in deze context?

    In de blog “Waarom vastleggen geen administratie is, maar geheugen” wordt dit helder gemaakt. Documentatie heeft waarde wanneer ze helpt om betekenis vast te houden, niet wanneer ze alleen informatie opslaat.

    Dat maakt documentatie lichter en tegelijk effectiever.

    Verder lezen

    Wie dit onderwerp verder wil verdiepen:

    Conclusie

    Documentatie die logisch klinkt, kan de indruk wekken dat iets goed geregeld is. Maar de echte toets ligt niet in hoe het leest, maar in hoe het werkt.

    Helpt het om keuzes te maken?
    Blijft zichtbaar waarom iets zo is ingericht?
    Is uitleg mogelijk zonder afhankelijk te zijn van degene die erbij was?

    Als het antwoord daarop onzeker is, ligt het probleem niet in een gebrek aan documenten, maar in het ontbreken van structuur.

    Niet als extra laag, maar als houvast. Zodat documentatie niet alleen vastlegt wat er staat, maar helpt begrijpen wat het betekent.

  • ISO 27701 of alleen AVG-beleid: wanneer heb je echt een PIMS nodig?

    ISO 27701 of alleen AVG-beleid: wanneer heb je echt een PIMS nodig?

    Privacy is geregeld… tot iemand doorvraagt

    In veel organisaties voelt privacy als iets dat “staat”. De privacyverklaring is gepubliceerd, verwerkersovereenkomsten zijn geregeld en er is een overzicht van verwerkingen. Op papier klopt het.

    Totdat er vragen komen.

    Een klant wil weten hoe jullie omgaan met privacyrisico’s. Een auditor vraagt hoe beslissingen rondom persoonsgegevens tot stand komen. Intern ontstaat discussie over de vraag of dit eigenlijk wel consistent gebeurt.

    Op dat moment blijkt dat privacy niet ontbreekt, maar dat de onderbouwing ontbreekt. Niet wat je doet, maar hoe je het uitlegt.

    Het verschil tussen AVG-beleid en privacybeheer

    De AVG verplicht organisaties om zorgvuldig met persoonsgegevens om te gaan. Veel organisaties vertalen dat naar beleid en documentatie. Dat is logisch, maar het is niet hetzelfde als daadwerkelijk privacybeheer.

    Beleid beschrijft wat je doet. Privacybeheer laat zien hoe je keuzes maakt.

    In de praktijk betekent dat dat beleid vaak reactief en documentgedreven is, terwijl privacybeheer juist doorlopend is en gekoppeld aan processen, risico’s en verantwoordelijkheden. De AVG geeft richting aan wat er moet gebeuren, maar zegt weinig over hoe je dat structureel organiseert.

    En precies daar ontstaat in veel organisaties de spanning.

    Wat een PIMS in de praktijk betekent

    Een Privacy Information Management System (PIMS) klinkt vaak zwaarder dan het is. In de praktijk gaat het niet om extra documentatie, maar om samenhang.

    Een PIMS zorgt ervoor dat privacy geen losse activiteit blijft, maar onderdeel wordt van hoe je werkt en beslist. Dat zie je vooral terug in hoe organisaties omgaan met afwegingen.

    Wanneer vraagt een verwerking om extra aandacht? Wie neemt die beslissing? En kun je later nog uitleggen waarom een keuze logisch was?

    Zonder structuur blijven dit soort vragen afhankelijk van personen. Met structuur worden ze herhaalbaar en uitlegbaar. Niet omdat alles dichtgeregeld is, maar omdat duidelijk is hoe keuzes tot stand komen.

    De relatie met ISO 27001

    Voor organisaties die al met informatiebeveiliging werken, wordt deze vraag vaak zichtbaar in de relatie tussen ISO 27001 en ISO 27701.

    ISO 27001 richt zich op het beschermen van informatie via een Information Security Management System. ISO 27701 sluit daarop aan en breidt dit uit met privacybeheer rondom persoonsgegevens.

    Het verschil zit vooral in perspectief. Informatiebeveiliging gaat over beschikbaarheid, integriteit en vertrouwelijkheid van data. Privacy gaat over de rechtmatigheid en uitlegbaarheid van het gebruik ervan.

    Daarmee verschuift de aandacht. Niet alleen naar het beschermen van data, maar ook naar de vraag of en hoe je die data verwerkt, welke rol je daarin hebt en hoe je omgaat met de rechten van betrokkenen.

    Wie dit onderscheid verder wil verdiepen, kan ook kijken naar Wat is een ISMS en waarom is het belangrijk voor jouw bedrijf en Het verschil tussen PIMS en ISMS: Wat past bij jouw bedrijf?.

    Wanneer AVG-beleid voldoende kan zijn

    Niet elke organisatie heeft een PIMS nodig.

    Er zijn situaties waarin een pragmatische invulling van de AVG goed werkt. Dat geldt met name wanneer persoonsgegevens een beperkte rol spelen binnen de dienstverlening en de complexiteit van verwerkingen laag blijft.

    In die context is het belangrijker dat je helder kunt uitleggen wat je doet, dan dat je een uitgebreid systeem inricht. De voorwaarde is wel dat die uitleg consistent blijft.

