Tag: governance

  • Hoe bewijs vanzelf ontstaat als werk gestructureerd is

    Hoe bewijs vanzelf ontstaat als werk gestructureerd is

    Een belangrijke leverancier wordt opnieuw beoordeeld. De verantwoordelijke bekijkt de prestaties van het afgelopen halfjaar en ziet dat er meerdere verstoringen zijn geweest. De leverancier blijft bruikbaar, maar er moet wel iets veranderen. Daarom wordt kort vastgelegd waarom de samenwerking voorlopig wordt voortgezet, welke verbetering nodig is en wie de opvolging bewaakt.

    Een paar maanden later komt de vraag waarom deze leverancier ondanks de verstoringen nog steeds als acceptabel wordt beschouwd.

    Het antwoord hoeft niet uit mailboxen, losse notities en herinneringen te worden opgebouwd. De beoordeling, de afweging en de opvolging vormen samen al het spoor.

    Niet omdat iemand speciaal bewijs heeft gemaakt, maar omdat tijdens het gewone werk zichtbaar bleef wat er gebeurde en waarom.

    Bewijs als bijproduct van het gewone werk

    In Waarom bewijs verzamelen achteraf altijd faalt zagen we wat er gebeurt wanneer zo’n spoor ontbreekt. Dan moet achteraf worden gereconstrueerd wie iets heeft gedaan, wanneer dat gebeurde en waarop een conclusie was gebaseerd.

    Het probleem ontstaat meestal niet door onzorgvuldigheid. Het ontstaat doordat uitvoering en bewijsvoering twee verschillende activiteiten zijn geworden.

    Eerst wordt het werk gedaan. Later wordt bedacht hoe kan worden aangetoond dat het is gebeurd.

    Daarmee wordt bewijsvoering een aparte activiteit naast het gewone werk. E-mails worden teruggezocht, bestanden verzameld en losse registraties bij elkaar gebracht. Niet om het werk beter uit te voeren, maar om achteraf zichtbaar te maken wat eerder al had moeten blijken.

    Meer bewaren lost dat niet op

    De logische reactie is vaak om voortaan meer te bewaren. Dat kan de vindbaarheid verbeteren, maar maakt bewijs niet automatisch begrijpelijker.

    Losse registraties laten regelmatig zien dát iets is gebeurd, maar niet waarom een conclusie werd getrokken of welke opvolging daarop volgde. De informatie bestaat dan wel, maar de samenhang ontbreekt.

    De belangrijkste context ontstaat tijdens het werk, op de momenten waarop iemand beoordeelt, beslist en opvolgt.

    Juist daar moet betekenis behouden blijven.

    Structuur houdt betekenis vast

    Gestructureerd werken betekent niet dat iedere handeling uitgebreid moet worden gedocumenteerd. Het betekent vooral dat belangrijke keuzes niet verdwijnen zodra de aandacht verschuift.

    Wie was verantwoordelijk? Wat was de uitkomst? Welke afwijking werd gevonden? Welke keuze is vervolgens gemaakt?

    Bij de leveranciersbeoordeling hoeft daarvoor geen uitgebreid verslag te ontstaan. Een korte vastlegging van de beoordeling, de afweging en de afgesproken opvolging kan voldoende zijn om later te begrijpen waarom de situatie acceptabel werd gevonden.

    De registratie is dan geen aparte bewijsactie voor een audit, maar onderdeel van de manier waarop het werk wordt uitgevoerd en afgerond.

    Dat heeft ook intern waarde. Het wordt eenvoudiger om te zien wat daadwerkelijk is uitgevoerd, wat nog openstaat en waarop eerdere keuzes zijn gebaseerd. De organisatie wordt daardoor minder afhankelijk van het geheugen van degene die bij het oorspronkelijke gesprek aanwezig was.

    Uitlegbaarheid ontstaat tijdens het werk

    Wanneer keuzes hun context behouden, ontstaat gedurende het gewone werk een herkenbaar spoor. Een geaccepteerd risico houdt zijn afweging. Een verbeteractie houdt zijn eigenaar en resultaat. Een beoordeling houdt de conclusie die eruit volgde.

    Daarmee hoeft uitlegbaarheid later niet opnieuw te worden opgebouwd.

    Tooling kan helpen om die informatie bij elkaar te houden en historie herkenbaar te maken. Maar een systeem creëert die samenhang niet vanzelf. Zonder een duidelijke werkwijze ontstaat alleen een centrale verzameling registraties waarvan later alsnog moet worden uitgezocht wat ze betekenen.

    Structuur moet daarom eerst in het werk zelf zitten.

    Van bewijs verzamelen naar bewijs terugvinden

    Daar zit uiteindelijk het verschil.

    Wanneer bewijsvoering losstaat van de dagelijkse uitvoering, begint het werk zodra iemand om onderbouwing vraagt. Wanneer het werk voldoende gestructureerd is, bestaat het belangrijkste spoor op dat moment al.

    Er moet misschien nog informatie worden opgezocht of geselecteerd, maar de oorspronkelijke afweging hoeft niet opnieuw te worden gereconstrueerd.

    Dat maakt bewijsvoering minder tot een afzonderlijke complianceactiviteit en meer tot een logisch gevolg van zorgvuldig werken.

    De relevante vraag voor je eigen organisatie is daarom niet hoeveel bewijs je bewaart.

    De interessantere vraag is hoeveel van wat je vandaag als afgerond beschouwt, over een half jaar nog begrijpelijk is zonder degene erbij te halen die het destijds heeft gedaan.

    Als daarvoor eerst mailboxen, herinneringen en losse bestanden moeten worden doorzocht, zit het probleem waarschijnlijk niet alleen in de vindbaarheid van bewijs.

    Dan ontbreekt vooral de structuur waardoor dat bewijs vanzelf herkenbaar had kunnen ontstaan.

    Verder lezen

  • Waarom losse screenshots en exports vaak niet genoeg zijn

    Waarom losse screenshots en exports vaak niet genoeg zijn

    De audit komt dichterbij en iemand stelt de bekende vraag: hebben we hier eigenlijk bewijs van?

    Even later staat er een map vol screenshots. Een afbeelding van de huidige beveiligingsinstellingen. Een export van gebruikersaccounts. Een overzicht uit een beheersysteem. Alles voorzien van duidelijke bestandsnamen en datums.

    Op het eerste gezicht lijkt het probleem opgelost. Er is immers iets tastbaars om te laten zien.

    Maar zodra iemand doorvraagt, ontstaat twijfel.

    Wanneer gold deze instelling precies? Was dit ook de situatie toen de controle had moeten plaatsvinden? Wie heeft de export beoordeeld? En wat is er gebeurd met de afwijkingen die daarin zichtbaar waren?

    Het bestand bestaat. De context ontbreekt.

    Een screenshot kan bewijs zijn, maar waarvan?

    Screenshots en exports kunnen prima als bewijs dienen, zolang duidelijk is wat ze daadwerkelijk aantonen.

    Een screenshot kan bijvoorbeeld laten zien hoe een instelling op een specifiek moment was geconfigureerd. Een export kan zichtbaar maken welke gebruikers of rechten op dat moment in een systeem geregistreerd stonden.

    Het probleem ontstaat wanneer zo’n momentopname meer moet bewijzen dan zij kan.

    Stel dat toegangsrechten periodiek worden beoordeeld. Een export kan laten zien welke rechten bestaan. Hij toont daarmee nog niet dat iemand die rechten daadwerkelijk heeft beoordeeld, welke afwijkingen zijn gevonden en wat daarmee is gedaan.

    Bewijs gaat dus niet alleen over wat ergens staat, maar over de vraag welke bewering je ermee probeert te onderbouwen.

    In Wat auditors verstaan onder ‘bewijs’ kwam dat al terug: een document, registratie of screenshot krijgt betekenis binnen de context van wat je wilt aantonen.

    Waarom meer verzamelen het probleem niet oplost

    Wanneer hierover twijfel ontstaat, is de eerste reactie vaak om meer materiaal te bewaren.

    Niet één screenshot, maar meerdere. Naast de export ook een e-mail waarin iemand bevestigt dat deze is bekeken. Alles wordt opgeslagen in een aparte bewijsmap.

    Dat maakt informatie beter vindbaar. Het maakt de samenhang nog niet vanzelf duidelijk.

    Welke export hoorde bij welke beoordeling? Welke versie was leidend? Was die bevestigingsmail het einde van de controle of slechts een tussenstap?

    Precies daar gaat bewijs verzamelen achteraf mis. Niet omdat er per definitie te weinig bestanden zijn, maar omdat tijdens het werk onvoldoende is vastgehouden wat er is gebeurd en waarom dat relevant was.

    Meer bewijsstukken verzamelen kan daardoor juist meer reconstructiewerk opleveren.

    Een digitaal spoor is iets anders dan een momentopname

    Technologie kan hier helpen, maar niet doordat zij automatisch meer bewijs produceert.

