Het schrijven van een juiste beheersmaatregel

Het beschrijven van goede beheersmaatregelen in je risico en controle matrix (RCM) voelt soms als het bouwen van een puzzel zonder voorbeeldafbeelding: je hebt alle stukjes, maar je blijft zoeken naar de juiste combinatie.  

Voor verdere professionalisering van risicomanagement is een heldere en consistente beschrijving van beheersmaatregelen essentieel. Met de toenemende complexiteit van wetgevende kaders en best practices helpt deze aanpak een nauwkeurige en effectieve vastlegging van beheersmaatregelen. 

Maar wat maakt een beheersmaatregel omschrijving nu écht effectief? 

Met de 5W’s en 1H-methode leg je de fundering voor een sterke beschrijving waarmee risico’s beheersbaar blijven en processen effectiever worden aangestuurd.  

Wie (Who): Rollen en verantwoordelijkheden 

Beschrijf de verantwoordelijke functionarissen van de beheersmaatregel. 

Dit is essentieel voor “accountability”. Bepaal wie de beheersmaatregel uitvoert, wie de monitoring en beoordeling doet en waar de escalatielijnen liggen in geval van afwijkingen.  

Wat (What): De kernactiviteiten van de beheersmaatregelen 

Omschrijf welke processen, analyses en acties worden uitgevoerd om het risico te mitigeren.  

Vermeld welke systemen of gegevensstromen hierbij betrokken zijn en licht toe welke specifieke handelingen er verwacht worden, zoals verificatie, goedkeuring of rapportage. 

Waarom (Why): Doel en risicobeheersing 

Bepaal welk risico beheerst moet worden, en koppel de beheersmaatregel aan concrete, geïdentificeerde risico’s, zoals fraudepreventie, datakwaliteit of operationele integriteit.  

Het doel dient nauwkeurig en meetbaar te zijn zodat alle betrokkenen de impact begrijpen en de beheersmaatregel gericht kan worden toegepast. Het is niet altijd mogelijk om dit praktisch toe te passen. Indien dit het geval is, geef hier dan op basis van ‘professional judgement’ een richting aan.  

Wanneer (When): Frequentie en timing 

De frequentie van de beheersmaatregel moet afgestemd zijn op de aard van het risico. 

Bij hoge risico’s is een frequente controle vaak nodig, bijvoorbeeld dagelijks, terwijl minder urgente zaken voldoende worden beheerst met halfjaarlijkse of jaarlijkse evaluaties. Geef ook de timing aan van elke stap, zoals wekelijkse rapportages of maandelijkse evaluaties.  

Leg duidelijk uit waarom deze frequentie passend is voor het risico en hoe het aansluit op andere controlemechanismen. 

Waar (Where): Toegankelijkheid en opslag van beheersmaatregelgegevens 

Documenteer waar de beheersmaatregel plaatsvindt en waar de benodigde documentatie wordt opgeslagen. 

Dit kan gaan om een specifieke softwaretoepassing, een beveiligde drive of een gedeeld systeem. Dit maakt de beheersmaatregel traceerbaar en consistent. Hierdoor weet iedereen binnen de organisatie waar de gegevens te vinden zijn voor audits, compliance of dagelijkse operaties. 

Hoe (How): Uitvoering en bewijsvoering 

Beschrijf de uitvoeringsmethode en welke criteria bepalen of de beheersmaatregel effectief is. 

Wat voor documentatie of bewijsmateriaal moet worden vastgelegd? Dit kan variëren van goedkeuringslogs en controledocumenten tot aftekenlijsten en rapportages.  

Dit zorgt voor een objectieve en meetbare beheersmaatregel, en maakt het makkelijk om bij een audit te bewijzen dat alle stappen zijn doorlopen. 

Eenduidig documenteren voor consistentie en controle. 

Een cruciaal onderdeel van een goede omschrijven van de beheersmaatregel, is de wijze van documenteren. Eenduidige en systematische vastlegging zorgt ervoor dat iedereen met dezelfde opbouw werkt en gegevens direct kan interpreteren. Daarom is ons advies: start altijd met de basis, namelijk ‘Wie’ en ‘Wat’. 

Beschrijf de beheersmaatregel zo beknopt mogelijk 

De beheersmaatregel zo kort als mogelijk houden komt de leesbaarheid ten goede. Wij adviseren om hiervoor meerdere iteraties te gebruiken.  

Een snelle, oppervlakkige aanpak lijkt misschien efficiënt, maar veroorzaakt op de lange termijn juist meer werk en frustratie. 

Daarom: investeer tijd in een grondige en heldere beheersmaatregelomschrijving. Zo creëer je een stevige basis voor blijvend risicobeheer en wordt jouw organisatie écht in control.