Auteur: admin

  • Toen het misging deed iedereen z’n best maar niemand volgde het proces

    Toen het misging deed iedereen z’n best maar niemand volgde het proces

    Het begon op een dinsdagochtend die nergens bijzonder in leek. De agenda stond vol, het team was net opgestart en iedereen was bezig om de dag rustig in te glijden. De eerste melding kwam om 09:03 uur. Een klant kon niet meer inloggen. Het gebeurt vaker, dus niemand raakte direct in paniek. Vijf minuten later volgde de tweede melding. Binnen een kwartier stond de teller op drie. De lichte onrust veranderde in gespannen alertheid. Iedereen keek elkaar aan. Dit was geen toeval meer.

    In een reflex stond het hele team paraat. De een dook in systemen, een ander pakte de telefoon, een derde probeerde alvast een workaround voor de klant te regelen. Het was pure betrokkenheid. Niemand wachtte af, niemand wilde dat de klant langer in onzekerheid bleef. En toch speelde precies dat moment het zwakke punt van de organisatie bloot. Iedereen deed zijn uiterste best, maar niemand volgde het incidentproces.

    Wanneer betrokkenheid de structuur verdringt

    Naarmate de minuten verstreken, groeide de druk. De meldingen bleven binnenkomen, vragen stapelden zich op en klanten wilden weten wat er aan de hand was. Het overzicht verdween razendsnel. Wat bedoeld was als een gecoördineerde aanpak, veranderde in parallelle pogingen om het probleem op te lossen. Er werd gemaild, geappt en tegelijk in meerdere systemen gezocht. Een collega noteerde iets in een privé notitieboek, een ander in een Excel-bestand, een derde in een chatsysteem.

    Het was geen chaos door gebrek aan kunde. Het was chaos omdat niemand dezelfde eerste stap nam. Dat is precies wat er gebeurt wanneer een proces wél bestaat, maar niet leeft. Een document kan netjes zijn opgesteld, maar als het geen onderdeel is van het dagelijkse werk, verdwijnt het op het moment dat de druk het hoogst is.

    Later die dag, toen de storing onder controle was en de adrenaline gedaald, was er ruimte voor reflectie. De vraag die terugkwam was simpel. Hoe kan het dat we een incidentproces hebben, en toch volledig terugvallen op improvisatie zodra het spannend wordt.

    De eerlijkste conclusie was ook de meest confronterende. Het proces was geen routine. Het was informatie. Geen gedrag.

    Een proces op papier is nog geen proces in de praktijk

    In veel organisaties blijft een incidentproces hangen in theoretische bekendheid. Mensen hebben het ooit gezien, weten dat het er is, maar hebben het nooit echt hoeven toepassen. En als het dan zover is, grijpen ze naar wat het meest natuurlijk voelt: direct handelen. Dat is begrijpelijk, maar ook gevaarlijk.

    Een proces werkt alleen als medewerkers het herkennen als houvast, niet als verplichting. Het moet intuïtief zijn. Het moet een routine worden. En routines ontstaan niet door een presentatie, een folder of een pagina in het handboek. Ze ontstaat doordat je een proces regelmatig toepast, bespreekt, herhaalt en controleert. Pas dan beklijft het.

    Het team besefte achteraf dat niemand nog precies wist waar het proces stond, laat staan hoe het begon. Sommigen dachten dat de storing zo uitzonderlijk was dat het proces waarschijnlijk niet volledig zou passen. Anderen begonnen uit gewoonte aan hun favoriete oplossingsrichting. Iedereen handelde met de beste intenties, maar het ontbrak aan een gedeeld startpunt. Dat is een van de meest voorkomende oorzaken van falend incidentbeheer: het proces voelt niet logisch of dichtbij genoeg.

    Onze eerdere blogs over continuïteit en ISMS laten hetzelfde zien. Een procedure die niet is ingeslepen, blijft niet overeind wanneer de druk toeneemt. Onder stress volgt iedereen zijn eigen instinct. Daarom moet een proces dat je in crisistijd wilt gebruiken, vooral heel simpel zijn.

    Waarom incidentprocessen zo vaak instorten onder druk

    Incidentbeheer heeft twee natuurlijke tegenpolen. Aan de ene kant wil een organisatie snel handelen. Aan de andere kant wil ze gestructureerd werken. Wanneer de druk toeneemt, wint snelheid het bijna altijd van structuur. Zeker in kleinere teams, waar iedereen meerdere rollen heeft en niemand fulltime met compliance bezig is.

    Dat leidt tot herkenbare patronen. Stappen worden overgeslagen omdat ze “later wel” worden ingevuld. Incidentregistratie gebeurt achteraf, selectief of versnipperd. Wat in e-mails staat, staat niet in het registratiesysteem. Wat in persoonlijke notities staat, bereikt het team niet. Bewijslast ontbreekt. Analyse wordt moeilijk. En tijdens een audit blijkt dat de opvolging niet aantoonbaar is, ook al heeft iedereen heel hard gewerkt.

    Dit patroon zagen we eerder ook in onze blog over risico’s, incidenten en audits. Een proces dat niet verbonden is met het dagelijks werk, kan ook niet functioneren als het erop aankomt. Het verschil tussen theoretische naleving en praktische beheersing komt altijd bovendrijven op momenten waarop je het het minst kunt gebruiken.

    Hoe we het proces weer klein en logisch maakten

    Het inzicht was helder. Het proces was niet te ingewikkeld op papier, maar voelde wel ingewikkeld op het moment zelf. Dat moest anders. Daarom besloten we het proces terug te brengen naar drie basisvragen die iedereen, ongeacht rol of ervaring, direct moet kunnen beantwoorden.

    • Wat is er precies gebeurd?
    • Wat is de impact op klant en operatie?
    • Wie pakt de eerste actie op?

    Door het proces te versimpelen, werd het niet minder compleet. Het werd toegankelijk. Herkenbaar. Toepasbaar in stresssituaties. Het gaf medewerkers duidelijkheid in plaats van keuzestress. En dat zorgde voor een interessant effect.

    Het proces werd vaker gevolgd omdat het eenvoudiger werd. Incidenten werden vaker geregistreerd omdat de drempel lager werd. Niet alleen grote, maar ook kleine afwijkingen kwamen boven water. Die signalen zijn goud waard. Kleine incidenten laten zien waar routines afwijken, waar communicatie schuurt of waar processen onnodig kwetsbaar zijn. Dat is precies het niveau waarop organisaties leren en verbeteren.

    Incidenten oplossen is niet hetzelfde als incidenten beheersen

    In de evaluatie ontdekten we dat we incidenten goed konden oplossen, maar onvoldoende beheersten. Oplossen gebeurt in de operatie. Beheersen gebeurt in het proces. Het eerste draait om actie, het tweede om structuur, analyse en verbetering.

    Wanneer incidenten niet worden beheerst, ontstaan steeds dezelfde patronen. Werk verdwijnt in mailboxen. Gegevens worden niet eenduidig geregistreerd. Incidenten worden als losse gebeurtenissen gezien, niet als onderdeel van een trend. Het gevolg is dat de organisatie stabiliteit mist. En tijdens audits ontstaat onzekerheid, omdat er geen helder verhaal is over wat er is gebeurd en wat ermee is gedaan.

    Een audit later dat jaar maakte dat pijnlijk duidelijk. De auditor vroeg niet alleen naar incidentregisters, maar vooral naar de manier waarop we opvolging borgden. Welke informatie vastgelegd werd op het moment zelf. Hoe het team wist wie de eerste stap moest zetten. En hoe we zeker wisten dat niets tussen wal en schip viel. Het nieuwe, eenvoudige proces gaf ineens een helder antwoord. Het was aantoonbaar. Begrijpelijk. Praktisch.

    De vraag die elk team zichzelf zou moeten stellen

    Wat doen wij als eerste wanneer er morgen een incident is?

    Dat is de vraag die je team in één zin moet kunnen beantwoorden. Als de antwoorden uiteenlopen, leeft het proces niet. Als iedereen dezelfde startstap kent, staat het fundament. Incidentbeheer begint niet bij tooling of procedures, maar bij gedrag. Bij mensen die weten waar de eerste stap ligt. En pas daarna bij het systeem dat die stap ondersteunt, documenteert en opvolging afdwingt.

    Goede incidentbeheersing is geen hogere wiskunde. Het is voorspelbaar samenwerken. Het is helderheid creëren op het moment dat alles onduidelijk lijkt. Het is het verschil tussen paniek en overzicht. En vooral: het geeft klanten vertrouwen dat je organisatie grip heeft op wat er gebeurt, ook wanneer er iets misgaat.

    Een proces is pas waardevol wanneer het in de praktijk werkt. Niet wanneer het op papier perfect staat, maar wanneer het team het instinctief volgt. Dat is de stap van document naar gewoonte. Van papier naar gedrag. Van losse incidenten naar structurele verbetering.

    Verder lezen

    Deze blogs sluiten goed aan op het thema van incidentgedrag, opvolging en aantoonbaarheid:

  • Ketenrisico’s in kleine organisaties: waarom het verder gaat dan leveranciersbeheer

    Ketenrisico’s in kleine organisaties: waarom het verder gaat dan leveranciersbeheer

    Veel organisaties richten hun aandacht vooral op de leveranciers waar zij formele afspraken mee hebben. Er zijn contracten, SLA’s en terugkerende evaluaties die moeten aantonen dat alles onder controle is. Toch ontstaan de grootste verstoringen zelden bij deze partijen. Problemen komen juist van een heel andere hoek: de externe ontwikkelaar die een cruciale module onderhoudt, het bureau dat klantgegevens bewaart zonder dat dit expliciet is afgesproken of de partner die wijzigingen doorvoert zonder vooraf overleg.

    Dit zijn geen uitzonderlijke situaties. Ze laten zien dat ketenrisico’s veel verder reiken dan traditionele leveranciersrelaties. Ze raken aan kennis, toegang, continuïteit en zelfs cultuur. En juist omdat deze risico’s buiten de formele processen vallen, blijven ze vaak onzichtbaar tot het misgaat.

    In eerdere blogs hebben we al verkend hoe je leveranciers beoordeelt en risico’s beheerst. In deze blog kijken we verder. Wat gebeurt er wanneer je de hele keten in beeld brengt, en hoe krijg je daar grip op zonder het zwaar te maken.

    1. De keten is groter dan je leverancierslijst

    Wanneer mensen over ketenbeheer praten, denken ze vaak aan leveranciers waar facturen vandaan komen. De praktijk is anders. Veel organisaties werken met tijdelijke experts, nichepartners en freelancers die onderdeel zijn van de dienstverlening, maar niet worden gezien als formele leverancier.