    Het relevante verschil zit tussen een handmatig gemaakte momentopname en informatie die tijdens de uitvoering ontstaat. Denk aan een registratie van een uitgevoerde controle, inclusief datum en verantwoordelijke, een wijzigingshistorie of de vastgelegde opvolging van een afwijking.

    Wanneer zulke gegevens betrouwbaar en herleidbaar zijn, geven ze context aan wat daadwerkelijk is gebeurd.

    Ook dat maakt technologie niet automatisch tot de oplossing. Honderd registraties zonder duidelijke samenhang vertellen nog steeds geen helder verhaal. Structuur blijft bepalend voor de vraag of informatie later begrijpelijk is.

    Begin bij wat je wilt kunnen uitleggen

    Een beter uitgangspunt is daarom niet welk bestand je moet bewaren, maar wat later begrijpelijk moet blijven.

    Als je zegt dat een controle is uitgevoerd, wil je kunnen herleiden wat is gecontroleerd, wanneer dat gebeurde, wie verantwoordelijk was en wat de uitkomst was.

    Als je zegt dat een maatregel werkt, wil je kunnen uitleggen waarop dat oordeel gebaseerd is.

    Daar raakt bewijsvoering direct aan uitlegbaarheid. Als de context pas ontstaat wanneer iemand er later naar vraagt, wordt de organisatie afhankelijk van geheugen en reconstructie.

    Dat is niet alleen lastig tijdens een audit. Het maakt het ook voor jezelf moeilijker om vast te stellen waarom je denkt dat iets daadwerkelijk onder controle is.

    Het probleem zit niet in het bestandsformaat

    Screenshots en exports kunnen waardevol bewijs zijn. Het risico ontstaat wanneer zij het enige antwoord worden op de vraag hoe je weet dat iets werkelijk is uitgevoerd of beheerst.

    Kijk daarom niet alleen naar hoeveel bestanden je kunt produceren, maar vooral naar hoeveel uitleg nog uit het geheugen van medewerkers moet komen voordat duidelijk wordt wat die bestanden aantonen.

    Als pas na vijf minuten uitleg duidelijk wordt wat een screenshot eigenlijk bewijst, zit de zwakte niet in de afbeelding.

    Wat ontbreekt, is de context die eraan betekenis geeft.

    En juist dat verschil laat zien of je bewijs bewaart, of daadwerkelijk kunt uitleggen waarom je denkt dat iets op orde is.

  • Wat auditors verstaan onder ‘bewijs’

    Wat auditors verstaan onder ‘bewijs’

    De auditor stelt een eenvoudige vraag: “Kun je laten zien waarom deze maatregel als afgerond staat?”

    Er wordt een map geopend. Daarin staan een procedure, een screenshot, een export en een paar e-mails. Er is duidelijk veel bewaard. Toch blijft het antwoord lastig.

    De procedure beschrijft wat er zou moeten gebeuren. De screenshot laat zien hoe een instelling er nu uitziet. In een e-mail staat dat iemand ermee bezig is geweest. Maar welk stuk laat zien wat daadwerkelijk is uitgevoerd en waarop de conclusie is gebaseerd dat de maatregel afgerond is?

    Dat is het verschil tussen informatie hebben en bewijs kunnen leveren.

    Wat maakt informatie tot bewijs?

    Bij auditvoorbereiding wordt bewijs gemakkelijk gezien als iets tastbaars: een document, rapportage, screenshot of registratie. Daardoor ontstaat de gedachte dat een volle map automatisch een sterke onderbouwing vormt.

    Een auditor kijkt anders. Bewijs is verifieerbare informatie die relevant is voor wat op dat moment wordt getoetst.

    Als je zegt dat toegangsrechten periodiek worden beoordeeld, moet aannemelijk en controleerbaar zijn dat die beoordeling daadwerkelijk plaatsvindt. Als een maatregel als afgerond staat, is relevant waarop die conclusie is gebaseerd. En wanneer een risico bewust is geaccepteerd, telt niet alleen dát die status ergens staat, maar ook of de afweging daarachter nog herkenbaar is.

    Een procedure kan dus aantonen dat een werkwijze is afgesproken. Zij bewijst niet vanzelf dat die werkwijze ook in de praktijk wordt gevolgd.

    Bewijs zit niet alleen in documenten

    Een auditbeeld ontstaat meestal uit verschillende informatiebronnen.

    Een gesprek met een medewerker kan inzicht geven in hoe een controle in de praktijk werkt. Een registratie kan laten zien wanneer die controle is uitgevoerd. Een waarneming kan duidelijk maken hoe een proces daadwerkelijk verloopt. Een vastgelegd besluit kan verklaren waarom bewust van de gebruikelijke werkwijze is afgeweken.

    De waarde ontstaat in de samenhang. Wanneer uitleg, registratie en dagelijkse praktijk hetzelfde beeld geven, wordt de uitvoering beter verifieerbaar. Wanneer beleid iets anders zegt dan medewerkers uitleggen of registraties niet aansluiten op de praktijk, ontstaan juist nieuwe vragen.

    Eén bewijsstuk hoeft daarom zelden het volledige verhaal te vertellen.

    Waarom meer verzamelen niet automatisch helpt

    Wanneer twijfel ontstaat, is de logische reactie vaak om meer te bewaren. Extra screenshots, exports, notulen en bevestigingen moeten voorkomen dat er bij een volgende audit iets ontbreekt.

    Daarmee groeit de hoeveelheid informatie, maar niet automatisch de waarde als auditbewijs.

    Tien losse bestanden kunnen minder zeggen dan één duidelijke registratie waarin zichtbaar is wat is beoordeeld, door wie, wanneer en met welke uitkomst. Het gaat niet om hoeveel materiaal beschikbaar is, maar om de relatie tussen de informatie en wat je ermee wilt aantonen.

    Zodra die relatie ontbreekt, moet achteraf worden gereconstrueerd wat bestanden waarschijnlijk betekenen. Precies dat probleem staat centraal in Waarom bewijs verzamelen achteraf altijd faalt.

    Bewijs gaat ook over je eigen grip

    Dit probleem wordt niet pas zichtbaar wanneer een auditor langskomt.

    Zeker wanneer compliance naast andere verantwoordelijkheden wordt uitgevoerd, zit veel context bij enkele mensen. Als je voor de status van een maatregel telkens degene nodig hebt die “nog weet hoe het zat”, wordt het ook intern moeilijker om vast te stellen waarom iets als afgerond, acceptabel of voldoende wordt beschouwd.

    Daarmee raakt bewijsvoering aan een bredere vraag: weet je zelf waarop je oordeel is gebaseerd?

    Dat sluit aan op Uitlegbaarheid ontstaat niet achteraf. Zodra alleen de uitkomst van een keuze overblijft en de oorspronkelijke afweging verdwijnt, wordt uitleg later onnodig moeilijk.

    Structuur maakt bewijs begrijpelijk

    Goede bewijsvoering vraagt daarom niet in de eerste plaats om meer documentatie. Het vraagt om voldoende samenhang in wat tijdens het werk wordt vastgehouden.

    Bij een maatregel moet bijvoorbeeld herkenbaar blijven wie verantwoordelijk was en waarop de status is gebaseerd. Bij een risicoacceptatie is vooral de afweging relevant. Bij een periodieke controle moet zichtbaar zijn dat de afgesproken activiteit daadwerkelijk heeft plaatsgevonden.

    Dat hoeft geen uitgebreid dossier op te leveren. Juist wanneer informatie op het juiste moment wordt vastgehouden, is achteraf minder herstelwerk nodig.

    Tooling kan helpen om zulke relaties herkenbaar te houden, maar maakt informatie niet vanzelf betekenisvol. Zonder duidelijke samenhang blijft ook een centraal systeem vooral een verzameling registraties.

    Tot slot

    Een auditor zoekt uiteindelijk geen indrukwekkende verzameling bestanden. Er moet voldoende betrouwbare informatie zijn om vast te stellen of wat is afgesproken ook herkenbaar terugkomt in de praktijk.

    Daarom is “hoeveel bewijs hebben we?” zelden de interessantste vraag.

    Relevanter is: als we zeggen dat iets is uitgevoerd, afgerond of onder controle is, kunnen we dan zonder reconstructie laten zien waarop we dat baseren?

    Wie die vraag gemakkelijk kan beantwoorden, is niet alleen beter voorbereid op een audit. Die organisatie begrijpt ook zelf beter waarom zij denkt dat iets op orde is.

    Verder lezen

  • Waarom bewijs verzamelen achteraf altijd faalt

    Waarom bewijs verzamelen achteraf altijd faalt

    De audit staat over twee weken gepland.

    Op zichzelf lijkt er weinig aan de hand. De risicoanalyse is uitgevoerd, maatregelen zijn besproken en verschillende controles zijn het afgelopen jaar gewoon uitgevoerd. Alleen het bewijs daarvan moet nog even bij elkaar worden gezocht.

    Dus begint de zoektocht.

