Auteur: admin

  • AI maakt geen fouten. Onze aannames wel. En daar begint het compliance-risico

    AI maakt geen fouten. Onze aannames wel. En daar begint het compliance-risico

    De discussie over AI in compliance begint bijna altijd bij techniek.
    Welke tool gebruiken we?
    Hoe betrouwbaar is het model?
    Is de data schoon genoeg?

    Dat zijn logische vragen. Ze voelen veilig en controleerbaar. Maar wie daar blijft hangen, mist waar het in de praktijk werkelijk misgaat.

    De grootste compliance-risico’s rondom AI ontstaan zelden doordat technologie faalt. Ze ontstaat doordat organisaties aannemen dat iedereen hetzelfde bedoelt. En juist die aannames worden door AI zichtbaar gemaakt.

    Wanneer de uitkomst te overtuigend voelt

    AI-systemen zijn goed in het herkennen van patronen. Ze combineren data, wegen signalen en presenteren uitkomsten die logisch en consistent ogen. Dat maakt ze aantrekkelijk voor complianceprocessen.

    Ze helpen bij het prioriteren van risico’s, het signaleren van afwijkingen en het ontdekken van patronen die mensen niet direct zien. De uitkomst voelt betrouwbaar, soms zelfs objectief.

    Juist dat is het kantelpunt. Zodra een uitkomst plausibel oogt, stellen we minder vragen. We gaan ervan uit dat het systeem begrijpt wat we bedoelen.

    En daar ontstaat het risico. Niet omdat het systeem iets verkeerd doet, maar omdat nooit expliciet is vastgelegd wat de uitkomst precies betekent.

    Wat verstaan we hier onder een risico?
    Wanneer noemen we iets een incident?
    En wanneer is een afwijking relevant genoeg om in te grijpen?

    Zolang deze vragen verschillend worden beantwoord, versnelt AI geen compliance. Het versnelt interpretatieverschillen.

    AI vergroot wat al vaag was

    In veel organisaties is compliance deels impliciet georganiseerd. Mensen weten hoe het hoort. Ze voelen aan wanneer iets aandacht verdient. Dat werkt zolang dezelfde mensen betrokken zijn en dezelfde context delen.

    AI functioneert anders. Het vraagt om expliciete keuzes. Om definities en grenzen. Alles wat niet is vastgelegd, moet alsnog worden geïnterpreteerd.

    Daarmee legt AI geen fouten bloot, maar vaagheid. Niet ineens en dramatisch, maar structureel. Het systeem doet precies wat het moet doen, maar bouwt voort op aannames die nooit zijn uitgesproken.

    AI is in dat opzicht geen risico op zichzelf. Vaagheid is dat wel.

    Van menselijk oordeel naar vaste aannames

    Zonder automatisering worden aannames vaak gecorrigeerd in gesprekken. Iemand merkt op dat iets eigenlijk geen risico is. Of juist wel. Dat informele bijsturen houdt processen werkbaar.

    Zodra AI wordt ingezet, verdwijnt die correctielaag. Aannames worden onderdeel van het proces. Ze worden herhaalbaar en minder zichtbaar.

    Een classificatie die ooit klopte, wordt een vast criterium.
    Een drempelwaarde waar niemand echt bij stilstond, wordt beslissend.
    Een interpretatieverschil dat eerder werd opgelost in overleg, leidt nu tot automatische uitkomsten.

    Niet omdat iemand dat zo heeft gewild, maar omdat niemand het expliciet heeft vastgelegd.

    Waarom AI-compliance een governancevraagstuk is

    Daarom is AI-compliance geen technisch vraagstuk. Het is ook geen abstracte ethische discussie. Het is een governancevraagstuk.

    Governance gaat over betekenis. Over begrijpen wat er gebeurt, waarom het gebeurt en wie verantwoordelijk is voor de gevolgen.

    Zonder gedeelde taal ontstaat geen grip. Dan zien we dat dezelfde uitkomst anders wordt geïnterpreteerd per rol, dat acties niet op elkaar aansluiten en dat verantwoordelijkheid verschuift naar “het systeem”.

    In eerdere blogs kwam dit al terug. Compliance-oplossingen werken pas als iedereen hetzelfde bedoelt. Interne audits leveren alleen waarde op als het gesprek eerlijk is. AI raakt precies diezelfde kern, maar met meer snelheid en minder ruimte voor correctie.

    De verleiding van objectiviteit

    AI wordt vaak gezien als objectief. Dat maakt het aantrekkelijk binnen compliance. Geen onderbuikgevoel, geen willekeur, geen persoonlijke voorkeur.

    Maar die objectiviteit is schijn. AI verplaatst het oordeel. De keuzes zitten niet meer in het moment van beslissen, maar in het moment van ontwerpen.

    Welke data nemen we mee?
    Welke signalen vinden we relevant?
    Welke uitkomst accepteren we als voldoende onderbouwing?

    Dat zijn geen technische keuzes. Het zijn organisatorische keuzes. Ze zeggen iets over risicobereidheid, verantwoordelijkheid en vertrouwen.

    Zolang die keuzes impliciet blijven, voelt de uitkomst objectief. Zodra iemand doorvraagt, blijkt dat niemand precies kan uitleggen waarom dit resultaat logisch is.

    Dat is geen technisch probleem, dat is een complianceprobleem.

    AI als versterker, niet als oorzaak

    Het is verleidelijk om AI aan te wijzen als de oorzaak wanneer iets misgaat. Het systeem is te complex, te snel of te ondoorzichtig.

    In werkelijkheid doet AI vooral wat organisaties al deden, maar consistenter. Het versterkt bestaande structuren en aannames.

    Waar begrippen helder zijn, helpt AI bij overzicht. Waar begrippen vaag zijn, vergroot AI de verwarring.

    Niet omdat AI faalt, maar omdat het geen ruimte laat voor impliciete correctie.

    Wat dit vraagt vóór automatisering

    De vraag is dus niet of AI inzetbaar is binnen compliance. De vraag is of een organisatie klaar is om expliciet te maken wat nu impliciet werkt.

    Dat vraagt geen nieuwe beleidslagen of dikke rapporten. Het vraagt helderheid.

    Begrijpen we wat we bedoelen met risico, incident en afwijking?
    Zijn die betekenissen gedeeld en vooral gevoeld?
    Is duidelijk wie verantwoordelijk is wanneer een geautomatiseerde uitkomst gevolgen heeft?

    Zonder die helderheid wordt automatisering geen versnelling, maar een vermenigvuldiger van ruis.

    AI als spiegel voor volwassenheid

    AI confronteert organisaties met iets ongemakkelijks. Dat veel compliance draait op ervaring, context en stilzwijgende afspraken. Dat is menselijk en vaak effectief.

    Maar zodra technologie meeloopt, wordt dat kwetsbaar.

    Organisaties die dat onderkennen, gebruiken AI niet om beslissingen te vervangen, maar om aannames bespreekbaar te maken. AI wordt dan geen autoriteit, maar een hulpmiddel om betekenis vast te houden.

    In die zin is AI geen bedreiging voor compliance. Het is een spiegel.

    Verder lezen

  • Waarom compliance software pas werkt als iedereen hetzelfde bedoelt

    Waarom compliance software pas werkt als iedereen hetzelfde bedoelt

    In veel organisaties lijkt compliance goed geregeld. Processen zijn beschreven, verantwoordelijkheden toegewezen en audits ingepland. Toch ontstaat er in de praktijk opvallend vaak discussie over zaken die op papier helder lijken. Niet omdat mensen hun werk niet serieus nemen, maar omdat ze iets anders bedoelen met dezelfde woorden.

    Wat is een risico?
    Wanneer noem je iets een incident?
    Wanneer is een maatregel echt afgerond?

    Zolang die vragen verschillend worden beantwoord, blijft compliance kwetsbaar. Dan ontstaat geen grip, maar interpretatie.

    Het misverstand over compliance software

    Compliance software wordt vaak gezien als een middel om vast te leggen. Een plek waar risico’s, incidenten en acties worden geregistreerd. Dat beeld is begrijpelijk, maar onvolledig.

    In de praktijk zit het probleem zelden in het ontbreken van vastlegging. Het zit in het ontbreken van gedeeld begrip. Wat wordt vastgelegd, betekent niet automatisch voor iedereen hetzelfde.

    De ene rol ziet een risico zodra iets mis kan gaan. Een andere pas wanneer de impact concreet wordt. Voor sommigen is een incident elke afwijking van een afspraak. Voor anderen pas iets dat extern relevant wordt. Iedereen handelt logisch vanuit zijn eigen context, maar samen ontstaat ruis.

    Vastleggen zonder eenduidigheid werkt averechts

    Na een audit of evaluatie ontstaat vaak helderheid. Bevindingen worden besproken, verbeterpunten benoemd en acties afgesproken. Er is draagvlak en urgentie.

    Toch keren dezelfde onderwerpen later regelmatig terug. Acties blijken anders te zijn opgepakt dan bedoeld. Discussies herhalen zich. Bevindingen duiken opnieuw op.

    Dat gebeurt zelden uit onwil. Het gebeurt omdat afspraken onvoldoende eenduidig zijn vastgezet. Wat tijdens het gesprek vanzelfsprekend leek, verliest zijn betekenis zodra de dagelijkse praktijk weer de boventoon voert.