    Denk aan een externe ontwikkelaar die toegang heeft tot productiedata. Een adviseur die inlogt op interne omgevingen. Of een creatief bureau dat klantinformatie ontvangt om een campagne te bouwen. Hoewel deze partijen een directe rol spelen in processen, staan ze meestal niet in een risicomatrix of leveranciersregister.

    Dat maakt de keten kwetsbaar. Wanneer een externe specialist uitvalt, vertrek aankondigt of simpelweg tijdelijk niet beschikbaar is, kan een proces volledig stilvallen. Niet omdat het systeem faalt, maar omdat er afhankelijkheden bestaan die nooit zijn vastgelegd.

    2. Afhankelijkheden moeten eerst zichtbaar zijn

    Ketenrisico’s kun je pas beoordelen wanneer je weet wie invloed heeft op je processen. Dat vraagt niet om uitgebreide documentatie, maar om een helder beeld van de externe partijen die in jouw organisatie meedraaien.

    Een goede inventarisatie begint bij drie eenvoudige vragen:

    • Welke externe partijen raken processen, systemen of informatie.
    • Wat gebeurt er wanneer hun werk wegvalt.
    • Welke afspraken bestaan er al en welke worden alleen in de praktijk gemaakt.

    Zodra je deze vragen beantwoordt, ontstaat er een duidelijk beeld van waar de echte kwetsbaarheden zitten. Je ziet welke werkzaamheden door één persoon worden uitgevoerd, waar kennis niet is gedeeld en welke processen afhankelijk zijn van informele afspraken. Dat inzicht maakt het mogelijk om risico’s te beheersen voordat ze zich voordoen.

    3. Risico’s in de keten zijn vaak menselijk

    Veel ketenrisico’s ontstaan niet door techniek, maar door gedrag. Een externe specialist die meerdere projecten combineert, een partner die wijzigingen doorvoert zonder melding of een dienstverlener die blijft vertrouwen op verouderde middelen. Het zijn kleine beslissingen die grote gevolgen kunnen hebben.

    In een eerdere blog beschreven we hoe gedrag bepalend is voor de effectiviteit van compliance. Dat geldt ook in de keten. Contracten zijn belangrijk, maar ze bepalen niet of iemand zorgvuldig werkt, kennis overdraagt of wijzigingen actief communiceert. Dat hangt af van gewoonten, verwachtingen en samenwerking.

    Daarom is het bij ketenrisico’s belangrijk om niet uitsluitend naar afspraken te kijken, maar ook naar de manier waarop externen hun werk uitvoeren. Hoeveel kennis ligt bij één persoon. Is het werk goed gedocumenteerd. Kan iemand anders het proces overnemen. Deze vragen bepalen hoe robuust de keten in werkelijkheid is.

    4. Een eenvoudige risicoanalyse voor je keten

    Grip krijgen op ketenrisico’s hoeft niet complex te zijn. Een lichte risicoanalyse kan al voldoende inzicht geven om structurele risico’s te verkleinen. Daarbij helpt het om vijf elementen te beoordelen:

    1. Externe partijen
      Breng alle partijen in kaart die invloed hebben op jouw processen, systemen of informatie.
    2. Geraakte onderdelen
      Noteer welke activiteiten of applicaties afhankelijk zijn van deze partijen.
    3. Impact bij uitval
      Onderzoek wat er stagneert wanneer een externe partij tijdelijk wegvalt.
    4. Toegang en beveiliging
      Bepaal welke accounts, systemen en data toegankelijk zijn voor deze partij.
    5. Vervangbaarheid
      Bekijk hoe snel iemand anders het werk kan overnemen.

    Dit overzicht geeft een realistisch beeld van waar de keten kwetsbaar is. De kracht zit in eenvoud: hoe duidelijker het beeld, hoe gemakkelijker het wordt om maatregelen te nemen zonder een zware beheersstructuur op te tuigen.

    5. Toegang door externen: het meest onderschatte risico

    Wanneer externe partijen toegang hebben tot systemen of data, ontstaat een risico dat vaak pas wordt opgemerkt wanneer iets misgaat. Accounts blijven bestaan nadat een project is afgerond. Toegang wordt niet herzien wanneer rollen veranderen. Of een partij werkt met gedeelde wachtwoorden omdat dat in de praktijk eenvoudiger is.

    Dit is geen technisch probleem, maar een organisatorische keuze. Wie toegang heeft, bepaalt in grote mate de beveiliging van je keten. In eerdere blogs over informatiebeveiliging beschreven we hoe derde partijen expliciet risico’s introduceren, vooral wanneer zij toegang hebben tot gevoelige informatie of kritische systemen.

    Daarom is het belangrijk om te weten welke toegang externen hebben, waarom zij die toegang nodig hebben en hoe lang die toegang relevant blijft. Door dit periodiek te controleren, verklein je een van de meest voorkomende kwetsbaarheden binnen de keten.

    6. NIS2 maakt ketenverantwoordelijkheid concreet

    Niet elke organisatie valt onder NIS2. Voor bedrijven die wel binnen de richtlijn vallen, geldt een duidelijke verplichting: zij moeten kunnen aantonen dat zij risico’s in de keten herkennen, beoordelen en monitoren.

    Dat betekent in de praktijk dat organisaties:

    • Externe partijen moeten opnemen in hun risicoanalyse;
    • Beveiligingsmaatregelen moeten afstemmen op de rol en toegang van deze partijen;
    • Incidenten moeten onderzoeken wanneer die impact hebben op de dienstverlening;
    • Continuïteit binnen de keten moeten borgen.

    NIS2 maakt hiermee zichtbaar wat in de praktijk allang relevant is: organisaties zijn verantwoordelijk voor de risico’s die ontstaan door partijen waarmee zij samenwerken. Voor bedrijven die niet formeel onder de richtlijn vallen, blijft dit een waardevol kader om grip te krijgen op hun keten en risico’s beheersbaar te houden.

    7. In vijf stappen naar meer grip op je keten

    Een praktisch ketenbeheerproces hoeft niet zwaar of tijdrovend te zijn. De volgende vijf stappen werken in vrijwel elke organisatie:

    1. Breng alle externe partijen in kaart, inclusief freelancers, nichepartijen en tijdelijke specialisaten.
    2. Koppel elke partij aan processen, systemen of informatie die zij raken.
    3. Bepaal wat er gebeurt wanneer een partij tijdelijk wegvalt.
    4. Controleer welke toegang externen hebben en stel vast waarom die toegang nodig is.
    5. Herhaal de beoordeling jaarlijks of wanneer een rol, project of samenwerking verandert.

    In deze stappen ontstaat structuur zonder dat het proces complex wordt. Door klein te beginnen en de beoordeling consequent te herhalen, krijgt de keten een steviger fundament.

    Conclusie

    Ketenrisico’s gaan verder dan leveranciers. Ze raken je dienstverlening, beveiliging, continuïteit en reputatie. De kwetsbaarheden zitten vaak in partijen die niet in formele processen zijn opgenomen, maar wél een directe rol spelen in jouw operatie. Door inzicht te krijgen in deze afhankelijkheden, toegang van externen te beheersen en risico’s periodiek te beoordelen, bouw je een keten die minder gevoelig is voor verstoringen.

    Het gaat er niet om elke situatie volledig te beheersen. Het belangrijkste is dat je weet waar de risico’s zitten en dat je deze stap voor stap verkleint. Daarmee ontstaat een keten die wendbaar, transparant en beter voorbereid is op de toekomst.

    Verder lezen

    Effectieve leveranciersbeoordeling met CompliTrack
    Hoe je leveranciers koppelt aan bedrijfsmiddelen en risico’s binnen ISO 9001 en ISO 27001.

    Wat is NIS2 en hoe beïnvloedt het jouw ISMS?
    Waarom NIS2 organisaties dwingt om risico’s in de toeleveringsketen serieus te nemen.

    Van incident naar verbetering
    Hoe organisaties incidenten gebruiken om risico’s in de keten structureel te verkleinen.

    Van spreadsheets naar gestructureerd risicobeheer
    Waarom Excel tekortschiet voor leveranciers- en ketenbeoordelingen.

    Leveranciers beoordelen zonder Excel: zo krijg je grip op risico’s
    Praktische verdieping op leveranciers- en ketenafhankelijkheden

  • Onze keten leek veilig, tot één freelancer ons bedrijf stillegde

    Onze keten leek veilig, tot één freelancer ons bedrijf stillegde

    Waarom kleine afhankelijkheden grote gevolgen kunnen hebben

    Deze casus is een samengesteld praktijkvoorbeeld. Het is geen situatie die bij ons of onze klanten heeft plaatsgevonden, maar gebaseerd op patronen die we in veel organisaties zien.

    Het was dinsdagochtend, iets na negen. Een klant meldde dat hij niet kon inloggen. Dat gebeurt wel eens, meestal lost het zich vanzelf op. Maar binnen enkele minuten kwamen meer meldingen. Het ticketsysteem vulde zich, medewerkers konden niet meer bij hun documenten en het gevoel van “het zal zo wel over zijn” maakte plaats voor spanning.

    Binnen een kwartiertje lag een belangrijk deel van de dienstverlening stil.

    Er was geen aanval, geen grote storing bij een leverancier en niemand had iets verkeerd ingesteld.

    De oorzaak bleek een freelance ontwikkelaar te zijn die een jaar eerder een klein script had geschreven. Dat script was ongemerkt een cruciale rol gaan spelen in het loginproces. Niemand wist dat het bestond. Niemand beheerde het. En de betreffende freelancer was op vakantie, zonder bereik.

    In één klap werd zichtbaar hoe kwetsbaar een organisatie kan zijn wanneer een kleine schakel wegvalt.

    Het echte probleem zat niet in het script, maar in het ontbreken van inzicht

    De storing was vervelend, maar wat vooral bleef hangen was het ongemak. Niet omdat er iets misging – dat gebeurt overal – maar omdat we niet wisten:

    • Wie verantwoordelijk was
    • Waar de documentatie stond
    • Hoe dit script in het proces was beland
    • Wie dit kon overnemen

    Er was geen inzicht en dus geen eigenaarschap. Zonder eigenaarschap is er geen controle en zonder controle geen continuïteit.

    In veel organisaties werkt het precies zo. Niet bewust, maar omdat systemen, mensen en processen organisch groeien. Een specialist die “even iets bouwt”. Een consultant die tijdelijk toegang krijgt. Een partner die een API-koppeling toevoegt. Het voelt allemaal klein en tijdelijk, totdat het dat niet meer is.

