De audit staat over twee weken gepland.
Op zichzelf lijkt er weinig aan de hand. De risicoanalyse is uitgevoerd, maatregelen zijn besproken en verschillende controles zijn het afgelopen jaar gewoon uitgevoerd. Alleen het bewijs daarvan moet nog even bij elkaar worden gezocht.
Dus begint de zoektocht.
Een collega duikt in zijn mailbox om terug te vinden wanneer een bepaald risico is besproken. Iemand anders zoekt naar rapportages waarvan niet direct duidelijk is welke versie destijds is gebruikt. Er worden screenshots gemaakt van instellingen die waarschijnlijk al maanden zo staan. En bij een maatregel die als afgerond staat geregistreerd, ontstaat discussie over wat er precies is gedaan.
Het werk is waarschijnlijk uitgevoerd.
Alleen is achteraf nauwelijks meer vast te stellen wat er op dat moment bekend was, welke afweging is gemaakt en waarom de organisatie vond dat de genomen maatregel voldoende was.
Daar zit het probleem met bewijs verzamelen achteraf.
Niet omdat bestaand bewijs niet later mag worden opgehaald. Een systeemlog, goedgekeurd besluit of tijdgestempelde registratie kun je prima maanden later terugvinden. Het probleem ontstaat wanneer dat spoor tijdens het werk nooit is ontstaan en je achteraf moet reconstrueren wat er waarschijnlijk is gebeurd.
Bewijs zonder context zegt minder dan je denkt
Wanneer bewijs vlak voor een audit, klantvraag of evaluatie wordt verzameld, lijkt het probleem meestal administratief. Documenten ontbreken, screenshots moeten nog worden gemaakt of informatie staat verspreid over verschillende plekken.
Maar dat is slechts het zichtbare deel.
Bewijs krijgt pas betekenis door de context eromheen.
Een screenshot laat zien dat een instelling op een bepaald moment op een bepaalde manier staat geconfigureerd. Hij vertelt niet vanzelf sinds wanneer dat zo is, waarom daarvoor is gekozen of welk risico ermee werd beheerst.
Een e-mail kan aantonen dat iets is besproken. Zonder zichtbaar besluit blijft onduidelijk wat daarna daadwerkelijk is afgesproken.
Een risico-overzicht kan laten zien dat een risico als acceptabel is beoordeeld. Als niet meer te achterhalen is waarom, laat het vooral zien dat ooit een beoordeling is ingevuld.
Goede bewijsvoering gaat daarom niet alleen over aantonen dat iets bestaat.
Het gaat om de samenhang tussen wat je hebt gezien, welke afweging daarop volgde, wat je hebt besloten en wat daarna daadwerkelijk is gedaan.
Wanneer context verdwijnt, begint reconstructie
Tijdens het dagelijkse werk is veel meer context beschikbaar dan organisaties zich realiseren.
Een risico wordt opnieuw besproken omdat een leverancier problemen heeft gehad. Een maatregel wordt aangepast omdat een bestaande werkwijze niet praktisch blijkt. Een uitzondering wordt geaccepteerd omdat de resterende impact beperkt is en een aanvullende maatregel op dat moment niet proportioneel wordt gevonden.
Op dat moment begrijpt iedereen de redenering.
Maar vaak wordt alleen de uitkomst vastgelegd.
Risico geaccepteerd.
Maatregel uitgevoerd.
Actie afgerond.
Daarmee verdwijnt een deel van het denkproces dat de uitkomst betekenis gaf.
Een paar maanden later is de aanleiding minder scherp. Mensen herinneren zich verschillende delen van het gesprek. Rollen kunnen zijn veranderd en nieuwe informatie beïnvloedt hoe naar de eerdere situatie wordt gekeken.
Zodra die context ontbreekt, vullen mensen de gaten begrijpelijkerwijs in met wat logisch lijkt.
De maatregel stond als afgerond geregistreerd, dus hij zal wel zijn gecontroleerd. De instelling staat nu goed, dus vermoedelijk stond hij destijds ook zo. We werken al jaren op deze manier, dus dit zal toen ook de bedoeling zijn geweest.
Dat hoeft geen bewuste verdraaiing te zijn. Het is simpelweg reconstructie vanuit de kennis van vandaag.
Maar daarmee verandert bewijsvoering ongemerkt in interpretatie.
Meer verzamelen lost dat niet op
De gebruikelijke reactie is om voortaan meer te bewaren.
Er komt een centrale map. Teams spreken af vaker screenshots te maken. Documenten worden consequenter opgeslagen en voor een audit wordt gecontroleerd of alles compleet is.
Dat maakt zoeken makkelijker, maar lost het kernprobleem niet op.
Meer bewijs betekent niet automatisch betere bewijsvoering.
Een goed georganiseerde verzameling losse bestanden blijft een verzameling losse bestanden wanneer de onderlinge samenhang ontbreekt. Hoe meer informatie wordt verzameld, hoe moeilijker het soms zelfs wordt te bepalen wat werkelijk iets aantoont.
De vraag verschuift dan van “hebben we bewijs?” naar “wat laat eigenlijk zien waarom deze keuze is gemaakt?”
Het probleem is dan geen tekort aan informatie.
Het is een tekort aan betekenis.
