Tag: Aantoonbaarheid

  • Wat audits blootleggen dat al langer speelde

    Wat audits blootleggen dat al langer speelde

    Een week voor de audit wordt het risicooverzicht nog eens doorgelopen. Een maatregel staat op ‘afgerond’, maar niemand kan uitleggen wat precies is uitgevoerd en waarom dat voldoende werd gevonden. Bij een ander risico ontbreekt een eigenaar. Een incident van enkele maanden geleden is geregistreerd, terwijl de opvolging alleen terug te vinden is in de mailbox van een afwezige collega.

    Tot dat moment leek er weinig aan de hand. Het werk ging door en problemen werden opgelost. Pas wanneer iemand van buiten de dagelijkse praktijk doorvraagt, blijken eenvoudige vragen lastig te beantwoorden.

    De audit veroorzaakt die onduidelijkheid niet. Ze maakt zichtbaar wat al langer speelde.

    Waarom onduidelijkheden lang verborgen blijven

    Waar mensen meerdere rollen combineren, wordt veel opgelost op basis van ervaring en onderling overleg. Dat werkt vaak efficiënt. De lijnen zijn kort en betrokkenen kennen de context achter een beslissing.

    Juist daardoor voelt het niet altijd nodig om die context vast te houden. Een risico krijgt tijdelijk minder prioriteit. Een afwijkende werkwijze blijft langer bestaan dan bedoeld. Een controle wordt uitgesteld omdat iets anders urgenter is.

    Dat kunnen verdedigbare keuzes zijn. Het probleem ontstaat wanneer later niet meer zichtbaar is dat er daadwerkelijk een keuze is gemaakt. Dan blijft onduidelijk of een risico bewust is geaccepteerd, tijdelijk is uitgesteld of eenvoudigweg is blijven liggen.

    Zoals beschreven in Auditstress is zelden een auditprobleem, ontstaat auditdruk meestal al ruim vóór het auditmoment.

    Een audit brengt losse signalen bij elkaar

    Een risico zonder eigenaar, een maatregel zonder evaluatie en een procedure die niet meer aansluit op de praktijk lijken afzonderlijke tekortkomingen. Samen vertellen ze een ander verhaal.

    Ze laten zien dat signalen wel bekend waren, maar niet steeds tot een herkenbaar besluit en aantoonbare opvolging hebben geleid. Het probleem zit dan niet alleen in de registratie. Het kan ook betekenen dat verantwoordelijkheden onvoldoende duidelijk waren, keuzes zijn uitgesteld of niemand het mandaat voelde om een besluit te nemen.

    Daarom kan een audit onverwacht zwaar voelen. Verschillende kleine onduidelijkheden worden op hetzelfde moment zichtbaar en blijken met elkaar samen te hangen.

    Waarom snel repareren weinig verandert

    De gebruikelijke reactie is praktisch. Documenten worden aangevuld, overzichten opgeschoond en ontbrekende toelichtingen alsnog geschreven.

    Dat kan nodig zijn, maar het verandert weinig wanneer de onderliggende werkwijze hetzelfde blijft. Na de audit ontstaan dan opnieuw mondelinge besluiten, losse notities en acties zonder duidelijke eigenaar. Het beeld is tijdelijk hersteld, maar de oorzaak blijft bestaan.

    Meer documentatie is daarom niet automatisch de oplossing. Een status ‘afgerond’ heeft pas betekenis wanneer duidelijk is wat is gedaan, wie dat heeft beoordeeld en op basis waarvan de uitkomst aanvaardbaar werd gevonden.

    Structuur begint bij uitlegbaarheid

    Een werkbare structuur hoeft niet zwaar te zijn. Bij belangrijke risico’s, afwijkingen en maatregelen moet vooral zichtbaar blijven wat de afweging was, wie verantwoordelijk is en wanneer opnieuw wordt beoordeeld of de gekozen aanpak nog passend is.

    Wanneer die samenhang tijdens het werk behouden blijft, hoeft zij later niet te worden gereconstrueerd. Een centrale werkwijze kan helpen om besluiten, risico’s en opvolging bij elkaar te houden. Niet als vervanging van overleg, maar als geheugen van de organisatie.