    Compliance vraagt afstemming, geen extra regels

    Compliance wordt vaak benaderd als een set verplichtingen. In werkelijkheid gaat het vooral om afstemming. Om samenhang tussen perspectieven die allemaal legitiem zijn, maar zonder kader langs elkaar heen werken.

    Financiële risico’s worden anders beleefd dan operationele risico’s. Incidenten krijgen een andere lading afhankelijk van wie ze bekijkt. Verbeterpunten worden verschillende geïnterpreteerd afhankelijk van verantwoordelijkheid.

    Zonder gedeeld kader blijven deze perspectieven naast elkaar bestaan. Niet fout, maar onverbonden.

    Wat goede compliance software daadwerkelijk bijdraagt

    Goede compliance software onderscheidt zich niet door het aantal functies, maar door de helderheid die zij afdwingt. Niet door meer vast te leggen, maar door betekenis vast te houden.

    Goede tooling zorgt voor:

    • Eenduidige definities van risico’s, incidenten en verbeteracties;
    • Consistente vastlegging die voor iedereen herkenbaar is;
    • Eén referentiepunt waar afspraken hun betekenis behouden.

    Niet om mensen te controleren, maar om interpretatieverschillen te beperken waar die schadelijk worden.

    Waarom impliciete kennis een risico vormt

    In veel organisaties is kennis impliciet. Mensen weten hoe dingen werken en wanneer iets “goed genoeg” is. Dat functioneert zolang dezelfde mensen betrokken blijven.

    Zodra verantwoordelijkheden verschuiven of anderen meekijken, wordt zichtbaar hoeveel aannames nooit expliciet zijn gemaakt. Wat altijd logisch leek, blijkt lastig overdraagbaar.

    Daar ontstaat de behoefte aan structuur. Niet in de vorm van extra procedures, maar in de vorm van gedeelde betekenis.

    Wat compliance software bewust niet oplost

    Compliance software vervangt geen gesprekken. Het neemt geen verantwoordelijkheid over en het lost cultuurvraagstukken niet op.

    Wat het wel doet, is voorkomen dat inzichten verdwijnen zodra de aandacht verslapt. Het borgt afspraken zodat ze niet vervormen door tijdsdruk of interpretatie.

    Daarmee fungeert het systeem als geheugen. Niet als archief, maar als gezamenlijke referentie.

    Van reflectie naar dagelijks handelen

    Een audit of evaluatie kan een waardevol reflectiemoment zijn. Maar zonder vervolg blijft het tijdelijk.

    Wanneer bevindingen en verbeterpunten niet herkenbaar terugkomen in het dagelijks werk, verliest het proces geloofwaardigheid. Mensen worden terughoudendere wanneer signalen weinig effect hebben.

    Goede compliance software helpt om die vertaalslag te maken. Niet door alles dicht te regelen, maar door afspraken herkenbaar en herhaalbaar te houden.

    Wanneer versnipperde tooling tegenwerkt

    Veel organisaties werken met meerdere systemen naast elkaar. Elk systeem hanteert zijn eigen terminologie en logica.

    Het gevolg is dat dezelfde onderwerpen op verschillende plekken anders worden beoordeeld. Wat hier is afgerond, staat elders nog open. Wat daar een risico heet, heet hier een actiepunt.

    In plaats van overzicht ontstaat verwarring. En verwarring ondermijnt compliance sneller dan een ontbrekend document.

    Compliance software als gezamenlijke taal

    De echte waarde van compliance software zit in eenduidigheid. In het creëren van een gedeeld kader waarbinnen mensen samenwerken.

    Dat kader maakt gesprekken concreter. Verwachtingen worden explicieter. Verantwoordelijkheden scherper.

    Niet omdat het systeem dwingt, maar omdat het interpretatieruimte wegneemt waar die onnodig is.

    Grip ontstaat door consistentie

    Compliance werkt niet omdat regels bestaan, maar omdat afspraken consistent worden nageleefd. Omdat wat vandaag wordt afgesproken, morgen nog herkenbaar is.

    Software kan dat niet vervangen, maar wel ondersteunen. Door structuur te bieden waar mensen op terug kunnen vallen, ook wanneer de aandacht verschuift.

    Pas dan werkt compliance software zoals bedoeld. Niet als registratiemiddel, maar als gezamenlijke taal.

    Verder lezen

  • Een interne audit werkt pas als mensen durven zeggen wat niet klopt

    Een interne audit werkt pas als mensen durven zeggen wat niet klopt

    De interne audit stond keurig ingepland.
    De agenda was rondgestuurd.
    De documenten lagen klaar.

    Iedereen wist wat er gevraagd zou worden. En iedereen wist ook wat het juiste antwoord was.

    Op papier klopte alles.

    Toch hing er iets ongemakkelijks in het gesprek. Vragen werden netjes beantwoord, maar nergens werd echt stilgestaan bij wat in de praktijk schuurt. Niemand benoemde dat procedures regelmatig worden omzeild omdat ze anders niet werkbaar zijn. Niemand zei hardop dat verbeterpunten meestal verdwijnen zodra de audit achter de rug is.

    Niet omdat mensen iets willen verbergen. Maar omdat het gesprek daar nooit over gaat.

    Wanneer een audit een toneelstuk wordt

    In veel organisaties is de interne audit onbedoeld een toneelstuk geworden. Iedereen kent zijn rol. De auditor stelt voorspelbare vragen. De antwoorden blijven veilig. Het verslag volgt het bekende format. Daarna gaat iedereen weer verder met het dagelijkse werk.

    Dat gebeurt zelden uit onwil. Meestal is het zelfbescherming. Een audit voelt als beoordeling, niet als gesprek. Dus zeggen mensen wat van hen verwacht wordt.

    Het resultaat zie je terug in auditrapporten die jaar na jaar op elkaar lijken. Dezelfde bevindingen. Dezelfde verbeterpunten. Acties die formeel zijn afgerond, maar inhoudelijk weinig veranderen. Alles lijkt onder controle, terwijl de echte knelpunten buiten beeld blijven.

    Het risico zit niet in het missen van een vinkje. Het risico is dat je denkt grip te hebben, terwijl die er in de praktijk niet is.

    Wat er niet gezegd wordt, zegt vaak het meest

    De belangrijkste signalen komen zelden in auditrapporten terecht. Het gaat over informele werkwijzen die zijn ontstaan omdat processen te complex zijn. Over taken die altijd bij dezelfde persoon blijven liggen. Over controles die bestaan, maar nauwelijks worden uitgevoerd.

    Juist deze zaken bepalen hoe volwassen een organisatie werkelijk functioneert.

    Als een audit alleen bevestigt wat al op papier staat, blijft leren uit. Dan wordt de audit een herhalingsoefening in plaats van een reflectiemoment.

    De audit als moment van reflectie

    Een interne audit hoeft geen test te zijn. Het kan ook een pauzemoment zijn. Een moment om samen te kijken naar hoe het werk echt loopt.

    Niet met de vraag of alles voldoet, maar met de vraag of iedereen begrijpt wat er gebeurt.

    Dat vraagt om een andere houding. Minder gericht op bevestiging. Meer gericht op context. Minder nadruk op formuleringen. Meer aandacht voor ervaringen.

    In organisaties waar veel kennis in hoofden zit en verantwoordelijkheden overlappen, is dit extra belangrijk. Juist daar komen risico’s niet vanzelf boven water.

    Waarom eerlijkheid spannend blijft

    Eerlijk zijn in een audit is spannend. Wat gebeurt er als je zegt dat iets niet werkt? Wordt dat gezien als falen? Heeft het gevolgen? Of verdwijnt het toch weer in een verslag zonder opvolging?

    Als die vragen onbeantwoord blijven, kiezen mensen voor voorzichtigheid. Ze zeggen liever wat veilig is dan wat waar is.

    De toon wordt hierin vaak van bovenaf gezet. Als audits vooral dienen om te laten zien dat alles onder controle is, ontstaat geen ruimte voor openheid. Een auditcultuur waarin fouten benoemd mogen worden, moet actief worden opgebouwd.

    Wanneer audits wél waarde opleveren

    In organisaties waar audits echt iets opleveren, ziet het gesprek er anders uit. Niet alles hoeft meteen opgelost te worden. Maar wat besproken wordt, wordt serieus genomen.

    De audit wordt geen eindpunt, maar een startpunt. Niet verdedigen, maar begrijpen. Niet uitleggen waarom iets klopt, maar onderzoeken waarom iets wringt.

    Dat maakt de audit minder spannend en tegelijkertijd waardevoller.

    Van auditmoment naar governance-instrument

    Wanneer een interne audit zo wordt ingezet, verandert de rol ervan. Het wordt geen verplicht nummer, maar een vast moment om richting te bepalen.

    Dat betekent ook dat uitkomsten niet verdwijnen in een la. Niet alles hoeft direct opgepakt te worden, maar wat besproken is, moet terugkomen in keuzes en prioriteiten.

    Veel organisaties doen hier te weinig mee. Verbeterpunten worden vastgelegd, maar verdwijnen in de dagelijkse drukte. Daarmee ondermijn je het vertrouwen in het proces. Waarom open zijn, als er toch niets verandert?

    Governance begint bij serieus nemen wat je hoort.

    Vastleggen en opvolgen zonder schijnzekerheid

    Vastleggen helpt, mits het ondersteunend is aan het gesprek. Niet om controle te versterken, maar om geheugen te creëren. Wat vonden we belangrijk? Wat spraken we af? Wat betekent dit voor hoe we werken?

