Tag: compliance

  • Hoe complexiteit zich vermomt als professionaliteit

    Hoe complexiteit zich vermomt als professionaliteit

    Het begint vaak met een goed voornemen.

    Er is behoefte aan meer grip. Risico’s moeten beter inzichtelijk worden. Incidenten consequenter opgevolgd. Leveranciers structureler beoordeeld. De bestaande overzichten voelen kwetsbaar en afhankelijk van een paar mensen die “weten hoe het zit”.

    Dus er komt tooling.

    Een systeem met modules, rollen, dashboards en configuratiemogelijkheden. Het ziet er professioneel uit. Terminologie sluit aan bij normen en frameworks. Er is eindelijk een oplossing die verder gaat dan losse overzichten.

    En toch gebeurt er iets onverwachts: het werk wordt zwaarder in plaats van helderder.

    Overleggen gaan vaker over statussen dan over inhoud. Nieuwe collega’s hebben uitleg nodig om een dashboard te begrijpen. Steeds vaker is er één persoon die “weet hoe het systeem werkt”. Wat bedoeld was als vereenvoudiging, vraagt ineens onderhoud en afstemming.

    De verwarring tussen complex en volwassen

    In veel organisaties sluipt een impliciete aanname binnen: als iets professioneel moet zijn, moet het ook uitgebreid zijn. Veel velden, veel statussen, veel detail. Alsof volwassenheid zichtbaar wordt in de hoeveelheid configuratie.

    Maar professionaliteit zit niet in complexiteit. Ze zit in consistentie en uitlegbaarheid.

    Wanneer een risicoanalyse uit vijftien verplichte stappen bestaat, maar niemand nog kan uitleggen waarom een risico als hoog is geclassificeerd, is er gen volwassenheid gewonnen. Alleen frictie toegevoegd.

    Complexiteit geeft het gevoel dat alles is afgedekt. Dat niets over het hoofd wordt gezien. Maar vaak verhult het dat de kernvragen niet helder zijn:

    • Wat bedoelen we hier precies met een risico?
    • Wanneer is een maatregel echt afgerond?
    • Wie neemt een besluit en op basis waarvan?

    Zonder eenduidige antwoorden op die vragen wordt elke extra functionaliteit vooral een extra interpretatielaag.

    Wanneer configuratie belangrijker wordt dan inhoud

    Zware systemen bieden veel vrijheid. Rollen kunnen worden ingericht, workflows aangepast, velden toegevoegd. Dat lijkt aantrekkelijk: het systeem kan volledig worden afgestemd op de organisatie.

    In de praktijk verschuift de aandacht dan ongemerkt van inhoud naar inrichting.

    Er wordt tijd besteed aan het finetunen van statussen. Aan het bepalen van autorisaties. Aan het optimaliseren van dashboards. Ondertussen blijven de gesprekken over betekenis achter.

    Is dit risico werkelijk relevant, of vullen we het in omdat het moet?
    Is deze actie een bewuste keuze, of een standaardreactie?
    Waarom accepteren we dit rest-risico?

    Wanneer configuratie het gesprek vervangt, ontstaat een systeem dat klopt op papier, maar niet in de beleving van degenen die ermee werken. Mensen vullen velden in, maar herkennen hun eigen afwegingen er niet meer in terug.

    Dat is het moment waarop complexiteit zich vermomt als professionaliteit.

    Waarom gangbare oplossingen tekortschieten

    Als complexiteit als probleem wordt herkend, volgen vaak twee reflexen.

    De eerste is discipline. We moeten het systeem beter gebruiken. Strakker regisere4n. Consequenter bijwerken. Meer controleren.

    De tweede is nóg meer tooling. Extra modules. Aanvullende koppelingen, nieuwe rapportages.

    Beide benaderingen missen de kern. Het probleem is zelden een gebrek aan functies. Het is een gebrek aan samenhang.

    Wanneer risico’s, incidenten en verbeterpunten ieder hun eigen logica hebben, ontstaat versnippering. Als definities niet gedeeld zijn, helpt geen enkel dashboard.

    Complexiteit wordt dan een substituut voor duidelijkheid. Juist daar ontstaat de behoefte aan iets anders dan meer functionaliteit.

    Structuur als alternatief voor complexiteit

    Structuur is iets anders dan detail.

    Structuur betekent dat begrippen eenduidig zijn. Dat vastlegging herleidbaar is. Dat je een besluit later kunt reconstrueren zonder afhankelijk te zijn van het geheugen van één persoon.

    Dat vraagt niet om meer velden, maar om scherpere definities. Niet meer registreren, maar helder vastleggen.

    Wat registreren we wel en wat niet?
    Wanneer is iets een risico en wanneer een aandachtspunt?
    Welke informatie is nodig om een besluit te kunnen uitleggen?

    Zodra die vragen vooraf beantwoord zijn, ontstaat rust. Tooling wordt dan een hulpmiddel om consistent te blijven, niet een systeem dat discipline moet afdwingen.

    In organisaties waar verantwoordelijkheden vaak samenkomen bij een beperkt aantal mensen, is dat verschil cruciaal. Te veel complexiteit verlamt. Te weinig structuur maakt afhankelijk van individueel inzicht.

    De middenweg vraagt om voldoende structuur om uitlegbaar te blijven, zonder het werk zwaarder te maken dan nodig.

    Uitlegbaarheid als graadmeter

    Een eenvoudige toets helpt om schijnprofessionaliteit te herkennen.

    Kun je, zonder het systeem erbij te halen, uitleggen:

    • waarom dit risico op deze manier is beoordeeld;
    • waarom deze maatregel is gekozen;
    • waarom dit punt is geaccepteerd of uitgesteld?

    Als het antwoord alleen te vinden is in configuraties, workflows of verborgen velden, dan is de complexiteit leidend geworden.

    Als het antwoord begrijpelijk blijft in een gesprek, dan ondersteunt het systeem het werk in plaats van andersom.

    Professioneel werken betekent niet dat alles uitgebreid is vastgelegd, maar dat keuzes begrijpelijk blijven wanneer de context verandert en verantwoordelijkheden verschuiven.

    Reflectie

    Complexiteit oogt professioneel. Ze geeft het gevoel dat alles onder controle is. Maar wanneer ze niet voortkomt uit duidelijke keuzes en gedeelde betekenis, wordt ze een masker.

    De vraag is niet hoeveel functies een systeem heeft, maar hoeveel helderheid het oplevert.

    Wanneer tooling complexer wordt dan het probleem dat ze moet ondersteunen, is dat zelden een technisch signaal. Het is een organisatorisch signaal. Een aanwijzing dat structuur ontbreekt of dat begrippen niet gedeeld zijn.

    Wie dat herkent, hoeft niet direct iets te vervangen. Het begint met teruggaan naar de kern: wat willen we kunnen uitleggen, en wat hebben we daarvoor minimaal nodig?

    Daar ligt professionaliteit. Niet in de omvang van het systeem, maar in de rust waarmee keuzes worden gemaakt, overgedragen en begrepen kunnen worden.

    Verder lezen

  • AI maakt geen fouten. Onze aannames wel. En daar begint het compliance-risico

    AI maakt geen fouten. Onze aannames wel. En daar begint het compliance-risico

    De discussie over AI in compliance begint bijna altijd bij techniek.
    Welke tool gebruiken we?
    Hoe betrouwbaar is het model?
    Is de data schoon genoeg?

    Dat zijn logische vragen. Ze voelen veilig en controleerbaar. Maar wie daar blijft hangen, mist waar het in de praktijk werkelijk misgaat.

    De grootste compliance-risico’s rondom AI ontstaan zelden doordat technologie faalt. Ze ontstaat doordat organisaties aannemen dat iedereen hetzelfde bedoelt. En juist die aannames worden door AI zichtbaar gemaakt.

    Wanneer de uitkomst te overtuigend voelt

    AI-systemen zijn goed in het herkennen van patronen. Ze combineren data, wegen signalen en presenteren uitkomsten die logisch en consistent ogen. Dat maakt ze aantrekkelijk voor complianceprocessen.

    Ze helpen bij het prioriteren van risico’s, het signaleren van afwijkingen en het ontdekken van patronen die mensen niet direct zien. De uitkomst voelt betrouwbaar, soms zelfs objectief.

    Juist dat is het kantelpunt. Zodra een uitkomst plausibel oogt, stellen we minder vragen. We gaan ervan uit dat het systeem begrijpt wat we bedoelen.

    En daar ontstaat het risico. Niet omdat het systeem iets verkeerd doet, maar omdat nooit expliciet is vastgelegd wat de uitkomst precies betekent.

    Wat verstaan we hier onder een risico?
    Wanneer noemen we iets een incident?
    En wanneer is een afwijking relevant genoeg om in te grijpen?

    Zolang deze vragen verschillend worden beantwoord, versnelt AI geen compliance. Het versnelt interpretatieverschillen.

    AI vergroot wat al vaag was

    In veel organisaties is compliance deels impliciet georganiseerd. Mensen weten hoe het hoort. Ze voelen aan wanneer iets aandacht verdient. Dat werkt zolang dezelfde mensen betrokken zijn en dezelfde context delen.

    AI functioneert anders. Het vraagt om expliciete keuzes. Om definities en grenzen. Alles wat niet is vastgelegd, moet alsnog worden geïnterpreteerd.

    Daarmee legt AI geen fouten bloot, maar vaagheid. Niet ineens en dramatisch, maar structureel. Het systeem doet precies wat het moet doen, maar bouwt voort op aannames die nooit zijn uitgesproken.

    AI is in dat opzicht geen risico op zichzelf. Vaagheid is dat wel.

    Van menselijk oordeel naar vaste aannames

    Zonder automatisering worden aannames vaak gecorrigeerd in gesprekken. Iemand merkt op dat iets eigenlijk geen risico is. Of juist wel. Dat informele bijsturen houdt processen werkbaar.

