In de artikelen Compliance in de auto en ASEW stond een eenvoudige vraag centraal: wat gebeurt er wanneer een maatregel die bedoeld is om een risico te verkleinen, zelf nieuwe risico’s veroorzaakt?
Die vraag speelt niet alleen bij nieuwe wet- en regelgeving. Ook binnen organisaties komen we haar dagelijks tegen. Er wordt een risico vastgesteld, gevolgd door een analyse en vervolgens een maatregel. Een aanvullende controle, een extra beoordeling, nieuwe monitoring, een aangepaste procedure of een extra rapportage.
Afzonderlijk zijn die maatregelen meestal goed te verdedigen. Er is een incident geweest, een auditbevinding, een vraag van een toezichthouder of een terecht signaal uit de organisatie. Toch ontstaat na verloop van tijd een ander vraagstuk. Niet de vraag of een individuele maatregel logisch is, maar of het geheel van maatregelen nog steeds logisch is.
Veel organisaties kennen het verschijnsel. Nieuwe maatregelen worden toegevoegd, terwijl bestaande maatregelen zelden verdwijnen. Het resultaat is meestal geen grote verandering ineens, maar een geleidelijk proces van stapeling. Iedere maatregel heeft een eigen geschiedenis, eigenaar en rechtvaardiging. Het totaal wordt daardoor steeds minder vaak als geheel bekeken. En die gevolgen worden pas later zichtbaar.
De opbrengst van maatregelen neemt niet onbeperkt toe. De eerste maatregel levert vaak veel effect op. Ook de volgende maatregel kan nog aanzienlijke risicoreductie opleveren. Na verloop van tijd wordt de extra risicoreductie kleiner, terwijl de belasting blijft toenemen. Die belasting bestaat bovendien uit meer dan implementatiekosten of een investering in technologie. Maatregelen vragen tijd van medewerkers, aandacht van management, opleidingen, rapportages, monitoring en periodieke beoordelingen.
Een uur extra werk hier en een aanvullende review daar lijken beperkt. Gezamenlijk kunnen zij honderden of zelfs duizenden uren per jaar vertegenwoordigen. Daar komen de kosten van systemen, beheer, opleiding, externe ondersteuning en verantwoording nog bij. Opvallend genoeg worden deze kosten zelden integraal zichtbaar gemaakt. Het risico wordt geanalyseerd, de maatregel wordt beschreven en de implementatie wordt begroot. Veel minder aandacht gaat uit naar de structurele belasting die ontstaat nadat een maatregel in werking is getreden.
Juist die belasting bepaalt op termijn hoe werkbaar een organisatie blijft.
Daar komt bij dat beheersing steeds vaker over verschillende disciplines is verdeeld. Compliance kijkt naar compliance-risico’s. Privacy kijkt naar gegevensbescherming. Security kijkt naar informatiebeveiliging. Risk kijkt naar risicobeheersing en internal audit naar de werking van het geheel. Dat is logisch. De vraagstukken zijn complex en vragen om specialistische kennis.
Tegelijkertijd ontstaat hierdoor het risico dat iedere discipline vanuit haar eigen verantwoordelijkheid aanvullende maatregelen ontwikkelt. Vaak zijn die afzonderlijk goed te verdedigen. Gezamenlijk kunnen zij echter leiden tot een omgeving waarin verschillende functies naar hetzelfde proces kijken, verschillende rapportages ontvangen en verschillende verwachtingen hebben. Niemand handelt onredelijk, maar het totaal wordt steeds moeilijker te overzien.
Daarmee ontstaat een verschijnsel dat veel organisaties zullen herkennen: het too many chiefs-effect. Niet omdat er te veel deskundigheid aanwezig is, maar omdat de samenhang tussen de verschillende vormen van toezicht en beheersing onvoldoende aandacht krijgt.
Hetzelfde zien we terug bij toezichthouders, auditors en adviseurs. De ene partij benadrukt het belang van vastlegging, terwijl een andere juist wijst op proportionaliteit. Privacy vraagt om gegevensminimalisatie, terwijl Operations meer gegevens nodig heeft om processen te kunnen monitoren. Security wil aanvullende authenticatie, terwijl klantbelang vraagt om eenvoud en toegankelijkheid.
