Tijdens een audit komt vaak een vraag die op het eerste gezicht eenvoudig lijkt.
“Hoe bepalen jullie eigenlijk welke risico’s prioriteit krijgen?”
Er volgt een korte stilte. Niet omdat niemand het antwoord weet, maar omdat het lastig is om precies uit te leggen. Iedereen heeft er wel een beeld bij. De risicoanalyse wordt regelmatig besproken. Acties worden opgepakt. In de praktijk voelt het alsof er grip is.
Maar zodra het gesprek concreet wordt, blijkt hoe veel van dat proces impliciet is.
De ene collega kijkt vooral naar impact. Een ander let op waarschijnlijkheid. Soms speelt ervaring mee: “dit ging eerder bijna mis”. In andere gevallen weegt de druk van een klant of audit zwaarder. Het zijn allemaal begrijpelijke afwegingen, alleen staan ze nergens echt vast.
Voor een auditor is dat een interessant moment.
Niet omdat er per se iets fout gaat, maar omdat hier zichtbaar wordt hoe beslissingen werkelijk tot stand komen.
Waarom dit probleem ontstaat
In veel organisaties groeit risicobeheer geleidelijk. Er komt een overzicht van risico’s, een lijst met maatregelen en een paar afspraken over evaluatiemomenten. Dat werkt vaak prima zolang dezelfde mensen betrokken blijven.
De context zit in gesprekken en ervaring. Iedereen weet ongeveer waarom iets als belangrijk wordt gezien. Daardoor voelt het systeem logisch, ook al is het niet volledig expliciet.
Het probleem ontstaat pas wanneer iemand van buitenaf probeert te begrijpen hoe het werkt.
Dan blijken keuzes moeilijk te reconstrueren. Niet omdat ze willekeurig zijn gemaakt, maar omdat het denkproces erachter nooit echt zichtbaar is geworden.
In de blog Wat auditors feitelijk testen, ook als ze het niet zo noemen beschrijven we hoe auditors vaak minder kijken naar documenten en meer naar de vraag of een organisatie haar keuzes kan uitleggen en consistent kan onderbouwen.
Waarom meer documentatie het probleem niet oplost
Wanneer dit zichtbaar wordt, ontstaat vaak dezelfde reflex: meer vastleggen.
Meer toelichting bij risico’s. Extra velden in het overzicht. Misschien een uitgebreidere risicomatrix. Dat geeft tijdelijk rust, maar verandert weinig aan het onderliggende probleem.
Meer informatie betekent namelijk niet automatisch meer begrijpelijkheid.
Wanneer het onderliggende besluitproces onduidelijk blijft, ontstaat er vooral meer documentatie rondom dezelfde vragen. Waarom staat dit risico hier? Waarom kreeg dit prioriteit? Waarom werd deze maatregel voldoende geacht?
Daar komt nog iets bij. Mensen kunnen verschillende betekenissen geven aan dezelfde termen. Wat voor de één een risico is, ziet een ander pas als probleem wanneer de impact concreet wordt. In Waarom compliance software pas werkt als iedereen hetzelfde bedoelt wordt beschreven hoe zulke interpretatieverschillen ontstaan en waarom ze vaak pas zichtbaar worden wanneer iemand van buitenaf meekijkt.
Wat auditors eigenlijk proberen te begrijpen
Auditors kijken zelden alleen naar het bestaan van documenten of procedures. Ze proberen vooral te begrijpen hoe keuzes tot stand komen.
Komen vergelijkbare situaties tot vergelijkbare beslissingen?
Begrijpen mensen waarom een maatregel is gekozen?|
Is duidelijk wie verantwoordelijk is wanneer omstandigheden veranderen?
Wanneer die samenhang zichtbaar is, ontstaat vertrouwen. Zelfs wanneer niet elk detail perfect is vastgelegd.
Het omgekeerde gebeurt ook. Een organisatie kan een uitgebreid risico-overzicht hebben, maar toch onzeker overkomen wanneer niemand precies kan uitleggen hoe prioriteiten ontstaan.
Structuur als hulpmiddel voor uitlegbaarheid
Daarom draait risicobeheer uiteindelijk minder om het aantal risico’s in een overzicht en meer om het moment waarop keuzes worden gemaakt.
Wanneer wordt iets echt een risico?
Wie bepaalt dat?
Welke informatie speelt daarbij een rol?
Zodra die momenten herkenbaar zijn, verandert de dynamiek. Beslissingen worden niet alleen genomen, maar ook herleidbaar. Niet omdat alles uitgebreid wordt gedocumenteerd, maar omdat de logica zichtbaar blijft.
Dat raakt aan een breder vraagstuk: hoe beslissingen inzichtelijk blijven. In Waarom procesanalyse cruciaal is als je beslissingen wilt kunnen uitleggen wordt beschreven waarom juist die besluitmomenten belangrijk zijn voor governance en compliance.
Structuur helpt hier als geheugen. Niet om elk detail vast te leggen, maar om betekenis vast te houden. Wanneer duidelijk is waarom een risico prioriteit krijgt en wie daarover beslist, verdwijnen veel interpretatieverschillen vanzelf.
Discussies worden concreter. Evaluaties minder defensief.
Wanneer vertrouwen ontstaat zonder checklist
Opvallend genoeg reageren auditors vaak positief op zo’n situatie.
Niet omdat ze een perfecte methode zien, maar omdat ze een organisatie zien die begrijpt hoe haar eigen keuzes tot stand komen. Waar beslissingen niet toevallig lijken, maar voortkomen uit een herkenbare manier van werken.
Op dat moment wordt de checklist minder bepalend.
De auditor hoeft minder te zoeken naar losse aanwijzingen dat het systeem werkt. De consistentie in het verhaal geeft al veel informatie.
Reflectie
Veel organisaties proberen vertrouwen te creëren door meer vast te leggen. Meer documenten, meer detail, meer bewijs.
In werkelijkheid ontstaat vertrouwen vaak ergens anders.
Bij het moment waarop iemand eenvoudig kan uitleggen waarom een risico belangrijk werd, waarom een maatregel gekozen is en wie daarvoor verantwoordelijkheid draagt.
Niet omdat alles perfect is georganiseerd, maar omdat de logica achter beslissingen herkenbaar blijft.
En juist daar begint de rust die auditors vaak zoeken. Niet in de checklist, maar in het verhaal dat erachter klopt.