    Zodra AI wordt ingezet, verdwijnt die correctielaag. Aannames worden onderdeel van het proces. Ze worden herhaalbaar en minder zichtbaar.

    Een classificatie die ooit klopte, wordt een vast criterium.
    Een drempelwaarde waar niemand echt bij stilstond, wordt beslissend.
    Een interpretatieverschil dat eerder werd opgelost in overleg, leidt nu tot automatische uitkomsten.

    Niet omdat iemand dat zo heeft gewild, maar omdat niemand het expliciet heeft vastgelegd.

    Waarom AI-compliance een governancevraagstuk is

    Daarom is AI-compliance geen technisch vraagstuk. Het is ook geen abstracte ethische discussie. Het is een governancevraagstuk.

    Governance gaat over betekenis. Over begrijpen wat er gebeurt, waarom het gebeurt en wie verantwoordelijk is voor de gevolgen.

    Zonder gedeelde taal ontstaat geen grip. Dan zien we dat dezelfde uitkomst anders wordt geïnterpreteerd per rol, dat acties niet op elkaar aansluiten en dat verantwoordelijkheid verschuift naar “het systeem”.

    In eerdere blogs kwam dit al terug. Compliance-oplossingen werken pas als iedereen hetzelfde bedoelt. Interne audits leveren alleen waarde op als het gesprek eerlijk is. AI raakt precies diezelfde kern, maar met meer snelheid en minder ruimte voor correctie.

    De verleiding van objectiviteit

    AI wordt vaak gezien als objectief. Dat maakt het aantrekkelijk binnen compliance. Geen onderbuikgevoel, geen willekeur, geen persoonlijke voorkeur.

    Maar die objectiviteit is schijn. AI verplaatst het oordeel. De keuzes zitten niet meer in het moment van beslissen, maar in het moment van ontwerpen.

    Welke data nemen we mee?
    Welke signalen vinden we relevant?
    Welke uitkomst accepteren we als voldoende onderbouwing?

    Dat zijn geen technische keuzes. Het zijn organisatorische keuzes. Ze zeggen iets over risicobereidheid, verantwoordelijkheid en vertrouwen.

    Zolang die keuzes impliciet blijven, voelt de uitkomst objectief. Zodra iemand doorvraagt, blijkt dat niemand precies kan uitleggen waarom dit resultaat logisch is.

    Dat is geen technisch probleem, dat is een complianceprobleem.

    AI als versterker, niet als oorzaak

    Het is verleidelijk om AI aan te wijzen als de oorzaak wanneer iets misgaat. Het systeem is te complex, te snel of te ondoorzichtig.

    In werkelijkheid doet AI vooral wat organisaties al deden, maar consistenter. Het versterkt bestaande structuren en aannames.

    Waar begrippen helder zijn, helpt AI bij overzicht. Waar begrippen vaag zijn, vergroot AI de verwarring.

    Niet omdat AI faalt, maar omdat het geen ruimte laat voor impliciete correctie.

    Wat dit vraagt vóór automatisering

    De vraag is dus niet of AI inzetbaar is binnen compliance. De vraag is of een organisatie klaar is om expliciet te maken wat nu impliciet werkt.

    Dat vraagt geen nieuwe beleidslagen of dikke rapporten. Het vraagt helderheid.

    Begrijpen we wat we bedoelen met risico, incident en afwijking?
    Zijn die betekenissen gedeeld en vooral gevoeld?
    Is duidelijk wie verantwoordelijk is wanneer een geautomatiseerde uitkomst gevolgen heeft?

    Zonder die helderheid wordt automatisering geen versnelling, maar een vermenigvuldiger van ruis.

    AI als spiegel voor volwassenheid

    AI confronteert organisaties met iets ongemakkelijks. Dat veel compliance draait op ervaring, context en stilzwijgende afspraken. Dat is menselijk en vaak effectief.

    Maar zodra technologie meeloopt, wordt dat kwetsbaar.

    Organisaties die dat onderkennen, gebruiken AI niet om beslissingen te vervangen, maar om aannames bespreekbaar te maken. AI wordt dan geen autoriteit, maar een hulpmiddel om betekenis vast te houden.

    In die zin is AI geen bedreiging voor compliance. Het is een spiegel.

    Verder lezen

  • Waarom compliance software pas werkt als iedereen hetzelfde bedoelt

    Waarom compliance software pas werkt als iedereen hetzelfde bedoelt

    In veel organisaties lijkt compliance goed geregeld. Processen zijn beschreven, verantwoordelijkheden toegewezen en audits ingepland. Toch ontstaat er in de praktijk opvallend vaak discussie over zaken die op papier helder lijken. Niet omdat mensen hun werk niet serieus nemen, maar omdat ze iets anders bedoelen met dezelfde woorden.

    Wat is een risico?
    Wanneer noem je iets een incident?
    Wanneer is een maatregel echt afgerond?

    Zolang die vragen verschillend worden beantwoord, blijft compliance kwetsbaar. Dan ontstaat geen grip, maar interpretatie.

    Het misverstand over compliance software

    Compliance software wordt vaak gezien als een middel om vast te leggen. Een plek waar risico’s, incidenten en acties worden geregistreerd. Dat beeld is begrijpelijk, maar onvolledig.

    In de praktijk zit het probleem zelden in het ontbreken van vastlegging. Het zit in het ontbreken van gedeeld begrip. Wat wordt vastgelegd, betekent niet automatisch voor iedereen hetzelfde.

    De ene rol ziet een risico zodra iets mis kan gaan. Een andere pas wanneer de impact concreet wordt. Voor sommigen is een incident elke afwijking van een afspraak. Voor anderen pas iets dat extern relevant wordt. Iedereen handelt logisch vanuit zijn eigen context, maar samen ontstaat ruis.

    Vastleggen zonder eenduidigheid werkt averechts

    Na een audit of evaluatie ontstaat vaak helderheid. Bevindingen worden besproken, verbeterpunten benoemd en acties afgesproken. Er is draagvlak en urgentie.

    Toch keren dezelfde onderwerpen later regelmatig terug. Acties blijken anders te zijn opgepakt dan bedoeld. Discussies herhalen zich. Bevindingen duiken opnieuw op.

    Dat gebeurt zelden uit onwil. Het gebeurt omdat afspraken onvoldoende eenduidig zijn vastgezet. Wat tijdens het gesprek vanzelfsprekend leek, verliest zijn betekenis zodra de dagelijkse praktijk weer de boventoon voert.

    Compliance vraagt afstemming, geen extra regels

    Compliance wordt vaak benaderd als een set verplichtingen. In werkelijkheid gaat het vooral om afstemming. Om samenhang tussen perspectieven die allemaal legitiem zijn, maar zonder kader langs elkaar heen werken.

    Financiële risico’s worden anders beleefd dan operationele risico’s. Incidenten krijgen een andere lading afhankelijk van wie ze bekijkt. Verbeterpunten worden verschillende geïnterpreteerd afhankelijk van verantwoordelijkheid.

    Zonder gedeeld kader blijven deze perspectieven naast elkaar bestaan. Niet fout, maar onverbonden.

    Wat goede compliance software daadwerkelijk bijdraagt

    Goede compliance software onderscheidt zich niet door het aantal functies, maar door de helderheid die zij afdwingt. Niet door meer vast te leggen, maar door betekenis vast te houden.

    Goede tooling zorgt voor:

    • Eenduidige definities van risico’s, incidenten en verbeteracties;
    • Consistente vastlegging die voor iedereen herkenbaar is;
    • Eén referentiepunt waar afspraken hun betekenis behouden.

    Niet om mensen te controleren, maar om interpretatieverschillen te beperken waar die schadelijk worden.

    Waarom impliciete kennis een risico vormt

    In veel organisaties is kennis impliciet. Mensen weten hoe dingen werken en wanneer iets “goed genoeg” is. Dat functioneert zolang dezelfde mensen betrokken blijven.

    Zodra verantwoordelijkheden verschuiven of anderen meekijken, wordt zichtbaar hoeveel aannames nooit expliciet zijn gemaakt. Wat altijd logisch leek, blijkt lastig overdraagbaar.

    Daar ontstaat de behoefte aan structuur. Niet in de vorm van extra procedures, maar in de vorm van gedeelde betekenis.

    Wat compliance software bewust niet oplost

    Compliance software vervangt geen gesprekken. Het neemt geen verantwoordelijkheid over en het lost cultuurvraagstukken niet op.

    Wat het wel doet, is voorkomen dat inzichten verdwijnen zodra de aandacht verslapt. Het borgt afspraken zodat ze niet vervormen door tijdsdruk of interpretatie.

    Daarmee fungeert het systeem als geheugen. Niet als archief, maar als gezamenlijke referentie.

    Van reflectie naar dagelijks handelen

    Een audit of evaluatie kan een waardevol reflectiemoment zijn. Maar zonder vervolg blijft het tijdelijk.

    Wanneer bevindingen en verbeterpunten niet herkenbaar terugkomen in het dagelijks werk, verliest het proces geloofwaardigheid. Mensen worden terughoudendere wanneer signalen weinig effect hebben.

    Goede compliance software helpt om die vertaalslag te maken. Niet door alles dicht te regelen, maar door afspraken herkenbaar en herhaalbaar te houden.

    Wanneer versnipperde tooling tegenwerkt

    Veel organisaties werken met meerdere systemen naast elkaar. Elk systeem hanteert zijn eigen terminologie en logica.

    Het gevolg is dat dezelfde onderwerpen op verschillende plekken anders worden beoordeeld. Wat hier is afgerond, staat elders nog open. Wat daar een risico heet, heet hier een actiepunt.