    Zoals we eerder al beschreven in De risicoanalyse: een onmisbaar instrument voor elke ondernemer, worden veel risico’s pas zichtbaar wanneer ze realiteit worden.

    Waarom kleine afhankelijkheden zo vaak onder de radar blijven

    Ketenrisico’s worden meestal geassocieerd met grote leveranciers. Daar is vaak wel iets voor geregeld: contracten, afspraken, certificaten, periodieke evaluaties.

    Maar de kleine schakels vallen vaak buiten het zicht. Ze staan niet in een leverancierslijst, hebben geen eigen risicoanalyse en worden niet meegenomen in audits. Ze zijn er gewoon ineens; betrouwbaar, behulpzaam en belangrijker dan iemand denkt.

    Organisaties die geen volledige compliance-afdeling hebben en waar mensen meerdere petten dragen, herkennen dit vaak. Veel kennis zit in hoofden. Veel keuzes worden pragmatisch gemaakt. En veel kleine afhankelijkheden ontstaan zonder dat iemand ze echt ziet.

    Dat is geen schuldvraag. Het is precies hoe organisaties werken wanneer iedereen het druk heeft en systemen elke week een stukje veranderen.

    De storing was een signaal: dit had voorkomen kunnen worden

    Toen duidelijk werd dat één script verantwoordelijk was voor de uitval, ontstond er een nieuw inzicht: niet dat er iets misging, maar dat we niet wisten welke risico’s al die tijd al aanwezig waren.

    Bij het terugkijken bleek:

    • Dat er meerdere freelancers toegang hadden tot productie.
    • Dat sommige koppelingen nooit formeel waren vastgelegd.
    • Dat documentatie niet aansloot op de huidige werkelijkheid.
    • Dat processen afhankelijk waren van één persoon.
    • Dat niemand het totaaloverzicht had.

    Het ging dus niet om het script, maar om het systeem eromheen.

    Wat wél helpt: structuur zonder gedoe

    Ketenrisico’s in kaart brengen hoeft geen groot project te zijn. Het begint met helderheid: wie raakt welke processen en systemen?

    Stap1: Breng alle externe partijen in kaart

    Niet alleen leveranciers met een contract, maar iedereen die invloed heeft op je systemen en processen. Ook kleine opdrachten kunnen grote afhankelijkheden worden.

    Onze eerdere blog over leveranciersbeoordeling laat goed zien waarom dit nodig is.

    Stap 2: Koppel partijen aan processen, systemen en gegevens

    Een naam zegt niets zonder context. Pas als je weet wat iemand raakt, zie je welke impact er ontstaat bij uitval.

    Dit sluit aan op wat we beschreven in Hoe een ISMS en ISO 27001 beschermen tegen cyberrisico’s: overzicht ontstaat door koppeling, niet door losse lijntjes.

    Stap 3: Maak een eenvoudige risico-inschatting

    Geen uitgebreide methodiek. Drie vragen volstaan:

    • Wat gebeurt er als deze persoon morgen stopt?
    • Wat gebeurt er als deze dienst tijdelijk niet beschikbaar is?
    • Wat gebeurt er als deze partij toegang heeft tot gegevens of systemen zonder toezicht?

    Het doel is bewustzijn, niet perfectie.

    Stap 4: Wijs eigenaarschap toe

    Elke applicatie, elk proces en elke integratie heeft een eigenaar nodig. Niet iemand die alles zelf uitvoert, maar iemand die verantwoordelijk is voor het overzicht.

    Stap 5: Leg documentatie en fallback vast

    Het gaat niet om dikke handboeken. Een paar concrete punten zijn genoeg:

    • Waar de code of configuratie staat,
    • Wie het kan overnemen,
    • Hoe het proces werkt bij uitval

    In onze blog over business continuity laten we zien hoe je dat slim en lichtgewicht kunt organiseren.

    Wat je vandaag al kunt doen

    Veel organisaties willen beginnen, maar weten niet goed waar. Het helpt om het klein te houden. Bijvoorbeeld:

    1. Maak één korte lijst met alle externe partijen die iets raken in je systemen.
    2. Noteer per partij welke processen of gegevens afhankelijk zijn van hun werk.
    3. Bepaal per partij wie intern de verantwoordelijke is.
    4. Herstel waar nodig de basisdocumentatie.
    5. Leg bij kritieke onderdelen vast wie het kan overnemen.

    Dit kost weinig tijd, maar geeft meteen grip. Het maakt afhankelijkheden zichtbaar die anders verborgen blijven.

    Het gaat niet om techniek. Het gaat om continuïteit.

    De storing van die dinsdagochtend duurde een paar uur. Het inzicht dat eruit voortkwam was waardevoller: kleine afhankelijkheden hebben grote gevolgen wanneer niemand ze ziet.

    Met een beetje structuur voorkom je dat één persoon, één script of één vergeten koppeling een keten breekt. Je hoeft geen grote afdeling te hebben of uitgebreide compliance programma’s te draaien. Met overzicht, eigenaarschap en een paar praktische stappen ontstaat de rust die nodig is om continuïteit te waarborgen.

    Verder lezen

  • Eigenaarschap in compliance: zo zorg je dat regels ook echt van iemand zijn

    Eigenaarschap in compliance: zo zorg je dat regels ook echt van iemand zijn

    Veel organisaties geloven dat hun compliance goed geregeld is. Er ligt beleid, processen zijn beschreven en medewerkers weten waar de documentatie staat. Op papier klopt het allemaal.

    Tot er iets gebeurt.

    Een incident blijft liggen. Een auditvraag leidt tot stress omdat informatie niet direct voorhanden is. Of een klant stelt een kritische vraag en niemand weet zeker wie erover gaat. Dan blijkt dat de regels wel bestaan, maar dat het eigenaarschap niet stevig genoeg is.

    Compliance werkt alleen wanneer iemand zich verantwoordelijk voelt. Niet omdat het ergens staat, maar omdat die persoon het oppakt precies op het moment dat dit nodig is.

    In deze blog gaat het over dat gevoel van verantwoordelijkheid. Waarom het vaak wegvalt, en hoe je eigenaarschap kunt organiseren zonder extra lagen, complexe structuren of een grote compliance-afdeling.

    Waarom eigenaarschap doorslaggevend is

    Wanneer naleving hapert, zie je dat het zelden ligt aan kennis of intentie. De oorzaak is bijna altijd dat niemand zich verantwoordelijk voelt. Niet omdat mensen onwillig zijn, maar omdat verantwoordelijkheden diffuse grenzen hebben.

    Veelvoorkomende problemen:

    • Een incident wordt besproken maar niet opgevolgd.
    • Een risicoanalyse wordt gemaakt en daarna niet meer bijgewerkt.
    • Een auditvoorbereiding wordt een race tegen de klok omdat taken nergens zijn toegewezen.
    • Verbeteracties verdwijnen omdat niemand ze langer bewaakt.

    Het gaat niet mis op papier; het gaat mis tussen mensen. Eigenaarschap is dat ene element dat de stap van papieren compliance naar echte naleving maakt.

    De twee lagen onder compliance; hard controls en soft controls

    Elke organisatie werkt, bewust of onbewust, met twee lagen:

    1. Hard controls
      De formele kant: beleid, procedures, maatregelen, regisraties, audits, versiebeheer.
    2. Soft controls
      De gedragskant: houding, voorbeeldgedrag, onderlinge verwachtingen, verantwoordelijkheidsgevoel.

    Soft controls zijn een onderdeel van ISO-normen, maar bepalen wel of die normen in de praktijk werken. Als iemand niet durft te melden, of denkt dat een collega iets wel oppakt, functioneren hard controls slechts gedeeltelijk.

    Zonder soft controls blijft compliance een papieren activiteit. Met soft controls wordt compliance onderdeel van dagelijkse keuzes.

    Waarom eigenaarschap zo makkelijk vervaagt

    Eigenaarschap raakt vaak op de achtergrond door een optelsom van kleine patronen:

    Het is niet helder wie ergens van is

    Wanneer verantwoordelijkheid te breed is (“HR doet privacy”,  “IT doet security”) voelt niemand zich echt verantwoordelijk. Hoe vager de rol, hoe kleiner de kans dat iemand het vanzelf oppakt.

    Er is geen plek waar taken zichtbaar worden

    Zonder gestructureerde registratie raken acties versnipperd. Mails verdwijnen. Excel raakt verouderd, en taken worden ad hoc opgepakt.

    Incidenten voelen als kritiek in plaats van signaal

    Wanneer een incident wordt gezien als fout in plaats van kans, melden mensen minder. Hoe minder informatie, hoe minder eigenaarschap.

    Prioriteit wint altijd van structuur

    Compliance is vaak een rol naast andere werkzaamheden. Zonder ondersteuning wint het urgente altijd van het belangrijke.

    Processen veranderen sneller dan rollen worden bijgewerkt

    Als het werk verandert maar de verantwoordelijkheden niet mee evolueren, ontstaat er snel een mismatch tussen verwachting en werkelijkheid.

    Eigenaarschap vervaagt zelden in één keer. Het verdwijnt langzaam door dagelijkse keuzes, kleine misverstanden en gebrek aan ritme.

    Hoe je eigenaarschap concreet en werkbaar maakt

    Hieronder staan vijf bouwstenen die eigenaarschap versterken zonder complexe reorganisaties of grote systemen.

    1. Houd verantwoordelijkheden klein en duidelijk

    Eigenaarschap ontstaat wanneer iemand precies weet wat er onder zijn of haar verantwoordelijkheid valt. Dit werkt alleen als:

    • één persoon eigenaar is van één onderwerp
    • de verantwoordelijkheid concreet is
    • het verband met risico’s en maatregelen duidelijk is

    Voorbeelden:

    • Niet: “HR is verantwoordelijk voor privacy.”
      Wel: “Eén persoon bewaakt inzageverzoeken en wettelijke termijnen.”
    • Niet: “IT beheert incidenten.”
      Wel: “Eén verantwoordelijke beoordeelt, registreert en sluit beveiligingsincidenten af.”

    Wanneer verantwoordelijkheid persoonlijk is, wordt opvolging vanzelf sterker.

    2. Zorg dat verantwoordelijkheden terugkomen in het dagelijks werk

    Eigenaarschap moet zichtbaar zijn in taken, niet alleen in documentatie.

    Dat betekent:

    • Terugkerende taken plannen
    • Opvolging registreren
    • Acties zichtbaar houden
    • Koppeling maken tussen risico’s en maatregelen
    • Inzicht creëren in wat openstaat en wat afgerond is

    Wanneer verantwoordelijkheden niet in het werkritme zitten, verdwijnen ze. Wanneer ze onderdeel worden van het werk, blijven ze leven.

