Beheersingsschuld: het risico dat niet in uw risicoregister staat
Bijgewerkt op: 4 dagen geleden
Elke organisatie bouwt ongemerkt een schuld op in haar interne beheersing. Niet op de balans, niet in het risicoregister, maar in de kloof tussen hoe controls op papier werken en hoe ze in de praktijk werken. Die schuld lost zichzelf niet op.
Herkenbaar? Een vier-ogencontrole die al jaren wordt afgetekend door dezelfde twee mensen, die allebei op ‘akkoord’ klikken zonder het onderliggende stuk te openen. Een autorisatiematrix die nog uitgaat van een organisatiestructuur van voor een reorganisatie. Een maandelijkse aansluiting die ‘tijdelijk’ handmatig gebeurt sinds de migratie naar het nieuwe ERP-systeem.
Geen van deze voorbeelden haalt de krant. Geen ervan leidt morgen tot een incident. Maar samen vormen ze iets wat wij beheersingsschuld noemen, en die is in veel organisaties groter dan bestuurders denken.
Wat is beheersingsschuld?
In de IT-wereld is technische schuld een ingeburgerd begrip. Wie onder tijdsdruk een snelle, rommelige oplossing bouwt, wint vandaag tijd en betaalt later, elke volgende wijziging wordt duurder en riskanter. Softwareteams houden die schuld bij, bespreken haar en lossen haar bewust af.
In governance, risk en control bestaat hetzelfde fenomeen, maar zonder naam en zonder boekhouding. Wij definiëren beheersingsschuld als:
De opgetelde kloof tussen het beheersingsniveau dat een organisatie denkt te hebben en het niveau dat zij feitelijk heeft, ontstaan door uitgestelde, verouderde of uitgeholde maatregelen.
Het verschil met een gewone bevinding is belangrijk. Een auditbevinding is een momentopname van één control. Beheersingsschuld is een voorraad. Ze stapelt zich op over tijd, over processen en over afdelingen heen. En net als technische schuld is ze op zich niet verkeerd. Soms is het verstandig om bewust beheersing uit te stellen, bijvoorbeeld tijdens een snelle groeifase. Het probleem ontstaat pas als niemand weet hoe hoog de schuld is en hoe daar verstandig mee om te gaan.
Hoe beheersingsschuld ontstaat
Beheersingsschuld ontstaat zelden door één slechte beslissing. Ze sluipt erin via vijf routes die in bijna elke organisatie open staan.
Verandering zonder herontwerp. Processen, systemen en structuren veranderen voortdurend. Het controleraamwerk wordt zelden in hetzelfde tempo meegenomen. Na een reorganisatie, overname of systeemmigratie staan controls nog op papier die geen grip meer hebben op het nieuwe proces.
Tijdelijke oplossingen die blijven. Een handmatige workaround, een uitzondering in de autorisaties, een ‘voorlopige’ procedure. Bedoeld voor drie maanden, nog steeds actief na een jaar.
Ritualisering. Een control die jarenlang goed gaat, verliest haar scherpte. Aftekenen wordt een handeling in plaats van een beoordeling. De control bestaat nog, maar het denkwerk erachter is verdwenen.
Kennisverlies. De medewerker die wist waarom een control bestond, is vertrokken. De opvolger voert de handeling uit, maar herkent niet meer wanneer er iets afwijkt.
Nieuwe risico’s zonder nieuwe controls. Denk aan AI-toepassingen die medewerkers zelf in gebruik nemen, nieuwe ketenpartners of nieuwe regelgeving. Het risicoprofiel groeit, het beheersingsraamwerk niet.
De laatste route verdient extra aandacht. Met de snelle opkomst van generatieve AI in het dagelijks werk ontstaat in veel organisaties op dit moment in hoog tempo nieuwe beheersingsschuld, vaak buiten het zicht van risk en compliance.
Waarom niemand het ziet
Als beheersingsschuld zo wijdverbreid is, waarom staat ze dan niet op de agenda? Omdat de gangbare instrumenten er structureel blind voor zijn.
Het risicoregister kijkt naar risico’s, niet naar de staat van de beheersing. Risicoregisters beschrijven wat er mis kan gaan, buiten en binnen de organisatie, zoals een cyberaanval of een leverancier die omvalt, maar ook procesfouten of fraude. Bij elk risico staan de beheersmaatregelen en het restrisico. Maar de vraag of die maatregelen nog werken, wordt meestal beantwoord met een vinkje bij ‘effectief’. Dat vinkje is vaak jaren oud en zelden onderbouwd met recente toetsing.
Audits zijn steekproeven. Interne en externe audits toetsen een selectie van controls, binnen een bepaalde scope, op een bepaald moment. Ze vinden losse gebreken, maar zien zelden het patroon dat dezelfde soort erosie zich over de hele organisatie voordoet.
De eerste lijn heeft er geen belang bij. Wie een control uitvoert, rapporteert niet graag dat die control eigenlijk niets meer voorstelt. Niet uit kwade wil, maar omdat het extra werk oplevert en niemand erom vraagt.