    Daarmee verandert ook de voorbereiding op een audit. De aandacht verschuift van informatie verzamelen naar controleren of de vastgelegde lijn nog overeenkomt met de praktijk.

    Wat de audit werkelijk laat zien

    Een auditbevinding kan aanleiding zijn om verder te kijken dan het punt dat letterlijk in het rapport staat. Achter een ontbrekende registratie kan onduidelijk eigenaarschap zitten. Achter een verouderd risicooverzicht kan uitgestelde besluitvorming schuilgaan. Achter een afwijkende werkwijze kan een proces zitten dat niet meer past bij de organisatie.

    De belangrijkste vraag na een audit is daarom niet alleen hoe een bevinding wordt gesloten. Interessanter is wat zij zichtbaar maakte over de periode ervoor.

    Wie daar rustig naar kijkt, ziet waar de organisatie al langer vertrouwde op geheugen, aannames of informele afstemming. Precies daar ligt de aanwijzing voor waar meer structuur werkelijk rust kan geven.

    Verder lezen

    Meer achtergrond over het auditproces staat in De initiële ISO-audit: Stapsgewijze gids naar ISO-certificering.

    In Auditvoorbereiding in ritme: altijd aantoonbaar zonder stress lees je hoe een regelmatige werkwijze voorkomt dat voorbereiding een jaarlijkse inhaalslag wordt.

    De gevolgen van verloren besluitcontext worden verder uitgewerkt in Wat er gebeurt als beslissingen niet worden vastgehouden.

  • Waarom achteraf verklaren altijd tijdrovend is

    Waarom achteraf verklaren altijd tijdrovend is

    Een keuze die later opnieuw moet worden uitgelegd

    Een risico wordt vorig jaar als acceptabel beoordeeld. Op dat moment is de keuze logisch. De leverancier had nog niet alle maatregelen volledig ingericht, maar er was een verbeterafspraak. De impact leek beheersbaar. De samenwerking was belangrijk. Iedereen aan tafel begreep waarom het risico tijdelijk werd geaccepteerd.

    Een jaar later komt dezelfde keuze terug.

    Niet omdat er direct iets mis is gegaan, maar omdat iemand vraagt waarom het risico destijds acceptabel was. Dat kan een klant zijn, een auditor of iemand intern die het dossier heeft overgenomen. De vraag klinkt eenvoudig: waarom hebben we dit toen zo besloten?

    Toch kost het beantwoorden ervan meer tijd dan verwacht.

    Er wordt gezocht in een risico-overzicht. Er is een actielijst, maar die zegt vooral dát er iets is opgevolgd. In een overlegverslag staat een korte verwijzing naar de leverancier, maar niet de afweging. Iemand herinnert zich dat er destijds haast was. Iemand anders weet nog dat de maatregel “voor nu voldoende” werd gevonden. Alleen is niet meer goed terug te halen op basis waarvan.

    Uiteindelijk ontstaat er wel een verklaring. Maar die verklaring voelt samengesteld. Alsof het verhaal opnieuw moet worden opgebouwd uit losse onderdelen.

    Waarom context sneller verdwijnt dan informatie

    Achteraf verklaren is tijdrovend omdat je niet alleen informatie zoekt. Je zoekt context. En context is bijna altijd kwetsbaarder dan informatie.

    In organisaties waar compliance niet losstaat van het dagelijkse werk, worden veel risicobeslissingen genomen op basis van ervaring, praktische afwegingen en korte lijnen. Dat is op zichzelf niet verkeerd. Het zorgt vaak voor snelheid en realisme. Niet elk risico vraagt om een zwaar besluitvormingsproces. Niet elke afwijking hoeft uitgebreid te worden beschreven.

    Maar het wordt kwetsbaar wanneer de reden achter een keuze niet wordt vastgehouden.

    Op het moment zelf is die reden duidelijk. Iedereen weet waarom een risico voorlopig acceptabel is. Iedereen begrijpt waarom een maatregel voldoende lijkt. Iedereen voelt aan waarom een uitzondering verdedigbaar is. Maar die duidelijkheid hoort bij het moment. Zodra mensen wisselen, prioriteiten veranderen of tijd verstrijkt, blijft vaak alleen de uitkomst over.