    Zodra antwoorden beginnen te verschillen per persoon of situatie, ontstaat alsnog een probleem. Niet omdat de inhoud ontbreekt, maar omdat de samenhang ontbreekt.

    Wanneer structuur noodzakelijk wordt

    Er is een kantelpunt waarop privacy niet meer als losse activiteit werkt.

    Dat punt herken je niet aan het aantal documenten, maar aan het soort vragen dat terugkomt. Klanten gaan gerichter doorvragen, vergelijkbare situaties leiden tot verschillende antwoorden en beslissingen blijken achteraf lastig te reconstrueren.

    In die situaties ontbreekt geen kennis, maar samenhang. En juist daar ontstaat de behoefte aan structuur.

    Voor organisaties die die afweging concreter willen maken, geven PIMS of ISMS? Praktische voorbeelden voor de juiste keuze en PIMS of ISMS: wat past bij jouw organisatie? een goed beeld van hoe dit in de praktijk uitpakt.

    Wanneer een PIMS te zwaar is

    Een PIMS voegt alleen waarde toe als het een concreet probleem oplost.

    Wanneer privacy geen structureel onderdeel is van de dienstverlening, kan extra structuur juist onnodige complexiteit introduceren. Dat zie je wanneer de inrichting vooral tijd kost, terwijl de praktijk overzichtelijk blijft, of wanneer privacyvraagstukken zelden tot echte afwegingen leiden.

    In die situaties is het verstandiger om privacy pragmatisch te organiseren en pas te verdiepen wanneer de context daarom vraagt.

    Hoe je een goede keuze maakt

    De keuze voor een PIMS is geen normvraag, maar een organisatievraag.

    Het helpt om scherp te kijken naar drie dingen: de rol van persoonsgegevens in je dienstverlening, hoe vaak je privacykeuzes moet uitleggen en in hoeverre die keuzes nu consistent worden genomen.

    Wanneer de impact beperkt is en vragen zelden terugkomen, is een lichte aanpak vaak voldoende. Zodra de impact toeneemt en uitleg vaker nodig is, ontstaat vanzelf de behoefte aan meer structuur.

    Dit gaat niet over certificering

    ISO 27701 is geen doel op zich. Het is een manier om privacy zo te organiseren dat keuzes herhaalbaar zijn en uitlegbaar blijven, ook wanneer context verandert of mensen wisselen.

    De vraag is daarom niet of je ISO 27701 nodig hebt.

    De vraag is of je privacy nog kunt uitleggen zonder afhankelijk te zijn van wie er toevallig bij betrokken was.

    Tot slot

    Veel organisaties hebben privacy op papier goed geregeld. De echte test komt pas wanneer iemand doorvraagt.

    Dan wordt zichtbaar of keuzes onderdeel zijn van een systeem, of van een gesprek dat ooit heeft plaatsgevonden.

    In dat verschil zit het kantelpunt.

    Als je merkt dat uitleg afhankelijk wordt van personen in plaats van van structuur, is dat vaak het moment waarop losse maatregelen niet meer voldoende zijn en samenhang nodig wordt om consistentie vast te houden.

  • Directiebeoordeling onder ISO: formaliteit of verplichte stuurinformatie?

    Directiebeoordeling onder ISO: formaliteit of verplichte stuurinformatie?

    In veel organisaties heeft de directiebeoordeling geen al te beste naam.

    Het is iets dat op de kalender moet staan. Er wordt een document voorbereid, een overleg ingepland en na afloop verdwijnt het verslag in een map met auditbewijzen.

    Daarmee voelt het al snel als een verplicht nummer.

    Precies daar gaat het mis.

    Want een directiebeoordeling is niet bedoeld als administratief sluitstuk van je managementsysteem. Het is het moment waarop de directie beoordeelt of dat systeem nog doet wat het moet doen, of de belangrijkste risico’s en prestaties voldoende in beeld zijn en of bijsturing nodig is.

    Als dat gesprek vooral voelt als administratie, zit het probleem zelden in de norm. Het zit meestal in hoe het onderwerp is ingericht.

    Wat een directiebeoordeling volgens ISO eigenlijk is

    De term klinkt formeler dan nodig. In de kern gaat het om een bestuurlijk beoordelingsmoment.

    De directie kijkt niet alleen terug, maar beoordeelt of het managementsysteem nog geschikt, toereikend en effectief is. Werkt het nog zoals bedoeld? Sluit het nog aan op de organisatie? Draagt het nog bij aan de doelen die zijn gesteld?

    Daarmee is de directiebeoordeling geen samenvatting van documenten en ook geen rapport voor de auditor. Het is een moment waarop richting wordt bepaald.

    Niet de vorm staat centraal, maar het besluit.

    Wie dat verschil goed begrijpt, kijkt ook anders naar wat een management review hoort op te leveren. Dat wordt uitgebreider uitgewerkt in Wat een management review onder ISO 9001, ISO 27001 en ISO 14001 echt moet opleveren.