Groen is comfortabel. Dashboards die op groen staan, geven bestuurders rust. Maar een control die is getest op opzet en bestaan, zegt weinig over de vraag of ze nog het risico afdekt waarvoor ze ooit is ontworpen, namelijk de werking. Het resultaat is wat wij papieren zekerheid noemen. De documentatie klopt, de werkelijkheid niet meer.
Wat beheersingsschuld kost
Beheersingsschuld heeft een prijs, ook als die nergens zichtbaar is. Die prijs betaalt u op vier manieren, vaak zonder het te merken.
Verspilde inspanning. Medewerkers besteden uren aan controls die niets meer afdekken. Dat is pure kostenpost zonder opbrengst, en het verdringt aandacht voor de controls die er wél toe doen.
Verborgen blootstelling. Het werkelijke risico is hoger dan het gerapporteerde. Bestuur en toezicht nemen besluiten op basis van een beeld dat te rooskleurig is.
Duurdere verandering. Elke nieuwe strategie, systeemwijziging of overname wordt trager, omdat eerst moet worden uitgezocht hoe het bestaande raamwerk eigenlijk in elkaar zit.
Abrupte afrekening. Beheersingsschuld wordt zelden geleidelijk afgelost. Meestal komt de rekening in één keer. Bijvoorbeeld bij een fraude, een toezichtsonderzoek of een kritische accountantsverklaring. Dan moet onder tijdsdruk worden hersteld wat jaren is blijven liggen, tegen de hoogste prijs.
Dat laatste punt is de kern. Organisaties kiezen niet óf ze beheersingsschuld aflossen, maar alleen wanneer en onder welke omstandigheden.
Zo maakt u beheersingsschuld beheersbaar
Het goede nieuws is dat wat een naam heeft, kan worden gemeten en op gestuurd. Vier stappen helpen om beheersingsschuld zichtbaar te maken en bewust af te lossen.
Inventariseren: maak de schuld zichtbaar. Loop de belangrijkste controls langs met één eenvoudige vraag, namelijk dekt deze control nog het risico af waarvoor ze is ontworpen, in het proces zoals het nu werkt? Doe dat niet alleen met documentatie, maar met de mensen die de control uitvoeren. Vraag naar workarounds, uitzonderingen en ‘tijdelijke’ oplossingen. Daar zit de schuld.
Beprijzen: maak de schuld vergelijkbaar. Niet alle schuld is even zwaar. Beoordeel elk item op twee assen, namelijk over hoe groot is het risico dat onafgedekt blijft, en hoeveel inspanning kost herstel? Zo ontstaat een overzicht waarop bestuur kan sturen, in plaats van een lange lijst bevindingen.
Aflossen: maak bewuste keuzes. Los eerst de schuld af met hoog risico en lage herstelkosten. Schrap daarnaast actief controls die niets meer toevoegen. Saneren is net zo goed aflossen als repareren, en het geeft capaciteit vrij voor de controls die ertoe doen. Schuld die u bewust laat staan, legt u vast als geaccepteerd risico, met een eigenaar en een einddatum.
Voorkomen: bouw het in uw ritme in. Maak ‘wat betekent dit voor onze beheersing?’ een vaste vraag bij elke reorganisatie, systeemwijziging, overname en introductie van nieuwe technologie zoals AI. Geef tijdelijke oplossingen standaard een vervaldatum. En rapporteer periodiek over de omvang van de beheersingsschuld, naast de gebruikelijke risicorapportage.
Vijf vragen voor bestuur en raad van commissarissen
Beheersingsschuld is uiteindelijk een governancevraagstuk. Bestuurders en toezichthouders kunnen het gesprek openen met deze vragen:
Welke controls in onze organisatie zijn al langer dan drie jaar niet inhoudelijk herzien?
Hoeveel ‘tijdelijke’ oplossingen en uitzonderingen zijn er actief, en wie is er eigenaar van?
Is ons beheersingsraamwerk meegenomen in de laatste reorganisatie, overname of systeemmigratie?
Welke nieuwe risico’s, bijvoorbeeld door het gebruik van AI, hebben we nog niet vertaald naar maatregelen?
Welke controls zouden we morgen kunnen schrappen zonder dat iemand het merkt?
Die laatste vraag is vaak de meest onthullende. Het antwoord zegt veel over hoeveel inspanning er gaat naar beheersing die alleen nog op papier bestaat.
Tot slot
Interne beheersing is geen bouwwerk dat u één keer neerzet. Het is een systeem dat meebeweegt met de organisatie, of achteropraakt. Organisaties die beheersingsschuld benoemen, krijgen er grip op. Ze besteden minder tijd aan zinloze controls, hebben een eerlijker risicobeeld en kunnen sneller veranderen.
De vraag is dus niet of uw organisatie beheersingsschuld heeft. De vraag is of u weet hoe hoog die is, en hoe u daar verstandig mee om kunt gaan.
Wilt u weten hoe het met de beheersingsschuld in uw organisatie staat? The Wise Sailor helpt organisaties met een gerichte scan van hun controleraamwerk, van inventarisatie tot een concreet aflosplan. Neem gerust contact met ons op.
Opmerkingen