    In plaats van overzicht ontstaat verwarring. En verwarring ondermijnt compliance sneller dan een ontbrekend document.

    Compliance software als gezamenlijke taal

    De echte waarde van compliance software zit in eenduidigheid. In het creëren van een gedeeld kader waarbinnen mensen samenwerken.

    Dat kader maakt gesprekken concreter. Verwachtingen worden explicieter. Verantwoordelijkheden scherper.

    Niet omdat het systeem dwingt, maar omdat het interpretatieruimte wegneemt waar die onnodig is.

    Grip ontstaat door consistentie

    Compliance werkt niet omdat regels bestaan, maar omdat afspraken consistent worden nageleefd. Omdat wat vandaag wordt afgesproken, morgen nog herkenbaar is.

    Software kan dat niet vervangen, maar wel ondersteunen. Door structuur te bieden waar mensen op terug kunnen vallen, ook wanneer de aandacht verschuift.

    Pas dan werkt compliance software zoals bedoeld. Niet als registratiemiddel, maar als gezamenlijke taal.

    Verder lezen

  • Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt

    Wat de opvolging van verbeterpunten zegt over hoe serieus je compliance neemt

    Vrijwel iedere organisatie heeft verbeterpunten. Ze ontstaan tijdens audits, na incidenten, uit klachten van klanten of simpelweg omdat iemand ziet dat iets slimmer kan. In die zin is het herkennen van verbeteringen zelden het probleem.

    Het echte onderscheid zit in wat er daarna gebeurt.

    Worden verbeterpunten vastgelegd, opgevolgd en geëvalueerd? Of verdwijnen ze langzaam naar de achtergrond zodra de druk weg is? Juist in die fase wordt zichtbaar hoe serieus een organisatie omgaat met compliance, governance en betrouwbaarheid.

    Verbeterpunten zijn geen teken van zwakte

    Er bestaat nog steeds een hardnekkig idee dat verbeterpunten iets zeggen over falen. Alsof een organisatie die verbeteringen noteert, iets niet op orde heeft. In de praktijk is het tegenovergestelde waar.

    Organisaties zonder verbeterpunten zijn zelden perfect. Ze kijken vaak niet scherp genoeg, of vermijden het gesprek omdat het ongemakkelijk wordt. Verbeterpunten ontstaan juist daar waar mensen durven benoemen wat beter kan. Dat kan gaan over processen, verantwoordelijkheden, gedrag of besluitvorming.

    Dat moment van inzicht is waardevol, maar vluchtig. Zonder structuur verdwijnt het net zo snel als het ontstond.

    Waar het in de praktijk vaak misgaat

    In veel organisaties verloopt het patroon voorspelbaar. Tijdens een audit of evaluatie ontstaat helderheid. Er worden acties geformuleerd. Iedereen begrijpt waarom ze nodig zijn. En daarna keert de aandacht terug naar de dagelijkse praktijk.

    Verbeteracties blijven ergens staan. In een document, een overzicht of een actielijst. Soms zelfs alleen in het hoofd van degene die ze heeft genoteerd. Nieuwe prioriteiten dienen zich aan en de urgentie vervaagt.

    Niet omdat mensen het niet belangrijk vinden, maar omdat niemand expliciet verantwoordelijk is voor de opvolging.

    Continue verbetering zonder jargon

    Continue verbetering wordt vaak gepresenteerd als een methodiek. Met cycli, stappenplannen en terminologie die vooral tijdens trainingen gebruikt wordt. In de dagelijkse praktijk is het eenvoudiger en confronterender.

    Het draait om drie vragen:

    • Is vastgelegd wat er precies moet verbeteren?
    • Is duidelijk wie verantwoordelijk is voor de opvolging?
    • Is zichtbaar wat het effect van de maatregel is geweest?

    Zolang één van deze vragen onbeantwoord blijft, is er geen sprake van verbetering. Dan is er alleen intentie.

    Juist omdat deze vragen zo basaal zijn, werken ze goed als graadmeter voor volwassenheid. Ze laten zien of afspraken blijven leven nadat het moment van aandacht voorbij is.

    Waarom opvolging governance raakt

    Compliance wordt vaak geassocieerd met regels en verplichtingen. Governance gaat over iets anders: betrouwbaarheid. Kun je laten zien dat je leert van wat er misgaat of beter kan, en kun je dat ook volhouden als niemand meekijkt?

    De manier waarop verbeterpunten worden opgevolgd, laat dat direct zien. Niet de hoeveelheid acties is doorslaggevend, maar hoe ermee wordt omgegaan.

    Worden acties toegewezen aan een eigenaar of blijven ze collectief en vaag?
    Is zichtbaar welke verbeteringen nog openstaan en welke zijn afgerond?
    Wordt er teruggekeken of een maatregel daadwerkelijk effect heeft gehad?

    Wanneer dit ontbreekt, ontstaat zelden direct een complianceprobleem. Wat wel ontstaat, is een betrouwbaarheidsprobleem. Bij een volgende audit, klantvraag of evaluatie blijkt dat eerdere inzichten weinig hebben veranderd.

    Waarom dezelfde inzichten blijven terugkomen

    Verbeterpunten ontstaan bijna altijd uit concrete gebeurtenissen. Een auditbevinding die iets blootlegt. Een incident dat net goed afloopt. Een klacht die laat zien dat de praktijk anders werkt dan bedoeld.

    In al die situaties is het inzicht tijdelijk. De urgentie is hoog, maar kort. Als de opvolging niet structureel wordt vastgelegd, verdwijnt de les zodra de druk afneemt.

    Daarom keren dezelfde bevindingen terug. Niet omdat mensen niet leren, maar omdat het leren niet wordt vastgehouden.

    Van lijstjes naar structuur

    Veel organisaties hebben wel een overzicht van verbeterpunten. Een actielijst, een verbeterlogboek of een overzicht dat periodiek wordt bijgewerkt. Dat is op zichzelf niet verkeerd.

    Het probleem ontstaat wanneer het overzicht geen structuur afdwingt. Wanneer het alleen registreert dat er iets zou moeten gebeuren, zonder vast te leggen wat er daadwerkelijk is gedaan.

    Een verbeterlogboek is geen archief. Het is een hulpmiddel om keuzes zichtbaar te maken. Welke verbeteringen zijn opgepakt? Welke zijn afgerond? Welke zijn bewust niet doorgevoerd, en waarom?

    Zodra die vragen niet meer worden gesteld, verandert een verbeterlijst in administratieve ballast.

    Wat volwassen organisaties anders doen

    Volwassen organisaties onderscheiden zich niet doordat ze minder verbeterpunten hebben, maar doordat ze er consistenter mee omgaan. Ze accepteren dat verbeteren nooit af is, maar zorgen wel dat het beheersbaar blijft.

    Dat zie je terug in kleine, praktische keuzes. Verbeteracties hebben een duidelijke eigenaar. De voortgang is inzichtelijk zonder uitgebreide rapportages. Afgeronde acties worden geëvalueerd op effect, niet alleen afgevinkt.

    Daardoor ontstaat rust. Niet omdat alles perfect is, maar omdat duidelijk is wat aandacht vraagt en wat niet.

    Verbeteren zonder extra druk

    Structurele opvolging wordt soms gezien als extra controle of bureaucratie. In de praktijk gebeurt vaak het tegenovergestelde. Juist doordat verbeterpunten zichtbaar en beheersbaar zijn, ontstaat ruimte.

    Discussies worden concreter. Verwachtingen duidelijker. Verbeteringen hoeven niet telkens opnieuw te worden uitgelegd of verdedigd. Verbeteren wordt onderdeel van het werk, in plaats van iets dat alleen speelt rond audits of deadlines.

    Wat dit zegt over compliance

    Compliance werkt niet omdat regels bestaan, maar omdat organisaties laten zien dat ze verantwoordelijkheid nemen voor wat beter kan. De manier waarop verbeterpunten worden opgevolgd, maakt dat zichtbaar.

    Niet in beleidsteksten of verklaringen, maar in dagelijkse keuzes. Wordt een actie opgepakt of vooruitgeschoven? Wordt er geleerd of herhaald? Wordt verbetering gedragen of doorgeschoven?

    Daarin zit de echte toets van compliancevolwassenheid.

    Niet of je verbeterpunten hebt, maar wat je ermee doet.

    Verder lezen

  • Ethische risico’s in organisaties: waarom kleine beslissingen grote impact hebben

    Ethische risico’s in organisaties: waarom kleine beslissingen grote impact hebben

    In veel organisaties komen risico’s niet voort uit grote incidenten, maar uit kleine keuzes die iemand maakt onder druk. Een uitzondering voor een vaste klant. Een stukje informatie dat niet wordt vastgelegd omdat iedereen verder wil. Een collega die twijfelt maar niets zegt om de sfeer niet te belasten. Het lijken onschuldige momenten, maar juist daar ontstaan de risico’s die later terugkomen in incidenten, klantklachten of auditbevindingen.

    Ethische risico’s worden nog vaak onderschat. Er is aandacht voor informatiebeveiliging, beleid, risicoanalyses en audits, maar keuzes in de dagelijkse praktijk krijgen minder structuur. Terwijl juist díe keuzes bepalen of een organisatie echt betrouwbaar functioneert.

    Deze blog laat zien hoe ethische risico’s ontstaan, waarom organisaties er gevoelig voor zijn en hoe je ze beheersbaar maakt met een helder kader, praktische maatregelen en transparantie in besluitvorming.

    Wanneer goede bedoelingen risico worden

    Ethische risico’s ontstaan op momenten waarop iemand snel iets moet beslissen, met beperkte informatie of onder druk van klanten of collega’s. De intentie is zelden verkeerd. De impact kan dat wel zijn.