    3. Gebruik incidenten om processen sterker te maken

    Incidenten laten zien hoe processen écht werken. Je hebt twee manieren om ze te benaderen:

    Als fout:
    De aandacht gaat naar een persoon die iets niet goed deed.

    Als signaal:
    Het incident laat zien waar het proces kwetsbaar is.

    In organisaties waar incidenten worden gezien als feedback op het proces, durven mensen eerder te melden en kunnen eigenaren sneller verbeteren. De kracht zit in de toon van het gesprek: niet “waarom deed jij dit” maar “wat zegt dit over hoe we werken”.

    4. Maak eigenaarschap haalbaar

    Eigenaarschap wordt pas duurzaam wanneer iemand de middelen heeft om het goed uit te voeren. Dat vraagt om:

    • Inzicht in alle relevante informatie
    • Duidelijke verwachtingen
    • Automatisering voor terugkerende taken
    • Actuele documentatie
    • Reminders die het geheugen ontlasten
    • Een werkproces dat niet afhankelijk is van losse lijstjes

    Overzicht is essentieel. Zeker wanneer mensen meerdere rollen tegelijk vervullen. Een lichtgewicht GRC-tool kan hier helpen, niet als extra laag, maar als rustpunt. Niet om nieuwe verplichtingen te introduceren, maar om grip te creëren.

    5. Maak gedrag onderdeel van het gesprek

    Compliance zit in dagelijkse keuzes, niet in documenten. Daarom helpt het om gedrag bespreekbaar te maken in korte, regelmatige momenten:

    • Wat viel je op in incidenten of risico’s?
    • Waar heb je getwijfeld over verantwoordelijkheden?
    • Welke signalen zag je, maar heb je niet opgepakt?
    • Wat heb je nodig om eigenaarschap beter te vervullen?

    Dit zijn geen evaluaties, maar microgesprekken die bewustzijn vergroten. Wanneer gedrag bespreekbaar is, ontwikkelen soft controls zich vanzelf.

    Hoe CompliTrack eigenaarschap ondersteunt

    Een tool creëert geen eigenaarschap, maar het maakt het wél zichtbaar en uitvoerbaar.

    • Risico’s, incidenten en acties krijgen één eigenaar
    • Opvolging wordt automatisch bewaakt
    • Iedereen werkt vanuit dezelfde informatie
    • Auditbewijslast ontstaat tijdens het werk
    • Structuur voorkomt dat verantwoordelijkheden verdwijnen

    Hierdoor wordt eigenaarschap minder afhankelijk van discipline of geheugen en meer van een voorspelbaar proces.

    Conclusie

    Compliance wordt niet sterk door meer beleid of uitgebreidere documentatie. Het wordt sterk wanneer verantwoordelijkheden duidelijk zijn, werkbaar zijn en gedragen worden.

    Eigenaarschap draait uiteindelijk om drie vragen:

    1. Wie is verantwoordelijk
    2. Wat betekent dat in de praktijk
    3. Hoe zorgen we dat deze persoon dat kan waarmaken

    Wanneer je die drie vragen scherp hebt, ontstaat een vorm van compliance die niet alleen op papier werkt, maar in de dagelijkse praktijk voelbaar is.

    Dat is de basis voor rust, transparantie en aantoonbare beheersing.

    Verder lezen

  • Iedereen kende de regel. Maar niemand voelde zich verantwoordelijk

    Iedereen kende de regel. Maar niemand voelde zich verantwoordelijk

    Het gebeurde tijdens een audit die tot dan toe normaal verliep. De auditor keek op, wees naar een maatregel in het dossier en vroeg wie verantwoordelijk was voor de maandelijkse controle van de toegangsrechten. De vraag was eenvoudig. Het antwoord bleef uit.

    Iemand keek naar IT. IT keek naar HR, HR keek naar de proceseigenaar. Het was geen onwil. Geen onkunde. Het was het soort stilte dat ontstaat wanneer iedereen denkt dat iemand anders het wel zal doen.

    De procedure bestond al jaren. Er was beleid. Er was een beschrijving. Er was zelfs ooit een Exceloverzicht met taken geweest. Toch wist niemand wie het eigenaarschap droeg. De controle werd soms uitgevoerd, soms niet. Soms door één persoon, soms door iemand anders. Tot er druk op kwam te staan. Tot er auditvragen kwamen. Tot de kwetsbaarheid zichtbaar werd.

    Het proces klopte op papier. De praktijk klopte niet.

    Regels verdwijnen wanneer niemand ze voelt

    Veel organisaties besteden tijd aan beleid, formats en procedures. Die zijn nodig, want zonder structuur wordt compliance willekeurig. Maar regels zorgen niet voor naleving. Het is gedrag dat bepaalt of een maatregel leeft of wegzakt.

    In eerdere blogs over incidentbeer en interne audits beschreef ik al hoe processen kunnen bestaan zonder dat ze iets betekenen voor het werk. Een procedure kan perfect geschreven zijn en toch compleet ineffectief zijn als niemand zich eigenaar voelt van wat erin staat. Dan ontstaat de situatie waarin iedereen de regel kent, maar niemand hem uitvoert.

    Deze audit liet dat pijnlijk duidelijk zien.

    De laag onder de procedures: soft controls

    Compliance kent twee lagen. De zichtbare laag van beleid, processen en taken. En de onzichtbare laag van houding, overtuigingen en gewoontegedrag. Juist die onderste laag bepaalt of de bovenste werkt.

    Wanneer die laag niet sterk is, zie je dezelfde symptomen telkens terugkomen. Incidenten die niet worden gemeld. Acties die blijven liggen tot vlak voor een audit. Taken waarvan iedereen denkt dat ze wel ergens opgepakt worden. In mijn eerdere blog over privacy werd dat treffend zichtbaar toen een inzageverzoek ineens blootlegde hoe versnipperd verantwoordelijkheden kunnen zijn.

    Soft controls zijn geen theorie. Ze zijn voelbaar in hoe mensen met elkaar werken. Vertrouwen. Voorbeeldgedrag. Aanspreekcultuur. Snappen waarom iets belangrijk is. Het zijn precies die elementen die bepalen of een organisatie grip heeft of alleen hoopt dat alles goed gaat.

    Het gesprek dat alles veranderde

    Na de audit ging het team om tafel. De vraag was niet welke procedure aangepast moest worden, maar waarom niemand zich verantwoordelijk voelde. Toen die vraag eenmaal gesteld was, werd zichtbaar hoe vaak verantwoordelijkheden in de praktijk impliciet blijven.

    Taken belanden bij mensen die toevallig tijd hebben. Documenten worden bijgewerkt door degene die een wijziging ziet. Controles gebeuren wanneer iemand eraan denkt. Het werkt zolang alles goed gaat. Tot er bewijs nodig is. Tot er iets misgaat. Tot een auditor iets vraagt dat niemand kan laten zien.

    In eerdere blogs over de samenhang van risico’s, incidenten en audits heb ik vaker laten zien hoe losse processen zorgen voor losse verantwoordelijkheden. Zonder structuur ontstaan er gaten. Die gaten vullen zich vanzelf, maar zelden door duurzame eigenaarschap.

    Dat gebeurde hier ook. De taak werd gedeeld door drie mensen. En dat voelde hetzelfde als geen een eigenaar hebben.

    Waarom regels niet worden gevolgd, zelfs als ze logisch zijn

    Er zijn drie redenen waarom regels verdwijnen, zelfs als ze nergens discussie oproepen.

    De eerste is onduidelijkheid. Een taak kan bestaan, maar nergens zichtbaar zijn. Niet in iemands werkvoorraad. Niet in de agenda. Niet in een gesprek. Taken die nergens landen, krijgen geen eigenaar. Dat liet de situatie rond leveranciersbeoordelingen in een eerdere blog ook zien: iedereen vulde iets in, maar niemand voelde zich verantwoordelijk voor de uitkomst.

    De tweede is een gebrek aan context. Als iemand niet begrijpt waarom iets belangrijk is, wordt het een verplicht nummer. En verplichte nummers verliezen altijd van urgente werkzaamheden. Zeker als de gevolgen niet direct voelbaar zijn.

    De derde is cultuur. In een omgeving waar fouten snel worden gezien als tekortkomingen, wordt melden onveilig. Dan verschuift gedrag van verantwoordelijkheid nemen naar problemen vermijden. Dat zorgt ervoor dat uitzonderingen nooit besproken worden, terwijl precies daar de risico’s zitten.

    Eigenaarschap ontstaat niet door het toe te wijzen

    Je kunt in een procedure vastleggen wie verantwoordelijk is. Je kunt het zelfs communiceren in een teamoverleg. Maar dat maakt iemand nog geen eigenaar.

    Eigenaarschap ontstaat wanneer iemand weet wat er verwacht wordt, begrijpt waarom dat belangrijk is en wordt ondersteund door een werkwijze die dat gedrag mogelijk maakt. Het begint bij duidelijkheid. Een taak die zichtbaar is. Een moment waarop die taak besproken wordt. Een ritme waarin die verantwoordelijkheid logisch voelt.

    Daarna komt betekenis. Niet omdat een norm het vraagt, maar omdat het risico anders reëel wordt. Pas wanneer mensen zien wat er misgaat zonder de maatregel, krijgt die maatregel gewicht.

    De laatste stap is ondersteuning. Het moet praktisch mogelijk zijn om verantwoordelijk te zijn. Niet door processen ingewikkeld te maken, maar door informatie logisch bij elkaar te brengen. Een overzicht van taken. Een vast ritme van opvolging. Een manier om te zien wat er openstaat en wat er afgerond is. In eerdere blogs over incidentbeheer heb ik laten zien hoe kleine veranderingen daarin grote verschillen kunnen maken.

    De combinatie van duidelijkheid, betekenis en ondersteuning maakt eigenaarschap vanzelfsprekend. Dan is de regel niet iets dat in een document staat, maar iets dat onderdeel is van het werk.

    Gedrag wordt zichtbaar in kleine patronen

    Je hoeft gedrag niet te meten met vragenlijsten. Je ziet het in het ritme van het werk. Worden incidenten gemeld. Worden acties opgevolgd. Worden bevindingen gebruikt om processen aan te passen. Komt dezelfde fout terug. Wordt een signaal opgepakt of genegeerd.

    Het zijn kleine dingen, maar ze laten haarscherp zien hoe sterk de soft controls zijn. Teams met duidelijke eigenaarschap laten een stabiel patroon zien. Teams zonder eigenaarschap werken reactief en worden vaker verrast door risico’s die allang zichtbaar waren.

