Veel organisaties geloven dat hun compliance goed geregeld is. Er ligt beleid, processen zijn beschreven en medewerkers weten waar de documentatie staat. Op papier klopt het allemaal.
Tot er iets gebeurt.
Een incident blijft liggen. Een auditvraag leidt tot stress omdat informatie niet direct voorhanden is. Of een klant stelt een kritische vraag en niemand weet zeker wie erover gaat. Dan blijkt dat de regels wel bestaan, maar dat het eigenaarschap niet stevig genoeg is.
Compliance werkt alleen wanneer iemand zich verantwoordelijk voelt. Niet omdat het ergens staat, maar omdat die persoon het oppakt precies op het moment dat dit nodig is.
In deze blog gaat het over dat gevoel van verantwoordelijkheid. Waarom het vaak wegvalt, en hoe je eigenaarschap kunt organiseren zonder extra lagen, complexe structuren of een grote compliance-afdeling.
Waarom eigenaarschap doorslaggevend is
Wanneer naleving hapert, zie je dat het zelden ligt aan kennis of intentie. De oorzaak is bijna altijd dat niemand zich verantwoordelijk voelt. Niet omdat mensen onwillig zijn, maar omdat verantwoordelijkheden diffuse grenzen hebben.
Veelvoorkomende problemen:
- Een incident wordt besproken maar niet opgevolgd.
- Een risicoanalyse wordt gemaakt en daarna niet meer bijgewerkt.
- Een auditvoorbereiding wordt een race tegen de klok omdat taken nergens zijn toegewezen.
- Verbeteracties verdwijnen omdat niemand ze langer bewaakt.
Het gaat niet mis op papier; het gaat mis tussen mensen. Eigenaarschap is dat ene element dat de stap van papieren compliance naar echte naleving maakt.
De twee lagen onder compliance; hard controls en soft controls
Elke organisatie werkt, bewust of onbewust, met twee lagen:
- Hard controls
De formele kant: beleid, procedures, maatregelen, regisraties, audits, versiebeheer. - Soft controls
De gedragskant: houding, voorbeeldgedrag, onderlinge verwachtingen, verantwoordelijkheidsgevoel.
Soft controls zijn een onderdeel van ISO-normen, maar bepalen wel of die normen in de praktijk werken. Als iemand niet durft te melden, of denkt dat een collega iets wel oppakt, functioneren hard controls slechts gedeeltelijk.
Zonder soft controls blijft compliance een papieren activiteit. Met soft controls wordt compliance onderdeel van dagelijkse keuzes.
Waarom eigenaarschap zo makkelijk vervaagt
Eigenaarschap raakt vaak op de achtergrond door een optelsom van kleine patronen:
Het is niet helder wie ergens van is
Wanneer verantwoordelijkheid te breed is (“HR doet privacy”, “IT doet security”) voelt niemand zich echt verantwoordelijk. Hoe vager de rol, hoe kleiner de kans dat iemand het vanzelf oppakt.
Er is geen plek waar taken zichtbaar worden
Zonder gestructureerde registratie raken acties versnipperd. Mails verdwijnen. Excel raakt verouderd, en taken worden ad hoc opgepakt.
Incidenten voelen als kritiek in plaats van signaal
Wanneer een incident wordt gezien als fout in plaats van kans, melden mensen minder. Hoe minder informatie, hoe minder eigenaarschap.
Prioriteit wint altijd van structuur
Compliance is vaak een rol naast andere werkzaamheden. Zonder ondersteuning wint het urgente altijd van het belangrijke.
Processen veranderen sneller dan rollen worden bijgewerkt
Als het werk verandert maar de verantwoordelijkheden niet mee evolueren, ontstaat er snel een mismatch tussen verwachting en werkelijkheid.
Eigenaarschap vervaagt zelden in één keer. Het verdwijnt langzaam door dagelijkse keuzes, kleine misverstanden en gebrek aan ritme.
Hoe je eigenaarschap concreet en werkbaar maakt
Hieronder staan vijf bouwstenen die eigenaarschap versterken zonder complexe reorganisaties of grote systemen.
1. Houd verantwoordelijkheden klein en duidelijk
Eigenaarschap ontstaat wanneer iemand precies weet wat er onder zijn of haar verantwoordelijkheid valt. Dit werkt alleen als:
- één persoon eigenaar is van één onderwerp
- de verantwoordelijkheid concreet is
- het verband met risico’s en maatregelen duidelijk is
Voorbeelden:
- Niet: “HR is verantwoordelijk voor privacy.”
Wel: “Eén persoon bewaakt inzageverzoeken en wettelijke termijnen.” - Niet: “IT beheert incidenten.”
Wel: “Eén verantwoordelijke beoordeelt, registreert en sluit beveiligingsincidenten af.”
Wanneer verantwoordelijkheid persoonlijk is, wordt opvolging vanzelf sterker.
2. Zorg dat verantwoordelijkheden terugkomen in het dagelijks werk
Eigenaarschap moet zichtbaar zijn in taken, niet alleen in documentatie.
Dat betekent:
- Terugkerende taken plannen
- Opvolging registreren
- Acties zichtbaar houden
- Koppeling maken tussen risico’s en maatregelen
- Inzicht creëren in wat openstaat en wat afgerond is
Wanneer verantwoordelijkheden niet in het werkritme zitten, verdwijnen ze. Wanneer ze onderdeel worden van het werk, blijven ze leven.
3. Gebruik incidenten om processen sterker te maken
Incidenten laten zien hoe processen écht werken. Je hebt twee manieren om ze te benaderen:
Als fout:
De aandacht gaat naar een persoon die iets niet goed deed.
Als signaal:
Het incident laat zien waar het proces kwetsbaar is.
In organisaties waar incidenten worden gezien als feedback op het proces, durven mensen eerder te melden en kunnen eigenaren sneller verbeteren. De kracht zit in de toon van het gesprek: niet “waarom deed jij dit” maar “wat zegt dit over hoe we werken”.
4. Maak eigenaarschap haalbaar
Eigenaarschap wordt pas duurzaam wanneer iemand de middelen heeft om het goed uit te voeren. Dat vraagt om:
- Inzicht in alle relevante informatie
- Duidelijke verwachtingen
- Automatisering voor terugkerende taken
- Actuele documentatie
- Reminders die het geheugen ontlasten
- Een werkproces dat niet afhankelijk is van losse lijstjes
Overzicht is essentieel. Zeker wanneer mensen meerdere rollen tegelijk vervullen. Een lichtgewicht GRC-tool kan hier helpen, niet als extra laag, maar als rustpunt. Niet om nieuwe verplichtingen te introduceren, maar om grip te creëren.
5. Maak gedrag onderdeel van het gesprek
Compliance zit in dagelijkse keuzes, niet in documenten. Daarom helpt het om gedrag bespreekbaar te maken in korte, regelmatige momenten:
- Wat viel je op in incidenten of risico’s?
- Waar heb je getwijfeld over verantwoordelijkheden?
- Welke signalen zag je, maar heb je niet opgepakt?
- Wat heb je nodig om eigenaarschap beter te vervullen?
Dit zijn geen evaluaties, maar microgesprekken die bewustzijn vergroten. Wanneer gedrag bespreekbaar is, ontwikkelen soft controls zich vanzelf.
Hoe CompliTrack eigenaarschap ondersteunt
Een tool creëert geen eigenaarschap, maar het maakt het wél zichtbaar en uitvoerbaar.
- Risico’s, incidenten en acties krijgen één eigenaar
- Opvolging wordt automatisch bewaakt
- Iedereen werkt vanuit dezelfde informatie
- Auditbewijslast ontstaat tijdens het werk
- Structuur voorkomt dat verantwoordelijkheden verdwijnen
Hierdoor wordt eigenaarschap minder afhankelijk van discipline of geheugen en meer van een voorspelbaar proces.
Conclusie
Compliance wordt niet sterk door meer beleid of uitgebreidere documentatie. Het wordt sterk wanneer verantwoordelijkheden duidelijk zijn, werkbaar zijn en gedragen worden.
Eigenaarschap draait uiteindelijk om drie vragen:
- Wie is verantwoordelijk
- Wat betekent dat in de praktijk
- Hoe zorgen we dat deze persoon dat kan waarmaken
Wanneer je die drie vragen scherp hebt, ontstaat een vorm van compliance die niet alleen op papier werkt, maar in de dagelijkse praktijk voelbaar is.
Dat is de basis voor rust, transparantie en aantoonbare beheersing.
Geef een reactie