Waarom onze compliance-map ons bezig hield, maar niets oploste

Om 09:12 uur vroeg een klant: “Kun je laten zien wie deze maatregel de afgelopen drie maanden heeft gecontroleerd?”

We hadden een keurige documentstructuur, ons beleid was op orde, onze checklists bijgewerkt. En toch bleef het stil. De map hield ons bezig, maar leverde geen antwoord.

Het comfortabele gevoel van een volle map

Een volle map voelt veilig: je kunt laten zien dát er beleid is. Alleen: een map is statisch. Hij verandert niets aan de praktijk. In Continu verbeteren: Zo helpt CompliTrack jouw bedrijf vooruit schreven we al dat aantoonbare verbetering pas ontstaat als je opvolging organiseert, niet alleen documenteert.

3 signalen dat je vooral schijncontrole hebt

• Versies zwerven rond
  Iemand vraagt: “Welke versie is leidend?” en je weet het niet zeker.
• Acties verdwijnen uit het zicht
  Notulen en mails staan vol “actiepunten”, maar er is geen systeem dat bewaakt of het ook gebeurt.
• Aantoonbaarheid kost tijd
  Een auditor of klant wil bewijs van uitvoering, niet van intentie. Je hebt documenten, maar geen sporen van wie-wat-wanneer. Zie ook Zorgeloos auditen: Hoe een GRC-tool je interne audits eenvoudiger maakt.

Waarom verzamelen iets anders is dan beheersen

Compliance gaat niet om “hebben”, maar om doen: risico’s, prioriteiten, incidenten opvolgen, taken uitvoeren, leren van bevindingen. In Van risicoanalyse naar actie laten we zien dat echte controle ontstaat wanneer uitkomsten van je risicoanalyse automatisch doorstromen naar concrete acties met eigenaars en deadlines.

Van map naar proces: zo krijg je échte grip

1. Maak risico’s leidend

Vertaal elk top-risico naar 1-3 maatregelen met een eigenaar en een termijn. Koppel deze aan terugkerende taken. (Van risicoanalyse naar actie).

2. Registreer incidenten én sluit ze af

Leg vast wat er misging, benoem de oorzaak en borg de maatregel. Anders herhaalt het zich. Dit voorkomt “rapporteren zonder verbeteren”.

3. Automatiseer het ritme

Zet terugwerkende controles, reviews en interne audits in een vast schema. PDCA werkt pas als “Check” en “Act” niet worden vergeten.

4. Stop met Excel als eindstation

Excel is handig om te analyseren, niet om te bewaken. Wil je ketenrisico’s of leveranciersdossiers structureel volgen, dan heb je relaties, taken en geschiedenis nodig.

Een korte reality-check

Een collega dacht “klaar” te zijn na het uploaden van een procedure voor offboarding. Tot we vroegen: “Wie checkt binnen 24 uur het intrekken van toegang bij vertrek?”

• “Dat staat in het document.”
• “Prima, maar waar zien we dat het gebeurde op 12 mei, 7 juni en 1 juli?”

Bewijs komt niet uit beleid, maar uit het proceslog: wie deed wat, wanneer en met welk resultaat?

Conclusie

Een map geeft rust, maar geen grip. Echte controle zit in je opvolging: risico’s die doorlopen naar acties, incidenten die leiden tot verbeteringen en audits die niet eindigen bij een rapport, maar starten bij veranderingen. Met dat ritme ben je aantoonbaar, zonder te verdrinken in documenten.

Donderdag delen we hoe je dit praktisch opzet – zónder Excel-ellende of ISO-fetisj: welke minimale structuur zorgt voor maximale grip, en hoe je voorkomt dat je terugvalt in “map-denken”.

Verder lezen

• Van risicoanalyse naar actie – Van analyses naar echte beheersing.
• Zorgeloos auditen –  altijd aantoonbaar zonder paniek.
• Continu verbeteren – PDCA in de praktijk.
• Leveranciers beoordelen zonder Excel – waarom Excel tekortschiet bij ketenrisico’s.