    Gedrag hoeft niet ingewikkeld te zijn om invloed te hebben. Het zit in dagelijkse keuzes. En die keuzes bepalen uiteindelijk of je echt controle hebt of alleen een map vol procedures.

    Een kleine verandering met grote gevolgen

    In de situatie uit het begin is de controle vandaag nog steeds dezelfde taak. Alleen de manier waarop hij ingebed is anders.

    De taak is zichtbaar. De verantwoordelijke weet wanneer die eraan komt. De leiding ziet wanneer iets uitblijft. De auditor ziet dat het ritme klopt. Niet om te controleren, maar om te begrijpen hoe de organisatie werkt.

    De regel veranderde niet.

    De cultuur wel.

    Iedereen kende de regel nog steeds. Maar nu  voelde iemand zich verantwoordelijk.

    Dat is het verschil tussen compliance op papier en compliance die leeft.

    Verder lezen

  • Van regels naar gedrag: zo bouw je een sterke compliancecultuur in je organisatie

    Van regels naar gedrag: zo bouw je een sterke compliancecultuur in je organisatie

    Het gebeurt vaker dan organisaties willen toegeven: tijdens een audit blijkt een maatregel al maanden niet uitgevoerd, een incidentregistratie stopt na één melding of een risicoanalyse ligt ergens in een map te verstoffen. Niet omdat medewerkers hun werk niet willen doen, maar omdat regels en dagelijkse praktijk twee verschillende werelden zijn.

    Een organisatie kan processen, beleid en templates perfect op orde hebben en toch vastlopen zodra iemand vraagt wie ergens verantwoordelijk voor is. Die kloof tussen papier en werkelijkheid is geen procesfout, maar een gedragsfout. Juist daarom is compliancecultuur zo belangrijk. Het bepaalt niet alleen wat je doet, maar vooral hoe je dat doet.

    In deze blog kijken we hoe je een sterke compliancecultuur opbouwt die rust brengt, duidelijkheid creëert en audits voorspelbaar maakt. Niet door grote veranderingen, maar door kleine stappen die passen in drukke teams.

    Waarom gedrag belangrijker is dan regels

    Regels geven richting, maar ze garanderen geen resultaat. Een procedure wordt pas waardevol wanneer mensen hem begrijpen en toepassen. Een risicoanalyse helpt pas wanneer acties worden opgevolgd. Een incidentregistratie heeft alleen betekenis als meldingen leiden tot verbetering.

    Eerdere blogs zoals 7 praktische tips voor een effectieve risicoanalyse laten al zien dat eenvoud en haalbaarheid belangrijker zijn dan dikke handboeken. Mensen doen vooral wat logisch voelt en wat duidelijk is. Een sterke compliancecultuur brengt die logica aan in het dagelijks werk.

    Compliancecultuur is dus geen extra laag bovenop regels, maar de manier waarop regels tot leven komen.

    Wat een compliancecultuur wél en niet is

    Compliancecultuur gaat niet over strengheid of afvinklijstjes. Het gaat over houding, bewustzijn en gedrag. Je herkent een sterke cultuur aan simpele signalen:

    • Medewerkers melden problemen zonder drempels.
    • Risico’s worden besproken, ook als er geen audit aan komt.
    • Acties worden uitgevoerd omdat mensen het belang ervan zien.
    • Het management geeft het goede voorbeeld.
    • Verbeteringen ontstaan doordat mensen verantwoordelijkheid voelen.

    Dit zijn voorbeelden van soft controls, de gedragsfactoren die bepalen hoe mensen omgaan met risico’s en regels. In tegenstelling tot hard controls zoals systemen, documenten en processen gaan soft controls over duidelijkheid, motivatie en vertrouwen.

    Organisaties die deze zachte kant serieus nemen, merken dat compliance minder voelt als verplichting en meer als onderdeel van normaal werken.

    Eigenaarschap als fundament

    De meeste complianceproblemen zijn te herleiden tot één oorzaak: onduidelijk eigenaarschap. Niet omdat niemand verantwoordelijkheid wil nemen, maar omdat niet helder is waarom iets belangrijk is.

    Eigenaarschap ontstaat wanneer iemand:

    • Begrijpt welke risico’s bij zijn of haar rol horen.
    • Ziet welke gevolgen incidenten kunnen hebben.
    • Weet hoe een maatregel werkt en waarom die nodig is.
    • Ervaart dat melden en verbeteren gewaardeerd wordt.

    Daar gaat het vaak mis. In plaats van gesprekken over risico’s worden documenten gedeeld. In plaats van opvolging worden taken doorgeschoven. In plaats van leren blijft gedrag hetzelfde. De blog Van incident naar verbetering laat zien hoe gestructureerd incident hierbij helpt. Het maakt zichtbaar wat eerder verborgen bleef en levert concrete verbeterpunten op.

    Waarom eenvoud gedrag versterkt

    Gedrag floreert in eenvoud. Hoe makkelijker iets uit te voeren is, hoe groter de kans dat het ook echt gebeurt.

    • Korte procedures worden gelezen.
    • Eenvoudige taken worden afgerond.
    • Een laagdrempelig meldformulier wordt sneller gebruikt.
    • Overzicht geeft rust en stimuleert actie.

    Veel organisaties werken nog steeds met complexe mappenstructuren, lange rapporten en Excel-bestanden die vooral verwarring opleveren. Dat voelt gecontroleerd, maar levert weinig op. Het belemmert juist het gedrag dat nodig is om compliance aantoonbaar te maken.

    Organisaties die kiezen voor eenvoud merken het verschil meteen. Werkwijzen worden voorspelbaar, verantwoordelijkheden duidelijk en acties beter zichtbaar. In 7 praktische tips voor een effectieve risicoanalyse komt die benadering duidelijk terug. Begin klein, maak het werkbaar en bouw van daaruit verder.

    Vier stappen om een sterke compliancecultuur te bouwen

    Hieronder vind je vier praktische stappen die je direct kunt toepassen in elk team. Deze aanpak vraagt geen groot plan, maar levert wél structurele verbetering op.

    1. Maak risico’s tastbaar

    Risico’s blijven abstract zolang ze niet gekoppeld zijn aan het dagelijkse werk. Maak ze concreet door te bespreken:

    • Welke klant of dienst geraakt wordt;
    • Welke verstoring kan ontstaan;
    • Welke voorbeelden herkenbaar zijn uit de praktijk;
    • Hoe maatregelen helpen om dit te voorkomen.

    Door risico’s tastbaar te maken ontstaat begrip en dus beter gedrag. Het verschil tussen een theoretische dreiging en een herkenbare situatie is enorm.

    2. Zorg voor ritme in opvolging

    Acties zonder deadline verdwijnen uit beeld. Maatregelen zonder herhaling verwateren. Audits zonder opvolging leveren weinig op.

    Zorg daarom voor ritme. Denk aan korte overlegmomenten waarin risico’s en incidenten worden besproken, vaste momenten waarop maatregelen worden herzien en audits die altijd gekoppeld worden aan zichtbare acties. De blog Interne audit ISO 9001: 7 veelgemaakte fouten laat zien hoe vaak auditbevindingen blijven liggen doordat dit ritme ontbreekt.

    Ritme zorgt voor voorspelbaarheid. Dat maakt compliance minder afhankelijk van individuele inzet en meer van de organisatie als geheel.

    3. Maak melden veilig en eenvoudig

    Een positieve meldcultuur ontstaat niet door verplichtingen, maar door vertrouwen. Maak melden daarom zo eenvoudig dat het bijna vanzelf gaat. Leg duidelijk uit dat melden geen schuldvraag is, maar een kans om te verbeteren. Zorg dat meldingen zichtbaar worden opgevolgd. Bespreek meldingen op een manier die leren stimuleert in plaats van afstraffing.

    Wanneer medewerkers merken dat melden leidt tot oplossingen, verdwijnen angsten en ontstaat een cultuur waarin risico’s eerder worden gezien.

    4. Beloon zichtbaar gedrag

    Documentatie krijgt vaak meer waardering dan gedrag. Mooie beleidsstukken leveren complimenten op, terwijl iemand die een incident meldt nauwelijks aandacht krijgt. Die waardering stuur je zelf.

    Beloon openheid, zichtbare opvolging, kritische vragen en kleine verbeteringen. Door gedrag te waarderen ontstaat een beweging waarin compliance menselijker wordt en niet alleen iets dat moet.

    Governance en gedrag werken samen

    Governance gaat over structuur: rollen, afspraken en verantwoordelijkheden. Gedrag gaat over hoe mensen die structuur elke dag in de praktijk brengen. Beide zijn nodig.

    Een organisatie met goed beleid maar zwak gedrag blijft kwetsbaar. Een organisatie met sterk gedrag maar geen structuur blijft afhankelijk van individuen. De beste resultaten ontstaan wanneer beide elkaar versterken.

    Daar kan tooling bij helpen, zolang het gedrag ondersteunt in plaats van vervangt. In Waarom GRC-software belangrijk is voor moderne bedrijven wordt uitgelegd waarom overzicht, duidelijkheid en eenvoud zoveel impact hebben. Het maakt opvolging logisch en zichtbaar, waardoor gedrag beter wordt.

    Hoe herken je dat je compliancecultuur werkt?

    Je ziet dat een compliancecultuur begint te werken wanneer:

    • Risico’s en incidenten automatisch onderdeel zijn van gesprekken
    • Medewerkers taken afronden voordat deadlines naderen
    • Problemen sneller worden gemeld
    • Audits rustiger en voorspelbaarder verlopen
    • Verbeteringen vaker uit het team zelf komen

    Wanneer dit gebeurt, wordt compliance geen last maar een gewoonte. Dat is het punt waarop cultuur zijn werk doet.

    Conclusie

    Een sterke compliancecultuur ontstaat niet door regels of dikke handboeken, maar door gedrag. Door risico’s tastbaar te maken, verantwoordelijkheden helder te verdelen, eenvoud te creëren en meldingen serieus te nemen ontstaat stap voor stap een manier van werken die betrouwbaar is en rust geeft.

    Compliance wordt dan geen verplichting, maar een manier van werken die de organisatie sterker, transparanter en voorspelbaarder maakt. Dat begint niet bij een document, maar bij dagelijks gedrag dat steeds beter wordt.

  • Ons grootste compliance-risico bleek geen proces, maar gedrag

    Ons grootste compliance-risico bleek geen proces, maar gedrag

    We waren ervan overtuigd dat alles keurig op orde was. De documentatie stond netjes bijgewerkt, het risicoregister was volledig en onze GRC-tool gaf een overzicht dat er geruststellend uitzag. Processen, maatregelen, acties: alles was ingericht. Op papier leek de organisatie strak en betrouwbaar. Tot de dag van de interne audit.

