Epiloog – Judo met risico’s

Dit boek begon met een beeld: compliance is judo met risico’s. Dertien hoofdstukken later is het tijd om daarnaar terug te keren. Risico’s zijn geen afwijking van de normale werkelijkheid van een organisatie. Zij horen erbij. Een accountantskantoor neemt opdrachten aan, adviseert klanten, verwerkt informatie, neemt mensen in dienst, gebruikt technologie en maakt commerciële keuzes. Daarmee ontstaan risico’s. Wie die risico’s volledig wil vermijden, kan uiteindelijk weinig anders doen dan de onderneming beëindigen.

Compliance heeft daarom niet als opdracht zoveel mogelijk risico’s uit de organisatie te verwijderen. Evenmin is het haar taak zoveel mogelijk regels, procedures en controles te produceren. Zij houdt intern toezicht op de wijze waarop de organisatie haar risico’s beheerst en geeft bestuur en organisatie informatie over de werking daarvan. De verantwoordelijkheid voor de organisatie blijft waar zij hoort.

Geen risico zonder beheersing

Voor serieuze risico’s moet duidelijk zijn hoe zij worden beheerst. Welke maatregelen bestaan, waarom zouden die maatregelen het risico moeten verkleinen en, vooral, werken zij ook werkelijk?

Dat laatste is gemakkelijk te vergeten. Een procedure kan bestaan, een vierogencontrole kan verplicht zijn, een systeem kan een waarschuwing geven en medewerkers kunnen jaarlijks een training volgen. Daarmee is nog niet vastgesteld dat het risico daadwerkelijk wordt beheerst. Een beheersingsmaatregel ontleent haar betekenis niet aan haar bestaan, maar aan haar werking.

Daarom zijn monitoring, interne kwaliteitsonderzoeken, incidenten, klachten, meldingen en andere informatiebronnen zo belangrijk. Zij vertellen iets over het verschil tussen de beheersing zoals die op papier is bedacht en de beheersing zoals die in de werkelijkheid functioneert.

Wanneer een serieus risico onvoldoende wordt beheerst, moet dat zichtbaar worden. Vervolgens is het aan degene die daarvoor verantwoordelijk is om aanvullende maatregelen te treffen, het risico anders te behandelen of, binnen de grenzen van wet- en regelgeving, het resterende risico bewust te accepteren. Compliance kan daarbij adviseren en tegenspreken, maar neemt die bestuurlijke verantwoordelijkheid niet over.

Geen beheersing zonder risico

De redenering werkt echter ook andersom. Van ieder serieus risico willen we weten hoe het wordt beheerst, maar van iedere beheersingsmaatregel moeten we ook weten welk serieus risico zij eigenlijk helpt beheersen.

Controls zijn niet gratis. Zij kosten tijd, geld en aandacht. Een extra goedkeuring vertraagt een proces. Een verplichte registratie kost medewerkers tijd. Een controle vraagt capaciteit. Een systeemaanpassing kost geld. Training neemt uren in beslag die niet aan klanten of andere werkzaamheden kunnen worden besteed. En iedere nieuwe procedure vergroot de hoeveelheid organisatorische complexiteit waarmee medewerkers moeten omgaan.

Dat kan allemaal uitstekend besteed zijn wanneer daarmee een relevant risico aantoonbaar wordt verkleind. Maar een control zonder serieus risico is geen beheersing. Het is ballast. Daarom moet compliance niet alleen kritisch zijn wanneer te weinig wordt beheerst. Zij moet even kritisch kunnen kijken naar maatregelen waarvan niemand meer precies weet waarom ze bestaan. Welke risico’s dekken zij af? Hoe groot zijn die risico’s? Welke bijdrage levert deze maatregel aan de beheersing daarvan? Weten we dat, of nemen we het alleen aan? En als een maatregel niet aantoonbaar bijdraagt, waarom handhaven we hem dan?

Dat is misschien minder zichtbaar dan het introduceren van een nieuwe control. Het kan zelfs ongemakkelijker zijn. Een nieuwe regel laat zien dat de organisatie iets met een probleem heeft gedaan. Het afschaffen van een bestaande regel vraagt de overtuiging dat beheersing niet wordt gemeten aan de hoeveelheid beheersingsmaatregelen. Compliance is geen verzameling vangrails. Het gaat erom dat de vangrails staan waar de weg gevaarlijk is.

Ook compliance is een beheersingsmaatregel

Die redenering moet de compliancefunctie ook op zichzelf durven toepassen. Een organisatie heeft niet vanzelfsprekend behoefte aan zoveel mogelijk compliance. De functie kost geld, gebruikt schaarse deskundigheid, stelt vragen, vraagt informatie, voert onderzoeken uit en kan processen vertragen. Dat is gerechtvaardigd voor zover zij daarmee bijdraagt aan de beheersing van relevante risico’s.

De compliancefunctie heeft dus geen bijzonder recht om haar eigen proportionaliteit buiten beschouwing te laten. Als compliance van anderen verlangt dat zij kunnen uitleggen welk risico een control mitigeert en of die control werkt, moet zij dezelfde vragen over haar eigen werkzaamheden kunnen beantwoorden. Welke risico’s helpen wij beheersen? Welke informatie leveren wij die de organisatie anders niet of te laat zou hebben? Welke maatregelen zijn door onze monitoring aantoonbaar verbeterd? Waar hebben wij bijgedragen aan het eerder herkennen van problemen? En welke werkzaamheden verrichten wij vooral omdat wij ze vorig jaar ook verrichtten?

Dat laatste is geen retorische vraag. Ook compliance kan procedures, rapportages en controles ontwikkelen die ooit een goede reden hadden en vervolgens zelfstandig blijven voortbestaan. Ook een compliancefunctie kan druk zijn zonder effectief te zijn. Het succes van compliance blijkt daarom niet uit het aantal medewerkers, rapportages, onderzoeken, controls of bevindingen. Het blijkt uit haar bijdrage aan de beheersing van risico’s.

Gebruik de kracht die er al is

Daarmee zijn we terug bij judo. Wie een tegenstander uitsluitend probeert tegen te houden, maakt diens kracht tot zijn eigen probleem. Judo begint met een ander inzicht. De beweging en kracht zijn er al. De kunst is ze te begrijpen en ermee om te gaan.

Voor compliance geldt iets vergelijkbaars. Schaal kan fouten schaalbaar maken, maar ook kwaliteitsbeheersing. Automatisering kan nieuwe risico’s introduceren, maar ook afwijkingen zichtbaar maken die een mens nooit zou vinden. Een incident veroorzaakt schade, maar levert ook informatie over de werking van beheersingsmaatregelen. Een melding kan ongemakkelijk zijn, maar geeft de organisatie informatie die zij anders misschien nooit zou krijgen. Een kritische toezichthouder kan lastig zijn, maar laat soms risico’s zien waaraan de organisatie zelf gewend is geraakt. Zelfs een fout kan bruikbaar worden, mits ervan wordt geleerd.

Dat vraagt een andere houding dan de reflex om op ieder risico een nieuwe regel te stapelen. Soms is een nieuwe control nodig. Soms moet een bestaande control beter werken. Soms kan technologie het werk overnemen. Soms is menselijke professionele oordeelsvorming juist onmisbaar. Soms moet een risico simpelweg zichtbaar worden gemaakt en vervolgens bewust worden geaccepteerd. De kunst is niet overal dezelfde beweging te maken. De kunst is te begrijpen welke kracht voor je staat.

Beheerst is niet hetzelfde als veilig

Na alle risicoanalyses, controls, monitoring, onderzoeken, rapportages en verbetermaatregelen blijft uiteindelijk een ongemakkelijke werkelijkheid over: het kan nog steeds misgaan. Mensen maken fouten. Professionals komen tot verkeerde oordelen. Klanten vertellen niet altijd de waarheid. Technologie faalt. Regels veranderen. Belangen botsen. Bestuurders accepteren risico’s waarvan later blijkt dat de gevolgen groter waren dan verwacht. En soms gebeurt iets wat niemand redelijkerwijs had voorzien.

Dat maakt risicobeheersing niet zinloos. Het bepaalt wat risicobeheersing betekent. Een beheerste organisatie is niet een organisatie waarin niets misgaat. Het is een organisatie waarin relevante risico’s zichtbaar zijn, waarin bekend is hoe die risico’s worden beheerst, waarin wordt onderzocht of die beheersing daadwerkelijk werkt en waarin informatie over afwijkingen terechtkomt bij degenen die verantwoordelijkheid dragen. En wanneer het toch misgaat, levert ook dat nieuwe informatie op.

Compliance hoeft de werkelijkheid niet stil te zetten. Zij moet haar kunnen lezen. Risico’s verdwijnen niet. Wie iedere kracht probeert tegen te houden, wordt uiteindelijk door die kracht omvergeduwd. Wie haar begrijpt, kan haar gebruiken. Compliance blijft daarmee, na dertien hoofdstukken, wat zij aan het begin al was:

judo met risico’s.

Terug naar de inhoudsopgave

Klik hier voor de inhoudsopgave.