    Veelvoorkomende situaties:

    • Een beslissing over hoe zorgvuldig klantinformatie wordt vastgelegd;
    • Het overslaan van een interne controle om een project sneller op te leveren;
    • Het niet benoemen van een risico om een collega niet te belasten;
    • Het accepteren van een uitzondering om een klant tevreden te houden.

    In de blog Soft controls: hoe gedrag bepaalt of compliance werkt beschreven we eerder dat gedrag vaak belangrijker is dan procedures. Dat geldt ook hier: ethische risico’s ontstaan aan de voorkant van gedrag, nog voordat iets zichtbaar misgaat.

    Waarom organisaties ze vaak niet zien

    Ethische risico’s zijn lastig te herkennen omdat ze niet direct als risico worden ervaren. Ze ontstaan vaak midden in de dagelijkse werkstroom, waar snelheid, klantgerichtheid en onderlinge samenwerking een grote rol spelen. Zeker in kleinere teams waar processen minder formeel zijn en één persoon meerdere verantwoordelijkheden draagt, worden keuzes vaak intuïtief genomen.

    Daar komt bij dat veel beslissingen niet worden vastgelegd. In de blog De risicoanalyse: een onmisbaar instrument voor elke ondernemer laten we zien dat risico’s pas goed beheersbaar worden wanneer aannames en keuzes expliciet zijn. Ethische risico’s zitten juist in dat deel dat onzichtbaar blijft.

    Wanneer bewijsvoering ontbreekt, ontstaat bovendien een tweede kwetsbaarheid: achteraf is niet duidelijk waarom iets is besloten. Dat zagen we bijvoorbeeld in het PIMS-incident dat we eerder beschreven, waar een kleine keuze leidde tot een grotere impact op informatiebeveiliging.

    Waarom kleine organisaties extra kwetsbaar zijn

    De dynamiek in kleinere teams maakt ethische risico’s zichtbaarder, maar ook lastiger te beheersen. Herkenbare factoren zijn:

    • Minder formele scheiding van rollen;
    • Meer informele samenwerking en vertrouwen;
    • Uitzonderingen die sneller normaal worden;
    • Beperkte tijd om keuzes te documenteren;
    • Collega’s die elkaar uit loyaliteit niet willen afvallen.

    Ethische risico’s hoeven niet groot te zijn om effect te hebben. Ze stapelen zich op in patronen van werkwijzen en verwachtingen. In onze blog over incidenten zagen we dat kleine incidenten vaak signalen zijn van een onderliggend structureel probleem. Hetzelfde geldt hier.

    Drie situaties waarin ethische risico’s vaak ontstaan

    1.     Tijdsdruk en klantverwachtingen

    Bij urgente vragen wordt sneller besloten, minder vastgelegd en soms een procedure overgeslagen. Op korte termijn lijkt dat efficiënt. Op lange termijn creëert het risico op inconsistenties of onvolledige informatie.

    2.     Onvoldoende bewijsvoering

    Wanneer keuzes niet worden gedocumenteerd, ontstaat ruimte voor interpretatie. In de blog Waarom GRC-software belangrijk is voor moderne bedrijven benadrukken we hoe belangrijk aantoonbaarheid is. Ethische risico’s verschijnen vaak precies op het moment dat documentatie ontbreekt.

    3.     Sociale dynamiek binnen teams

    Mensen willen conflicten vermijden. Een medewerker gaat niet tegen een collega in. Een leidinggevende stelt kritische vragen niet omdat de sfeer goed moet blijven. Die patronen beïnvloeden besluitvorming veel meer dan organisaties vaak doorhebben.

    Hoe je ethische risico’s zichtbaar maakt

    Ethische risico’s worden beheersbaar zodra je weet waar ze kunnen ontstaan. Drie vragen helpen om dit concreet te maken:

    1. Waar in onze processen nemen medewerkers beslissingen die niet volledig door procedures worden bepaald?
    2. Welke belangen spelen mogelijk een rol in dat moment?
    3. Wat kan er gebeuren als deze beslissing anders uitpakt dan bedoeld?

    Deze aanpak maakt ethische risico’s concreet zonder theoretische discussies. Je kijkt eenvoudig naar je eigen processen, gedrag en realistische werkdruk.

    Wanneer deze risico’s zichtbaar zijn, wordt het eenvoudiger om gericht maatregelen te nemen.

    Hoe je ethische risico’s beheerst zonder extra bureaucratie

    Het doel is niet om elke beslissing dicht te regelen, maar om medewerkers een kader te geven waarin zij goede keuzes kunnen maken en deze kunnen verantwoorden. Dat kan met een paar praktische maatregelen.

    1.     Maak het moreel kader duidelijk

    Geen dikke beleidsdocumenten, maar drie tot vijf principes die richting geven. Denk aan zorgvuldigheid, transparantie en objectiviteit. Als medewerkers die principes kennen, kunnen ze zelf consistente keuzes maken.

    2.     Bespreek echte voorbeelden

    Casussen uit eigen organisatie werken beter dan generieke regels. Zoals we schreven in Incidenten registreren en verbeteren, zijn realistische voorbeelden de sleutel tot gedragsverandering.

    3.     Laat twijfels bespreekbaar zijn

    Veel risico’s ontstaan omdat iemand niet zeker is maar het niet durft te benoemen. Een cultuur waarin twijfel als professioneel wordt gezien in plaats van zwak, voorkomt veel misverstanden.

    4.     Leg keuzes kort vast

    Twee tot drie regels zijn genoeg. Wie nam de beslissing? Waarom? Wat is afgesproken? Dit maakt toekomstige audits eenvoudiger en voorkomt dat aannames een eigen leven gaan leiden.

    5.     Gebruik tooling voor helderheid en consistentie

    CompliTrack kan helpen om risico’s, besluiten en acties inzichtelijk te maken. Niet om gedrag te controleren, maar om structuur te bieden en ruis te verwijderen.

    Hoe ethische risico’s onderdeel worden van risicomanagement

    Ethische risico’s horen net zo goed in een risicoanalyse als technische of operationele risico’s. Ze vormen vaak de oorzaak achter zichtbare incidenten: datalekken, verkeerde leverancierskeuzes, onzorgvuldige documentatie of fouten die tijdens audits terugkomen.

    Door ethische risico’s bewust mee te nemen in je periodieke risicoanalyse ontstaat een veel vollediger beeld van waar processen kwetsbaar zijn. Het helpt bovendien om verbeteracties gerichter te prioriteren.

    Waarom de relevantie toeneemt

    Wetgeving en rapportage-eisen richten zich steeds meer op governance, besluitvorming en integriteit. Onder NIS2 moeten organisaties kunnen aantonen dat risico’s structureel worden beheerd. Ook binnen duurzaamheids- en governance-rapportages groeit de nadruk op gedrag, transparantie en controle.

    Ethische risico’s worden daarmee geen zachte randvoorwaarde meer, maar een meetbaar onderdeel van volwassen bedrijfsvoering.

    Conclusie

    Ethische risico’s ontstaan in de dagelijkse praktijk. Niet door slechte intenties, maar door normale keuzes in drukke momenten. Door deze risico’s zichtbaar te maken, een helder kader te bieden en besluiten transparant vast te leggen, bouw je aan betrouwbaarheid en voorspelbaarheid. Het zorgt niet alleen voor minder incidenten, maar ook voor meer rust en duidelijkheid in de organisatie.

    Verder lezen

  • Ethische besluitvorming in kleine organisaties: hoe een goed besluit toch verkeerd uitpakte

    “Kunnen jullie ons laten zien welke patronen jullie zien in de oorzaken van meldingen, zodat we de dienstverlening kunnen verbeteren?”

    Dat was de vraag van een nieuwe klant. Ze wilden begrijpen waarom sommige processen vastliepen en welke meldingen voorafgingen aan vertragingen. De organisatie had de informatie gewoon in huis: wachttijden in het CRM-systeem, interne meldingen in het ticketsysteem en een Excelbestand met oorzaken van klachten. Het combineren van de datasets is in de dienstverlening heel normaal, dus de vraag leek eenvoudig te beantwoorden.

    Een collega stelde voor om de drie datasets samen te voegen tot één analyse. Technisch was dat zo gedaan en het leek prima te passen binnen het bestaande werkproces. Niemand zag direct risico’s. De klant wilde snel resultaat, dus het besluit werd genomen.

    Tot zover niets spannends.

    Waarom deze dataset tóch gevoelig werd

    Wat in de vergadering niet expliciet werd besproken, was de aard van sommige meldingen. Het ticketsysteem bevatte namelijk niet alleen procesmeldingen of technische klachten. Klanten deelden daar ook persoonlijke situaties, problemen in communicatie, ervaringen met medewerkers en soms zelfs gezondheidsinformatie of andere gevoelige omstandigheden.

    Normaal bleef dit binnen een klein intern team. Maar bij het combineren van datasets gaat die scheiding onvermijdelijk verloren. Niet inhoudelijk, maar in hoe de gegevens in analyses terugkomen. Als je zelf werkt met klantmeldingen, herken je waarschijnlijk hoe snel gevoelige informatie onderdeel wordt van wat in dashboards simpelweg “data” heet.

    Dat maakt data-analyse op zichzelf niet verkeerd, maar het vraagt wel dat je bewust kijkt naar wat er gebeurt met informatie die klanten in vertrouwen delen.

    Hoe de data uiteindelijk verkeerd terechtkwam

    De gecombineerde dataset werd gebruikt voor wat hij bedoeld was: een trendanalyse voor de klant. De analyse liet keurig zien welke processen vertraging veroorzaakten en welke types meldingen daaraan voorafgingen. De klant was tevreden.

    Daarna belandde de analyse in een intern dashboard. Niet publiek, maar wel toegankelijk voor andere teams. Het marketingteam ontdekte dat bepaalde categorieën meldingen vaker voorkwamen bij klanten die later overstapten naar een concurrent. Dat vonden ze waardevolle informatie voor een campagne die gericht was op het voorkomen van klantverlies.