    Opvolging hoeft niet zwaar te zijn. Maar het moet zichtbaar zijn. Wanneer mensen merken dat signalen uit audits daadwerkelijk terugkomen in besluiten, verandert de dynamiek. Dan wordt eerlijkheid minder risicovol.

    Waar tooling ondersteunt en waar niet

    Systemen kunnen helpen bij overzicht, vastlegging en opvolging. Zeker wanneer audits structureel worden ingezet.

    Maar geen enkel systeem creëert vertrouwen. Geen tool dwingt openheid af. Dat blijft mensenwerk.

    Systemen ondersteunen gedrag. Ze vervangen het niet.

    De kern

    De waarde van een interne audit zit niet in het verslag, maar in de ruimte om te zeggen wat niet klopt. In de bereidheid om te luisteren zonder direct te oordelen. En in het zichtbaar serieus nemen van wat wordt uitgesproken.

    Een interne audit werkt pas echt als het gesprek belangrijker is dan de vorm. Pas dan wordt het een instrument voor richting in plaats van een verplicht moment. En daar begint echte governance.

    Verder lezen

  • Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt

    Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt

    Vrijwel iedere organisatie heeft verbeterpunten. Ze ontstaan tijdens audits, na incidenten, uit klachten van klanten of simpelweg omdat iemand ziet dat iets slimmer kan. In die zin is het herkennen van verbeteringen zelden het probleem.

    Het echte onderscheid zit in wat er daarna gebeurt.

    Worden verbeterpunten vastgelegd, opgevolgd en geëvalueerd? Of verdwijnen ze langzaam naar de achtergrond zodra de druk weg is? Juist in die fase wordt zichtbaar hoe serieus een organisatie omgaat met compliance, governance en betrouwbaarheid.

    Verbeterpunten zijn geen teken van zwakte

    Er bestaat nog steeds een hardnekkig idee dat verbeterpunten iets zeggen over falen. Alsof een organisatie die verbeteringen noteert, iets niet op orde heeft. In de praktijk is het tegenovergestelde waar.

    Organisaties zonder verbeterpunten zijn zelden perfect. Ze kijken vaak niet scherp genoeg, of vermijden het gesprek omdat het ongemakkelijk wordt. Verbeterpunten ontstaan juist daar waar mensen durven benoemen wat beter kan. Dat kan gaan over processen, verantwoordelijkheden, gedrag of besluitvorming.

    Dat moment van inzicht is waardevol, maar vluchtig. Zonder structuur verdwijnt het net zo snel als het ontstond.

    Waar het in de praktijk vaak misgaat

    In veel organisaties verloopt het patroon voorspelbaar. Tijdens een audit of evaluatie ontstaat helderheid. Er worden acties geformuleerd. Iedereen begrijpt waarom ze nodig zijn. En daarna keert de aandacht terug naar de dagelijkse praktijk.

    Verbeteracties blijven ergens staan. In een document, een overzicht of een actielijst. Soms zelfs alleen in het hoofd van degene die ze heeft genoteerd. Nieuwe prioriteiten dienen zich aan en de urgentie vervaagt.

    Niet omdat mensen het niet belangrijk vinden, maar omdat niemand expliciet verantwoordelijk is voor de opvolging.

    Continue verbetering zonder jargon

    Continue verbetering wordt vaak gepresenteerd als een methodiek. Met cycli, stappenplannen en terminologie die vooral tijdens trainingen gebruikt wordt. In de dagelijkse praktijk is het eenvoudiger en confronterender.

    Het draait om drie vragen:

    • Is vastgelegd wat er precies moet verbeteren?
    • Is duidelijk wie verantwoordelijk is voor de opvolging?
    • Is zichtbaar wat het effect van de maatregel is geweest?

    Zolang één van deze vragen onbeantwoord blijft, is er geen sprake van verbetering. Dan is er alleen intentie.

    Juist omdat deze vragen zo basaal zijn, werken ze goed als graadmeter voor volwassenheid. Ze laten zien of afspraken blijven leven nadat het moment van aandacht voorbij is.

    Waarom opvolging governance raakt

    Compliance wordt vaak geassocieerd met regels en verplichtingen. Governance gaat over iets anders: betrouwbaarheid. Kun je laten zien dat je leert van wat er misgaat of beter kan, en kun je dat ook volhouden als niemand meekijkt?

    De manier waarop verbeterpunten worden opgevolgd, laat dat direct zien. Niet de hoeveelheid acties is doorslaggevend, maar hoe ermee wordt omgegaan.

    Worden acties toegewezen aan een eigenaar of blijven ze collectief en vaag?
    Is zichtbaar welke verbeteringen nog openstaan en welke zijn afgerond?
    Wordt er teruggekeken of een maatregel daadwerkelijk effect heeft gehad?

    Wanneer dit ontbreekt, ontstaat zelden direct een complianceprobleem. Wat wel ontstaat, is een betrouwbaarheidsprobleem. Bij een volgende audit, klantvraag of evaluatie blijkt dat eerdere inzichten weinig hebben veranderd.

    Waarom dezelfde inzichten blijven terugkomen

    Verbeterpunten ontstaan bijna altijd uit concrete gebeurtenissen. Een auditbevinding die iets blootlegt. Een incident dat net goed afloopt. Een klacht die laat zien dat de praktijk anders werkt dan bedoeld.

    In al die situaties is het inzicht tijdelijk. De urgentie is hoog, maar kort. Als de opvolging niet structureel wordt vastgelegd, verdwijnt de les zodra de druk afneemt.

    Daarom keren dezelfde bevindingen terug. Niet omdat mensen niet leren, maar omdat het leren niet wordt vastgehouden.

    Van lijstjes naar structuur

    Veel organisaties hebben wel een overzicht van verbeterpunten. Een actielijst, een verbeterlogboek of een overzicht dat periodiek wordt bijgewerkt. Dat is op zichzelf niet verkeerd.

    Het probleem ontstaat wanneer het overzicht geen structuur afdwingt. Wanneer het alleen registreert dat er iets zou moeten gebeuren, zonder vast te leggen wat er daadwerkelijk is gedaan.

    Een verbeterlogboek is geen archief. Het is een hulpmiddel om keuzes zichtbaar te maken. Welke verbeteringen zijn opgepakt? Welke zijn afgerond? Welke zijn bewust niet doorgevoerd, en waarom?

    Zodra die vragen niet meer worden gesteld, verandert een verbeterlijst in administratieve ballast.

    Wat volwassen organisaties anders doen

    Volwassen organisaties onderscheiden zich niet doordat ze minder verbeterpunten hebben, maar doordat ze er consistenter mee omgaan. Ze accepteren dat verbeteren nooit af is, maar zorgen wel dat het beheersbaar blijft.

    Dat zie je terug in kleine, praktische keuzes. Verbeteracties hebben een duidelijke eigenaar. De voortgang is inzichtelijk zonder uitgebreide rapportages. Afgeronde acties worden geëvalueerd op effect, niet alleen afgevinkt.

    Daardoor ontstaat rust. Niet omdat alles perfect is, maar omdat duidelijk is wat aandacht vraagt en wat niet.

    Verbeteren zonder extra druk

    Structurele opvolging wordt soms gezien als extra controle of bureaucratie. In de praktijk gebeurt vaak het tegenovergestelde. Juist doordat verbeterpunten zichtbaar en beheersbaar zijn, ontstaat ruimte.

    Discussies worden concreter. Verwachtingen duidelijker. Verbeteringen hoeven niet telkens opnieuw te worden uitgelegd of verdedigd. Verbeteren wordt onderdeel van het werk, in plaats van iets dat alleen speelt rond audits of deadlines.

    Wat dit zegt over compliance

    Compliance werkt niet omdat regels bestaan, maar omdat organisaties laten zien dat ze verantwoordelijkheid nemen voor wat beter kan. De manier waarop verbeterpunten worden opgevolgd, maakt dat zichtbaar.

    Niet in beleidsteksten of verklaringen, maar in dagelijkse keuzes. Wordt een actie opgepakt of vooruitgeschoven? Wordt er geleerd of herhaald? Wordt verbetering gedragen of doorgeschoven?

    Daarin zit de echte toets van compliancevolwassenheid.

    Niet of je verbeterpunten hebt, maar wat je ermee doet.

    Verder lezen

  • De DPIA werd pas gestart toen het besluit al genomen was

    De DPIA werd pas gestart toen het besluit al genomen was

    Waarom een DPIA alleen werkt als je hem inzet vóór de keuze

    Het besluit was in feite al genomen. De leverancier was gekozen, de planning stond vast en de communicatie lag klaar. Tijdens een laatste check kwam de vraag alsnog op tafel: “Moeten we hier niet ook een DPIA voor doen?”

    Niemand bedoelde het verkeerd. In tegendeel. Het voelde zorgvuldig. Privacy werd serieus genomen, risico’s kregen aandacht en de juiste mensen werden betrokken. De DPIA werd ingepland, ingevuld en vastgelegd. Formeel klopte alles.

    Maar inhoudelijk veranderde er niets meer. De uitkomst had geen invloed op het besluit. De risico’s werden beschreven, maar niet afgewogen. De keuzes lagen a vast. Eigenlijk wist iedereen dat dit document niets meer zou veranderen.

    En precies daar gaat het vaak mis.