    Een collega duikt in zijn mailbox om terug te vinden wanneer een bepaald risico is besproken. Iemand anders zoekt naar rapportages waarvan niet direct duidelijk is welke versie destijds is gebruikt. Er worden screenshots gemaakt van instellingen die waarschijnlijk al maanden zo staan. En bij een maatregel die als afgerond staat geregistreerd, ontstaat discussie over wat er precies is gedaan.

    Het werk is waarschijnlijk uitgevoerd.

    Alleen is achteraf nauwelijks meer vast te stellen wat er op dat moment bekend was, welke afweging is gemaakt en waarom de organisatie vond dat de genomen maatregel voldoende was.

    Daar zit het probleem met bewijs verzamelen achteraf.

    Niet omdat bestaand bewijs niet later mag worden opgehaald. Een systeemlog, goedgekeurd besluit of tijdgestempelde registratie kun je prima maanden later terugvinden. Het probleem ontstaat wanneer dat spoor tijdens het werk nooit is ontstaan en je achteraf moet reconstrueren wat er waarschijnlijk is gebeurd.

    Bewijs zonder context zegt minder dan je denkt

    Wanneer bewijs vlak voor een audit, klantvraag of evaluatie wordt verzameld, lijkt het probleem meestal administratief. Documenten ontbreken, screenshots moeten nog worden gemaakt of informatie staat verspreid over verschillende plekken.

    Maar dat is slechts het zichtbare deel.

    Bewijs krijgt pas betekenis door de context eromheen.

    Een screenshot laat zien dat een instelling op een bepaald moment op een bepaalde manier staat geconfigureerd. Hij vertelt niet vanzelf sinds wanneer dat zo is, waarom daarvoor is gekozen of welk risico ermee werd beheerst.

    Een e-mail kan aantonen dat iets is besproken. Zonder zichtbaar besluit blijft onduidelijk wat daarna daadwerkelijk is afgesproken.

    Een risico-overzicht kan laten zien dat een risico als acceptabel is beoordeeld. Als niet meer te achterhalen is waarom, laat het vooral zien dat ooit een beoordeling is ingevuld.

    Goede bewijsvoering gaat daarom niet alleen over aantonen dat iets bestaat.

    Het gaat om de samenhang tussen wat je hebt gezien, welke afweging daarop volgde, wat je hebt besloten en wat daarna daadwerkelijk is gedaan.

    Wanneer context verdwijnt, begint reconstructie

    Tijdens het dagelijkse werk is veel meer context beschikbaar dan organisaties zich realiseren.

    Een risico wordt opnieuw besproken omdat een leverancier problemen heeft gehad. Een maatregel wordt aangepast omdat een bestaande werkwijze niet praktisch blijkt. Een uitzondering wordt geaccepteerd omdat de resterende impact beperkt is en een aanvullende maatregel op dat moment niet proportioneel wordt gevonden.

    Op dat moment begrijpt iedereen de redenering.

    Maar vaak wordt alleen de uitkomst vastgelegd.

    Risico geaccepteerd.

    Maatregel uitgevoerd.

    Actie afgerond.

    Daarmee verdwijnt een deel van het denkproces dat de uitkomst betekenis gaf.

    Een paar maanden later is de aanleiding minder scherp. Mensen herinneren zich verschillende delen van het gesprek. Rollen kunnen zijn veranderd en nieuwe informatie beïnvloedt hoe naar de eerdere situatie wordt gekeken.

    Zodra die context ontbreekt, vullen mensen de gaten begrijpelijkerwijs in met wat logisch lijkt.

    De maatregel stond als afgerond geregistreerd, dus hij zal wel zijn gecontroleerd. De instelling staat nu goed, dus vermoedelijk stond hij destijds ook zo. We werken al jaren op deze manier, dus dit zal toen ook de bedoeling zijn geweest.

    Dat hoeft geen bewuste verdraaiing te zijn. Het is simpelweg reconstructie vanuit de kennis van vandaag.

    Maar daarmee verandert bewijsvoering ongemerkt in interpretatie.

    Meer verzamelen lost dat niet op

    De gebruikelijke reactie is om voortaan meer te bewaren.

    Er komt een centrale map. Teams spreken af vaker screenshots te maken. Documenten worden consequenter opgeslagen en voor een audit wordt gecontroleerd of alles compleet is.

    Dat maakt zoeken makkelijker, maar lost het kernprobleem niet op.

    Meer bewijs betekent niet automatisch betere bewijsvoering.

    Een goed georganiseerde verzameling losse bestanden blijft een verzameling losse bestanden wanneer de onderlinge samenhang ontbreekt. Hoe meer informatie wordt verzameld, hoe moeilijker het soms zelfs wordt te bepalen wat werkelijk iets aantoont.

    De vraag verschuift dan van “hebben we bewijs?” naar “wat laat eigenlijk zien waarom deze keuze is gemaakt?”

    Het probleem is dan geen tekort aan informatie.

    Het is een tekort aan betekenis.

    Bewijs ontstaat tijdens het werk, niet bij de audit

    Een bruikbaarder uitgangspunt is dat bewijs ontstaat terwijl het werk wordt uitgevoerd.

    Neem een risico dat bewust wordt geaccepteerd.

    Op dat moment zijn een paar zaken relevant. Wat is het risico? Welke impact en waarschijnlijkheid zien we? Welke maatregelen zijn al aanwezig? Waarom vinden we aanvullende maatregelen niet nodig of niet proportioneel? En wie neemt verantwoordelijkheid voor die keuze?

    Wanneer die afweging op dat moment herkenbaar wordt vastgehouden, ontstaat bewijs zonder aparte bewijsactiviteit.

    Hetzelfde geldt voor maatregelen.

    Niet alleen vastleggen dat iets is uitgevoerd, maar ook zichtbaar houden waarom die maatregel nodig was en waarop is gebaseerd dat het resultaat voldoende is.

    Zo ontstaat een logisch spoor van risico naar afweging, besluit, maatregel en evaluatie.

    Dat spoor is uiteindelijk belangrijker dan een stapel losse documenten.

    Waarom dit onderdeel is van risicobeheer

    Een risico-overzicht kan uitstekend laten zien welke risico’s zijn geïdentificeerd en hoe ze zijn beoordeeld. Maar een overzicht alleen stuurt niets.

    De werkelijke waarde ontstaat bij de keuzes die erop volgen.

    Een hoog risico zonder vervolgbesluit vertelt weinig. Een geaccepteerd risico zonder argumentatie ook. En een maatregel zonder zichtbaar resultaat blijft uiteindelijk een aanname.

    Dit raakt dus niet alleen auditvoorbereiding. Het raakt de kwaliteit van besluitvorming.

    Als drie mensen eerst moeten reconstrueren waarom een risico negen maanden geleden is geaccepteerd, is niet alleen tijd verloren. Je kunt ook moeilijk beoordelen of die oorspronkelijke keuze vandaag nog verdedigbaar is.

    Bewijsvoering wordt daarmee onderdeel van risicobeheer zelf.

    Niet omdat ieder risico uitgebreid gedocumenteerd moet worden, maar omdat belangrijke keuzes hun betekenis moeten behouden.

    Structuur voorkomt herstelwerk achteraf

    Dat vraagt niet om het vastleggen van ieder detail.

    Structuur betekent vooral dat duidelijk is welke momenten betekenisvol zijn.

    Wanneer is een risico beoordeeld? Wie heeft een besluit genomen? Welke actie volgde daaruit? En wanneer werd vastgesteld dat het resultaat voldoende was?

    Wie die lijn kan volgen, heeft vaak veel minder afzonderlijke bewijsstukken nodig.

    De kracht zit niet in de hoeveelheid, maar in de verbinding.

    Daardoor verandert ook het gesprek wanneer later uitleg nodig is. Bij een audit, overdracht of klantvraag hoef je niet terug te redeneren vanuit losse documenten. Je kunt de oorspronkelijke besluitvorming volgen zoals die daadwerkelijk heeft plaatsgevonden.

    Dat maakt bewijsvoering eenvoudiger en vooral beter herleidbaar.

    Tooling volgt pas daarna

    Wanneer deze manier van werken logisch wordt, ontstaat vanzelf behoefte aan ondersteuning.

    Besluiten moeten herkenbaar blijven. Acties moeten aan risico’s gekoppeld kunnen worden. Verantwoordelijkheden mogen niet uitsluitend afhankelijk zijn van individueel geheugen. Eerdere afwegingen moeten terug te vinden zijn zonder door mailboxen, mappen en verschillende versies te zoeken.

    Tooling kan dat ondersteunen.

    Maar een systeem creëert die structuur niet vanzelf.

    Zonder helder denkkader wordt ook een nieuw systeem vooral een plek waar informatie wordt opgeslagen. Met voldoende structuur helpt het juist om het spoor dat tijdens het werk ontstaat intact te houden.

    Tooling is dan geen oplossing voor slechte bewijsvoering, maar een logisch gevolg van de wens om besluitvorming consistent en uitlegbaar te houden.

    Bewijsvoering begint veel eerder dan de audit

    Wie vlak voor een audit veel bewijs moet reconstrueren, ontdekt meestal geen nieuw probleem. De audit maakt vooral zichtbaar wat gedurende het jaar al ontbrak.