    Wat marketing niet wist, was dat sommige van die meldingen indirect verwezen naar persoonlijke of vertrouwelijke situaties. Voor de data-analist was dit een anoniem datapunt, maar voor de klant was het een gevoelig verhaal dat hij nooit als marketinginput had bedoeld.

    Toen één van die klanten een opvallend gericht aanbod kreeg, voelde hij zich ongemakkelijk. Hij herkende elementen uit een melding die hij eerder had gedaan en vroeg zich af hoe zijn informatie op deze manier was gebruikt. Het was geen datalek, geen schending van systemen en op het eerste gezicht leek er zelfs weinig mis met de verwerking zelf. Maar ethisch zat het anders: de klant had dit niet kunnen verwachten.

    De ethische fout: niet technisch, maar verwachtingsgericht

    De fout zat niet in de techniek, maar in het ontbreken van een bewuste afweging. De organisatie keek naar wat technisch kon en praktisch nuttig was, maar niet naar wat de klant redelijkerwijs zou verwachten.

    Dat kwam neer op vier zaken:

    1. De oorspronkelijke uitvraag ging over procesverbetering, niet over commerciële zaken.
    2. De dataset bevatte meldingen met vertrouwelijke details die nooit bedoeld waren voor hergebruik.
    3. De analyse kwam in een gedeeld dashboard terecht zonder duidelijke uitleg over de gevoeligheid van de brondata.
    4. Marketing gebruikte de inzichten zonder te weten dat sommige meldingen meer waren dan “klachtcategorieën”.

    Het commerciële gebruik was dus niet kwaadwillend, maar wél onverwacht vanuit klantperspectief. En precies daar wringt ethiek: kun je uitleggen aan de klant waarom je deze informatie op deze manier hebt gebruikt.

    Waarom dit soort situaties zo makkelijk ontstaan

    Als je in een kleinere organisatie werkt, herken je waarschijnlijk hoe dit gebeurt. Rollen overlappen, teams werken pragmatisch en beslissingen moeten vaak snel genomen worden. In die dynamiek ontstaan situaties waarin:

    • Een technisch logische keuze onverwachte gevolgen heeft,
    • Gevoelige informatie onderdeel wordt van dashboards,
    • Verschillende teams dezelfde data anders interpreteren,
    • En niemand expliciet bewaakt of het gebruik past bij de bedoeling.

    Dat is geen kwestie van onzorgvuldigheid, maar van het ontbreken van vaste momenten waarop je stil staat bij de impact van een besluit op vertrouwen.

    Ethische besluitvorming als onderdeel van normaal werk

    Ethische besluitvorming hoeft niet zwaar of theoretisch te zijn. Vaak helpt het al om een paar eenvoudige vragen te stellen wanneer je besluiten neemt over data:

    • Zitten er elementen in deze dataset die gevoelig zijn of in vertrouwen zijn gedeeld.
    • Kan deze analyse, zelfs indirect, leiden tot iets wat een klant anders interpreteert dan bedoeld.
    • Zou ik dit gebruik van data kunnen uitleggen aan een klant die de melding heeft gedaan.
    • Moeten teams die de analyse gebruiken weten waar de data vandaan komt.

    Als je deze vragen vroeg in het proces stelt, ontstaat er vanzelf duidelijkheid. Dan kun je bijvoorbeeld ervoor kiezen om meldingen te anonimiseren, bepaalde categorieën uit te sluiten of toegang tot dashboards te beperken.

    Dat maakt het besluit niet zwaarder, maar beter onderbouwd. En het voorkomt verrassingen achteraf.

    Technologie helpt, maar bepaalt niet

    Dashboard, ISMS-tools, kwaliteitsmanagementsystemen en AI-modellen bieden veel waarde. Ze helpen patronen te zien die je anders mist. Maar technologie neemt nooit de morele afweging over. Systemen kunnen niet bepalen of een klant iets als eerlijk of wenselijk ervaart.

    In eerdere blogs over AI-governance en het RAM-schandaal bleek hoe snel verantwoordelijkheid diffuus kan worden als systemen meer bepalen dan mensen beseffen. Juist daarom is het belangrijk dat organisaties blijven nadenken over context, betekenis en verwachting.

    Tools zoals CompliTrack kunnen helpen om inzicht te bieden in risico’s, incidenten en procesverbeteringen. Maar de vraag of een besluit uitlegbaar is, blijft altijd menselijk.

    De kernles van het verhaal

    De fout zat niet in de analyse. Niet in het combineren van datasets. Niet in marketing. De fout zat in een ontbrekende expliciete afweging over wat klanten redelijkerwijs mogen verwachten.

    Data vertelt veel, maar niet wat het betekent voor een klant die vertrouwt op jouw zorgvuldigheid. Ethische besluitvorming maakt dat zichtbaar, zodat je als organisatie niet alleen de juiste dingen doet, maar ze ook op de juiste manier doet.

    In een volgend artikel laat ik zien hoe je ethische risico’s concreet kunt opnemen in je risicobeheer, zodat dit soort dilemma’s eerder zichtbaar worden.

    Lees verder

    Van risico’s naar actie: de volgende stap in effectief risicobeheer
    Hoe je risico’s structureel koppelt aan concrete verbeteracties

    Incidenten registreren én verbeteren: hoe je leert van je fouten
    Over het herkennen van patronen in incidenten en het doorvoeren van structurele verbeteringen.

    We hadden beleid, processen en tools, maar niemand voelde zich verantwoordelijk
    Over het belang van eigenaarschap en gedrag in governance.

    Van toezicht naar vertrouwen: lessen uit het RAM-schandaal voor jouw organisatie
    Wat je kunt leren van situaties waarin technologie, toezicht en verantwoordelijkheid botsen

    AI-governance in de praktijk: hoe je slimme systemen uitlegbaar houdt
    Over het borgen van verantwoordelijkheid bij geautomatiseerde besluitvorming.

  • Eigenaarschap in compliance: zo zorg je dat regels ook echt van iemand zijn

    Eigenaarschap in compliance: zo zorg je dat regels ook echt van iemand zijn

    Veel organisaties geloven dat hun compliance goed geregeld is. Er ligt beleid, processen zijn beschreven en medewerkers weten waar de documentatie staat. Op papier klopt het allemaal.

    Tot er iets gebeurt.

    Een incident blijft liggen. Een auditvraag leidt tot stress omdat informatie niet direct voorhanden is. Of een klant stelt een kritische vraag en niemand weet zeker wie erover gaat. Dan blijkt dat de regels wel bestaan, maar dat het eigenaarschap niet stevig genoeg is.

    Compliance werkt alleen wanneer iemand zich verantwoordelijk voelt. Niet omdat het ergens staat, maar omdat die persoon het oppakt precies op het moment dat dit nodig is.

    In deze blog gaat het over dat gevoel van verantwoordelijkheid. Waarom het vaak wegvalt, en hoe je eigenaarschap kunt organiseren zonder extra lagen, complexe structuren of een grote compliance-afdeling.

    Waarom eigenaarschap doorslaggevend is

    Wanneer naleving hapert, zie je dat het zelden ligt aan kennis of intentie. De oorzaak is bijna altijd dat niemand zich verantwoordelijk voelt. Niet omdat mensen onwillig zijn, maar omdat verantwoordelijkheden diffuse grenzen hebben.

    Veelvoorkomende problemen:

    • Een incident wordt besproken maar niet opgevolgd.
    • Een risicoanalyse wordt gemaakt en daarna niet meer bijgewerkt.
    • Een auditvoorbereiding wordt een race tegen de klok omdat taken nergens zijn toegewezen.
    • Verbeteracties verdwijnen omdat niemand ze langer bewaakt.

    Het gaat niet mis op papier; het gaat mis tussen mensen. Eigenaarschap is dat ene element dat de stap van papieren compliance naar echte naleving maakt.

    De twee lagen onder compliance; hard controls en soft controls

    Elke organisatie werkt, bewust of onbewust, met twee lagen:

    1. Hard controls
      De formele kant: beleid, procedures, maatregelen, regisraties, audits, versiebeheer.
    2. Soft controls
      De gedragskant: houding, voorbeeldgedrag, onderlinge verwachtingen, verantwoordelijkheidsgevoel.

    Soft controls zijn een onderdeel van ISO-normen, maar bepalen wel of die normen in de praktijk werken. Als iemand niet durft te melden, of denkt dat een collega iets wel oppakt, functioneren hard controls slechts gedeeltelijk.

    Zonder soft controls blijft compliance een papieren activiteit. Met soft controls wordt compliance onderdeel van dagelijkse keuzes.

    Waarom eigenaarschap zo makkelijk vervaagt

    Eigenaarschap raakt vaak op de achtergrond door een optelsom van kleine patronen:

    Het is niet helder wie ergens van is

    Wanneer verantwoordelijkheid te breed is (“HR doet privacy”,  “IT doet security”) voelt niemand zich echt verantwoordelijk. Hoe vager de rol, hoe kleiner de kans dat iemand het vanzelf oppakt.

    Er is geen plek waar taken zichtbaar worden

    Zonder gestructureerde registratie raken acties versnipperd. Mails verdwijnen. Excel raakt verouderd, en taken worden ad hoc opgepakt.

    Incidenten voelen als kritiek in plaats van signaal

    Wanneer een incident wordt gezien als fout in plaats van kans, melden mensen minder. Hoe minder informatie, hoe minder eigenaarschap.

    Prioriteit wint altijd van structuur

    Compliance is vaak een rol naast andere werkzaamheden. Zonder ondersteuning wint het urgente altijd van het belangrijke.