    Waarom dit moment verplicht is

    ISO-managementsystemen zijn geen statische verzamelingen procedures. Ze veronderstellen dat het management periodiek beoordeelt of het systeem nog klopt met de praktijk.

    Dat is geen formaliteit, maar een logische noodzaak.

    Organisaties veranderen. Prioriteiten verschuiven. Nieuwe risico’s ontstaan. Incidenten, klachten en audits geven signalen af die niet alleen operationeel, maar juist bestuurlijk gewogen moeten worden.

    Zonder zo’n moment blijft een managementsysteem misschien bestaan, maar verdwijnt de sturing.

    Waar auditors daadwerkelijk op letten

    Auditors zijn meestal minder geïnteresseerd in hoe een directiebeoordeling eruitziet dan in wat eruit volgt.

    Ze willen begrijpen of dit moment daadwerkelijk wordt gebruikt om het systeem te besturen.

    Worden relevante onderwerpen besproken?
    Is zichtbaar dat de directie betrokken is?
    Leidt het gesprek tot keuzes, prioriteiten en acties?

    Een directiebeoordeling zonder besluiten roept vrijwel altijd vragen op. Dan is er wel informatie gedeeld, maar nog niet echt gestuurd.

    Die lijn zie je ook terug bij interne audits. Als het gesprek niet leidt tot echte inzichten en keuzes, blijft de waarde beperkt. In Een interne audit werkt pas als mensen durven zeggen wat niet klopt wordt dat verder uitgewerkt.

    Wat er minimaal aan bod moet komen

    De meeste organisaties slaan door naar één van twee kanten.

    Of het blijft oppervlakkig, waarbij de directie vooral akkoord geeft op een voorbereid document.
    Of het wordt juist zwaar, met uitgebreide rapportages en veel detail, zonder dat het gesprek scherper wordt.

    In beide gevallen ontbreekt hetzelfde: echte bestuurlijke afweging.

    Wat nodig is, is overzicht dat helpt om te beoordelen wat er speelt. Denk aan prestaties, risico’s, afwijkingen, verbeteracties en relevante veranderingen. Niet om volledig te zijn, maar om voldoende zicht te hebben om keuzes te maken.

    De vraag is dus niet of alles is vastgelegd.

    De vraag is of er genoeg inzicht is om te sturen.

    Wanneer het te licht is

    Een directiebeoordeling wordt kwetsbaar wanneer betrokkenheid, besluitvorming en opvolging niet zichtbaar zijn.

    Dat zie je bijvoorbeeld wanneer dezelfde signalen blijven terugkomen zonder dat er iets verandert, of wanneer acties geen eigenaar krijgen en daardoor blijven liggen.

    Juist die opvolging maakt zichtbaar hoe serieus een organisatie met haar managementsysteem omgaat. In Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt wordt dat verder uitgediept.

    Het risico zit dan niet alleen in een auditbevinding, maar in het ontbreken van echte governance.

    Wanneer het te zwaar wordt

    Het omgekeerde komt net zo vaak voor.

    Er wordt veel tijd gestoken in voorbereiding, rapportages worden uitgebreid en elk detail lijkt eerst uitgewerkt te moeten zijn voordat het gesprek kan plaatsvinden.

    Het effect is meestal dat het overleg zelf minder scherp wordt.

    De aandacht verschuift van keuzes naar toelichting. Van richting naar volledigheid.

    Meer documentatie levert zelden betere sturing op.

    Hoe je dit praktisch goed inzet

    Een werkbare directiebeoordeling begint niet bij documenten, maar bij de juiste vragen.

    Werkt ons systeem nog zoals bedoeld?
    Waar zitten nu de belangrijkste risico’s of knelpunten?
    Wat gaan we concreet aanpassen?

    Dat is de kern.

    Alles wat je bespreekt, moet bijdragen aan het beantwoorden van die vragen. Niet alles hoeft uitgebreid, maar wat ertoe doet moet zichtbaar zijn.

    Het verschil zit uiteindelijk in wat er na het overleg gebeurt. Zijn keuzes gemaakt? Is duidelijk wie waarvoor verantwoordelijk is? Komt dit terug in vervolgmomenten?

    Daar wordt het verschil gemaakt tussen bespreken en besturen.

    Frequentie en vorm

    In de praktijk is een jaarlijkse directiebeoordeling een logische basis. Daarnaast is het verstandig om tussentijds stil te staan bij dezelfde vragen wanneer er relevante veranderingen zijn.

    De vorm hoeft niet zwaar te zijn.

    Een overleg met een beknopte vastlegging van wat is besproken en besloten is vaak voldoende, zolang duidelijk is wat de uitkomsten zijn en wat ermee gebeurt.

    De kern

    De directiebeoordeling is geen verplicht nummer voor de audit.

    Het is één van de momenten waarop zichtbaar wordt of een organisatie haar managementsysteem daadwerkelijk gebruikt om te sturen.

    Niet of alles netjes is vastgelegd, maar of keuzes worden gemaakt.
    Niet of informatie compleet is, maar of die informatie wordt gewogen.
    Niet of het gesprek heeft plaatsgevonden, maar of het ergens toe leidt.

    Daar wordt governance zichtbaar.

    Verder lezen