    De DPIA als sluitstuk

    In veel organisaties wordt de DPIA benaderd als een verplicht document. Iets dat je moet hebben zodra een project persoonsgegevens raakt. Dat leidt tot een herkenbaar patroon. De DPIA komt laat in het traject, wanneer richting en keuzes al zijn bepaald. De vragen voelen abstract, omdat ze geen ruimte meer krijgen om iets te beïnvloeden. De uitkomst wordt geaccepteerd, maar zelden gebruikt.

    Formeel is er niets fout gegaan. Er ligt een DPIA, hij is beoordeeld en goedgekeurd. Maar als instrument heeft hij weinig toegevoegd. De DPIA legitimeert een bestaand besluit in plaats van dat hij helpt om het besluit beter te nemen.

    Dat is geen juridisch probleem. Het is een governancevraagstuk.

    Wat een DPIA eigenlijk hoort te zijn

    Een DPIA is geen checklist en geen juridisch schild. In de kern is het een gestructureerd moment van twijfel. Een expliciete pauze waarin je zegt: we willen begrijpen wat de gevolgen zijn van de keuzes die we nu maken.

    Een goede DPIA draait daarom niet om formuleringen, maar om het expliciet maken van aannames en consequenties. Welke aannames doen we over gebruik en toegang? Welke risico’s accepteren we bewust, en welke niet? Wat gebeurt er als gegevens anders worden gebruikt dan we nu voorzien?

    Dat zijn geen juridische vragen. Het zijn vragen over besluitvorming.

    Privacy governance in de praktijk

    Hier raakt de DPIA aan privacy governance. Niet als beleid of papieren structuur, maar als dagelijkse praktijk. Privacy governance gaat niet over wie het document invult, maar over wie de afweging maakt.

    In veel organisaties wordt privacy belegd bij één persoon. Soms is dat een formele rol, soms degene die het er “bij doet”. Die persoon vult de DPIA in, geeft feedback en archiveert het document. De rest van de organisatie haakt af.

    Het gevolg is voorspelbaar. Privacy wordt iets dat geregeld moet worden, niet iets dat gezamenlijk wordt afgewogen.

    Goede privacy governance ziet er anders uit. Dan is de DPIA geen solistische exercitie, maar een gesprek tussen verschillende perspectieven. Degene die wil versnellen. Degene die verantwoordelijk is voor risico’s. Degene die de impact op betrokkenen overziet. Niet om consensus af te dwingen, maar om zichtbaar te maken waar spanning zit en welke keuzes daarachter schuilgaan.

    Waarom te laat zo hardnekkig is

    Dat DPIA’s vaak laat worden gestart, komt zelden door onwil. Het is een logisch gevolg van hoe projecten lopen. Eerst wil men vooruit. Pas daarna volgt de verantwoording.

    Bij privacy werkt dat echter averechts. Zodra een besluit is genomen, verandert de rol van de DPIA onbewust. Hij wordt geen stuurinstrument meer, maar een verdedigingsdocument. Alles wat de gekozen richting ter discussie zou kunnen stellen, voelt dan als een risico voor voortgang.

    Dat hoor je terug in formuleringen als “dit risico accepteren we”, “de kans is klein” of “anderen doen dit ook zo”. Niet per definitie onjuist, maar vaak niet onderbouwd. De DPIA legt vooral de conclusie vast, niet het denkproces dat eraan voorafging.

    Juist daarom is timing cruciaal. Een DPIA krijgt pas waarde als er nog ruimte is om alternatieven te overwegen. Denk aan een andere inrichting van toegang, een korte bewaartermijn, een aangepaste configuratie of een andere leverancier. Als die opties niet meer bespreekbaar zijn, documenteer je vooral wat al besloten is.

    De misvatting van “we zijn compliant”

    Een hardnekkige denkfout is dat een ingevulde DPIA gelijkstaat aan compliant zijn. In werkelijkheid zegt een DPIA niets over goed of fout. Hij laat alleen zien dat er is nagedacht, of dat in ieder geval wordt gesteld dat er is nagedacht.

    In praktijkvragen, klantbeoordelingen en audits gaat het steeds vaker over de onderbouwing achter keuzes. Waarom is dit risico acceptabel? Wie heeft dat besloten? En op basis waarvan?

    Zonder die context blijft een DPIA een leeg bewijsstuk.

    De relatie met risicomanagement

    Hier sluit de DPIA aan op een breder patroon. In veel organisaties worden risicoanalyses opgesteld, maar zelden gebruikt. Ze bestaan in documenten, niet in besluitvorming. De DPIA vormt daarop geen uitzondering.

    Wanneer risico’s niet zichtbaar worden verbonden aan keuzes, blijven ze abstract. Ze leven in rapporten, niet in gedrag. Een DPIA die geen invloed heeft op besluiten, draagt niet bij aan beheersing, maar alleen aan archivering.

    Organisaties die de DPIA wél serieus nemen, behandelen hem als onderdeel van hun bredere afwegingskader. Niet losstaand, maar in samenhang met andere risico’s, belangen en verantwoordelijkheden.

    Wat dit vraagt in de praktijk

    Een DPIA die werkt, vraagt geen extra stappen, maar een andere timing en houding. Niet de vraag of hij is ingevuld, maar of dit het juiste moment is om risico’s zichtbaar te maken.

    Dat betekent eerder beginnen, voordat alles vastligt. Het betekent meerdere perspectieven betrekken. En het betekent accepteren dat de uitkomst soms ongemakkelijk kan zijn.

    Wie dat aandurft, merkt dat een DPIA geen rem hoeft te zijn. Het wordt een manier om verantwoordelijkheid te nemen, keuzes uit te leggen en vertrouwen op te bouwen.

    Tot slot

    De DPIA is geen administratieve last en geen juridisch obstakel. Het is een instrument om betere besluiten te nemen, mits hij wordt ingezet waarvoor hij bedoeld is.

    Wanneer de DPIA onderdeel is van het besluit zelf, helpt hij om keuzes bewust te maken in plaats van ze achteraf te verdedigen. Daar begint privacy governance in de praktijk.

    Verder lezen

  • Wanneer je risico’s buiten je organisatie beginnen: leveranciersbeheer als basis voor grip

    Wanneer je risico’s buiten je organisatie beginnen: leveranciersbeheer als basis voor grip

    Veel organisaties hebben hun interne zaken redelijk op orde. Rollen zijn verdeeld, verantwoordelijkheden benoemd en risico’s besproken. Er is nagedacht over wat er binnen de organisatie kan misgaan en hoe daarop wordt gestuurd. Tot het moment dat er iets gebeurt bij een leverancier. Dan wordt zichtbaar hoe relatief die interne grip eigenlijk is.

    Steeds vaker ontstaan de grootste risico’s niet binnen de eigen organisatie, maar daarbuiten. Bij partijen waar dagelijks op wordt vertrouwd, maar waar zelden structureel bij wordt stilgestaan. Leveranciersbeheer is daarmee geen administratief onderwerp meer, maar een essentieel onderdeel van goed bestuur en beheersing.

    De verschuiving van risico’s naar buiten

    De afgelopen jaren is het werk van organisaties fundamenteel veranderd. Taken worden uitbesteed, systemen draaien extern en specialistische kennis ligt steeds vaker bij derden. Dat is geen bewuste strategie om risico’s te verplaatsen, maar een logisch gevolg van schaal, digitalisering en specialisatie.

    IT wordt geleverd als dienst. Applicaties draaien in de cloud. Externe partijen beheren data, ondersteunen klantprocessen of leveren cruciale functionaliteiten waarop de organisatie zelf nauwelijks nog invloed heeft. Tegelijkertijd blijft de verwachting bestaan dat dienstverlening beschikbaar, betrouwbaar en uitlegbaar blijft.

    Die afhankelijkheden ontstaan meestal geleidelijk. Ze worden zelden expliciet ontworpen, maar groeien mee met keuzes die op zichzelf logisch zijn. Een leverancier die ooit ondersteunend was, wordt ongemerkt kritisch. Een tijdelijke oplossing wordt structureel. En een externe partij wordt de enige die een bepaald proces echt begrijpt.

    Zolang alles werkt, voelt dat comfortabel. Er is weinig aanleiding om vragen te stellen. Pas wanneer een klant zekerheid vraagt, een incident zich voordoet of een audit scherper doorvraagt, blijkt hoe weinig overzicht er eigenlijk is op al die afhankelijkheden.

    Leverancierbeheer als governancevraagstuk

    Leveranciersbeheer wordt vaak gezien als iets operationeels. Contracten, afspraken, prestaties en evaluaties. In de kern gaat het echter over vertrouwen en verantwoordelijkheid.

    De relevante vraag is niet of een leverancier “goed” presteert, maar of je kunt uitleggen waarom deze partij wordt vertrouwd. En of helder is welke risico’s daarbij horen. Keuzes die buiten de organisatie worden gemaakt, hebben vaak directe impact op betrouwbaarheid, continuïteit en reputatie. De verantwoordelijkheid daarvoor blijft intern liggen.

    Zonder structureel leveranciersbeheer ontbreekt dat overzicht. Dan worden keuzes wel gemaakt, maar zijn ze achteraf moeilijk te verklaren. Niet omdat ze per se verkeerd waren, maar omdat niemand expliciet heeft vastgelegd waarom ze logisch leken op dat moment.