    De auditor keek naar een maatregel, draaide zich naar ons om en stelde de eenvoudigste vraag die je kunt bedenken: “Wie is hier verantwoordelijk voor?”

    Niemand antwoordde.

    De stilte was niet vijandig of ongeïnteresseerd, maar ongemakkelijk en pijnlijk herkenbaar. Iedereen dacht dat iemand anders het zou oppakken. De auditor hoefde verder niets te zeggen. Het echte risico zat niet in een ontbrekend document of een fout in de tool. Het zat in ons gedrag.

    Op dat moment werd duidelijk dat structuur zonder eigenaarschap geen controle oplevert, maar schijnzekerheid.

    De stille aannames die werkprocessen ondermijnen

    In organisaties waar mensen meerdere verantwoordelijkheden dragen, ontstaan onbewust aannames. Wat niet expliciet is toegewezen, wordt stilzwijgend doorgeschoven. Dat werkt zolang er geen echte druk op staat. Tot een audit, incident of klantvraag dat patroon blootlegt.

    Een treffend voorbeeld was het intrekken van toegang bij offboarding. De procedure was zorgvuldig beschreven. De taak verscheen automatisch in de GRC-tool. Maar in de praktijk ging het mis. IT dacht dat HR het signaal zou geven. HR dacht dat teamleads dit zouden melden. Teamleads dachten dat IT monitoring had.

    De taak bestond wel, maar het eigenaarschap niet. Het was een maatregel die “in het proces zat”, maar niet in ons werkritme. In de blog Van risicoanalyse naar actie lieten we eerder zien hoe kritisch het is dat processen niet alleen bestaan, maar ook gedragen worden. Dit voorbeeld bevestigde dat opnieuw

    Hoe de audit een spiegel werd

    De auditor bladerde verder en wees op een actie die al maanden openstond. “Waarom is deze niet opgevolgd?” vroeg hij.

    Het antwoord was niet in een document te vinden. Het zat in onze gewoontes. De auditor testte niets technisch. Hij testte de meest onderschatte laag van compliance: gedrag.

    Het deed denken aan een eerdere blog, Wat er gebeurde toen onze auditor onaangekondigd langskwam, waarin duidelijk werd hoe snel paniek ontstaat wanneer aantoonbaarheid en uitvoering niet één geheel vormen. Nu zaten we opnieuw op dat punt. Niet omdat processen ontbraken, maar omdat ze niet leefden. De audit maakte zichtbaar dat onze aanpak vooral vanuit structuur was georganiseerd, maar weinig vanuit praktijkgedrag.

    Waarom dit patroon zo vaak voorkomt

    Veel organisaties herkennen dit zonder het hardop te zeggen. Zeker wanneer dezelfde mensen klantafspraken, projecten, audits en interne controles combineren. Processen worden dan wel ingericht, maar niet verankerd. Documentatie wordt bijgewerkt omdat het moet. Acties worden aangemaakt omdat het hoort. Maar de vraag wie voelt zich eigenaar? blijft impliciet.

    In een eerdere blog, Van Excel naar overzicht, zo kies je voor GRC-software, lieten we zien dat tooling werkt wanneer gedrag meegroeit. Het auditmoment bewees hoe waar dat is: geen enkele tool kan compenseren voor onduidelijke afspraken of ontbrekend eigenaarschap.

    De omslag naar echt eigenaarschap

    We besloten het anders te doen. Niet door extra lagen structuur toe te voegen, maar door bestaande processen eenvoudiger en persoonlijker te maken.

    We begonnen met één praktische verandering: per maatregel één eigenaar. Niet een afdeling, maar een persoon. Dat maakte opvolging concreet. Iemand wist voortaan: dit hoort bij mij.

    Daarna creëerden we een vast ritme. Korte, maandelijkse check-ins waarin we procesuitvoering bespraken. Geen lange vergaderingen. Geen presentaties. Gewoon de vraag: “Wat loopt goed? Wat loopt stroef?” Dankzij die eenvoud schoof opvolging niet meer van agenda naar agenda, maar kreeg het een vaste plek.

    Ook herschreven we onze procedures. Minder formele taal, meer voorbeelden uit het werk. Dat lijkt klein, maar het had een groot effect. Mensen die begrijpen wat iets oplevert, voeren het sneller uit. In onze blog ISMS in de praktijk: beleid dat wél werkt beschreven we al hoe begrijpelijke taal het verschil maakt tussen naleven en nalezen.

    Tot slot maakten we melden normaal. Soms is een twijfel of een kleine fout waardevoller dan een incidentmelding. Zodra medewerkers dat merkten, ontstond er meer openheid. Problemen kwamen eerder naar boven en verbeteringen volgden vanzelf.

    Deze vier stappen maakten de basis sterker. Niet omdat we meer deden, maar omdat we bewuster deden.

    Hoe dat zichtbaar werd bij de volgende audit

    Een paar maanden later stond dezelfde auditor weer voor de deur. Hij merkte het verschil direct. We konden helder uitleggen wie verantwoordelijk was voor welke maatregelen. We konden onderbouwen waarom iets gedaan was, of juist niet. Bevindingen uit voorgaande audits waren aantoonbaar opgevolgd.

    Niets daarvan voelde geforceerd. Het was simpelweg logisch geworden. Omdat eigenaarschap logisch was geworden.

    Veel organisaties denken dat audits ingewikkeld zijn, maar vaak zijn ze vooral een spiegel. Dat zagen we eerder in de blog Klachten zijn geen fouten, maar wij behandelden ze wel zo, waarin de essentie duidelijk werd: aantoonbaarheid zit niet in formulieren, maar in gedrag.

    Dat herhaalden we nu in de praktijk. De auditor hoefde ons nauwelijks meer te corrigeren. Hij hoefde alleen te constateren dat dingen op hun plek waren gevallen.

    Het echte risico: gedrag zonder richting

    Een organisatie kan alles op orde hebben op papier, maar als niemand iets voelt als “van hem of haar”, ontstaan er blinde vlekken. Die vlekken worden pas zichtbaar wanneer er druk ontstaat. Bij een audit . Een incident. Een klantvraag.

    Gedrag zonder richting is het grootste risico dat vaak als laatste wordt gezien. Terwijl het tegelijk de meest voorspelbare oorzaak is van afwijkingen, vertragingen en gemiste maatregelen.

    In de blog Waarom alles in Excel netjes lijkt, tot je iets moet terugvinden beschreven we hoe gebrek aan structuur leidt tot chaos. Het omgekeerde is net zo waar: structuur zonder gedrag leidt tot schijnzekerheid. De vorm is er, maar de inhoud niet.

    Conclusie

    Compliance komt niet tot leven door systemen of documenten, maar door mensen die hun rol begrijpen en serieus nemen. Structuur is de basis. Gedrag geeft het betekenis. Eigenaarschap maakt het betrouwbaar.

    De organisaties die dat doorhebben, zijn niet per se organisaties met meer middelen. Het zijn organisaties waar verantwoordelijkheden klein en duidelijk zijn, waar opvolging ritme heeft en waar medewerkers signalen durven te geven.

    Daar ontstaat aantoonbaarheid. Daar ontstaat vertrouwen. Daar ontstaat controle zonder kramp.

    En precies daar begint echte compliance.

  • CSRD in de praktijk: zo zorg je dat je duurzaamheidsdata echt klopt

    CSRD in de praktijk: zo zorg je dat je duurzaamheidsdata echt klopt

    In de maandagblog zagen we wat er gebeurt wanneer een klant doorvraagt op een duurzaamheidsclaim. De cijfers zagen er netjes uit, maar zodra om bewijs werd gevraagd, viel alles stil. Veel organisaties herkennen dat moment. Niet omdat ze iets willen verdoezelen, maar omdat duurzaamheidsinformatie vaak versnipperd is over verschillende afdelingen en systemen. Het voelt confronterend als je merkt dat een rapport meer op aannames dan op onderbouwde gegevens steunt.

    Met de komst van de CSRD verschuift de nadruk van intentie naar aantoonbaarheid. Het gaat niet alleen om wat je rapporteert, maar vooral om hoe je kunt laten zien dat je informatie klopt. Voor organisaties waar duurzaamheid geen aparte afdeling heeft en mensen dit naast hun gewone werk oppakken, kan dat een flinke uitdaging zijn. Toch hoeft het niet ingewikkeld te worden. De CSRD vraagt niet om perfectie, maar om transparantie en controleerbare data.

    In deze blog laten we zien hoe je zonder zware processen een betrouwbare basis legt. Met duidelijke stappen, herkenbare situaties en een praktische aanpak die past bij kleinere teams.

    De omslag die CSRD vraagt

    Veel organisaties beginnen bij het eindpunt: de rapportage. Dat lijkt logisch. Maar de CSRD vraagt juist om een stevig fundament onder die rapportage. Die informatie moet herleidbaar, controleerbaar en gebaseerd op vaste definities zijn. Dat is vergelijkbaar met financiële gegevens, waar je ook moet kunnen laten zien hoe een cijfer tot stand is gekomen.

    Een belangrijk onderdeel is dat een accountant straks een vorm van assurance geeft. Daarvoor moet hij of zij kunnen nagaan waar de informatie vandaan komt en of de methode navolgbaar is. Dat betekent dat je niet alleen de uitkomst rapporteert, maar het proces erachter inzichtelijk moet maken.

    De Europese Sustainability Reporting Standards (ESRS) bepalen welke onderwerpen relevant kunnen zijn en hoe je daarover rapporteert. Ze schrijven niet voor dat je op ieder onderwerp diep moet rapporteren. Materialiteit bepaalt wat echt belangrijk is. Maar voor de onderwerpen die wél materieel zijn, moet de onderbouwing kloppen. Dat is de essentie.

    Wanneer je basis wankel is

    Veel organisaties ontdekken pas bij de eerste CSRD-stappen dat hun gegevens minder stevig zijn dan gedacht. Dat gebeurt bijvoorbeeld in situaties zoals deze:

    Een directievergadering staat in het teken van de komende duurzaamheidsrapportage. Aan het einde van de vergadering vraagt iemand: “Kunnen we dit met een gerust hart ondertekenen?” In eerste instantie knikt iedereen. Tot de vraag volgt: “Waar komt dit cijfer vandaan?” Dan ontstaat stilte. Verschillende mensen bladeren door bestanden en inboxen. Een collega weet het nog ongeveer, maar niet precies. Bewijs blijkt verspreid te staan in oude Excelbestanden, scans van facturen, exports uit systemen en rapporten van leveranciers.