    Processen veranderen sneller dan rollen worden bijgewerkt

    Als het werk verandert maar de verantwoordelijkheden niet mee evolueren, ontstaat er snel een mismatch tussen verwachting en werkelijkheid.

    Eigenaarschap vervaagt zelden in één keer. Het verdwijnt langzaam door dagelijkse keuzes, kleine misverstanden en gebrek aan ritme.

    Hoe je eigenaarschap concreet en werkbaar maakt

    Hieronder staan vijf bouwstenen die eigenaarschap versterken zonder complexe reorganisaties of grote systemen.

    1. Houd verantwoordelijkheden klein en duidelijk

    Eigenaarschap ontstaat wanneer iemand precies weet wat er onder zijn of haar verantwoordelijkheid valt. Dit werkt alleen als:

    • één persoon eigenaar is van één onderwerp
    • de verantwoordelijkheid concreet is
    • het verband met risico’s en maatregelen duidelijk is

    Voorbeelden:

    • Niet: “HR is verantwoordelijk voor privacy.”
      Wel: “Eén persoon bewaakt inzageverzoeken en wettelijke termijnen.”
    • Niet: “IT beheert incidenten.”
      Wel: “Eén verantwoordelijke beoordeelt, registreert en sluit beveiligingsincidenten af.”

    Wanneer verantwoordelijkheid persoonlijk is, wordt opvolging vanzelf sterker.

    2. Zorg dat verantwoordelijkheden terugkomen in het dagelijks werk

    Eigenaarschap moet zichtbaar zijn in taken, niet alleen in documentatie.

    Dat betekent:

    • Terugkerende taken plannen
    • Opvolging registreren
    • Acties zichtbaar houden
    • Koppeling maken tussen risico’s en maatregelen
    • Inzicht creëren in wat openstaat en wat afgerond is

    Wanneer verantwoordelijkheden niet in het werkritme zitten, verdwijnen ze. Wanneer ze onderdeel worden van het werk, blijven ze leven.

    3. Gebruik incidenten om processen sterker te maken

    Incidenten laten zien hoe processen écht werken. Je hebt twee manieren om ze te benaderen:

    Als fout:
    De aandacht gaat naar een persoon die iets niet goed deed.

    Als signaal:
    Het incident laat zien waar het proces kwetsbaar is.

    In organisaties waar incidenten worden gezien als feedback op het proces, durven mensen eerder te melden en kunnen eigenaren sneller verbeteren. De kracht zit in de toon van het gesprek: niet “waarom deed jij dit” maar “wat zegt dit over hoe we werken”.

    4. Maak eigenaarschap haalbaar

    Eigenaarschap wordt pas duurzaam wanneer iemand de middelen heeft om het goed uit te voeren. Dat vraagt om:

    • Inzicht in alle relevante informatie
    • Duidelijke verwachtingen
    • Automatisering voor terugkerende taken
    • Actuele documentatie
    • Reminders die het geheugen ontlasten
    • Een werkproces dat niet afhankelijk is van losse lijstjes

    Overzicht is essentieel. Zeker wanneer mensen meerdere rollen tegelijk vervullen. Een lichtgewicht GRC-tool kan hier helpen, niet als extra laag, maar als rustpunt. Niet om nieuwe verplichtingen te introduceren, maar om grip te creëren.

    5. Maak gedrag onderdeel van het gesprek

    Compliance zit in dagelijkse keuzes, niet in documenten. Daarom helpt het om gedrag bespreekbaar te maken in korte, regelmatige momenten:

    • Wat viel je op in incidenten of risico’s?
    • Waar heb je getwijfeld over verantwoordelijkheden?
    • Welke signalen zag je, maar heb je niet opgepakt?
    • Wat heb je nodig om eigenaarschap beter te vervullen?

    Dit zijn geen evaluaties, maar microgesprekken die bewustzijn vergroten. Wanneer gedrag bespreekbaar is, ontwikkelen soft controls zich vanzelf.

    Hoe CompliTrack eigenaarschap ondersteunt

    Een tool creëert geen eigenaarschap, maar het maakt het wél zichtbaar en uitvoerbaar.

    • Risico’s, incidenten en acties krijgen één eigenaar
    • Opvolging wordt automatisch bewaakt
    • Iedereen werkt vanuit dezelfde informatie
    • Auditbewijslast ontstaat tijdens het werk
    • Structuur voorkomt dat verantwoordelijkheden verdwijnen

    Hierdoor wordt eigenaarschap minder afhankelijk van discipline of geheugen en meer van een voorspelbaar proces.

    Conclusie

    Compliance wordt niet sterk door meer beleid of uitgebreidere documentatie. Het wordt sterk wanneer verantwoordelijkheden duidelijk zijn, werkbaar zijn en gedragen worden.

    Eigenaarschap draait uiteindelijk om drie vragen:

    1. Wie is verantwoordelijk
    2. Wat betekent dat in de praktijk
    3. Hoe zorgen we dat deze persoon dat kan waarmaken

    Wanneer je die drie vragen scherp hebt, ontstaat een vorm van compliance die niet alleen op papier werkt, maar in de dagelijkse praktijk voelbaar is.

    Dat is de basis voor rust, transparantie en aantoonbare beheersing.

    Verder lezen

  • Ons grootste compliance-risico bleek geen proces, maar gedrag

    Ons grootste compliance-risico bleek geen proces, maar gedrag

    We waren ervan overtuigd dat alles keurig op orde was. De documentatie stond netjes bijgewerkt, het risicoregister was volledig en onze GRC-tool gaf een overzicht dat er geruststellend uitzag. Processen, maatregelen, acties: alles was ingericht. Op papier leek de organisatie strak en betrouwbaar. Tot de dag van de interne audit.

    De auditor keek naar een maatregel, draaide zich naar ons om en stelde de eenvoudigste vraag die je kunt bedenken: “Wie is hier verantwoordelijk voor?”

    Niemand antwoordde.

    De stilte was niet vijandig of ongeïnteresseerd, maar ongemakkelijk en pijnlijk herkenbaar. Iedereen dacht dat iemand anders het zou oppakken. De auditor hoefde verder niets te zeggen. Het echte risico zat niet in een ontbrekend document of een fout in de tool. Het zat in ons gedrag.

    Op dat moment werd duidelijk dat structuur zonder eigenaarschap geen controle oplevert, maar schijnzekerheid.

    De stille aannames die werkprocessen ondermijnen

    In organisaties waar mensen meerdere verantwoordelijkheden dragen, ontstaan onbewust aannames. Wat niet expliciet is toegewezen, wordt stilzwijgend doorgeschoven. Dat werkt zolang er geen echte druk op staat. Tot een audit, incident of klantvraag dat patroon blootlegt.

    Een treffend voorbeeld was het intrekken van toegang bij offboarding. De procedure was zorgvuldig beschreven. De taak verscheen automatisch in de GRC-tool. Maar in de praktijk ging het mis. IT dacht dat HR het signaal zou geven. HR dacht dat teamleads dit zouden melden. Teamleads dachten dat IT monitoring had.

    De taak bestond wel, maar het eigenaarschap niet. Het was een maatregel die “in het proces zat”, maar niet in ons werkritme. In de blog Van risicoanalyse naar actie lieten we eerder zien hoe kritisch het is dat processen niet alleen bestaan, maar ook gedragen worden. Dit voorbeeld bevestigde dat opnieuw

    Hoe de audit een spiegel werd

    De auditor bladerde verder en wees op een actie die al maanden openstond. “Waarom is deze niet opgevolgd?” vroeg hij.

    Het antwoord was niet in een document te vinden. Het zat in onze gewoontes. De auditor testte niets technisch. Hij testte de meest onderschatte laag van compliance: gedrag.

    Het deed denken aan een eerdere blog, Wat er gebeurde toen onze auditor onaangekondigd langskwam, waarin duidelijk werd hoe snel paniek ontstaat wanneer aantoonbaarheid en uitvoering niet één geheel vormen. Nu zaten we opnieuw op dat punt. Niet omdat processen ontbraken, maar omdat ze niet leefden. De audit maakte zichtbaar dat onze aanpak vooral vanuit structuur was georganiseerd, maar weinig vanuit praktijkgedrag.

    Waarom dit patroon zo vaak voorkomt

    Veel organisaties herkennen dit zonder het hardop te zeggen. Zeker wanneer dezelfde mensen klantafspraken, projecten, audits en interne controles combineren. Processen worden dan wel ingericht, maar niet verankerd. Documentatie wordt bijgewerkt omdat het moet. Acties worden aangemaakt omdat het hoort. Maar de vraag wie voelt zich eigenaar? blijft impliciet.

    In een eerdere blog, Van Excel naar overzicht, zo kies je voor GRC-software, lieten we zien dat tooling werkt wanneer gedrag meegroeit. Het auditmoment bewees hoe waar dat is: geen enkele tool kan compenseren voor onduidelijke afspraken of ontbrekend eigenaarschap.

    De omslag naar echt eigenaarschap

    We besloten het anders te doen. Niet door extra lagen structuur toe te voegen, maar door bestaande processen eenvoudiger en persoonlijker te maken.

    We begonnen met één praktische verandering: per maatregel één eigenaar. Niet een afdeling, maar een persoon. Dat maakte opvolging concreet. Iemand wist voortaan: dit hoort bij mij.

    Daarna creëerden we een vast ritme. Korte, maandelijkse check-ins waarin we procesuitvoering bespraken. Geen lange vergaderingen. Geen presentaties. Gewoon de vraag: “Wat loopt goed? Wat loopt stroef?” Dankzij die eenvoud schoof opvolging niet meer van agenda naar agenda, maar kreeg het een vaste plek.

    Ook herschreven we onze procedures. Minder formele taal, meer voorbeelden uit het werk. Dat lijkt klein, maar het had een groot effect. Mensen die begrijpen wat iets oplevert, voeren het sneller uit. In onze blog ISMS in de praktijk: beleid dat wél werkt beschreven we al hoe begrijpelijke taal het verschil maakt tussen naleven en nalezen.