    Niet noodzakelijk de controles.

    Niet noodzakelijk de maatregelen.

    Maar de verbinding tussen aanleiding, afweging, keuze, uitvoering en resultaat.

    Daarom faalt bewijs verzamelen achteraf zo vaak. Niet omdat bestaande registraties later niet meer bruikbaar zijn, maar omdat betekenis die nooit is vastgehouden zich maar beperkt laat reconstrueren.

    De relevante vraag is dus niet hoeveel bewijs je vandaag zou kunnen verzamelen.

    Interessanter is welke belangrijke keuzes van de afgelopen maanden je nu nog zonder moeite kunt uitleggen. Kun je zien wat destijds bekend was? Waarom een risico werd geaccepteerd? Waarom juist die maatregel werd gekozen? En waarop is gebaseerd dat die voldoende werkte?

    Als het antwoord vooral afhankelijk is van degene die toevallig bij het gesprek aanwezig was, ontbreekt waarschijnlijk niet alleen bewijs.

    Dan ontbreekt vooral een deel van het geheugen van de organisatie.

    Verder lezen

  • ISO 9001:2026 komt eraan: wat verandert er en wat moet je nu al voorbereiden?

    ISO 9001:2026 komt eraan: wat verandert er en wat moet je nu al voorbereiden?

    Je organisatie is ISO 9001:2015-gecertificeerd. Het kwaliteitsmanagementsysteem staat, interne audits worden uitgevoerd en periodiek beoordeelt het management of het systeem nog doet wat het moet doen.

    En dan verschijnt er ineens een nieuw jaartal: ISO 9001:2026.

    Moet het kwaliteitshandboek opnieuw? Moeten processen worden aangepast? Is een nieuwe gap-analyse nodig? En hoeveel tijd en geld moet je daar nu voor reserveren?

    Waarschijnlijk minder dan je denkt.

    Je hoeft nu geen nieuw kwaliteitsmanagementsysteem in te richten en ook nog geen definitieve norm-gap uit te voeren. Wat je wel kunt doen, is kijken naar de onderwerpen waarop ISO meer nadruk legt en beoordelen hoe goed die nu al functioneren.

    ISO 9001:2026 is bijna gepubliceerd, maar nog niet de actuele editie

    Op het moment van schrijven is ISO 9001:2026 nog niet gepubliceerd. De revisie bevindt zich inmiddels in de laatste productiefase. ISO vermeldt september 2026 als verwachte publicatiemaand en geeft aan dat de nieuwe editie ISO 9001:2015 zal vervangen.

    Tot die tijd is ISO 9001:2015, inclusief Amendment 1:2024, de huidige gepubliceerde editie. Organisaties die daartegen gecertificeerd zijn, krijgen na publicatie een overgangsperiode om naar de nieuwe editie te migreren. ISO heeft op dit moment nog geen concrete duur van die periode gepubliceerd.

    De conclusie is daarom vrij eenvoudig: voorbereiden is verstandig, vooruitlopen op een norm die nog niet gepubliceerd is niet.

    Waarom wordt ISO 9001 aangepast?

    ISO 9001:2015 bestaat inmiddels ruim tien jaar. Na internationale consultatie werd in 2023 besloten dat een herziening waarde zou toevoegen, zodat de norm beter blijft aansluiten op de behoeften van organisaties en andere belanghebbenden.

    Daarbij verandert het fundament niet.

    ISO presenteert de nieuwe editie als een doorontwikkeling van het bestaande kwaliteitsmanagementsysteem, met gerichte aanpassingen om de norm duidelijker, bruikbaarder en relevanter te maken.

    Heb je nu een KMS dat daadwerkelijk wordt gebruikt om kwaliteit te beheersen en te verbeteren, dan is er dus geen reden om opnieuw te beginnen.

    Wat verandert er in ISO 9001:2026?

    ISO communiceert inmiddels een aantal duidelijke accenten: meer aandacht voor leiderschap en kwaliteitscultuur, een meer strategische benadering van risico’s en kansen, duidelijkere formuleringen, een nieuwe Annex A en een betere aansluiting op andere ISO-managementsysteemstandaarden.

    Voor organisaties die met ISO 9001 werken, zijn vooral de praktische gevolgen daarvan interessant.

    Meer nadruk op leiderschap, verantwoordelijkheid en kwaliteitscultuur

    Een kwaliteitsmanagementsysteem werkt niet omdat procedures bestaan. Het werkt wanneer mensen weten wat van hen wordt verwacht en het management kwaliteit daadwerkelijk meeweegt in keuzes.

    ISO kondigt daarom een sterkere focus aan op leiderschap, kwaliteitscultuur en accountability.

    Dat betekent niet automatisch dat je nieuwe overlegstructuren of functies nodig hebt. De relevantere vraag is of zichtbaar is hoe het management daadwerkelijk op kwaliteit stuurt.

    Welke kwaliteitsvraagstukken bereiken het management? Welke informatie wordt gebruikt om prioriteiten te bepalen? Wie neemt verantwoordelijkheid wanneer prestaties achterblijven? En welke besluiten volgen uit klachten, auditresultaten, afwijkingen en verbeteringen?

    Een goede management review speelt daarin een belangrijke rol. Niet als jaarlijks ISO-document, maar als moment waarop prestaties, risico’s en verbeteringen worden vertaald naar bestuurlijke keuzes.

    Risico’s én kansen krijgen meer duidelijkheid

    Risicogebaseerd denken bestaat al in ISO 9001:2015. In de nieuwe editie legt ISO meer nadruk op duidelijkheid rond risico’s en kansen en op een meer strategische benadering daarvan.

    Dat betekent niet simpelweg dat je een uitgebreidere risicoanalyse moet maken.

    De interessantere vraag is of zichtbaar is welke onzekerheden je kwaliteitsdoelstellingen kunnen beïnvloeden, welke kansen je bewust wilt benutten en welke keuzes daaruit volgen.

    Kun je uitleggen waarom sommige risico’s prioriteit krijgen? Wie daarover beslist? Welke maatregelen volgen? En wanneer een risico bewust wordt geaccepteerd?

    In ISO 31000 uitgelegd: wanneer wordt risicomanagement meer dan een risicolijst? gaan we uitgebreider in op precies dat verschil tussen risico’s registreren en risico’s daadwerkelijk gebruiken bij besluitvorming.

    Duidelijkere eisen en een nieuwe Annex A

    ISO kondigt daarnaast duidelijkere formuleringen aan en een nieuwe Annex A die belangrijke begrippen en de bedoeling achter eisen verder verduidelijkt.

    Dat klinkt misschien als een detail, maar kan in de praktijk juist veel verschil maken.

    Onduidelijke normeisen leiden gemakkelijk tot schijndocumentatie. Een organisatie denkt dat een auditor een procedure, formulier of register verwacht en maakt dat daarom maar aan. Vervolgens moet die documentatie jarenlang worden onderhouden, terwijl niemand haar daadwerkelijk gebruikt.

    Meer duidelijkheid over de bedoeling van een eis hoeft daarom niet tot méér administratie te leiden. Het kan juist helpen om overbodige documentatie te voorkomen.

    Dat sluit aan op Wanneer documentatie logisch klinkt, maar niets oplevert: documentatie heeft pas waarde wanneer zij helpt om werkwijzen en keuzes te begrijpen.

    Betere aansluiting op andere managementsystemen

    ISO noemt ook een betere aansluiting op andere ISO-managementsysteemstandaarden. Dat past bij de bredere manier waarop ISO deze standaarden structureert, zodat verschillende managementdisciplines eenvoudiger kunnen worden geïntegreerd.

    Werk je bijvoorbeeld naast ISO 9001 ook met ISO 27001, ISO 14001 of ISO 45001, dan heb je niet automatisch voor iedere norm een afzonderlijk managementsysteem nodig.

    Onderwerpen zoals doelstellingen, risico’s, interne audits, verbeteracties en management reviews kunnen vaak vanuit één gezamenlijke structuur worden georganiseerd. De inhoudelijke eisen blijven verschillend, maar de manier waarop je erop stuurt hoeft niet steeds opnieuw te worden ingericht.

    Moet je je bestaande KMS opnieuw inrichten?

    Nee.

    Begin niet opnieuw omdat het jaartal op de norm verandert.

    De logische volgorde is eenvoudiger: wacht op de definitieve publicatie, bepaal welke eisen daadwerkelijk zijn gewijzigd, beoordeel welke onderdelen van je huidige KMS daardoor geraakt worden en pas alleen aan wat nodig is.

    Een nieuw kwaliteitshandboek puur vanwege ISO 9001:2026 voegt niets toe. Het volledig herschrijven van procedures voordat duidelijk is wat inhoudelijk geraakt wordt evenmin.

    Dat geldt ook voor tooling. Een nieuwe editie van ISO 9001 maakt je huidige systeem niet automatisch ongeschikt.

    De relevante vraag is of je risico’s, acties, verantwoordelijkheden, audits, doelstellingen en besluiten voldoende gestructureerd kunt beheren om te laten zien dat het KMS daadwerkelijk werkt.

    Wat kun je nu al wél voorbereiden?

    Je hoeft de publicatie van ISO 9001:2026 niet af te wachten om kritisch naar je huidige systeem te kijken.

    Begin bij managementbetrokkenheid. Niet met de vraag of een management review formeel heeft plaatsgevonden, maar met de vraag welke kwaliteitsinformatie daadwerkelijk tot besluiten leidt.

    Kijk vervolgens naar risico’s en kansen. Leidt je huidige aanpak tot prioriteiten en acties, of vooral tot een periodiek bijgewerkt overzicht?

    Kijk ook naar de documentatie die door de jaren heen is ontstaan. Welke documenten ondersteunen het werk werkelijk? Welke registraties helpen bij besluitvorming? En welke bestaan vooral omdat ooit werd gedacht dat ISO ze verlangde?

    Werk je met meerdere normen, beoordeel dan waar processen onnodig dubbel zijn ingericht. Misschien heb je niet voor iedere norm afzonderlijke actielijsten, auditprogramma’s of managementreviews nodig.

    Geen van deze verbeteringen is afhankelijk van de definitieve tekst van ISO 9001:2026. Ze maken je huidige KMS ook nu al sterker.

    Wat moet je juist nog niet doen?

    Gebruik de aangekondigde veranderingen om aandachtspunten te herkennen, maar voer nog geen definitieve gap-analyse uit alsof ISO 9001:2026 al de actuele editie is.

    Begin ook niet met een complete documentrevisie. Het vervangen van iedere verwijzing naar ISO 9001:2015 door ISO 9001:2026 zegt niets over de werking van je kwaliteitsmanagementsysteem.

    En schaf geen nieuw managementsysteem aan alleen vanwege de normwijziging.

    Een nieuwe tool lost geen onduidelijk eigenaarschap, slecht opgevolgde acties of zwakke managementbetrokkenheid op. Als je huidige ondersteuning voldoende structuur biedt, is een nieuwe normeditie op zichzelf geen reden om die te vervangen.

    Na publicatie: houd de overgang gericht

    Zodra ISO 9001:2026 gepubliceerd is, kun je bepalen welke wijzigingen daadwerkelijk relevant zijn voor jouw KMS, de impact beoordelen en noodzakelijke aanpassingen prioriteren. Controleer daarna via je normale evaluaties en interne audits of die wijzigingen ook in de praktijk werken.

    Volg daarbij de formele transitieafspraken voor bestaande certificaten zodra deze beschikbaar zijn. ISO bevestigt nu al dat gecertificeerde organisaties een overgangsperiode krijgen.

    ISO 19011:2026 uitgelegd: hoe richt je een intern auditprogramma in dat wél stuurt? geeft meer handvatten om interne audits vervolgens gericht in te zetten om te beoordelen waar het managementsysteem werkelijk aandacht nodig heeft.

    De belangrijkste vraag richting ISO 9001:2026

    De komst van ISO 9001:2026 is vooral een goed moment om te toetsen of je huidige KMS daadwerkelijk stuurt op kwaliteit.

    Wanneer kwaliteit vooral afhankelijk is van documenten, één kwaliteitsverantwoordelijke of het jaarlijkse auditmoment, geven de aangekondigde veranderingen voldoende aanleiding om daar nu al naar te kijken.

    Wanneer managementbetrokkenheid, verantwoordelijkheden, risico’s, verbeteringen en besluitvorming al onderdeel zijn van de dagelijkse bedrijfsvoering, is je uitgangspositie heel anders.

    De belangrijkste vraag is daarom misschien niet welke documenten je straks moet aanpassen.

    Werkt je kwaliteitsmanagementsysteem eigenlijk zoals je denkt dat het werkt?

    Houd de overgang beheersbaar

    ISO 9001:2026 hoeft geen nieuw complianceproject te worden. Begin bij wat je al hebt en kijk waar risico’s, acties, audits, doelstellingen en besluiten nu verspreid worden bijgehouden of samenhang missen.

    Wil je die onderdelen meer in samenhang beheren? CompliTrack helpt om structuur en overzicht aan te brengen zonder van kwaliteitsmanagement een zwaar systeem te maken.

  • Wanneer overzicht juist besluitvorming uitstelt

    Wanneer overzicht juist besluitvorming uitstelt

    Het risico staat al maanden bovenaan het overzicht.

    De mogelijke impact is bekend. De beoordeling is meerdere keren besproken en niemand betwist dat het onderwerp aandacht verdient. Toch volgt er opnieuw geen besluit.

    Eerst willen we weten wat de alternatieven kosten. Daarna blijkt aanvullende informatie nodig over de gevolgen. Bij het volgende overleg wordt voorgesteld de beoordeling nog eens te actualiseren, omdat de omstandigheden inmiddels iets zijn veranderd.

    Iedere stap klinkt zorgvuldig.

    En toch gebeurt er niets.

    Het risico blijft zichtbaar, wordt netjes bijgehouden en keert iedere maand terug. Het overzicht geeft daarmee niet alleen inzicht. Het biedt ook een comfortabele plek om het besluit nog even uit te stellen.

    Wanneer zorgvuldig werken verandert in uitstel

    In Waarom risico-overzichten rust geven, maar niets sturen beschreven we waarom een actueel risico-overzicht gemakkelijk een gevoel van grip creëert. Risico’s zijn zichtbaar, beoordeeld en bespreekbaar. Dat is waardevol, maar het betekent nog niet dat er wordt gestuurd.

    Juist bij lastige risico’s wordt dat verschil zichtbaar.

    Een risico kan maandenlang aandacht krijgen zonder dat duidelijk wordt wat er nodig is om tot een besluit te komen. Iedere bespreking levert nieuwe vragen op. Iedere nieuwe vraag lijkt aanvullende analyse te rechtvaardigen.

    Soms is dat terecht. Bepaalde informatie heb je nodig om verantwoord te kunnen kiezen.

    Het probleem ontstaat wanneer niet meer duidelijk is welke informatie de keuze nog daadwerkelijk kan veranderen.

    Wanneer weet je genoeg?

    Een besluit over een risico wordt vrijwel altijd genomen met onvolledige informatie. Je weet niet precies of het risico zich voordoet, hoe groot de uiteindelijke schade zal zijn of welk effect een maatregel precies heeft.

    Volledige zekerheid is daarom geen bruikbaar eindpunt.

    Een relevantere vraag is of voldoende bekend is om een verdedigbare keuze te maken.

    Als aanvullende informatie wezenlijk verschil kan maken, is verder onderzoek logisch. Dan moet wel duidelijk zijn welke vraag nog openstaat en wanneer daar opnieuw over wordt besloten.

    Maar wanneer steeds nieuwe informatie wordt verzameld zonder dat duidelijk is welk besluit daarvan afhankelijk is, verandert analyse langzaam in uitstel. Analyse voelt dan al snel aantrekkelijker dan een keuze waarbij tijd, geld of capaciteit moet worden ingezet terwijl onzekerheid blijft bestaan.

    Meer detail maakt kiezen niet vanzelf eenvoudiger

    De logische reactie is vaak om het risicobeheer verder te verfijnen. Meer scenario’s, uitgebreidere beoordelingen of vaker bespreken.

    Daarmee kan het overzicht nauwkeuriger worden, maar de feitelijke afweging hoeft nauwelijks te veranderen.

    Misschien verandert de beoordeling volgende maand. Misschien blijkt een maatregel toch goedkoper. Er is bijna altijd wel een reden om nog iets verder te onderzoeken.

    Zo groeit het dossier terwijl dezelfde keuze blijft liggen.

    Het probleem is dan niet langer een gebrek aan inzicht. Er ontbreekt een herkenbaar eindpunt aan de analyse.

    Structuur maakt ook besluituitstel zichtbaar

    Een bruikbaar risicoproces laat daarom niet alleen zien wat bekend is, maar ook waarom er nog geen besluit ligt.

    Welke informatie ontbreekt nog?
    Kan die informatie de keuze wezenlijk veranderen?
    Wanneer wordt daar opnieuw over besloten?

    Die vragen maken zichtbaar of een risico werkelijk wordt onderzocht of vooral blijft circuleren.

    Zodra voldoende bekend is om een verdedigbare keuze te maken, hoort het onderwerp niet automatisch opnieuw terug naar analyse. Dan ligt er een besluitvraag.

    Dat besluit kan betekenen dat een risico wordt verminderd, bewust wordt geaccepteerd of dat tijd en middelen voorlopig ergens anders nodig zijn. Geen van die keuzes neemt alle onzekerheid weg. Ze maken wel zichtbaar hoe de organisatie ermee omgaat en waarom.

    Daar zit het verschil tussen overzicht en sturing.

    Het ongemak achter een keurig overzicht

    Een uitgebreid en actueel risico-overzicht kan een teken zijn van volwassen risicobeheer. Maar het kan ook verhullen dat dezelfde beslissingen maand na maand worden doorgeschoven.

    Kijk daarom eens naar de risico’s die al langere tijd bovenaan staan.

    Welke nieuwe informatie heeft de afgelopen maanden daadwerkelijk tot een andere afweging geleid? Welke onderwerpen wachten aantoonbaar op iets dat nog onderzocht moet worden? En bij welke risico’s weten jullie eigenlijk al genoeg?

    Misschien ontbreekt daar geen inzicht meer.

    Misschien is het overzicht inmiddels vooral de plek geworden waar het besluit veilig kan blijven liggen.

    Verder lezen

  • Waarom risico’s zonder actie betekenisloos zijn

    Waarom risico’s zonder actie betekenisloos zijn

    Tijdens een periodiek overleg komt een bekend risico opnieuw ter sprake. Een belangrijke medewerker bezit kennis die nauwelijks is overgedragen. Iedereen begrijpt wat er kan gebeuren als die persoon onverwacht uitvalt. Het risico staat al maanden als hoog in het overzicht.

    Er staat ook een voorgenomen maatregel bij: kennis beter documenteren.

    Toch verandert er weinig. Er is geen tijd gereserveerd, niemand heeft bepaald welke kennis als eerste moet worden overgedragen en er is geen moment afgesproken waarop wordt beoordeeld of de afhankelijkheid werkelijk kleiner is geworden.

    Het risico is zichtbaar. De organisatie blijft er even kwetsbaar voor.

    Een maatregel is nog geen actie

    Zoals we in Waarom risico-overzichten rust geven, maar niets sturen beschreven, kan een actueel overzicht rust geven zonder richting te geven. Weten welke risico’s bestaan is noodzakelijk, maar verandert de werkelijkheid nog niet.

    Datzelfde geldt voor het benoemen van een maatregel.

    Formuleringen als ‘proces verbeteren’, ‘leverancier aanspreken’ of ‘medewerkers bewuster maken’ klinken logisch. Ze beschrijven niet wat er concreet moet gebeuren. Er ontbreekt een uitvoerbare stap, een beoogd resultaat of een moment waarop wordt beoordeeld of de aanpak heeft gewerkt.

    De maatregel blijft daardoor een intentie. Het overzicht is bijgewerkt, maar het risico is niet kleiner geworden.

    Waarom intenties blijven liggen

    Een risico aanpakken vraagt om tijd, aandacht en soms geld. Daardoor concurreert iedere maatregel met de dagelijkse praktijk.

    Algemene formuleringen zijn dan aantrekkelijk. Iedereen kan ermee instemmen, zonder dat duidelijk wordt welke capaciteit nodig is of welk ander werk minder prioriteit krijgt.

    Ook het aanwijzen van een verantwoordelijke is niet voldoende. Iemand kan een naam bij de actie krijgen zonder de tijd, bevoegdheid of middelen om haar uit te voeren. De naam in het overzicht verandert dan, maar de situatie niet.

    Een actie is pas uitvoerbaar wanneer degene die haar draagt ook daadwerkelijk kan handelen.

    Wanneer een actie betekenis krijgt

    Niet ieder risico hoeft te worden verminderd. Een organisatie kan een risico verminderen, vermijden, delen of bewust accepteren. Soms is eerst aanvullend onderzoek nodig voordat daarover verantwoord kan worden besloten.

    Bij kennisafhankelijkheid is ‘kennis documenteren’ bijvoorbeeld te algemeen. Een uitvoerbare actie maakt duidelijk welke kritieke werkzaamheden overdraagbaar moeten worden, wie dat organiseert en wanneer wordt beoordeeld of een collega ze zelfstandig kan uitvoeren.

    Later moet ook te begrijpen zijn waarom juist deze aanpak passend werd gevonden. Dat is belangrijk wanneer omstandigheden veranderen of het risico onvoldoende blijkt afgenomen.

    Afronden is niet hetzelfde als effect bereiken

    Acties worden vaak als afgerond beschouwd zodra de afgesproken activiteit is uitgevoerd. Het document is geschreven, het gesprek met de leverancier heeft plaatsgevonden of de training is gegeven.

    Dat zegt nog niet dat het risico is veranderd.

    Een kennisdocument kan bestaan zonder dat iemand ermee kan werken. Een leverancier kan zijn aangesproken zonder dat afspraken zijn verbeterd. Medewerkers kunnen een training hebben gevolgd zonder dat hun handelen verandert.

    Daarom hoort bij een betekenisvolle actie ook een terugblik. Niet om uitgebreide rapportages te maken, maar om één vraag te beantwoorden: heeft deze actie het risico daadwerkelijk beïnvloed?

    Zonder die vraag lijkt de actie afgerond, terwijl de kwetsbaarheid mogelijk onveranderd is.

    Structuur verbindt risico en resultaat

    Goede structuur maakt de samenhang zichtbaar tussen het risico, de gekozen aanpak, de uitvoering en het bereikte effect. Daarvoor moet duidelijk blijven:

    • wat de organisatie wil bereiken;
    • wie de actie kan uitvoeren;
    • wanneer wordt beoordeeld of het risico is veranderd;
    • waarom de gekozen aanpak passend is.

    Dat hoeft geen zwaar proces te worden. Een korte en consistente vastlegging is vaak voldoende. Een centraal hulpmiddel kan helpen om die lijn vast te houden, maar neemt de afweging niet over.

    Van signaleren naar sturen

    Een risico wordt pas stuurinformatie wanneer het invloed heeft op wat een organisatie doet of bewust accepteert.

    De relevante vraag is daarom niet alleen welke risico’s bekend zijn. Belangrijker is welke besluiten, acties en resultaten uit dat inzicht zijn voortgekomen.

    Wanneer daarop geen helder antwoord bestaat, ontbreekt waarschijnlijk niet nog een analyse. Dan ontbreekt de verbinding tussen signaleren en handelen.

    Zolang die verbinding ontbreekt, blijft het risico een beschrijving van wat ooit mis kan gaan. Pas wanneer inzicht zichtbaar doorwerkt in keuzes en resultaten, helpt risicobeheer om werkelijk richting te geven.

    Verder lezen

  • Het verschil tussen weten en kiezen

    Het verschil tussen weten en kiezen

    Tijdens het maandelijkse overleg komt het risico-overzicht op tafel. De belangrijkste risico’s zijn bekend, de beoordelingen zijn actueel en bij ieder onderwerp staat een korte toelichting.

    Eén risico valt op. Een cruciale leverancier heeft al meerdere storingen gehad en er is geen realistisch alternatief beschikbaar. Iedereen begrijpt dat dit aandacht vraagt.

    Toch eindigt het gesprek zonder besluit. Eerst moet worden uitgezocht wat overstappen kost. Iemand wil de volgende storing afwachten. Een ander wijst erop dat de leverancier tot nu toe steeds snel heeft hersteld. Het risico blijft staan en schuift door naar het volgende overleg.

    De organisatie weet wat er kan gebeuren. Zij heeft alleen nog niet gekozen wat dat weten betekent.

    Waarom weten veilig voelt

    Risico’s benoemen geeft houvast. Een onduidelijke zorg wordt een herkenbaar onderwerp. Er komt een omschrijving, een beoordeling en misschien iemand die de opvolging bewaakt.

    Een gedeeld overzicht voorkomt dat risico’s alleen in hoofden leven. Maar kennis dwingt nog geen keuze af.

    Zolang een risico alleen wordt beschreven, hoeft niemand te bepalen welke investering voorrang krijgt, hoeveel onzekerheid acceptabel is of welk ander werk moet wachten.

    Weten maakt het probleem zichtbaar. Kiezen maakt de gevolgen concreet.

    Zoals we in Waarom risico-overzichten rust geven, maar niets sturen beschreven, kan een actueel overzicht rust geven. Die rust betekent alleen nog niet dat er ook richting is gekozen.

    Waarom organisaties blijven analyseren

    Wanneer een keuze lastig is, ontstaat al snel behoefte aan meer informatie. De beoordeling wordt opnieuw bekeken. De impact wordt preciezer omschreven. Er wordt een extra scenario toegevoegd of iemand anders wordt gevraagd nog eens naar de afweging te kijken.

    Meer inzicht kan nodig zijn. Maar analyse kan ook een veilige tussenstap worden waarmee het besluit wordt uitgesteld. Niet omdat mensen verantwoordelijkheid vermijden, maar omdat iedere keuze gevolgen heeft.

    Een risico verminderen vraagt tijd, geld of capaciteit. Een risico accepteren betekent bewust besluiten dat aanvullende actie op dat moment niet opweegt tegen de kosten of andere gevolgen. Prioriteit geven aan het ene risico betekent bovendien dat een ander onderwerp minder aandacht krijgt.

    Meer informatie maakt die afweging niet vanzelf eenvoudiger.

    Waarom een strakker proces niet vanzelf helpt

    Een veelvoorkomende reactie is om het risicoproces strakker te maken. Meer vaste velden, scherpere beoordelingen of frequentere evaluaties moeten zorgen voor betere sturing.