    De valkuil van eenmalig beoordelen

    In veel organisaties bestaat leveranciersbeoordeling wel degelijk. Vaak bij aanvang van de samenwerking of bij contractverlenging. De beoordeling wordt vastgelegd, besproken en daarna opgeborgen.

    Het probleem zit niet in het beoordelen zelf, maar in het idee dat één moment voldoende is. Risico’s veranderen. Leveranciers breiden hun dienstverlening uit, nemen andere partijen in de keten op, of wijzigen hun manier van werken. Tegelijkertijd verandert ook de organisatie zelf, waardoor afhankelijkheden verschuiven.

    Een beoordeling die geen vervolg kent, geeft vooral een gevoel van zekerheid. Op papier is alles geregeld, maar niemand kan aangeven of aannames nog kloppen. Wanneer niet zichtbaar is hoe actueel een beoordeling is, ontstaat schijncontrole. Er is documentatie, maar weinig grip.

    Niet elke leverancier is even kritisch

    Een veelgemaakte fout is dat alle leveranciers gelijk worden behandeld. Dat leidt tot twee ongewenste effecten. Ofwel er ontstaat onnodige administratieve last voor partijen die weinig risico vormen. Ofwel de aandacht voor echt kritische leveranciers verwatert.

    Effectief leveranciersbeheer begint bij onderscheid maken. Welke leveranciers raken kernprocessen? Welke hebben toegang tot gevoelige informatie? Welke zijn lastig te vervangen zonder directe impact op dienstverlening?

    Zodra dat onderscheid helder is, verschuift het gesprek. Dan gaat het minder over formulieren en meer over afhankelijkheid en impact. Dat gesprek is soms ongemakkelijker, maar ook veel waardevoller dan een uniforme beoordeling die niets zegt over prioriteit.

    Waarom eenvoud beter werkt dan perfectie

    Er bestaat een hardnekkig idee dat leveranciersbeheer complex moet zijn om serieus genomen te worden. Dat leidt tot uitgebreide modellen, uitgebreide vragenlijsten en theoretisch perfecte beoordelingskaders die in de praktijk nauwelijks worden gebruikt.

    Wat daadwerkelijk werkt, is eenvoud en herhaalbaarheid. Dat dezelfde vragen periodiek worden gesteld. Dat keuzes worden vastgelegd, ook als ze niet ideaal zijn. En dat zichtbaar is wanneer een beoordeling is gedaan en wanneer niet.

    Een eenvoudige structuur die consequent wordt gebruikt, levert meer grip op dan een perfect model dat alleen tijdens audits wordt geraadpleegd. Juist in organisaties waar compliance geen aparte discipline is, maar onderdeel van het dagelijkse werk, is dat verschil bepalend.

    Van individuele leverancier naar ketenbewustzijn

    Wie leveranciersbeheer structureel oppakt, merkt al snel dat het onderwerp breder wordt. Het gaat niet alleen meer over afzonderlijke partijen, maar over de keten als geheel.

    Leveranciers zijn zelf ook afhankelijk van andere partijen. Meerdere leveranciers kunnen dezelfde onderliggende dienst gebruiken. Een verstoring op één plek kan daardoor onverwacht veel impact hebben. Dat maakt risico’s cumulatief in plaats van geïsoleerd.

    Ketenbewustzijn betekent dat deze samenhang zichtbaar wordt. Niet door alles te analyseren, maar door te begrijpen waar afhankelijkheden elkaar raken. Dat vraagt geen ingewikkelde modellen, maar wel aandacht en periodieke reflectie op de vraag waar kwetsbaarheden samenkomen.

    Vertrouwen vraagt onderbouwing

    Leveranciersbeheer draait uiteindelijk om vertrouwen. Niet het naïeve vertrouwen dat alles wel goed geregeld is, maar het onderbouwde vertrouwen dat gebaseerd is op inzicht en bewuste keuzes.

    Organisaties die dit op orde hebben, hoeven minder uit te leggen wanneer er iets misgaat. Ze weten waar hun kwetsbaarheden zitten en kunnen laten zien waarom bepaalde keuzes zijn gemaakt. Dat maakt het verschil tussen reactief handelen en regie houden.

    Juist daarom past leveranciersbeheer binnen compliance. Niet als verplicht nummer, maar als manier om grip te houden op wat je zelf niet volledig beheerst.

    Afronding

    Risico’s stoppen niet bij de grenzen van de eigen organisatie. Ze lopen door in de keten van leveranciers, partners en externe partijen waarop dagelijks wordt vertrouwd. Leveranciersbeheer is de manier om die risico’s zichtbaar en bespreekbaar te maken.

    Niet door alles dicht te regelen, maar door bewust om te gaan met afhankelijkheden. Organisaties die dat doen, bouwen niet alleen aan compliance, maar ook aan betrouwbaarheid.

    Verder lezen

  • Waarom klanten steeds vaker om SOC 2 vragen

    Waarom klanten steeds vaker om SOC 2 vragen

    En wat ze eigenlijk willen weten

    Het begint zelden met een audit.

    Meestal begint het met een goed gesprek. Een offerte die inhoudelijk klopt. Een samenwerking die logisch voelt. Vertrouwen, aan beide kanten. Tot er aan het einde van het gesprek nog één vraag op tafel komt.

    “Kunnen jullie iets delen over SOC 2?”

    De vraag klinkt vaak achteloos. Alsof het een formaliteit is. Maar de impact ervan is dat zelden. Want zodra die vraag gesteld wordt, verandert het gesprek. Niet omdat iemand direct een rapport verwacht, maar omdat er iets anders wordt aangeraakt: beheersing, verantwoordelijkheid en volwassenheid.

    Steeds meer organisaties krijgen deze vraag. Ook organisaties zonder grote compliance-afdeling of formele auditstructuur. SOC 2 schuift het gesprek binnen. Niet als certificering, maar als signaal.

    Het hardnekkige misverstand rond SOC 2

    De eerste reflex is vaak defensief.

    Dat SOC 2 “iets is voor grote techbedrijven”. Dat er geen verplichting bestaat. Dat bestaande certificering voldoende zou moeten zijn.

    Die reacties zijn begrijpelijk en vaak inhoudelijk juist. Maar ze missen de kern van de vraag. In de praktijk vragen klanten zelden om SOC 2 omdat zij diepgaande normkennis hebben. Ze vragen ernaar omdat hun afhankelijkheid toeneemt.

    Van systemen. Van processen. Van de manier waarop mensen beslissingen nemen.

    De SOC 2-vraag is zelden normgedreven. Ze is contextgedreven.

    Wat klanten eigenlijk willen weten

    Achter de vraag naar SOC 2 zitten nauwelijks abstracte compliance-eisen. Wat eronder ligt, is concreter en menselijker.

    Klanten willen begrijpen wat er gebeurt als het misgaat. Of duidelijk is wie verantwoordelijkheid draagt. Of incidenten worden vastgelegd in plaats van alleen opgelost. Of beleid iets is dat leeft in de organisatie, of alleen zichtbaar wordt wanneer iemand erom vraagt.

    Het zijn geen auditvragen. Het zijn vertrouwensvragen.

    Dat patroon is niet nieuw. Het kwam eerder terug in verhalen waarin alles op papier geregeld leek, tot een klant om bewijs vroeg. Dan bleek hoe dun de onderliggende structuur eigenlijk was. Niet omdat mensen hun werk niet deden, maar omdat niemand had vastgelegd dát het werk gedaan werd.

    SOC 2 als assurance, niet als vinkje

    SOC 2 is geen certificaat dat je behaalt en vervolgens archiveert. Het is een vorm van assurance. Dat verschil is essentieel.

    Een certificering zegt iets over voldoen op een moment. Assurance laat zien hoe een organisatie structureel werkt en hoe dat te toetsen is.

    Daar wringt het vaak. Niet omdat maatregelen ontbreken, maar omdat beheersing impliciet is georganiseerd. Taken worden uitgevoerd, maar niet herhaalbaar ingericht. Rollen zijn logisch, maar nergens expliciet vastgelegd. Incidenten worden opgelost, maar zelden geëvalueerd.

    In eerdere blogs over audits die nét niet lukten werd dit zichtbaar. De intentie was goed. De maatregelen bestonden. Maar zonder aantoonbaarheid blijft vertrouwen kwetsbaar.

    Waarom deze vragen juist nu vaker op tafel komen

    De omgeving is veranderd. Organisaties zijn sterker met elkaar verweven geraakt. Diensten zijn minder tastbaar. Afhankelijkheden zijn complexer geworden.

    Wat vroeger intern bleef, raakt nu direct anderen. Klanten kijken niet alleen meer naar het eindresultaat, maar ook naar de manier waarop dat resultaat tot stand komt.

    Daarom zie je dezelfde beweging op meerdere plekken terug. Meer aandacht voor leveranciersbeoordeling. Meer vragen over incidentbeheer. Meer nadruk op privacy- en governance-structuren.

    De rode draad is telkens dezelfde. Vertrouwen moet uitlegbaar worden.

    De stille spanning die dan ontstaat

    Wat de SOC-2 vraag vaak blootlegt, is geen gebrek aan goede bedoelingen, maar een gebrek aan impliciete structuur. Veel teams werken op basis van vakmanschap en gezond verstand. Dat functioneert uitstekend, tot het onvoldoende blijkt.

    Zolang alles goed gaat, voelt impliciete beheersing comfortabel. Iedereen weet wat er van hem verwacht wordt. Problemen worden opgelost. Klanten zijn tevreden.