    Deze situatie is niet uitzonderlijk. In veel organisaties is duurzaamheid een taak die erbij is gekomen. HR levert gegevens aan over personeel, Finance verzamelt energiefacturen, Operations registreert afvalstromen en IT bewaakt datastromen. Iedereen levert een stukje, maar niemand heeft overzicht over het geheel.

    De risico’s ontstaan niet door kwade wil of slordigheid. Ze ontstaan doordat niemand volledig eigenaar is. En zonder eigenaarschap kan niemand garanderen dat de informatie klopt.

    Wat de CSRD écht van je verwacht

    De CSRD vraagt niet dat je cijfers perfect zijn. Ze vraagt dat je uitlegt hoe je tot die cijfers komt. Dat betekent dat je informatie moet kunnen herleiden naar een bron, dat de methode duidelijk is en dat de gegevens controleerbaar zijn. Ook moet je consistentie kunnen garanderen. Wat je dit jaar doet, moet volgend jaar op dezelfde manier kunnen worden gedaan.

    Samengevat moeten duurzaamheidsgegevens:

    • Herleidbaar zijn tot controleerbare bronnen
    • Navolgbaar zijn voor iemand die het proces niet zelf heeft uitgevoerd
    • Gebaseerd zijn op vaste definities en methodes
    • Consistent zijn over de tijd

    Met deze eisen ontstaat een duidelijk beeld: het gaan niet om omvangrijke processen, maar om structuur, duidelijkheid en discipline.

    Hoe je duurzaamheidsdata betrouwbaar maakt

    Wanneer je weet wat de CSRD vraagt, kun je gericht aan de slag. De stappen hieronder passen bij organisaties die zonder grote projectteams werken en de basis zo praktisch mogelijk willen houden.

    1. Breng alle datastromen overzichtelijk in kaart

    Begin klein. Maak een lijst van de gegevens die je nu al hebt, waar ze vandaan komen en wie ze aanlevert. Het hoeft niet perfect te zijn. Het doel is om inzicht te krijgen in de route die data aflegt binnen je organisatie. Vaak wordt meteen zichtbaar waar inconsistenties zitten of waar informatie ontbreekt.

    2. Leg vast hoe gegevens tot stand komen

    Een getal wordt pas betrouwbaar wanneer je kunt uitleggen hoe het is samengesteld. Komt het uit een meter, een factuur, een contract, een systeemexport of een schatting? Leg kort vast hoe een cijfer wordt berekend of gemeten. Dat maakt het mogelijk om volgend jaar dezelfde methode te gebruiken en veranderingen te verklaren.

    3. Plan vaste momenten om gegevens te controleren

    De grootste fout is wachten tot het einde van het jaar. Dan komt alles tegelijk en krijgt iedere onduidelijkheid het karakter van een probleem. Door per kwartaal of zelfs per half jaar te controleren, ontstaat rust. Kleine afwijkingen worden snel zichtbaar en kunnen eenvoudig worden opgelost. Daardoor wordt het rapportageproces minder stressvol en minder foutgevoelig.

    4. Koppel bewijs aan je gegevens

    Een cijfer zonder bewijs is slechts een bewering. Door bewijs direct te koppelen aan het datapunt ontstaat controleerbaarheid. Bewijs kan een factuur zijn, een meetrapport, een export uit een applicatie of een bevestigde schatting. Het gaat erom dat het bij het cijfer hoort en meebeweegt wanneer iemand het wil controleren.

    5. Leg eigenaarschap vast in rollen

    Veel organisaties leunen op één of twee medewerkers die “alles weten”. Dat werkt zolang zij beschikbaar zijn. Maar zodra iemand functioneel verandert of met vakantie is, komt het proces stil te liggen. Door eigenaarschap te koppelen aan rollen in plaats van personen, blijft het proces stabiel. Het wordt minder afhankelijk van individuele kennis en beter overdraagbaar.

    Waarom tooling het proces eenvoudiger maakt

    Veel duurzaamheidsinformatie wordt nog steeds beheerd in Excel. Dat is begrijpelijk, maar het maakt herleidbaarheid en versiebeheer lastig. In Excel is het moeilijk om te zien wie wanneer iets heeft aangepast en welke versie de juiste is. Het maakt opvolging kwetsbaar en kan tot discussies leiden wanneer audits dichterbij komen.

    Een lichtgewicht GRC-tool zoals CompliTrack biedt structuur zonder het proces zwaarder te maken. Het helpt om data, bewijs en verantwoordelijkheden centraal vast te leggen. Dat is vooral prettig voor compacte organisaties die geen complete projectstructuur kunnen optuigen. Het gaat niet om automatisering om de automatisering. Het gaat om overzicht. Eén plek waar je ziet wat ontbreekt, wat afgerond is en wat aandacht vraagt. Dat geeft rust, zeker in de aanloop naar assurance.

    Klaar voor de volgende stap

    De invoering van de CSRD betekent niet dat je ineens tot in detail alles moet meten of registreren. Het betekent dat je transparant moet kunnen uitleggen hoe je cijfers tot stand zijn gekomen en dat je dit ieder jaar op dezelfde manier kunt herhalen. Met een overzichtelijk systeem van datastromen, een paar vaste controlemomenten en helder eigenaarschap ontstaat een stevige basis. Niet omdat alles perfect is, maar omdat je inzicht hebt in wat je rapporteert.

    Voor veel organisaties levert dit vooral duidelijkheid en vertrouwen op. Je weet wat je rapporteert, je weet waar de informatie vandaan komt en je weet hoe je het kunt uitleggen wanneer iemand ernaar vraagt. Dat is de kern van aantoonbaarheid. En precies dat is waar de CSRD uiteindelijk om vraagt.

  • Duurzaam? Tot iemand om bewijs vroeg

    Duurzaam? Tot iemand om bewijs vroeg

    Hoe één vraag onze koers veranderde, van intentie naar aantoonbare resultaten

    “Kunnen jullie aantonen hoe duurzaam jullie eigenlijk zijn?”

    Het bleef even stil in de vergaderkamer. De vraag kwam van een vaste klant tijdens wat een routinematige leveranciersaudit had moeten zijn. Op papier stond het bedrijf bekend als duurzaam: groene energie, hergebruik van materialen en lokale leveranciers. Maar nu iemand om bewijs vroeg, viel er een ongemakkelijke stilte. Niemand wist waar de cijfers vandaan kwamen, laat staan of ze controleerbaar waren.

    Dat moment waarin een goedbedoelde duurzaamheidsclaim plots onder druk komt te staan, is herkenbaar voor veel organisaties. Niet omdat ze hun verantwoordelijkheid ontlopen, maar omdat ‘duurzaam werken’ vaak blijft hangen in intenties en losse initiatieven. Tot iemand vraagt om bewijs.

    Van goedbedoeld naar onderbouwd

    Steeds vaker vragen klanten, auditors en toezichthouders niet wat je denkt dat je doet voor het milieu, maar wat je kunt aantonen. Met de Corporate Sustainability Reporting Directive (CSRD) verschuift de lat definitief. Steeds meer organisaties, direct of via keteneisen, moeten werken met aantoonbare duurzaamheidsdata.

    Voor sommige geldt dit al over boekjaar 2024/2025, voor genoteerde kleinere ondernemingen vanaf boekjaar 2026. Dat vraagt om cijfers in plaats van slogans.

    Veel bedrijven hebben duurzame ambities, maar geen meetproces. Daar gaat het mis. Zonder meting blijft duurzaamheid perceptie, geen prestatie. En dat wordt een risico zodra klanten bewijs verwachten.

    Een audit die alles veranderde

    De audit werd een wake-upcall. Eén ogenschijnlijk eenvoudige vraag, “Hoeveel CO2 besparen jullie jaarlijks, onderbouwd per locatie?”, leidde tot een zoektocht door drie verschillende bestanden. De marketingafdeling had percentages in een brochure, maar geen bron. Inkoop kon certificeringen niet verifiëren. En de technische dienst had energiegegevens, maar verspreid over verschillende systemen.

    De auditor was helder: sterke ambitie, maar geen aantoonbaar beleid. Nog belangrijker, de klant koppelde vervolgopdrachten voortaan aan meetbare voortgang. Wat begon als een controle eindigde in een harde les en een kans om het beter te doen.

    Waarom bewijs zwaarder weegt dan belofte

    De tijd dat duurzaamheid vooral een marketingthema was, ligt achter ons. Klanten en toezichthouders verwachten dat organisaties hun claims kunnen onderbouwen. Niet uit wantrouwen, maar omdat ze afhankelijk zijn van betrouwbare data in hun eigen rapportages.

    Duurzaamheid raakt inmiddels direct aan governance, risk en compliance. Dat betekent dat het niet alleen om intenties draait, maar om meetbare resultaten, onderbouwde beslissingen en structurele verbetering. Ook leveranciers worden hier steeds vaker op beoordeeld.

    Wie zijn cijfers niet kan laten zien, verliest niet alleen geloofwaardigheid, maar ook kansen.

    Van losse acties naar een systeem

    Na die pijnlijke audit besloot het bedrijf het anders aan te pakken. Geen losse initiatieven meer, maar een gestructureerde aanpak op basis van ISO 14001, de internationale norm voor milieumanagement. Niet met het doel om te certificeren, maar om duurzaamheid te vertalen naar concreet gedrag en meetbare resultaten.

    Het verschil werd snel zichtbaar. In plaats van te zeggen “we verminderen ons energieverbruik”, werd het doel: “we reduceren ons gasverbruik met 15% binnen twaalf maanden.”

    In plaats van “we scheiden afval beter”, werd het “90% van ons bedrijfsafval wordt gescheiden ingezameld en geregistreerd.”

    Door doelen vast te leggen, verantwoordelijkheden te koppelen en resultaten te monitoren, ontstond iets dat daarvoor ontbrak: aantoonbaarheid.

    Bij de volgende audit lag er geen PowerPoint, maar een dashboard. En het gesprek ging niet langer over beloftes, maar over bewijs.

    Drie pijlers die het verschil maken

    De belangrijkste les: duurzaamheid wordt pas geloofwaardig als het is ingebed in de bedrijfsvoering. Dat vraagt om structuur, niet om grote woorden.

    1. Inzicht – weet waar je impact ligt: energie, afval, transport, inkoop en grondstoffen.
    2. Meten – verzamel data op vaste momenten en uit betrouwbare bronnen.
    3. Verbeteren – stel doelen, wijs verantwoordelijkheden toe en volg acties op.

    Met deze drie pijlers heb je niet alleen de bouwstenen voor audits en CSRD-rapportages in handen, maar ook een organisatie die wet wat werkt.

    De valkuil van greenwashing

    Greenwashing lijkt iets dat alleen grote bedrijven overkomt, maar ook kleinere organisaties kunnen erin verstrikt raken. Eén zin als “wij werken klimaatneutraal” kan al misleidend zijn als er geen bewijs achter zit.

    De Europese Unie werkt aan strengere regels tegen misleidende duurzaamheidsclaims. De richting is helder: claims moeten onderbouwd en controleerbaar zijn, ook als ze in een brochure of op een website staan.

    Wie transparant wil zijn, moet zijn cijfers kunnen laten zien, en dat begint bij structuur.

    Technologie als hulpmiddel, niet als obstakel

    Rapporteren hoeft niet complex te zijn. Het begint met overzicht, niet met zware software. Een toegankelijke GRC-aanpak (Governance, Risk & Compliance) helpt om milieuaspecten, doelen en acties vast te leggen zonder bureaucratie.

    Met zo’n systeem kun je:

    • Milieuaspecten identificeren;
    • Acties toewijzen aan verantwoordelijken;
    • En bewijs centraal opslaan.

    Het resultaat is overzicht, consistentie en minder stress bij audits. Het versterkt bovendien het vertrouwen bij klanten, omdat je data altijd beschikbaar en controleerbaar is.

    Van crisis naar vertrouwen

    Toen de klant een jaar later opnieuw langskwam voor een audit, was de sfeer compleet anders. De cijfers lagen klaar, de doelstellingen waren meetbaar en de voortgang aantoonbaar. In plaats van te verdedigen, ging het gesprek over verbetering.

    De klant zag niet alleen de resultaten, maar ook de transparantie. En dat wekte vertrouwen. Niet omdat alles perfect was, maar omdat alles onderbouwd was.

    Duurzaamheid zonder bewijs is een belofte. Duurzaamheid mét bewijs is een prestatie.

    Conclusie: bewijs is de nieuwe belofte

    Duurzaamheid draait niet langer om de juiste woorden, maar om controleerbare daden. De toekomst is aan organisaties die hun inspanningen kunnen aantonen, volgen en verbeteren.

    Een geloofwaardige duurzaamheidsclaim begint bij structuur: inzicht in je milieu-impact, vastgelegde processen en betrouwbare data. Daarmee voldoe je niet alleen aan regelgeving zoals de CSRD of ISO 14001, maar bouw je vooral aan iets belangrijkers: vertrouwen.

    Begin vandaag met meten wat je al doet. Dat is vaak de eerste stap naar bewijs.

    Lees ook:

  • Klokkenluidersregeling: de regels gelden al, in 2026 wordt vooral de lat zichtbaarder

    Klokkenluidersregeling: de regels gelden al, in 2026 wordt vooral de lat zichtbaarder

    Veel organisaties hebben inmiddels een klokkenluidersregeling op papier. Alleen: zodra er iets speelt, weet niemand precies wat er moet gebeuren. Wie pakt de melding op? Binnen welke termijn moet je reageren? En waar leg je het vast?

    Op papier lijkt alles geregeld, maar in de praktijk blijkt de regeling nauwelijks te leven.

    Sinds 17 december 2023 moeten alle werkgevers met vijftig of meer medewerkers voldoen aan de Wet bescherming klokkenluiders. Voor organisaties met meer dan 250 medewerkers gold dat zelfs al eerder, en in sommige sectoren – zoals de financiële dienstverlening of luchtvaart – gold de verplichting ook onder de vijftig.

    De wet is er dus al. Wat richting 2026 verandert, is de aandacht die eraan wordt besteed. Het Huis voor Klokkenluiders krijgt dan naar verwachting toezicht- en sanctiebevoegdheden. Klanten, auditors en opdrachtgevers zullen vaker vragen naar bewijs dat de regeling niet alleen bestaat, maar ook werkt. Wie nu alvast een werkbare structuur inricht, hoeft straks niets te repareren onder druk.

    Waarom wachten geen optie is

    De gefaseerde invoering van de wet zorgde voor verwarring. Veel bestuurders lazen dat als: dit geldt pas later voor ons. In werkelijkheid ligt de nadruk niet op de datum, maar op proportionaliteit. Ook kleinere en platte organisaties moeten een manier hebben waarop medewerkers veilig kunnen melden, al hoeft dat geen ingewikkeld systeem te zijn.

    Daarnaast is de praktijk veranderd. Grote klanten vragen in leverancierslijsten en audits regelmatig: “Heeft uw organisatie een interne meldregeling?” Wie daar geen goed antwoord op heeft, verliest niet zelden geloofwaardigheid.

    Een meldregeling is dus niet alleen een wettelijke verplichting, maar ook een voorwaarde om vertrouwen te behouden. Intern én extern.

    Wat je minimaal op orde moet hebben

    Een goede meldregeling hoeft niet complex te zijn. De kern is helderheid: waar kun je terecht, wat gebeurt er daarna, en hoe kun je aantonen dat meldingen serieus worden opgepakt.

    1. Eén herkenbaar meldpunt

    Gebruik één ingang – een e-mailadres, formulier of interne pagina – zodat medewerkers direct weten waar ze terecht kunnen. Meerdere routes zorgen vaak voor verwarring en vertraging.

    2. Duidelijke rollen en termijnen

    Benoem wie meldingen ontvangt en opvolgt. De wet schrijft voor dat je binnen 7 dagen een ontvangstbevestiging geeft en binnen 3 maanden terugkoppelt over de voortgang. Wie dit vastlegt, voldoet niet alleen aan de wet, maar voorkomt ook ruis bij medewerkers en auditors.

    3. Registratie en opvolging

    Leg vast wat er gemeld is, welke actie is ondernomen en wat de status is. Dat kan in een lichtgewicht GRC-tool, maar ook in een compact intern systeem. Belangrijk is dat de informatie veilig wordt bewaard en eenvoudig inzichtelijk is bij controles.

    Met deze drie stappen voldoe je organisatie aan de wettelijke basis én heb je het fundament voor aantoonbare werking gelegd.

    Formeel én laagdrempelig

    Veel organisaties houden meldingen bewust informeel: “kom maar even langs.” Dat lijkt vriendelijk, maar is niet aantoonbaar. Een formele structuur sluit dat niet uit, ze versterkt juist de betrouwbaarheid.

    Door het proces simpel en transparant te houden, maak je melden normaal in plaats van spannend. Beschrijf kort wat iemand mag verwachten na een melding, houd de taal begrijpelijk en communiceer dat meldingen altijd vertrouwelijk worden behandeld. Dat is de beste bescherming tegen misstanden én wantrouwen.

    Wat auditors en opdrachtgevers straks willen zien

    Steeds meer audits en aanbestedingen vragen bewijs dat je meldregeling werkt. Drie documenten maken daarbij het verschil:

    • De regeling zelf: beschrijf de mogelijkheid om intern te melden.
    • Het proces: laat zien wie verantwoordelijk is en welke termijnen gelden.
    • De registraties: tonen dat meldingen worden ontvangen, opgevolgd en afgerond.

    Heb je alleen het eerste document, dan heb je papier. Heb je alle drie, dan ben je aantoonbaar in control.

    Integreer meldingen in je bestaande ritme

    Een melding staat nooit op zichzelf. Vaak raakt ze ook incidentbeheer, personeelszaken of informatiebeveiliging. Het is dus logisch om meldingen te behandelen binnen hetzelfde ritme als audits, verbeteracties en risicobeheer.

    Dat voorkomt versnippering en maakt opvolging vanzelfsprekend. In ons eerdere artikel “Incidenten registreren én verbeteren: hoe je leert van je fouten” beschreef ik hoe dat principe werkt: wie één overzicht heeft van meldingen, taken en verbeteracties, voorkomt dat iets blijft liggen.

    Hetzelfde geldt voor deze regeling. Meldingen worden zo onderdeel van een continu proces, in plaats van losse uitzonderingen. Meer weten over het verbinden van die processen? Lees ook “Van chaos naar controle: zo verbind je risico’s, incidenten en audits in één werkproces.”

    Veelgemaakte denkfouten

    Een aantal overtuigingen hoor je in vrijwel elke organisatie terug. Ze lijken onschuldig, maar zorgen er vaak voor dat de regeling blijft hangen in intenties in plaats van werking.

    • “We hebben geen meldingen, dus het gaat goed.”
      Geen meldingen klinkt positief, maar kan ook betekenen dat mensen het niet aandurven. Een werkende regeling maakt melden veilig, niet noodzakelijkerwijs populair.
    • “We houden het bewust informeel.”
      Een persoonlijke cultuur is waardevol, maar informeel betekent vaak: niets is vastgelegd. Formeel én laagdrempelig kan prima samen.
    • “We wachten tot 2026, dan zien we wel wat er echt gevraagd wordt.”
      Tegen die tijd wordt toezicht strenger, en dan is het te laat om nog geloofwaardig te beginnen. Wie nu klein start, is straks klaar voor controle.

    Waarom dit loont

    Een goed ingerichte meldregeling biedt meer dan compliance. Ze versterkt de interne communicatie, voorkomt dat frustraties escaleren en laat zien dat je als organisatie transparant durft te zijn.

    Bovendien sluit de regeling goed aan op andere thema’s waar steeds meer aandacht voor is, van risicobeheer tot informatiebeveiliging en kwaliteitsborging. Wie meldingen koppelt aan verbetermaatregelen, ziet trends en kan gericht verbeteren. Dat is precies de gedachte achter de wet: niet extra papierwerk, maar vroegtijdige signalering en leren van fouten.

    Zoals we eerder schreven in “Klokkenluidersregeling: zo richt je ‘m vandaag nog goed in”, draait naleving niet om formulieren, maar om vertrouwen. Deze nieuwe fase vraagt vooral om bewijs van dat vertrouwen.

    Conclusie: een regeling die leeft

    Een klokkenluidersregeling is al lang geen optionele bijlage meer. De regels gelden nu; wat er in 2026 bijkomt, is vooral toezicht en bewijsdruk.

    Wie het slim aanpakt, houdt het klein: één kanaal, duidelijke rollen, en een vaste manier van vastleggen. Daarmee kun je altijd laten zien dat je meldingen serieus neemt, zonder een zware bureaucratie te creëren.

    Een regeling op papier is een verplichting. Een regeling die leeft, is een bewijs van vertrouwen.

    Kernboodschap samengevat

    • De Wet bescherming klokkenluiders geldt al sinds 2023; in 2026 volgt meer toezicht.
    • Zorg nu voor één meldkanaal, duidelijke rollen en registratie van meldingen.
    • Integreer je meldingen in je bestaande verbeterproces.
    • Een regeling die werkt, versterkt het vertrouwen. Intern én extern.