Geen van die inzichten is onjuist. De uitdaging ontstaat wanneer al deze perspectieven onafhankelijk van elkaar worden vertaald naar nieuwe maatregelen. Dan ontstaat gemakkelijk een situatie waarin iedere maatregel afzonderlijk logisch is, terwijl het geheel steeds moeilijker uitvoerbaar wordt.
Oorspronkelijk was er een risico dat moest worden verminderd. Vervolgens komt er een maatregel. Daarna monitoring van de maatregel. Vervolgens controle op de monitoring en rapportage over de controle. Uiteindelijk gaat een aanzienlijk deel van de aandacht uit naar de werking van het beheersingssysteem zelf.
Daarmee verdwijnt het oorspronkelijke probleem gemakkelijk naar de achtergrond.
Wie regelmatig incidentevaluaties leest, ziet dat verschijnsel terug. Processen waren beschreven. Rollen waren belegd. Maatregelen waren ingericht. Rapportages waren beschikbaar. Toch ging er iets mis. Niet omdat er geen maatregelen waren, maar omdat signalen niet werden gezien, niet werden doorgegeven of niet op waarde werden geschat.
Naarmate organisaties meer vertrouwen op systemen, procedures en maatregelen, ontstaat bovendien het risico dat professional judgement naar de achtergrond verdwijnt. De aanwezigheid van een maatregel wordt dan gezien als bewijs dat een risico voldoende wordt beheerst. Terwijl een maatregel uiteindelijk slechts een hulpmiddel is en nooit een vervanging van vakmanschap.
Complexiteit wordt daarmee niet alleen een gevolg van risico’s, maar ook een risico op zichzelf.
Een organisatie waarin medewerkers begrijpen waarom maatregelen bestaan, is doorgaans veerkrachtiger dan een organisatie waarin grote aantallen maatregelen aanwezig zijn die niemand nog volledig overziet. Hetzelfde zien we terug in wet- en regelgeving. Nieuwe regels lossen vaak een concreet probleem op, maar vergroten tegelijkertijd de complexiteit van het geheel. Op enig moment verschuift naleving van begrip naar routine.
Dat werkt zolang de omstandigheden niet veranderen. Op het moment dat zich iets onverwachts voordoet, blijken routine en afvinkgedrag echter een kwetsbare basis voor goed risicomanagement.
Bij nieuwe maatregelen richten we ons vaak op het risico dat moet worden verminderd. Dat is begrijpelijk. Veel minder aandacht gaat uit naar de gevolgen van de gekozen oplossing. Welke kosten ontstaan? Welke afhankelijkheden worden gecreëerd? Welke extra complexiteit voegen we toe? Welke andere disciplines raken hierdoor? En blijft een maatregel ook over enkele jaren nog proportioneel?
Dat zijn precies de vragen die achter het ASEW-denken schuilgaan. Niet omdat iedere maatregel een uitgebreid beoordelingsproces nodig heeft, maar omdat het zinvol is om af en toe stil te staan bij de bijwerkingen van beheersing.
Die afweging is niet alleen relevant voordat een maatregel wordt ingevoerd. Zij is minstens zo relevant voor maatregelen die al jaren bestaan. Veel organisaties beoordelen regelmatig welke nieuwe maatregelen nodig zijn. Veel minder vaak wordt onderzocht welke maatregelen hun doel hebben bereikt, zijn ingehaald door nieuwe ontwikkelingen of meer belasting veroorzaken dan waarde toevoegen.
Volwassen risicobeheersing gaat daarom niet over het maximale aantal maatregelen. Het gaat over het vermogen onderscheid te maken tussen noodzakelijke en overbodige beheersing.
Misschien ligt daar ook een ongemakkelijke waarheid verborgen. Hoe professioneler een organisatie wordt, hoe groter de kans dat zij succes gaat meten aan het aantal verbetermaatregelen dat zij produceert. Maar is dat eigenlijk terecht? In het vervolg op dit artikel gaan we hier verder op in.