    Het risico staat op “geaccepteerd”.
    De maatregel staat op “afgerond”.
    De leverancier staat op “beoordeeld”.

    Maar waarom dat toen passend was, is minder zichtbaar.

    Waarom meer vastleggen niet automatisch helpt

    De gangbare oplossing is vaak om meer vast te leggen. Meer toelichting in risico-overzichten. Meer notulen. Meer documenten. Dat lijkt zorgvuldig, maar lost het probleem niet altijd op. Meer informatie betekent niet automatisch meer uitlegbaarheid.

    Een toelichting die losstaat van de beslissing helpt beperkt. Een notitie zonder eigenaar zegt weinig. Een document dat niet verbonden is met het risico, de maatregel of de gemaakte afspraak wordt al snel een extra zoekplek. Dan ontstaat geen beter geheugen, maar meer materiaal om achteraf doorheen te moeten.

    Een andere reflex is om te vertrouwen op overleg. “We bespreken dit elk kwartaal wel even.” Ook dat kan nuttig zijn, maar alleen zolang de juiste mensen aan tafel zitten en het onderwerp aandacht krijgt. Zodra de dagelijkse druk terugkomt, vervaagt de afspraak opnieuw.

    Het probleem is dus niet dat organisaties te weinig opschrijven. Het probleem is dat betekenis niet op het juiste moment wordt vastgehouden.

    Structuur als geheugen voor risicokeuzes

    Structuur helpt wanneer zij precies daar begint: bij de keuze zelf. Niet door alles groter te maken, maar door een paar dingen consequent zichtbaar te houden. Waarom is dit risico acceptabel? Wie heeft die afweging gemaakt? Welke maatregel of afspraak hoort erbij? Wanneer moet dit opnieuw bekeken worden?

    Dat zijn niet alleen auditvragen. Het zijn vooral geheugenankers.

    Ze zorgen ervoor dat een organisatie later niet opnieuw hoeft te bedenken wat ooit al is afgewogen. Ze maken duidelijk waar een keuze vandaan kwam, ook als de oorspronkelijke betrokkenen er niet meer direct bij zijn. En ze voorkomen dat uitleg afhankelijk wordt van degene met het beste geheugen.

    Daarmee verandert ook de rol van hulpmiddelen. Een overzicht, systeem of centrale plek is dan geen oplossing op zichzelf, maar een manier om samenhang vast te houden. Het voorkomt dat risico’s, maatregelen, afspraken en verantwoordelijkheden als losse brokstukken naast elkaar blijven bestaan. Niet door het werk zwaarder te maken, maar door te zorgen dat keuzes hun betekenis behouden.

    Achteraf verklaren kost tijd omdat je probeert te reconstrueren wat op het beslismoment niet expliciet genoeg is gemaakt. Soms lukt dat. Soms zelfs overtuigend. Maar het blijft kwetsbaar, omdat het steunt op herinneringen, aannames en losse sporen.

    De vraag is daarom niet of elke beslissing uitgebreid gedocumenteerd moet worden. De vraag is welke risicokeuzes later nog begrijpelijk moeten zijn.

    Wie die vraag pas stelt wanneer iemand om uitleg vraagt, merkt vaak dat het werk al is verschoven van uitleggen naar reconstrueren. Niet omdat de keuze verkeerd was, maar omdat de organisatie opnieuw moet achterhalen wat zij eerder al wist.

    Verder lezen

    Wil je verder lezen over uitlegbaarheid, risico’s en het vasthouden van keuzes? Deze blogs sluiten goed aan:

  • Minimum Viable Compliance: wat moet je echt vastleggen (en wat niet)

    Minimum Viable Compliance: wat moet je echt vastleggen (en wat niet)

    Compliance groeit bijna vanzelf.

    Na een incident komt er een registratie bij. Na een auditbevinding ontstaat een actie. Nieuwe eisen leiden tot extra documentatie, controles of rapportages. Wat zelden gebeurt, is het omgekeerde. Er wordt weinig weggehaald.