Bewijs ontstaat tijdens het werk, niet bij de audit
Een bruikbaarder uitgangspunt is dat bewijs ontstaat terwijl het werk wordt uitgevoerd.
Neem een risico dat bewust wordt geaccepteerd.
Op dat moment zijn een paar zaken relevant. Wat is het risico? Welke impact en waarschijnlijkheid zien we? Welke maatregelen zijn al aanwezig? Waarom vinden we aanvullende maatregelen niet nodig of niet proportioneel? En wie neemt verantwoordelijkheid voor die keuze?
Wanneer die afweging op dat moment herkenbaar wordt vastgehouden, ontstaat bewijs zonder aparte bewijsactiviteit.
Hetzelfde geldt voor maatregelen.
Niet alleen vastleggen dat iets is uitgevoerd, maar ook zichtbaar houden waarom die maatregel nodig was en waarop is gebaseerd dat het resultaat voldoende is.
Zo ontstaat een logisch spoor van risico naar afweging, besluit, maatregel en evaluatie.
Dat spoor is uiteindelijk belangrijker dan een stapel losse documenten.
Waarom dit onderdeel is van risicobeheer
Een risico-overzicht kan uitstekend laten zien welke risico’s zijn geïdentificeerd en hoe ze zijn beoordeeld. Maar een overzicht alleen stuurt niets.
De werkelijke waarde ontstaat bij de keuzes die erop volgen.
Een hoog risico zonder vervolgbesluit vertelt weinig. Een geaccepteerd risico zonder argumentatie ook. En een maatregel zonder zichtbaar resultaat blijft uiteindelijk een aanname.
Dit raakt dus niet alleen auditvoorbereiding. Het raakt de kwaliteit van besluitvorming.
Als drie mensen eerst moeten reconstrueren waarom een risico negen maanden geleden is geaccepteerd, is niet alleen tijd verloren. Je kunt ook moeilijk beoordelen of die oorspronkelijke keuze vandaag nog verdedigbaar is.
Bewijsvoering wordt daarmee onderdeel van risicobeheer zelf.
Niet omdat ieder risico uitgebreid gedocumenteerd moet worden, maar omdat belangrijke keuzes hun betekenis moeten behouden.
Structuur voorkomt herstelwerk achteraf
Dat vraagt niet om het vastleggen van ieder detail.
Structuur betekent vooral dat duidelijk is welke momenten betekenisvol zijn.
Wanneer is een risico beoordeeld? Wie heeft een besluit genomen? Welke actie volgde daaruit? En wanneer werd vastgesteld dat het resultaat voldoende was?
Wie die lijn kan volgen, heeft vaak veel minder afzonderlijke bewijsstukken nodig.
De kracht zit niet in de hoeveelheid, maar in de verbinding.
Daardoor verandert ook het gesprek wanneer later uitleg nodig is. Bij een audit, overdracht of klantvraag hoef je niet terug te redeneren vanuit losse documenten. Je kunt de oorspronkelijke besluitvorming volgen zoals die daadwerkelijk heeft plaatsgevonden.
Dat maakt bewijsvoering eenvoudiger en vooral beter herleidbaar.
Tooling volgt pas daarna
Wanneer deze manier van werken logisch wordt, ontstaat vanzelf behoefte aan ondersteuning.
Besluiten moeten herkenbaar blijven. Acties moeten aan risico’s gekoppeld kunnen worden. Verantwoordelijkheden mogen niet uitsluitend afhankelijk zijn van individueel geheugen. Eerdere afwegingen moeten terug te vinden zijn zonder door mailboxen, mappen en verschillende versies te zoeken.
Tooling kan dat ondersteunen.
Maar een systeem creëert die structuur niet vanzelf.
Zonder helder denkkader wordt ook een nieuw systeem vooral een plek waar informatie wordt opgeslagen. Met voldoende structuur helpt het juist om het spoor dat tijdens het werk ontstaat intact te houden.
Tooling is dan geen oplossing voor slechte bewijsvoering, maar een logisch gevolg van de wens om besluitvorming consistent en uitlegbaar te houden.
Bewijsvoering begint veel eerder dan de audit
Wie vlak voor een audit veel bewijs moet reconstrueren, ontdekt meestal geen nieuw probleem. De audit maakt vooral zichtbaar wat gedurende het jaar al ontbrak.
Niet noodzakelijk de controles.
Niet noodzakelijk de maatregelen.
Maar de verbinding tussen aanleiding, afweging, keuze, uitvoering en resultaat.
Daarom faalt bewijs verzamelen achteraf zo vaak. Niet omdat bestaande registraties later niet meer bruikbaar zijn, maar omdat betekenis die nooit is vastgehouden zich maar beperkt laat reconstrueren.
De relevante vraag is dus niet hoeveel bewijs je vandaag zou kunnen verzamelen.
Interessanter is welke belangrijke keuzes van de afgelopen maanden je nu nog zonder moeite kunt uitleggen. Kun je zien wat destijds bekend was? Waarom een risico werd geaccepteerd? Waarom juist die maatregel werd gekozen? En waarop is gebaseerd dat die voldoende werkte?
Als het antwoord vooral afhankelijk is van degene die toevallig bij het gesprek aanwezig was, ontbreekt waarschijnlijk niet alleen bewijs.
Dan ontbreekt vooral een deel van het geheugen van de organisatie.