    Maar zodra iemand van buiten meekijkt, ontstaan vragen. Niet omdat er iets mis is, maar omdat niemand precies kan aanwijzen hoe het geregeld is.

    Wie beslist bij twijfel. Waar keuzes worden vastgelegd. Hoe structureel gedrag aantoonbaar is.

    Die vragen ontstaan pas wanneer vertrouwen getest wordt.

    Waarom “we zijn daar te klein voor” geen antwoord meer is

    De gedachte dat dit soort vragen alleen relevant zijn voor grote organisaties, houdt steeds minder stand. Juist compacte teams zijn kwetsbaar voor impliciete afspraken.

    Rollen lopen door elkaar. Taken worden informeel opgepakt. Kennis zit in hoofden, niet in structuren. Dat is efficiënt, tot iemand wegvalt of tot een klant expliciet vraagt hoe iets geborgd is.

    De SOC-2-vraag dwingt niet tot bureaucratie. Ze dwingt tot explicitering. Tot het zichtbaar maken van wat er in de praktijk al gebeurt.

    Wat organisaties die hier ontspannen mee omgaan anders doen

    Organisaties die rustig reageren op dit soort vragen, hebben zelden alles dichtgetimmerd. Wat ze wel hebben, is overzicht.

    Ze weten wie waarvoor verantwoordelijk is. Welke taken terugkeren. Waar besluiten worden vastgelegd. Hoe incidenten worden opgevolgd.

    Niet omdat een norm dat vraagt, maar omdat het rust geeft. Intern én extern.

    Daarmee verschuift compliance van last naar bijproduct. Niet iets wat erbij komt, maar iets wat meebeweegt met hoe er gewerkt wordt.

    Tot slot

    Wanneer iemand naar SOC 2 vraagt, vraagt hij zelden om een rapport.

    Hij vraagt of je begrijpt waar zijn zorgen zitten. Of je weet wat je belooft. En of je kunt laten zien dat je dat ook waarmaakt.

    SOC 2 is dan geen einddoel, maar een spiegel. Geen technische exercitie. Geen juridische verplichting.

    Maar een vraag over hoe je georganiseerd bent.

    Verder lezen

  • Ethische risico’s in organisaties: waarom kleine beslissingen grote impact hebben

    Ethische risico’s in organisaties: waarom kleine beslissingen grote impact hebben

    In veel organisaties komen risico’s niet voort uit grote incidenten, maar uit kleine keuzes die iemand maakt onder druk. Een uitzondering voor een vaste klant. Een stukje informatie dat niet wordt vastgelegd omdat iedereen verder wil. Een collega die twijfelt maar niets zegt om de sfeer niet te belasten. Het lijken onschuldige momenten, maar juist daar ontstaan de risico’s die later terugkomen in incidenten, klantklachten of auditbevindingen.

    Ethische risico’s worden nog vaak onderschat. Er is aandacht voor informatiebeveiliging, beleid, risicoanalyses en audits, maar keuzes in de dagelijkse praktijk krijgen minder structuur. Terwijl juist díe keuzes bepalen of een organisatie echt betrouwbaar functioneert.

    Deze blog laat zien hoe ethische risico’s ontstaan, waarom organisaties er gevoelig voor zijn en hoe je ze beheersbaar maakt met een helder kader, praktische maatregelen en transparantie in besluitvorming.

    Wanneer goede bedoelingen risico worden

    Ethische risico’s ontstaan op momenten waarop iemand snel iets moet beslissen, met beperkte informatie of onder druk van klanten of collega’s. De intentie is zelden verkeerd. De impact kan dat wel zijn.

    Veelvoorkomende situaties:

    • Een beslissing over hoe zorgvuldig klantinformatie wordt vastgelegd;
    • Het overslaan van een interne controle om een project sneller op te leveren;
    • Het niet benoemen van een risico om een collega niet te belasten;
    • Het accepteren van een uitzondering om een klant tevreden te houden.

    In de blog Soft controls: hoe gedrag bepaalt of compliance werkt beschreven we eerder dat gedrag vaak belangrijker is dan procedures. Dat geldt ook hier: ethische risico’s ontstaan aan de voorkant van gedrag, nog voordat iets zichtbaar misgaat.

    Waarom organisaties ze vaak niet zien

    Ethische risico’s zijn lastig te herkennen omdat ze niet direct als risico worden ervaren. Ze ontstaan vaak midden in de dagelijkse werkstroom, waar snelheid, klantgerichtheid en onderlinge samenwerking een grote rol spelen. Zeker in kleinere teams waar processen minder formeel zijn en één persoon meerdere verantwoordelijkheden draagt, worden keuzes vaak intuïtief genomen.

    Daar komt bij dat veel beslissingen niet worden vastgelegd. In de blog De risicoanalyse: een onmisbaar instrument voor elke ondernemer laten we zien dat risico’s pas goed beheersbaar worden wanneer aannames en keuzes expliciet zijn. Ethische risico’s zitten juist in dat deel dat onzichtbaar blijft.

    Wanneer bewijsvoering ontbreekt, ontstaat bovendien een tweede kwetsbaarheid: achteraf is niet duidelijk waarom iets is besloten. Dat zagen we bijvoorbeeld in het PIMS-incident dat we eerder beschreven, waar een kleine keuze leidde tot een grotere impact op informatiebeveiliging.

    Waarom kleine organisaties extra kwetsbaar zijn

    De dynamiek in kleinere teams maakt ethische risico’s zichtbaarder, maar ook lastiger te beheersen. Herkenbare factoren zijn:

    • Minder formele scheiding van rollen;
    • Meer informele samenwerking en vertrouwen;
    • Uitzonderingen die sneller normaal worden;
    • Beperkte tijd om keuzes te documenteren;
    • Collega’s die elkaar uit loyaliteit niet willen afvallen.

    Ethische risico’s hoeven niet groot te zijn om effect te hebben. Ze stapelen zich op in patronen van werkwijzen en verwachtingen. In onze blog over incidenten zagen we dat kleine incidenten vaak signalen zijn van een onderliggend structureel probleem. Hetzelfde geldt hier.

    Drie situaties waarin ethische risico’s vaak ontstaan

    1.     Tijdsdruk en klantverwachtingen

    Bij urgente vragen wordt sneller besloten, minder vastgelegd en soms een procedure overgeslagen. Op korte termijn lijkt dat efficiënt. Op lange termijn creëert het risico op inconsistenties of onvolledige informatie.

    2.     Onvoldoende bewijsvoering

    Wanneer keuzes niet worden gedocumenteerd, ontstaat ruimte voor interpretatie. In de blog Waarom GRC-software belangrijk is voor moderne bedrijven benadrukken we hoe belangrijk aantoonbaarheid is. Ethische risico’s verschijnen vaak precies op het moment dat documentatie ontbreekt.

    3.     Sociale dynamiek binnen teams

    Mensen willen conflicten vermijden. Een medewerker gaat niet tegen een collega in. Een leidinggevende stelt kritische vragen niet omdat de sfeer goed moet blijven. Die patronen beïnvloeden besluitvorming veel meer dan organisaties vaak doorhebben.

    Hoe je ethische risico’s zichtbaar maakt

    Ethische risico’s worden beheersbaar zodra je weet waar ze kunnen ontstaan. Drie vragen helpen om dit concreet te maken:

    1. Waar in onze processen nemen medewerkers beslissingen die niet volledig door procedures worden bepaald?
    2. Welke belangen spelen mogelijk een rol in dat moment?
    3. Wat kan er gebeuren als deze beslissing anders uitpakt dan bedoeld?

    Deze aanpak maakt ethische risico’s concreet zonder theoretische discussies. Je kijkt eenvoudig naar je eigen processen, gedrag en realistische werkdruk.

    Wanneer deze risico’s zichtbaar zijn, wordt het eenvoudiger om gericht maatregelen te nemen.

    Hoe je ethische risico’s beheerst zonder extra bureaucratie

    Het doel is niet om elke beslissing dicht te regelen, maar om medewerkers een kader te geven waarin zij goede keuzes kunnen maken en deze kunnen verantwoorden. Dat kan met een paar praktische maatregelen.

    1.     Maak het moreel kader duidelijk

    Geen dikke beleidsdocumenten, maar drie tot vijf principes die richting geven. Denk aan zorgvuldigheid, transparantie en objectiviteit. Als medewerkers die principes kennen, kunnen ze zelf consistente keuzes maken.

    2.     Bespreek echte voorbeelden

    Casussen uit eigen organisatie werken beter dan generieke regels. Zoals we schreven in Incidenten registreren en verbeteren, zijn realistische voorbeelden de sleutel tot gedragsverandering.

    3.     Laat twijfels bespreekbaar zijn

    Veel risico’s ontstaan omdat iemand niet zeker is maar het niet durft te benoemen. Een cultuur waarin twijfel als professioneel wordt gezien in plaats van zwak, voorkomt veel misverstanden.

    4.     Leg keuzes kort vast

    Twee tot drie regels zijn genoeg. Wie nam de beslissing? Waarom? Wat is afgesproken? Dit maakt toekomstige audits eenvoudiger en voorkomt dat aannames een eigen leven gaan leiden.

    5.     Gebruik tooling voor helderheid en consistentie

    CompliTrack kan helpen om risico’s, besluiten en acties inzichtelijk te maken. Niet om gedrag te controleren, maar om structuur te bieden en ruis te verwijderen.

    Hoe ethische risico’s onderdeel worden van risicomanagement

    Ethische risico’s horen net zo goed in een risicoanalyse als technische of operationele risico’s. Ze vormen vaak de oorzaak achter zichtbare incidenten: datalekken, verkeerde leverancierskeuzes, onzorgvuldige documentatie of fouten die tijdens audits terugkomen.

    Door ethische risico’s bewust mee te nemen in je periodieke risicoanalyse ontstaat een veel vollediger beeld van waar processen kwetsbaar zijn. Het helpt bovendien om verbeteracties gerichter te prioriteren.

    Waarom de relevantie toeneemt

    Wetgeving en rapportage-eisen richten zich steeds meer op governance, besluitvorming en integriteit. Onder NIS2 moeten organisaties kunnen aantonen dat risico’s structureel worden beheerd. Ook binnen duurzaamheids- en governance-rapportages groeit de nadruk op gedrag, transparantie en controle.

    Ethische risico’s worden daarmee geen zachte randvoorwaarde meer, maar een meetbaar onderdeel van volwassen bedrijfsvoering.

    Conclusie

    Ethische risico’s ontstaan in de dagelijkse praktijk. Niet door slechte intenties, maar door normale keuzes in drukke momenten. Door deze risico’s zichtbaar te maken, een helder kader te bieden en besluiten transparant vast te leggen, bouw je aan betrouwbaarheid en voorspelbaarheid. Het zorgt niet alleen voor minder incidenten, maar ook voor meer rust en duidelijkheid in de organisatie.

    Verder lezen

  • Ethische besluitvorming in kleine organisaties: hoe een goed besluit toch verkeerd uitpakte

    “Kunnen jullie ons laten zien welke patronen jullie zien in de oorzaken van meldingen, zodat we de dienstverlening kunnen verbeteren?”

    Dat was de vraag van een nieuwe klant. Ze wilden begrijpen waarom sommige processen vastliepen en welke meldingen voorafgingen aan vertragingen. De organisatie had de informatie gewoon in huis: wachttijden in het CRM-systeem, interne meldingen in het ticketsysteem en een Excelbestand met oorzaken van klachten. Het combineren van de datasets is in de dienstverlening heel normaal, dus de vraag leek eenvoudig te beantwoorden.

    Een collega stelde voor om de drie datasets samen te voegen tot één analyse. Technisch was dat zo gedaan en het leek prima te passen binnen het bestaande werkproces. Niemand zag direct risico’s. De klant wilde snel resultaat, dus het besluit werd genomen.

    Tot zover niets spannends.

    Waarom deze dataset tóch gevoelig werd

    Wat in de vergadering niet expliciet werd besproken, was de aard van sommige meldingen. Het ticketsysteem bevatte namelijk niet alleen procesmeldingen of technische klachten. Klanten deelden daar ook persoonlijke situaties, problemen in communicatie, ervaringen met medewerkers en soms zelfs gezondheidsinformatie of andere gevoelige omstandigheden.

    Normaal bleef dit binnen een klein intern team. Maar bij het combineren van datasets gaat die scheiding onvermijdelijk verloren. Niet inhoudelijk, maar in hoe de gegevens in analyses terugkomen. Als je zelf werkt met klantmeldingen, herken je waarschijnlijk hoe snel gevoelige informatie onderdeel wordt van wat in dashboards simpelweg “data” heet.

    Dat maakt data-analyse op zichzelf niet verkeerd, maar het vraagt wel dat je bewust kijkt naar wat er gebeurt met informatie die klanten in vertrouwen delen.

    Hoe de data uiteindelijk verkeerd terechtkwam

    De gecombineerde dataset werd gebruikt voor wat hij bedoeld was: een trendanalyse voor de klant. De analyse liet keurig zien welke processen vertraging veroorzaakten en welke types meldingen daaraan voorafgingen. De klant was tevreden.

    Daarna belandde de analyse in een intern dashboard. Niet publiek, maar wel toegankelijk voor andere teams. Het marketingteam ontdekte dat bepaalde categorieën meldingen vaker voorkwamen bij klanten die later overstapten naar een concurrent. Dat vonden ze waardevolle informatie voor een campagne die gericht was op het voorkomen van klantverlies.

    Wat marketing niet wist, was dat sommige van die meldingen indirect verwezen naar persoonlijke of vertrouwelijke situaties. Voor de data-analist was dit een anoniem datapunt, maar voor de klant was het een gevoelig verhaal dat hij nooit als marketinginput had bedoeld.

    Toen één van die klanten een opvallend gericht aanbod kreeg, voelde hij zich ongemakkelijk. Hij herkende elementen uit een melding die hij eerder had gedaan en vroeg zich af hoe zijn informatie op deze manier was gebruikt. Het was geen datalek, geen schending van systemen en op het eerste gezicht leek er zelfs weinig mis met de verwerking zelf. Maar ethisch zat het anders: de klant had dit niet kunnen verwachten.

    De ethische fout: niet technisch, maar verwachtingsgericht

    De fout zat niet in de techniek, maar in het ontbreken van een bewuste afweging. De organisatie keek naar wat technisch kon en praktisch nuttig was, maar niet naar wat de klant redelijkerwijs zou verwachten.

    Dat kwam neer op vier zaken:

    1. De oorspronkelijke uitvraag ging over procesverbetering, niet over commerciële zaken.
    2. De dataset bevatte meldingen met vertrouwelijke details die nooit bedoeld waren voor hergebruik.
    3. De analyse kwam in een gedeeld dashboard terecht zonder duidelijke uitleg over de gevoeligheid van de brondata.
    4. Marketing gebruikte de inzichten zonder te weten dat sommige meldingen meer waren dan “klachtcategorieën”.

    Het commerciële gebruik was dus niet kwaadwillend, maar wél onverwacht vanuit klantperspectief. En precies daar wringt ethiek: kun je uitleggen aan de klant waarom je deze informatie op deze manier hebt gebruikt.

    Waarom dit soort situaties zo makkelijk ontstaan

    Als je in een kleinere organisatie werkt, herken je waarschijnlijk hoe dit gebeurt. Rollen overlappen, teams werken pragmatisch en beslissingen moeten vaak snel genomen worden. In die dynamiek ontstaan situaties waarin:

    • Een technisch logische keuze onverwachte gevolgen heeft,
    • Gevoelige informatie onderdeel wordt van dashboards,
    • Verschillende teams dezelfde data anders interpreteren,
    • En niemand expliciet bewaakt of het gebruik past bij de bedoeling.

    Dat is geen kwestie van onzorgvuldigheid, maar van het ontbreken van vaste momenten waarop je stil staat bij de impact van een besluit op vertrouwen.

    Ethische besluitvorming als onderdeel van normaal werk

    Ethische besluitvorming hoeft niet zwaar of theoretisch te zijn. Vaak helpt het al om een paar eenvoudige vragen te stellen wanneer je besluiten neemt over data:

    • Zitten er elementen in deze dataset die gevoelig zijn of in vertrouwen zijn gedeeld.
    • Kan deze analyse, zelfs indirect, leiden tot iets wat een klant anders interpreteert dan bedoeld.
    • Zou ik dit gebruik van data kunnen uitleggen aan een klant die de melding heeft gedaan.
    • Moeten teams die de analyse gebruiken weten waar de data vandaan komt.

    Als je deze vragen vroeg in het proces stelt, ontstaat er vanzelf duidelijkheid. Dan kun je bijvoorbeeld ervoor kiezen om meldingen te anonimiseren, bepaalde categorieën uit te sluiten of toegang tot dashboards te beperken.

    Dat maakt het besluit niet zwaarder, maar beter onderbouwd. En het voorkomt verrassingen achteraf.

    Technologie helpt, maar bepaalt niet

    Dashboard, ISMS-tools, kwaliteitsmanagementsystemen en AI-modellen bieden veel waarde. Ze helpen patronen te zien die je anders mist. Maar technologie neemt nooit de morele afweging over. Systemen kunnen niet bepalen of een klant iets als eerlijk of wenselijk ervaart.

    In eerdere blogs over AI-governance en het RAM-schandaal bleek hoe snel verantwoordelijkheid diffuus kan worden als systemen meer bepalen dan mensen beseffen. Juist daarom is het belangrijk dat organisaties blijven nadenken over context, betekenis en verwachting.

    Tools zoals CompliTrack kunnen helpen om inzicht te bieden in risico’s, incidenten en procesverbeteringen. Maar de vraag of een besluit uitlegbaar is, blijft altijd menselijk.

    De kernles van het verhaal

    De fout zat niet in de analyse. Niet in het combineren van datasets. Niet in marketing. De fout zat in een ontbrekende expliciete afweging over wat klanten redelijkerwijs mogen verwachten.

    Data vertelt veel, maar niet wat het betekent voor een klant die vertrouwt op jouw zorgvuldigheid. Ethische besluitvorming maakt dat zichtbaar, zodat je als organisatie niet alleen de juiste dingen doet, maar ze ook op de juiste manier doet.

    In een volgend artikel laat ik zien hoe je ethische risico’s concreet kunt opnemen in je risicobeheer, zodat dit soort dilemma’s eerder zichtbaar worden.

    Lees verder

    Van risico’s naar actie: de volgende stap in effectief risicobeheer
    Hoe je risico’s structureel koppelt aan concrete verbeteracties

    Incidenten registreren én verbeteren: hoe je leert van je fouten
    Over het herkennen van patronen in incidenten en het doorvoeren van structurele verbeteringen.