    Na verloop van tijd ontstaat daardoor een herkenbaar patroon. De hoeveelheid vastlegging neemt toe, maar het overzicht niet altijd. Documentatie groeit, registraties stapelen zich op en controles worden uitgebreid, terwijl het steeds lastiger wordt om snel uit te legen waar de belangrijkste risico’s zitten en welke keuzes zijn gemaakt.

    Precies daar begint een vraag die verrassend weinig wordt gesteld: wat is eigenlijk het minimale dat nodig is om aantoonbaar in control te zijn?

    Dat is de kern van Minimum Viable Compliance. Niet minder serieus omgaan met risico’s, maar scherper worden op wat werkelijk nodig is om risico’s te beheersen en keuzes te kunnen verantwoorden.

    Wat “viable” in compliance betekent

    Het woord minimaal roept al snel de associatie op met oppervlakkig of uitgekleed. In compliance werkt dat misleidend.

    Viable betekent niet dat je zo weinig mogelijk doet. Het betekent dat je precies genoeg organiseert om beslissingen te kunnen onderbouwen en later te kunnen uitleggen.

    In de praktijk komt dat neer op vier vragen:

    • Welke risico’s lopen we?
    • Welke maatregelen hebben we gekozen?
    • Wie is daarvoor verantwoordelijk?
    • Hoe weten we dat die maatregelen werken?

    Wanneer een organisatie deze vragen overtuigend kan beantwoorden, staat de basis van compliance.

    Alles wat daar niet direct aan bijdraagt, verdient kritische heroverweging.

    De minimale bouwstenen van compliance

    Wanneer je compliance terugbrengt tot de kern, blijven een aantal eenvoudige bouwstenen over. Niet als model of methodiek, maar als ondergrens voor bestuurbaarheid.

    Heldere definities

    Veel complianceproblemen beginnen bij interpretatieverschillen. Mensen gebruiken dezelfde woorden, maar bedoelen iets anders.

    Wanneer is iets een risico?
    Wanneer noem je iets een incident?
    Wanneer is een maatregel afgerond?
    Wat betekent afgehandeld?

    Zonder gedeelde definities verliest vastlegging betekenis. Registraties worden inconsistent en discussies blijven terugkomen.

    Juist daarom helpt het om een paar kernbegrippen expliciet vast te leggen. Niet uitgebreid, maar wel eenduidig. Dat voorkomt dat compliance verandert in implementatie.

    Dit raakt direct aan het onderwerp van de blog Waarom compliance software pas werkt als iedereen hetzelfde bedoelt.

    Eén plek waar risico’s en besluiten samenkomen

    Een lijst met risico’s is op zichzelf nog geen beslissing. Pas wanneer zichtbaar is wat ermee is gedaan, ontstaat sturing.

    Bij elk risico hoort daarom een besluit. Wordt het risico gemitigeerd of vermeden? Waarom is dat besluit genomen? En door wie?

    Wanneer risico’s, acties en besluiten verspreid raken over verschillende documenten, verdwijnt de samenhang. Dan wordt het lastig om het verhaal achter een keuze terug te vinden.

    Een risico zonder een besluit is uiteindelijk alleen een inventarisatie.

    Wie meer wil lezen over de basis van risicobeheer, kan ook kijken naar De risicoanalyse: een onmisbaar instrument voor elke ondernemer.

    Expliciet eigenaarschap

    Veel compliancevraagstukken zijn uiteindelijk geen inhoudelijk probleem, maar een verantwoordelijkheidsprobleem.

    Acties blijven liggen omdat niemand expliciet eigenaar is. Niet omdat ze onbelangrijk zijn, maar omdat opvolging impliciet blijft.

    Daarom is een eenvoudige regel vaak voldoende:

    • Elk risico heeft één eigenaar
    • Elke maatregel heeft een verantwoordelijke
    • Elke actie heeft een termijn.

    Zodra eigenaarschap helder is, ontstaat voortgang vanzelf sneller.

    Basisbewijs dat maatregelen werken

    Compliance vraagt aantoonbaarheid. Dat betekent niet dat alles uitgebreid moet worden gearchiveerd, maar wel dat de maatregelen zichtbaar functioneren.