    Dat helpt bij consistentie, maar niet automatisch bij besluitvorming. De kwalificatie ‘hoog’ leidt niet vanzelf tot actie, zeker niet wanneer degene die het risico bijhoudt geen mandaat heeft om budget vrij te maken, werkzaamheden te herprioriteren of het risico te accepteren.

    Ook een maatregel toevoegen is nog geen keuze wanneer onduidelijk blijft wanneer deze wordt uitgevoerd, welke middelen beschikbaar zijn en welk resultaat wordt verwacht.

    De registratie wordt dan uitgebreider, terwijl er voor prioriteiten en uitvoering niets verandert.

    Structuur maakt de keuze zichtbaar

    Structuur helpt pas echt wanneer zij niet alleen vastlegt wat bekend is, maar ook zichtbaar maakt waar een besluit nodig is. Dat vraagt om een herkenbaar onderscheid tussen signaleren, beoordelen en kiezen.

    Bij ieder belangrijk risico moet duidelijk zijn welke afweging is gemaakt. Wordt het risico aangepakt of bewust geaccepteerd? Ontbreekt nog specifieke informatie die nodig is om te kunnen kiezen? Wie mag het besluit nemen? Wat wordt in de tussentijd aanvaard? En wanneer wordt de afweging opnieuw bekeken?

    Die vastlegging hoeft niet uitgebreid te zijn. Het gaat niet om een volledig verslag van iedere discussie, maar om voldoende context om later te begrijpen waarom de organisatie deze richting koos.

    Daarmee verandert een risico-overzicht van een verzameling zorgen in een geheugen van afwegingen. Een centrale vastlegging kan helpen om die samenhang te behouden, maar kan het besluit zelf niet overnemen.

    Weten is nog geen besluit

    Een organisatie kan haar risico’s goed kennen en toch weinig sturen. Het verschil zit niet in de kwaliteit van het overzicht, maar in wat er daarna gebeurt.

    De relevante vraag is niet alleen welke risico’s in beeld zijn, maar wat er daardoor aantoonbaar anders gebeurt.

    Wanneer dezelfde risico’s ieder overleg terugkeren zonder een herkenbare keuze, ontbreekt waarschijnlijk geen informatie. Dan ontbreekt het moment waarop iemand bepaalt wat de organisatie bereid is te doen, uit te stellen of te accepteren.

    Pas daar krijgt weten betekenis. Niet omdat onzekerheid verdwijnt, maar omdat duidelijk wordt hoe de organisatie ermee wil omgaan.

    Verder lezen

  • Wanneer uitleg pas nodig blijkt als het al spannend wordt

    Een klant stelt een ogenschijnlijk eenvoudige vraag.

    Waarom is deze leverancier vorig jaar geaccepteerd, terwijl er nog een openstaand aandachtspunt rond beveiliging was?

    Niemand schrikt direct. Er was destijds vast een goede reden. De leverancier was belangrijk voor de operatie. Het risico leek beheersbaar. Er waren afspraken gemaakt over opvolging. Misschien is het besproken in een overleg, misschien staat er iets in een actielijst, misschien weet iemand nog hoe het zat.

    Maar de vraag komt niet op een rustig moment. De klant wacht op antwoord. Er is weinig tijd. En wat eerder een interne afweging was, moet ineens helder worden uitgelegd aan iemand die de voorgeschiedenis niet kent.

    Dan blijkt of uitleg al aanwezig was, of dat zij nog moet worden gereconstrueerd.

    Wanneer druk zichtbaar maakt wat ontbreekt

    In veel organisaties worden beslissingen genomen op basis van korte lijnen, ervaring en onderling vertrouwen. Dat werkt vaak goed. De juiste mensen zitten aan tafel, de situatie is bekend en de afweging voelt logisch.

    Juist daardoor lijkt uitgebreide vastlegging overbodig. Op dat moment weet men waarom iets is besloten. Het is duidelijk waarom een risico tijdelijk is geaccepteerd en welke maatregel later nog zou volgen.

    Alleen blijft die voorgeschiedenis niet vanzelf beschikbaar.

    Mensen krijgen andere verantwoordelijkheden. Prioriteiten verschuiven. Nieuwe collega’s sluiten aan. Een klant, adviseur of volgende betrokkene kijkt later mee zonder de eerdere afwegingen te kennen. Wat op het moment zelf logisch was, is dan teruggebracht tot een status in een overzicht: geaccepteerd, afgerond, laag risico, geen aanvullende actie nodig.

    Die woorden lijken duidelijk, maar zonder afweging dragen ze weinig betekenis. Ze laten zien wat de uitkomst was, niet waarom die uitkomst op dat moment verdedigbaar was.

    Onder druk wordt dat verschil zichtbaar.

    Waarom achteraf uitleggen vaak defensief wordt

    Wanneer uitleg pas nodig blijkt als het spannend wordt, verandert de toon van het gesprek. De vraag is dan niet meer alleen: wat hebben we besloten? De vraag wordt: kunnen we dit nog goed uitleggen?

    Dat maakt uitleg kwetsbaar. Mensen gaan zoeken in oude notulen, e-mails en spreadsheets. Er worden herinneringen opgehaald. Iemand probeert te reconstrueren welke overwegingen destijds meespeelden. Vaak lukt dat uiteindelijk wel, maar het voelt minder stevig dan wanneer de uitleg al beschikbaar was geweest.

    Achteraf uitleggen krijgt daardoor snel iets defensiefs. Niet omdat de keuze verkeerd was, maar omdat de onderbouwing niet meer vanzelf spreekt. De organisatie moet aannemelijk maken dat er goed is nagedacht, terwijl dat denkwerk destijds misschien wel degelijk heeft plaatsgevonden.

    Het gaat dan niet alleen om terugvinden wat er is gezegd, maar om kunnen laten zien dat keuzes bewust zijn gemaakt en opgevolgd.

    Het probleem is dan niet dat er geen besluit was. Het probleem is dat het besluit zijn betekenis is kwijtgeraakt.

    Waarom gangbare oplossingen tekortschieten

    De eerste reactie is vaak om meer vast te leggen. Meer velden in het overzicht. Meer toelichting in notulen. Meer documenten waarin afspraken worden samengevat.

    Dat kan helpen, maar alleen als duidelijk is wat vastlegging moet doen. Meer informatie leidt niet automatisch tot meer uitlegbaarheid. Soms ontstaat juist het tegenovergestelde: er is meer te vinden, maar minder snel te begrijpen.

    Een risico staat in een spreadsheet. De maatregel staat in een actielijst. De afspraak met de leverancier staat in een e-mail. De reden voor acceptatie zat in een overleg. Alles bestaat ergens, maar nergens ontstaat vanzelf het volledige verhaal.

    Ook strakkere afspraken over bijhouden lossen dit niet volledig op. Het probleem zit zelden alleen in discipline. Het zit in het ontbreken van een gedeeld geheugen. Zolang keuzes, afwegingen en verantwoordelijkheden los van elkaar worden vastgelegd, blijft uitleg afhankelijk van degene die het nog weet.

    Structuur als geheugen

    Uitlegbaarheid vraagt geen zware processen. Het vraagt vooral om het besef dat sommige keuzes later nog begrijpelijk moeten zijn.

    Dat begint op het moment dat een besluit wordt genomen. Waarom accepteren we dit risico? Welke afspraak maakt deze keuze verdedigbaar? Wie bewaakt dat de situatie opnieuw wordt bekeken? Welke afspraak maakt duidelijk wanneer we hier opnieuw naar kijken?

    Dit zijn niet alleen auditvragen. Het zijn geheugenankers. Ze zorgen ervoor dat een organisatie later niet afhankelijk is van losse herinneringen of informele samenhang.

    Structuur betekent hier niet dat alles uitgebreid moet worden beschreven. Het betekent dat de betekenis van belangrijke keuzes zichtbaar blijft. Vooral tijdelijke uitzonderingen, geaccepteerde risico’s en uitgestelde acties verdienen dat. Juist die onderwerpen worden spannend wanneer iemand later vraagt waarom ze logisch waren.

    Wanneer die samenhang wordt vastgehouden, verandert de dynamiek. Een vraag van een klant, adviseur of collega voelt dan minder als verstoring. Niet omdat alles perfect is, maar omdat het verhaal nog beschikbaar is.

    Tooling als gevolg, niet als oplossing

    Wanneer uitleg vaker onder druk moet worden gegeven, wordt duidelijk dat losse documenten, e-mails en spreadsheets onvoldoende houvast geven. Niet omdat ze waardeloos zijn, maar omdat ze te veel voorgeschiedenis veronderstellen.

    Dan ontstaat vanzelf behoefte aan een centrale manier van werken waarin risico’s, besluiten, maatregelen en verantwoordelijkheden met elkaar verbonden blijven. Het vervangt het denkwerk niet, maar ondersteunt wat inhoudelijk al helder moet zijn.

    Zonder structuur wordt elk hulpmiddel een archief. Met structuur wordt het een geheugen.