    We hadden beleid, processen en tools, maar niemand voelde zich verantwoordelijk
    Over het belang van eigenaarschap en gedrag in governance.

    Van toezicht naar vertrouwen: lessen uit het RAM-schandaal voor jouw organisatie
    Wat je kunt leren van situaties waarin technologie, toezicht en verantwoordelijkheid botsen

    AI-governance in de praktijk: hoe je slimme systemen uitlegbaar houdt
    Over het borgen van verantwoordelijkheid bij geautomatiseerde besluitvorming.

  • Incidentbeheer dat werkt: 5 stappen waardoor teams het proces wel volgen

    Incidentbeheer dat werkt: 5 stappen waardoor teams het proces wel volgen

    Wanneer er iets misgaat, schieten teams meteen in de actiemodus. Een storing wordt opgelost, een verkeerde handeling wordt hersteld, een klant wordt gerustgesteld. Vaak met succes, behalve in één opzicht: vrijwel niemand registreert het incident volgens het proces dat officieel geldt. Dat proces staat wel in een document, maar het wordt niet gebruikt op het moment dat het nodig is.

    Veel organisaties herkennen dit. Incidentbeheer bestaat formeel, maar niet in het dagelijkse werk. Dat is jammer, want incidenten zijn een van de meest waardevolle bronnen voor verbetering, risicobeheersing en aantoonbare controle. In deze blog laten we zien hoe je incidentbeheer zo inricht dat teams het proces vanzelf volgen, omdat het aansluit op de praktijk en echt helpt.

    Waarom incidentprocessen vaak niet gebruikt worden

    Een incidentproces werkt alleen als het logisch voelt voor de mensen die ermee moeten werken. In de praktijk haken teams om drie redenen vaak af.

    Het proces is ingewikkeld

    Wanneer melden tijd kost, meerdere stappen vraagt of voelt als administratie, zoekt men liever een directe oplossing zonder registratie.

    Incidenten worden geassocieerd met schuld

    Als melden voelt alsof je jezelf of een collega aanwijst, ontstaat terughoudendheid. Daardoor worden incidenten kleiner gemaakt of niet gemeld.

    Het nut is niet zichtbaar

    Wanneer meldingen niets opleveren of verdwijnen zonder opvolging, verliest het proces direct waarde.

    In eerdere blogs schreven we over hoe risicoanalyse valt of staat met actuele signalen. De risicoanalyse: een onmisbaar instrument voor elke ondernemer laat duidelijk zien dat incidenten precies dat soort signalen bevatten. Zonder betrouwbare incidentregistratie mis je patronen die essentieel zijn voor beheersmaatregelen.

    Stap 1: Maak melden eenvoudig en snel

    Incidentbeheer begint met de drempel om te melden. Hoe kleiner die drempel, hoe groter de kans dat het proces wordt gevolgd. Drie elementen zijn hierbij cruciaal.

    Eén logische ingang

    Iedereen moet weten waar incidenten gemeld moeten worden. Geen e-mails, losse formulieren of gedeelde mappen, maar één centrale plek.

    Een kort meldformulier

    Vraag alleen wat nodig is om het incident te begrijpen:

    • Wat is er gebeurd?
    • Wat was de impact?
    • Wat is er tijdelijk gedaan om het op te lossen
    • Wat moet nog worden onderzocht

    Meer informatie kan later worden aangevuld door degene die verantwoordelijk is voor de opvolging.

    Een eenvoudige definitie

    Wanneer medewerkers twijfelen of iets een incident is, melden ze minder. Gebruik daarom een heldere definitie, zoals: elke afwijking van de normale situatie die invloed kan hebben op kwaliteit, dienstverlening of informatiebeveiliging.

    Een meldproces dat minder dan een minuut kost, wordt gebruikt. Een proces dat tijd of uitleg vraagt, wordt overgeslagen op precies de momenten waarop het nodig is.

    Stap 2: Koppel incidenten aan risico’s

    Incidenten geven inzicht in risico’s die werkelijkheid worden. Door incidenten direct te koppelen aan risico’s ontstaat een volledig beeld van wat er spelt binnen je organisatie.

    Dat heeft drie voordelen.

    Patronen worden zichtbaar

    Meerdere kleine incidenten kunnen samen één groot risico vormen. Pas wanneer incidenten worden gekoppeld aan risico’s, wordt duidelijk waar zich structurele problemen voordoen.

    Verbetermaatregelen worden onderbouwd

    Teams zien dat meldingen leiden tot acties in het risicoregister of verbeterplan. Incidentbeheer krijgt daarmee waarde in de dagelijkse praktijk.

    Risicoanalyses blijven actueel

    Incidenten zijn input voor herbeoordeling van risico’s. Dit sluit aan op wat we eerder beschreven in onze blogs over risicobeheer, zoals De risicoanalyse: Een onmisbaar instrument voor elke ondernemer.

    Door incidenten te koppelen aan risico’s ontstaat er een directe relatie tussen dagelijkse praktijk en strategische beheersing. Dat maakt incidentbeheer nuttig én relevant voor iedereen.

    Stap 3: Richt het proces in op leren, niet op schuld

    Incidentbeheer werkt alleen wanneer melden veilig voelt. Zodra incidenten worden gezien als persoonlijke fouten, ontstaat er terughoudendheid. Het proces moet daarom expliciet gericht zijn op leren en verbeteren.

    Een vaste analysemethode helpt daarbij. Denk aan een eenvoudige root cause analyse of aan de 5-waarom-techniek. Niet om iemand verantwoordelijk te maken, maar om te begrijpen welke omstandigheden het incident mogelijk maakten.

    In onze blog Van incident tot verbetering: Hoe organisaties incidentbeheer optimaliseren met GRC-software beschreven we hoe organisaties pas echt verbeteren wanneer incidenten worden gezien als informatiebron. Dat vraagt om een cultuur waarin openheid wordt gestimuleerd en fouten bespreekbaar zijn.

    Een analyse die gericht is op oorzaken in processen en context helpt om de drempel tot melden te verlagen. Teams ervaren dat een incident geen verwijt is, maar een kans om de organisatie sterker te maken.

    Stap 4: Maak opvolging zichtbaar en voorspelbaar

    Een incidentproces valt of staat met opvolging. Wanneer meldingen verdwijnen zonder terugkoppeling, stopt het proces vanzelf. Zichtbare opvolging zorgt ervoor dat mensen ervaren dat een melding zin heeft.

    Daarvoor zijn vier onderdelen nodig.

    Een duidelijke eigenaar per incident

    Teams moeten weten wie verantwoordelijk is voor analyse en opvolging.

    Realistische deadlines

    Acties zonder tijdlijn vervagen. Deadlines brengen ritme en helderheid.

    Prioritering op basis van impact en herhaalbaarheid

    Niet elk incident vraagt dezelfde inspanning. Door impact en kans op herhaling te beoordelen, worden de juiste onderwerpen snel opgepakt.

    Een complete audittrail

    Documenteer welke stappen zijn gezet, welke acties zijn uitgevoerd en wanneer maatregelen zijn afgerond. Dit voorkomt discussies achteraf en maakt het proces aantoonbaar.

    In de blog Incidenten registreren én verbeteren: zo voorkom je dat compliance bij registratie stopt benadrukten we al dat de kracht van incidentbeheer zit in de opvolging, niet in het formulier. Een melding zonder actie is een gemiste kans.

    Stap 5: Test het incidentproces net zo serieus als andere kritieke processen

    Veel incidentprocessen worden ontworpen in documenten, maar nooit getest in de praktijk. De enige manier om te ontdekken of een proces werkt, is door het te oefenen.

    Start eenvoudig. Laat een team fictief incident melden en doorlopen. Observeer wat goed gaat en waar verwarring ontstaat. Vaak blijken de grootste obstakels praktisch:

    • Het formulier wordt niet gevonden
    • Onduidelijkheid of iets wel een incident is
    • Acties die niet worden toegewezen omdat rollen niet helder zijn
    • Prioriteiten die onlogisch aanvoelen

    Door dit regelmatig te testen, wordt het proces sneller, duidelijker en meer onderdeel van de cultuur.

    Dit werkt op dezelfde manier als continuïteitsoefeningen, waar we eerder over schreven. Een proces dat getest wordt, leeft. Een proces dat alleen in documenten bestaat, wordt onder druk niet gebruikt.

    Waarom deze aanpak werkt

    Organisaties die incidentbeheer succesvol toepassen, hebben drie overeenkomsten.

    Het proces sluit aan op de dagelijkse realiteit

    Melden is eenvoudig, analyseren is duidelijk en opvolging is logisch en zichtbaar.

    Incidentbeheer levert waarde op

    Teams zien dat meldingen bijdragen aan betere besluitvorming, scherpere risicoanalyse en betrouwbare dienstverlening.

    Het proces wordt actief onderhouden

    Door regelmatig te testen en verbeteren wordt het onderdeel van de organisatie, niet slechts een verplicht nummer voor audits.

    Incidentbeheer is daarmee niet alleen een middel voor aantoonbaarheid, maar een instrument om kwaliteit, veiligheid en continuïteit te waarborgen.

    Verder lezen

    Deze blogs sluiten inhoudelijk aan en versterken de samenhang tussen incidentbeheer, risicoanalyse en verbetering.