    Tot slot maakten we melden normaal. Soms is een twijfel of een kleine fout waardevoller dan een incidentmelding. Zodra medewerkers dat merkten, ontstond er meer openheid. Problemen kwamen eerder naar boven en verbeteringen volgden vanzelf.

    Deze vier stappen maakten de basis sterker. Niet omdat we meer deden, maar omdat we bewuster deden.

    Hoe dat zichtbaar werd bij de volgende audit

    Een paar maanden later stond dezelfde auditor weer voor de deur. Hij merkte het verschil direct. We konden helder uitleggen wie verantwoordelijk was voor welke maatregelen. We konden onderbouwen waarom iets gedaan was, of juist niet. Bevindingen uit voorgaande audits waren aantoonbaar opgevolgd.

    Niets daarvan voelde geforceerd. Het was simpelweg logisch geworden. Omdat eigenaarschap logisch was geworden.

    Veel organisaties denken dat audits ingewikkeld zijn, maar vaak zijn ze vooral een spiegel. Dat zagen we eerder in de blog Klachten zijn geen fouten, maar wij behandelden ze wel zo, waarin de essentie duidelijk werd: aantoonbaarheid zit niet in formulieren, maar in gedrag.

    Dat herhaalden we nu in de praktijk. De auditor hoefde ons nauwelijks meer te corrigeren. Hij hoefde alleen te constateren dat dingen op hun plek waren gevallen.

    Het echte risico: gedrag zonder richting

    Een organisatie kan alles op orde hebben op papier, maar als niemand iets voelt als “van hem of haar”, ontstaan er blinde vlekken. Die vlekken worden pas zichtbaar wanneer er druk ontstaat. Bij een audit . Een incident. Een klantvraag.

    Gedrag zonder richting is het grootste risico dat vaak als laatste wordt gezien. Terwijl het tegelijk de meest voorspelbare oorzaak is van afwijkingen, vertragingen en gemiste maatregelen.

    In de blog Waarom alles in Excel netjes lijkt, tot je iets moet terugvinden beschreven we hoe gebrek aan structuur leidt tot chaos. Het omgekeerde is net zo waar: structuur zonder gedrag leidt tot schijnzekerheid. De vorm is er, maar de inhoud niet.

    Conclusie

    Compliance komt niet tot leven door systemen of documenten, maar door mensen die hun rol begrijpen en serieus nemen. Structuur is de basis. Gedrag geeft het betekenis. Eigenaarschap maakt het betrouwbaar.

    De organisaties die dat doorhebben, zijn niet per se organisaties met meer middelen. Het zijn organisaties waar verantwoordelijkheden klein en duidelijk zijn, waar opvolging ritme heeft en waar medewerkers signalen durven te geven.

    Daar ontstaat aantoonbaarheid. Daar ontstaat vertrouwen. Daar ontstaat controle zonder kramp.

    En precies daar begint echte compliance.

  • Onze klant vroeg: “Hoe duurzaam zijn jullie eigenlijk?” en we hadden geen antwoord

    Onze klant vroeg: “Hoe duurzaam zijn jullie eigenlijk?” en we hadden geen antwoord

    We zaten midden in een goed gesprek met een nieuwe klant. Alles liep soepel, tot hij ineens vroeg: “Even tussendoor, hoe duurzaam zijn jullie eigenlijk?”

    De stilte die volgde zei alles. We hadden best wat gedaan: ledverlichting, minder printen, een paar elektrische auto’s. Maar een écht antwoord hadden we niet. Geen beleid, geen cijfers, geen idee of we goed bezig waren of niet.

    Op dat moment realiseerden we ons: dit was geen losse vraag uit beleefdheid. Dit was een signaal. Klanten willen weten waar ze aan toe zijn, en duurzaamheid hoort daar tegenwoordig gewoon bij.

    Waarom kleine bedrijven deze vraag steeds vaker krijgen

    Nog niet zo lang geleden was “duurzaamheid” iets voor grote bedrijven met aparte afdelingen en dikke jaarverslagen. Maar dat beeld klopt niet meer.

    Steeds vaker stellen klanten, leveranciers en opdrachtgevers vragen over duurzaamheid. Niet omdat ze ineens allemaal wereldverbeteraars zijn, maar omdat ze dat moeten. Door nieuwe Europese regels, zoals de CSRD (Corporate Sustainability Reporting Directive).

    De eerste grote ondernemingen rapporteren al over deze richtlijn (over boekjaar 2024). Voor andere categorieën volgt een gefaseerde invoering, met in 2025 extra verlichting en uitstel aangekondigd. Voor mkb-bedrijven betekent dit vooral één ding: klanten gaan vaker om informatie vragen.

    Omdat grote bedrijven voortaan ook hun keten moeten onderbouwen, zullen hun leveranciers – mkb’ers zoals jij – vaker om basisgegevens vragen.

    Goed nieuws: er ís een vrijwillige mkb-standaard (VSME) waarmee kleinere bedrijven eenvoudig kunnen rapporteren, en er is een zogenoemde value-chain cap (een praktische grens aan welke data grote bedrijven bij mkb-leveranciers mogen opvragen).

    Je hoeft dus geen jaarverslag of certificaat te hebben. Een paar duidelijke basisgegevens en een werkbare werkwijze zijn vaak al genoeg om professioneel over te komen.

    Kortom: ook als je zelf niet direct onder de CSRD valt, is het slim om nu al te weten hoe je ervoor staat.

    De CSRD in het kort (mkb-versie)

    De CSRD draait om transparantie. Bedrijven moeten laten zien welke invloed ze hebben op mens, milieu en maatschappij. Dat gaat verder dan winstcijfers. Het gaat om energieverbruik, afval, uitstoot en arbeidsomstandigheden.

    Voor mkb-bedrijven klinkt dat al snel groot en ver weg. Maar in de praktijk gaat het om eenvoudige vragen: Hoeveel energie verbruik je? Waar komt je afval vandaan? Koop je duurzaam in? En hoe zorg je dat je medewerkers veilig en gezond werken?

    Wie die informatie op orde heeft, helpt zijn klanten enorm én laat zien dat het bedrijf toekomstgericht werkt.

    ISO 14001: de praktische kant van duurzaamheid

    Als de CSRD vooral de vraag stelt (“hoe duurzaam ben je?”), dan helpt ISO 14001 je met het antwoord.

    ISO 14001 is de internationale standaard voor milieumanagement. Dat klinkt zwaar, mar het is in feite een praktische kapstok om alles at je doet op milieugebied te structureren. Het biedt systeemeisen voor een werkbaar mileumanagementsysteem. Geen prestatiecijfers, geen verplichte certificering, maar een helder raamwerk op grip te krijgen op je milieu-impact.

    Het helpt je om te bepalen waar jouw bedrijf invloed heeft: energieverbruik, afval, transport, inkoop, opslag. Vervolgens stel je doelen, koppel je acties en zorg je dat verbeteringen ook echt worden vastgehouden.

    Je hoeft geen windmolens op je dak te zetten of een CO2-compensatieprogramma te starten. Voor mkb-bedrijven zit de winst vaak in eenvoudige, haalbare verbeteringen: zuiniger werken, minder verspilling, betere keuzes bij leveranciers en vooral inzicht in wat je doet.

    Onze eigen reality check

    Na die klantvraag besloten we het niet langer voor ons uit te schuiven. We wilden weten waar we stonden.

    We begonnen simpel. Geen dikke rapporten of consultants, maar gewoon een middag inventariseren: hoeveel energie gebruiken we, waar komt ons afval vandaan, wat kunnen we hergebruiken of besparen? En voldoen we eigenlijk aan de milieuregels die voor ons gelden?

    Die eerste analyse was confronterend én verhelderend. We zagen dat er best veel goed ging, maar dat het toevallig goed ging. Niet omdat we er bewust beleid op hadden.

    Daarna kwam de volgende stap: doelen stellen.
    We besloten onder andere 20% minder elektriciteit te verbruiken in een jaar, volledig over te stappen op groene stroom en onze papierstroom te halveren. Niet revolutionair, maar realistisch. En belangrijker: het gaf richting.

    De valkuil van losse initiatieven

    Veel mkb’ers doen al iets aan duurzaamheid, maar vaak ad hoc. Een paar zonnepanelen hier, een elektrisch busje daar, of minder printen op kantoor. Allemaal goede stappen, maar zonder structuur verdwijnt de aandacht langzaam naar de achtergrond.

    De ene medewerker doet er iets mee, de ander niet. En binnen een jaar ben je terug bij af. Daarom helpt ISO 14001 juist: het voorkomt dat duurzaamheid iets vrijblijvends wordt.

    Hoe ISO 14001 structuur brengt

    ISO 14001 dwingt je om na te denken over vier logische stappen:

    1. Bepaal waar jouw milieu-impact zit: energie, afval, grondstoffen, transport.
    2. Ken je verplichtingen: bijvoorbeeld rond afvalverwerking of opslag van gevaarlijke stoffen.
    3. Kies verbeteringen die bij jouw bedrijf passen: minder verbruik, betere inkoop, bewuster gedrag.
    4. Evalueer en verbeter continu: blijf meten en stel bij waar nodig.

    Een eenvoudig voorbeeld: een middelgroot technisch bedrijf bracht via een risicoanalyse in kaart dat hun verfopslag niet voldeed aan milieueisen. Dankzij die ontdekking voorkwamen ze een boete en konden ze direct verbeteringen doorvoeren.

    Een ander bedrijf, actief in de IT, zag via een energieanalyse dat hun volledige omgeving, inclusief  testservers, 24/7 draaiden. Alleen al het terugbrengen van het nachtverbruik scheelde ruim €1200 per jaar. Zonder enige investering.

    Dat is precies de kracht van een gestructureerde aanpak: je ontdekt wat er echt toe doet.

    Een systeem dat wél werkt voor kleine organisaties

    De meeste kleine bedrijven hebben geen KAM-afdeling of milieumanager. Daarom moet een systeem vooral eenvoudig en werkbaar zijn.

    Wij gebruiken daarvoor CompliTrack, onze eigen tool die helpt om risico’s, audits en acties bij te houden. We voegden er ook onze milieudoelen aan toe. Zo staat alles overzichtelijk bij elkaar, zonder losse Excel-sheets of vergeten mailtjes.

    Iedere taak heeft een verantwoordelijke, een deadline en een herinnering. Het klinkt simpel, maar dat is juist precies waarom het werkt. Je hoeft niet méér papierwerk te hebben, je hebt gewoon meer inzicht.

    De echte winst

    Na een paar maanden merkten we verschil. Niet alleen in cijfers, maar ook in houding. Medewerkers letten beter op kleine dingen: lichten uit, printers uit, minder verspilling. We hadden gesprekken over duurzamer inkopen en over milieueisen bij nieuwe projecten.

    Duurzaamheid was geen “project” meer, maar een manier van werken.

    En toen diezelfde klant later terugkwam, konden we eindelijk een eerlijk en onderbouwd antwoord geven. Geen verkoopverhaal, maar feiten, doelen en resultaten.

    Duurzaamheid zonder certificaat: gewoon beginnen

    Veel mkb’ers denken dat ze eerst moeten certificeren, maar dat hoeft niet. Je kunt prima beginnen zonder keurmerk of audit. De kracht zit in bewustwording en structuur, niet in het certificaat aan de muur.

    Een goede start maak je met drie eenvoudige vragen:
    Waar gebruiken we de meeste energie of grondstoffen? Waar ontstaat de meeste verspilling? En wie kan helpen om dat structureel te verbeteren?

    Schrijf de antwoorden op, bespreek ze met je team en zet de eerste acties in gang. Dat kost je hooguit een middag, maar levert waardevolle inzichten op. Vaak al meer dan wat veel grotere organisaties doen.

    Conclusie: de klantvraag als kans

    Voor mkb’ers is duurzaamheid geen marketingtruc of verplicht nummer. Het is een manier om slimmer te werken, kosten te besparen en aantrekkelijker te worden voor klanten die waarde hechten aan verantwoord ondernemen.

    De CSRD en ISO 14001 klinken misschien als “grote thema’s”, maar in de praktijk gaat het gewoon om grip krijgen op wat je doet en laten zien dat je het serieus neemt.

    Dus wacht niet tot iemand je die vraag stelt. Zorg dat je het antwoord al klaar hebt. Want vroeg of laat komt die vraag weer voorbij: “Hoe duurzaam zijn jullie eigenlijk?”

    En als je dan kunt zeggen: “We weten het, en we werken er elke dag aan om beter te worden,” dan ben je precies op de juiste weg.

    Tip: donderdag lees je onze vervolgblog “ISO 14001 en CSRD: wat milieu management betekent voor mkb-bedrijven”. Een praktisch stappenplan vol voorbeelden.

    Wil je alvast weten hoe je als mkb’er zonder grote investering structuur aanbrengt in duurzaamheid? Ontdek hoe CompliTrack milieumanagement eenvoudig maakt. Zónder gedoe, maar mét resultaat.

  • AI-leveranciers beoordelen: due-diligence checklist voor MKB-organisaties

    AI-leveranciers beoordelen: due-diligence checklist voor MKB-organisaties

    De belofte en de schrik van AI-tools

    Een leverancier komt met een AI-oplossing die al je problemen lijkt op te lossen: een chatbot die klanten direct helpt, een analyse-tool die bergen data in minuten verwerkt of een slimme assistent die documenten opstelt. De pitch klinkt vlekkeloos en de prijs valt mee.

    Maar stel dat je later ontdekt dat klantgegevens op servers buiten de EU staan? Of dat er geen logboeken zijn om te bewijzen wie toegang had? Precies daar gaat het mis. In de praktijk blijkt dat organisaties pas tijdens een DPIA of, erger nog, na een incident ontdekken dat er grote gaten in de afspraken met hun AI-leverancier zitten.

    Om dat te voorkomen, is een due-diligenceproces onmisbaar.

    Praktijkvoorbeeld: AI in de klantenservice

    Een MKB-bedrijf besloot een AI-chatbot in te zetten voor hun klantenservice. Alles leek goed geregeld: het contract was getekend en de tool werkte prima. Totdat een klant vroeg om inzage in zijn gegevens.

    Toen bleek: gesprekken waren opgeslagen op servers buiten de EU, er was geen verwerkersovereenkomst en er bestond geen procedure om data te verwijderen. Het bedrijf moest in allerijl schakelen, met boze klanten en reputatieschade tot gevolg.

    Met een due-diligenceproces vooraf waren deze problemen grotendeels te voorkomen geweest.

    Waarom due diligence bij AI cruciaal is

    Voor veel Mkb’s voelt het logisch om snel in te stappen bij een AI-tool. Maar de risico’s zijn vaak groter dan bij traditionele software. Data kan ongemerkt terecht komen bij onderaannemers of gebruikt worden voor modeltraining. Zonder goede logging is het onmogelijk om aan te tonen wie at met welke data deed. Een ISO-certificaat of keurmerk geeft bovendien een valse zekerheid als contracten en processen niet op orde zijn> Daarbovenop komt nieuwe regelgeving, zoals de Europese AI-verordening, die extra verplichtingen meebrengt voor leveranciers én afnemers.

    Juist omdat AI zich razendsnel ontwikkelt, is due diligence geen vinkje, maar een doorlopend proces.

    DPIA: verplicht waar nodig, nuttig altijd

    Volgens de AVG is een DPIA (Data Protection Impact Assessment) verplicht bij verwerkingen met een waarschijnlijk hoog risico voor betrokkenen. Denk aan grootschalige monitoring, gebruik van bijzondere persoonsgegevens of innovatieve technologie. AI valt daar vaak onder.

    Ook als het formeel niet verplicht is, loont een DPIA. Het dwingt je om drie vragen concreet te beantwoorden:

    1. Welke persoonsgegevens worden verwerkt?
    2. Welke risico’s lopen betrokkenen?
    3. Welke maatregelen neemt de leverancier om die risico’s te beperken?

    Een DPIA is dus niet alleen een juridische verplichting, maar ook een nuttig hulpmiddel om jouw due diligence te structureren.

    De due-diligence checklist voor AI-leveranciers

    1. Contract en data-eigenaarschap

    Leg vast dat jouw organisatie eigenaar blijft van alle aangeleverde data. Bepaal bewaartermijnen en maak afspraken over subverwerkers. Vraag om aantoonbare maatregelen, zoals ISO 27001 of een gelijkwaardige standaard, maar geef ook ruimte aan kleinere leveranciers die andere vormen van bewijs kunnen leveren.

    2. Logging en transparantie

    Vraag minimaal om inzage in trainingslogs: wie had wanneer toegang tot welke data? Idealiter levert de leverancier exporteerbare logbestanden, maar zelfs eenvoudige rapportages zijn al een stap vooruit. Zonder logging is compliance aantonen vrijwel onmogelijk.

    3. Datapaden en modeltraining

    Vraag welke databronnen zijn gebruikt voor de training van het AI-model. Leg vast dat jouw data niet zonder toestemming wordt gebruikt voor verdere training. Controleer of doorgifte naar landen buiten de EU goed geregeld is (bijvoorbeeld via SCC’s of een adequaatheidsbesluit).

    4. Incidentrespons en meldplicht

    Spreek een meldtermijn van 24-48 uur af, zodat jij je eigen 72-uurs verplichting onder de AVG kunt halen. Vraag hoe eerdere incidenten zijn afgehandeld en of er een draaiboek beschikbaar is.

    5. Privacyrechten en AVG-afspraken

    Zorg voor een duidelijke verwerkersovereenkomst. Controleer of de leverancier het mogelijk maakt om inzage-, correctie- en verwijderverzoeken uit te voeren. Betrek ook hun DPO of privacy-officer in het proces.

    Hoe CompliTrack dit proces ondersteunt

    Due diligence hoeft geen papieren tijger te zijn. Met CompliTrack kun je dit proces slim en eenvoudig organiseren:

    • Leveranciers koppelen aan bedrijfsmiddelen: je ziet direct welke leveranciers toegang hebben tot welke kritieke processen of data.
    • DPIA’s centraal beheren: voer DPIA’s stap voor stap uit en leg bevindingen vast in één overzicht.
    • Taken en controles automatiseren: stel terugkerende beoordelingen in zodat je niets vergeet.
    • Auditklaar overzicht: toon met één druk op de knop welke maatregelen en afspraken zijn gemaakt.

    Voor ondernemers betekent dit: minder afhankelijk van losse Excel-lijstjes en meer grip zonder zware systemen.

    Interne links en verdieping

    Deze blog maakt deel uit van de serie rond AI-governance. Wil je verder lezen?

    Conclusie: AI zonder due diligence is een gok

    AI kan het MKB enorme kansen bieden, maar ook forse risico’s. Zonder due diligence loop je het gevaar dat je pas na een incident ontdekt dat de afspraken tekortschieten.

    Met de checklist in dit artikel, gecombineerd met een DPIA, heb je een solide basis om je AI-leveranciers verantwoord te beoordelen. Voeg daar een tool als CompliTrack aan toe en je bent voorbereid op audits, klanten en toezichthouders.

    Wil je weten hoe CompliTrack jouw organisatie kan helpen bij AI-governance en leveranciersbeheer? Vraag een demo aan en ontdek het verschil.