    Reflectie

    Uitlegbaarheid lijkt vaak pas belangrijk wanneer het spannend wordt. Wanneer een klant doorvraagt, een evaluatie nadert of een incident iets blootlegt. Maar op dat moment is het eigenlijk te laat om uitleg nog rustig te laten ontstaan.

    De vraag is daarom niet of elke keuze uitgebreid moet worden gedocumenteerd. De vraag is welke keuzes je later nog zonder twijfel wilt kunnen begrijpen.

    Als uitleg vooral afhankelijk is van herinneringen, losse context en mensen die nog weten hoe het zat, dan is dat geen administratief detail. Het is een signaal dat belangrijke betekenis te weinig wordt vastgehouden.

    En juist dat inzicht helpt om rustiger naar de eigen situatie te kijken. Niet alles hoeft zwaarder. Maar sommige keuzes verdienen genoeg geheugen om later nog rustig uitgelegd te kunnen worden.

    Verder lezen

    Deze blog bouwt voort op Uitlegbaarheid ontstaat niet achteraf.

    Lees ook Waarom achteraf verklaren altijd tijdrovend is over het verschil tussen uitleggen en reconstrueren.

    In Wat er gebeurt als beslissingen niet worden vastgehouden lees je wat verloren gaat wanneer alleen de uitkomst overblijft, maar niet de afweging erachter.

  • Wat er gebeurt als beslissingen niet worden vastgehouden

    Wat er gebeurt als beslissingen niet worden vastgehouden

    Een klant vraagt waarom een bepaald risico vorig jaar als acceptabel is beoordeeld. De keuze was destijds logisch. Iedereen die erbij zat, begreep de afweging. Alleen staat die afweging nergens meer helder terug. In het overzicht staat alleen dat het risico is geaccepteerd.

    Op dat moment ontstaat vaak ongemak.

    Niet omdat de keuze verkeerd was. Vaak was er juist een goede reden. De betrokkenen kenden de situatie, begrepen de context en handelden naar beste inzicht. Alleen is die afweging niet goed vastgehouden.

    Wat overblijft, is de uitkomst. Niet het besluit.

    En precies daar begint het probleem.

    Beslissingen verliezen snel hun context

    Veel beslissingen worden genomen in de flow van het werk. Tijdens een overleg, in een kort gesprek, na een incident of naar aanleiding van een klantvraag. Dat is logisch. Mensen combineren rollen, schakelen snel en willen voorkomen dat elk besluit onnodig formeel wordt.

    Op het moment zelf voelt de keuze helder. Iedereen weet waarom dit de beste route is. Er is ervaring, context en onderling begrip. Vastleggen voelt dan al snel als extra werk.

    Maar beslissingen zijn kwetsbaar zodra ze losraken van het moment waarop ze zijn genomen. Na een paar maanden is vaak nog wel bekend dát iets is besloten, maar niet meer precies waarom. De aanleiding vervaagt. De nuance verdwijnt. De afweging wordt vervangen door een herinnering.

    Dan ontstaan zinnen als: “Volgens mij hebben we dat toen zo afgesproken.” Of: “Dat was destijds logisch, maar ik weet niet meer precies op basis waarvan.”

    Voor dagelijkse samenwerking lijkt dat misschien onschuldig. Voor compliance, risico’s en governance is het dat niet.

    Waarom dit probleem ontstaat

    Het probleem zit meestal niet in onzorgvuldigheid. Het ontstaat juist in organisaties waar veel op ervaring gebeurt. Waar korte lijnen zijn. Waar vertrouwen groot is. Waar mensen ongeveer weten hoe het werkt.

    Die manier van werken heeft voordelen. Ze houdt tempo in het werk en voorkomt onnodige bureaucratie. Niet elk risico vraagt om een zwaar besluitvormingsproces. Niet elke afwijking hoeft uitgebreid te worden beschreven.

    Maar deze manier van werken heeft ook een grens.

    Zodra beslissingen later moeten worden uitgelegd, is ervaring alleen niet genoeg. Dan moet zichtbaar zijn welke informatie beschikbaar was, welke afweging is gemaakt en waarom een keuze op dat moment verdedigbaar was.

    Wanneer dat ontbreekt, ontstaat reconstructiewerk. Mensen zoeken in oude mails, notulen, actielijsten en risico-overzichten. Niet om een besluit opnieuw te nemen, maar om achteraf te begrijpen wat eigenlijk al besloten was.

    Dat kost tijd. En het vergroot de kans dat de uitleg anders klinkt dan de oorspronkelijke afweging.

    Waarom gangbare oplossingen tekortschieten

    De eerste reactie is vaak: beter documenteren. Meer notulen, uitgebreidere actielijsten, extra toelichting in bestanden. Dat lijkt zorgvuldig, maar lost het kernprobleem niet altijd op.

    Veel documentatie legt vast wat er is gebeurd. Niet waarom het zo is gebeurd.

    Een actielijst kan laten zien dat een maatregel is opgepakt. Een verslag kan vermelden dat een risico is geaccepteerd. Een overzicht kan aangeven dat een uitzondering geldt. Maar daarmee is nog niet duidelijk welke afweging daarachter zat.

    Een andere oplossing is om beslissingen vaker te bespreken. Ook dat helpt tijdelijk. Zolang de betrokkenen aanwezig zijn en de situatie vers in het geheugen ligt, blijft de betekenis overeind. Maar zodra de aandacht verschuift, begint hetzelfde probleem opnieuw.

    Meer overleg en meer documentatie zorgen dus niet automatisch voor meer uitlegbaarheid. Daarvoor is iets anders nodig: structuur in hoe besluiten worden vastgehouden.

    Structuur als geheugen van besluitvorming

    Structuur betekent niet dat elke keuze zwaar moet worden gemaakt. Het betekent ook niet dat ieder besluit langs een aparte controlelaag hoeft.

    Structuur betekent dat bij belangrijke beslissingen de kern zichtbaar blijft. Wat was de aanleiding? Welke afweging is gemaakt? Wie was eigenaar van de keuze? En waarom was dit op dat moment passend?

    Dat hoeft niet uitgebreid. Vaak is een korte, consequente vastlegging genoeg. Het gaat niet om volledigheid, maar om herleidbaarheid.

    Daarmee verandert vastleggen van administratie naar geheugen. De organisatie hoeft later niet opnieuw te bedenken waarom iets is gebeurd. De uitleg is al aanwezig, omdat de beslissing op het juiste moment is vastgehouden.

    Dat maakt het verschil tussen achteraf verklaren en op tijd begrijpen.

    Uitlegbaarheid ontstaat op het moment van kiezen

    Uitlegbaarheid wordt vaak pas belangrijk gevonden wanneer iemand erom vraagt. Bij een audit, een klantvraag, een incident of een managementreview. Maar op dat moment ben je afhankelijk van wat eerder is vastgelegd.

    Als de beslissing toen niet is vastgehouden, moet de uitleg achteraf worden opgebouwd. Dat voelt al snel defensief. Alsof je moet bewijzen dat de keuze logisch was, terwijl het probleem eigenlijk is dat de logica niet bewaard is gebleven.

    Wanneer beslissingen wel op het juiste moment worden vastgelegd, verandert dat gesprek. Dan hoeft de organisatie niet te zoeken naar een verhaal. Ze kan laten zien hoe er is gedacht.

    Niet om foutloosheid te claimen. Wel om betrouwbaarheid te tonen.

    Tooling als logisch gevolg

    Wanneer beslissingen steeds vaker moeten worden teruggezocht of opnieuw uitgelegd, ontstaat vanzelf behoefte aan ondersteuning. Niet als oplossing voor het denkwerk, maar als manier om afspraken, acties en afwegingen bij elkaar te houden.

    Een hulpmiddel kan helpen om beslissingen, risico’s en verantwoordelijkheden op een vaste manier te verbinden. Maar alleen als eerst duidelijk is wat belangrijk is om vast te houden.

    Zonder denkkader wordt een systeem een archief. Met structuur wordt het een plek waar betekenis behouden blijft.

    Tot slot

    Beslissingen verdwijnen niet omdat mensen slordig zijn. Ze verdwijnen omdat organisaties vaak vertrouwen op context die tijdelijk is. Op mensen die erbij waren. Op herinneringen die vervagen. Op aannames die ooit gedeeld waren, maar later niet meer vanzelfsprekend zijn.

    Wie merkt dat beslissingen regelmatig opnieuw moeten worden uitgelegd, kijkt niet naar een administratief probleem. Het is een signaal dat de organisatie meer afhankelijk is van geheugen dan van structuur.

    De vraag is dan niet of alles uitgebreider moet worden vastgelegd. De vraag is welke beslissingen belangrijk genoeg zijn om later nog te kunnen begrijpen.

    Want grip ontstaat niet wanneer je achteraf een verklaring kunt maken. Grip ontstaat wanneer je keuzes zo vasthoudt dat uitleg later vanzelf logisch blijft.

    Verder lezen

    Deze blogs sluiten inhoudelijk aan op dezelfde spanning tussen structuur, timing en uitlegbaarheid: