In een eerder artikel gebruikte ik een voorbeeld uit de auto-industrie om stil te staan bij toezicht, gedragsbeïnvloeding en de onbedoelde gevolgen van goedbedoelde maatregelen. Daarbij introduceerde ik de term ASEW: Advanced Side Effect Warning. Het idee ontstond naar aanleiding van systemen die de alertheid van bestuurders monitoren. Technisch indrukwekkend, ontwikkeld vanuit een duidelijke veiligheidsdoelstelling en waarschijnlijk in veel situaties nuttig.
Tegelijkertijd riep het bij mij wel wat vragen op.Wat kost zo’n maatregel eigenlijk? Welke nieuwe afhankelijkheden ontstaan er? En welke problemen introduceert een oplossing die bedoeld is om een bestaand probleem te verminderen?
Dat zijn vragen die niet alleen relevant zijn voor auto’s.
In compliance, risk, privacy en governance zien we dagelijks hetzelfde patroon. Er wordt een risico geconstateerd, gevolgd door een analyse en vervolgens een maatregel. Een nieuwe controle, een aanvullende processtap, nieuwe monitoring, een technische voorziening of een verplicht formulier. Vaak zorgvuldig onderbouwd en vanuit goede bedoelingen. Toch besteden we opvallend weinig aandacht aan een andere vraag: wat zijn de neveneffecten van de voorgestelde oplossing?
Natuurlijk willen we met iedere maatregel iets oplossen. Anders zouden we hem niet invoeren. Maar vrijwel iedere maatregel veroorzaakt ook iets. Een extra controle kost tijd. Een nieuwe procedure maakt een proces langer. Extra monitoring vraagt om meer gegevens. Een aanvullende verplichting leidt vrijwel altijd tot extra beheer, rapportages en toezicht. Dat hoeft geen reden te zijn om een maatregel achterwege te laten. Het betekent wel dat de beoordeling van een maatregel breder zou moeten zijn dan de vraag of deze daadwerkelijk risico’s vermindert. Want een gedachte die in ons vakgebied soms onderbelicht blijft, is deze: een maatregel die een risico vermindert, is niet automatisch een goede maatregel.
In de praktijk worden kosten en neveneffecten vaak pas zichtbaar nadat een maatregel al is ingevoerd. Tegen die tijd is er geïnvesteerd in systemen, processen en governance. Teruggaan wordt lastig, ook wanneer de opbrengst tegenvalt. Juist daarom is een goede afweging vooraf belangrijk.
Vrijwel iedere organisatie voert risicoanalyses uit. Dat is terecht. Een risicoanalyse richt zich vooral op de ongewenste situatie die we willen voorkomen. Een ASEW richt zich op iets anders. Niet op het risico zelf, maar op de voorgestelde oplossing. Niet vanuit wantrouwen, maar vanuit een eenvoudige constatering: een maatregel die een risico vermindert, is niet automatisch een goede maatregel.
Een voorstel verdient daarom een bredere afweging:
Vooral dat laatste wordt in mijn ogen vaak onderschat. Zeker wanneer verschillende disciplines vanuit hun eigen perspectief naar een vraagstuk kijken. Waar compliance een beheersingsvraagstuk ziet, ziet operations extra werk. Waar privacy een beschermingsmaatregel voorstelt, ziet de business een verslechterde klantreis. Waar IT een technische oplossing realiseert, ontstaat mogelijk een nieuwe afhankelijkheid van systemen of leveranciers.
Geen van die perspectieven is onjuist. Afzonderlijk geven ze alleen zelden het volledige beeld.
De zeven vragen achter een ASEW
Het uitgangspunt van een ASEW is bewust eenvoudig gehouden. Voordat een maatregel wordt ingevoerd, zouden zeven vragen moeten worden beantwoord.
De kracht zit niet in de vragen zelf. Die zijn grotendeels gebaseerd op gezond verstand. De kracht zit erin dat deze vragen expliciet worden gesteld vóórdat een maatregel wordt voorgesteld. Daarmee verschuift de aandacht van het bedenken van maatregelen naar het maken van een afgewogen keuze.
Dat is een terechte vraag. De oplossing is echter niet om de vragen achterwege te laten, maar om de toepassing proportioneel te houden: niet iedere wijziging vereist een uitgebreide analyse. Een beperkte procesaanpassing vraagt een andere aanpak dan een maatregel die duizenden klanten raakt of een grote organisatorische impact heeft. Juist daar ligt een belangrijke verantwoordelijkheid voor professionals in compliance, risk en privacy.
Een ASEW moet daarom geen nieuw formulier worden dat automatisch wordt toegevoegd aan de bestaande stapel documenten. Het moet vooral een denkraam voor de compliance, risk en privacy professional zijn. Compact waar het kan, verdiepend waar het moet.
Misschien is de belangrijkste bijdrage van een ASEW wel dat het een ongemakkelijke vraag stelt die in verandertrajecten niet altijd populair is: is deze maatregel het echt waard? Niet omdat risico’s onbelangrijk zijn of omdat regelgeving genegeerd moet worden, maar omdat maatregelen zelf ook risico’s, kosten en ongewenste effecten kennen.
In een omgeving waarin organisaties voortdurend nieuwe verplichtingen, verwachtingen en beheersmaatregelen moeten verwerken, wordt die afweging steeds relevanter. Juist professionals in compliance, risk en privacy zouden daarom niet alleen moeten kijken naar de effectiviteit van een maatregel, maar ook naar proportionaliteit, uitvoerbaarheid en samenhang. De afweging moet bovendien inzichtelijk zijn voor management en toezichthouders.
Veel organisaties hebben geen tekort aan maatregelen. Wat vaak ontbreekt, is een expliciete afweging van de effecten, de bijwerkingen van die maatregelen. De gedachte achter een ASEW is uiteindelijk eenvoudig. Voordat we een nieuwe maatregel invoeren, staan we kort stil bij de vraag wat die maatregel oplost, wat hij kost en welke nieuwe effecten hij veroorzaakt. Niet om verandering te vertragen, maar om te voorkomen dat de oplossing ongemerkt het volgende probleem wordt.
Toch blijft er nog een andere vraag over. Wat gebeurt er wanneer organisaties die afweging jarenlang niet maken? Wanneer maatregelen zich blijven opstapelen, terwijl bestaande maatregelen zelden nog fundamenteel worden heroverwogen?
Dan verschuift het vraagstuk van individuele maatregelen naar het geheel van beheersing.
En precies daar ontstaat een nieuw risico. Niet het risico waarvoor de maatregel ooit werd bedacht, maar het risico dat het systeem van maatregelen zelf steeds complexer, zwaarder en moeilijker bestuurbaar wordt.
Wanneer dat punt wordt bereikt, ontstaat een ongemakkelijke maar belangrijke vraag:
Wanneer wordt beheersing zelf een risico? Die vraag staat centraal in het volgende deel van de reeks.