    Dat bewijs kan bestaan uit besluitnotities, voortgangsoverzichten, reviewmomenten of een logische audittrail vanuit het proces zelf.

    Belangrijk is dat bewijs voortkomt uit het werk zelf. Wanneer bewijs alleen achteraf wordt verzameld, ontstaat juist twijfel over de betrouwbaarheid.

    De manier waarop organisaties omgaan met opvolging en verbeteringen zegt daarom vaak meer over hun compliancevolwassenheid dan de hoeveelheid documentatie. Dat onderwerp komt uitgebreider terug in Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt.

    Periodieke herijking

    Risico’s veranderen. Organisaties veranderen. Prioriteiten verschuiven.

    Toch wordt compliance nog vaak behandeld als een eenmalige analyse die daarna vooral wordt onderhouden. Zonder een vast moment van herijking veroudert zo’n analyse vanzelf.

    Een eenvoudig ritme helpt om dat te voorkomen. Een kwartaalreview, een jaarlijkse herbeoordeling of een evaluatie bij een belangrijke wijziging kan al voldoende zijn. Zolang het maar een terugkerend moment is waarop risico’s en uitzonderingen opnieuw worden bekeken.

    Wat vaak wél gebeurt, maar weinig toevoegt.

    Compliance wordt regelmatig zwaarder gemaakt door activiteiten die weinig bijdragen aan besluitvorming of beheersing.

    Voorbeelden zijn dubbele registraties, detailniveau dat niemand gebruikt, documenten die nooit worden geraadpleegd of dashboards die geen actie opleveren.

    Het probleem zit niet in dat ze bestaan. Het probleem is dat ze vaak blijven bestaan zonder dat iemand nog toetst of ze werkelijk iets toevoegen.

    Zodra vastlegging niet helpt om risico’s beter te begrijpen, keuzes explicieter te maken of maatregelen te toetsen, verandert ze in overhead.

    En overhead maakt compliance wel drukker, maar zelden beter.

    Eenvoud versus zekerheid

    Veel organisaties ervaren spanning tussen eenvoud en zekerheid. Certificering vraagt aantoonbaarheid. Wetgeving vraagt zorgvuldigheid. Klanten willen bewijs zien.

    Dat leidt gemakkelijk tot de reflex om meer vast te leggen.

    Toch blijkt in de praktijk dat een slanke inrichting vaak betrouwbaarder werkt. Wanneer rollen helder zijn, besluiten expliciet zijn vastgelegd en er een ritme van evaluatie bestaat, blijft compliance beter bestuurbaar.

    Eenvoud werkt alleen wanneer keuzes bewust zijn gemaakt. Minimum Viable Compliance betekent daarom niet minder discipline, maar gerichte discipline.

    Hoe toets je of jouw compliance “minimum viable” is

    Een eenvoudige zelftoets is vaak al voldoende.

    Kun je in tien minuten uitleggen:

    • Wat de belangrijkste risico’s zijn
    • Wie daarvoor verantwoordelijk is
    • Welke maatregelen momenteel lopen
    • Welke uitzonderingen bewust zijn geaccepteerd

    Wanneer dat overzicht ontbreekt, ligt het probleem meestal niet in een tekort aan documentatie. Vaker ontbreekt de structuur waarin risico’s, besluiten en opvolging logisch samenkomen.

    Minder is alleen beter als het bewust is

    Minimum Viable Compliance betekent niet dat je minder serieus met risico’s omgaat.

    Het betekent dat je alleen vastlegt wat nodig is om keuzes te dragen, risico’s te beheersen en verantwoording af te leggen.

    Compliance moet geen archief worden waarin alles ooit is opgeslagen. Het moet een geheugen zijn waarin zichtbaar blijft welke keuzes zijn gemaakt, waarom ze zijn gemaakt en wie daarvoor verantwoordelijkheid draagt.

    Zolang dat geheugen helder blijft, blijft ook de organisatie bestuurbaar.

    Verder lezen

    Deze artikelen sluiten inhoudelijk goed aan: