Dit is het slotdeel van onze reeks over duurzame compliance. In deel 1 legden we het fundament: een geïntegreerd risico- en controleraamwerk met many-to-many koppelingen. In de delen daarna hielden we dat raamwerk levend als een ecosysteem, gevoed door de PDCA-cyclus. Nu de laatste vraag: waaróp laat je dat ecosysteem groeien? Oftewel: welke basis kies je om je raamwerk te operationaliseren, en hoe voorkom je dat je verzandt in spreadsheets, complexiteit of vendor lock-in?

De bodem waarop je ecosysteem groeit

Een gezond ecosysteem heeft vruchtbare bodem nodig. Voor je compliance-raamwerk is die bodem de tooling: de plek waar eigenaren, eisen, risico’s, maatregelen en bewijs samenkomen én met elkaar verbonden blijven. Kies je de verkeerde bodem, dan verdroogt zelfs het best doordachte raamwerk.

De markt biedt inmiddels tientallen GRC-oplossingen, en die markt groeit in omzet al jaren met dubbele cijfers per jaar. ^[1] Maar meer keuze is niet hetzelfde als een makkelijkere keuze. De vraag is namelijk niet “welke tool is de beste?”, maar “welke basis past bij óns ecosysteem?”

Eerst diagnose, dan tooling

De grootste denkfout is beginnen bij de tool. Organisaties die op zoek gaan naar een GRC-oplossing, lopen namelijk vrijwel altijd tegen interne uitdagingen aan.

• Governance: functies of teams als privacy, security, legal, finance en kwaliteit hebben elk hun eigen eigenaar, hun eigen tool of werkwijze én hun eigen budget. Er is zelden één budgethouder, en zelden één gedeelde visie, strategie en risicomethodologie over de ‘three lines of defence’ heen.
• Beleid en processen: elk domein hanteert een eigen scope, niveau en vaak zelfs risicoproces, van enterprise risk en financieel risico tot operationele risico’s (zoals klanteisen) en projectrisico’s. Daarnaast leven er losse registers naast elkaar. Het aan elkaar knopen (many-to-many) is enorm waardevol, maar ook complex. Op het niveau van beheersmaatregelen speelt precies hetzelfde.
• Cultuur: de ene afdeling werkt met handmatige checks in Excel, de andere volledig geautomatiseerd. Verschillende manieren van vastleggen, verschillende risicobereidheid, verschillende toetsingsnormen, en de vraag of iedereen überhaupt met de tooling overweg kan (adoptie en draagvlak).
• Monitoring en rapportage: is er één PDCA-cyclus, één integrated assurance framework en één committee waarin de tweede en derde lijn samenwerken? Of krijgt het management vijf losse rapportages die onderling niet te vergelijken zijn?

Een tool kiezen vóór je deze uitdagingen in kaart hebt en een visie hebt afgestemd, is als een boom planten op een plek met nauwelijks grond, het groeit nauwelijks naar de potentie. Breng dus eerst je ecosysteem in kaart.

Drie archetypen: het moeras, de kas en de robot-tuinman

Grofweg zien we drie routes, elk met een eigen bodemgesteldheid:

1. Het spreadsheet-moeras. Goedkoop, laagdrempelig en vertrouwd. Maar spreadsheets kennen geen echte relaties: koppelingen zijn handmatig, versies lopen uiteen en bij de eerste serieuze audit zak je weg. Prima om mee te starten, maar dodelijk zodra je wilt opschalen of aantoonbaarheid nodig hebt.
2. De specialistische GRC-tool (de kas). Krachtig en gecontroleerd, met ingebouwde workflows, dashboards en normenbibliotheken. Maar vaak duur per licentie, complex in beheer, en, belangrijker, zulke tools trekken mensen náár compliance in plaats van compliance naar de mensen te brengen. De adoptie blijft daardoor vaak beperkt tot een handjevol specialisten.
3. De "GRC-GPT" (de robot-tuinman). De spoiler uit deel 3: AI die je ecosysteem helpt onderhouden. Denk aan agents die nieuwe wetgeving mappen naar bestaande controls, bewijslast samenvatten of afwijkingen signaleren. Veelbelovend, maar het risicomanagement zelf blijft mensenwerk (zoals toegelicht in mijn inleidende blog). AI versnelt een goed ingericht raamwerk; het repareert geen rammelend fundament.

De afwegingen die er echt toe doen

Loop deze vragen langs vóórdat je kiest:

• Scope en verantwoordelijkheid? Op welke scope ga je dit toepassen en wie is verantwoordelijk voor de tool, de inhoud en het beheer. Probeer je zoveel als mogelijk het binnen één team te beleggen en de rollen en taken duidelijk te beleggen (RASCI).
• Voor wie? Moet de héle organisatie ermee werken, veel risico- en controle-eigenaren, dus laagdrempelig en breed geadopteerd, of wordt het een specialistentool die complexer mag zijn?
• Wat gebruik je al? Werk je al in Microsoft 365 of Atlassian? Sluit dan aan bij waar mensen al werken; dat wordt je grootste adoptieprobleem in één klap minder groot. Controleer welke API's en integraties nodig en beschikbaar zijn.
• Welke aanverwante processen koppel je? Contractmanagement, leveranciersbeheer, privacy-assessmenttools: hoe integreer je die, zodat je niet dubbel registreert en het ecosysteem één geheel blijft?
• Waar staat je data en wie mag erbij? Risico- en auditinformatie is vertrouwelijk. Bepaal wie toegang heeft, en kies bewust tussen cloud en on-premise. Bij cloud speelt ook wáár de data staat (datasoevereiniteit en gevoeligheid).
• Zelf doen of uitbesteden? Zowel de implementatie als het onderhoud. Intern draaien geeft controle en kennisopbouw; uitbesteden ontlast, maar creëert afhankelijkheid.
• Standaard of maatwerk? Een standaardoplossing laat je binnen dagen starten. Maatwerk sluit strakker aan op je organisatie, maar kost meer onderhoud en leidt sneller tot vendor lock-in.
• Nu of straks AI? Investeer je meteen in AI-agents om het toekomstbestendig te maken, of leg je eerst de inhoud goed vast en bouw je AI later in?
• Rapportage: draai je dashboards binnen de oplossing zelf, of combineer je met tooling als Power BI voor je stuurinformatie?

Er is geen universeel goed antwoord. Een mkb-zorgaanbieder met één compliance officer maakt logischerwijs andere keuzes dan een beursgenoteerde multinational met een volwaardige three lines of defence.

De rode draad: laat de tool het ecosysteem dienen

Wat elke gezonde keuze gemeen heeft: de tool volgt het raamwerk, niet andersom. Begin bij je visie, eisen, risico’s en maatregelen (deel 1), richt je PDCA-cyclus in (deel 2 en deel 3), en kies dán pas de bodem die dat het beste ondersteunt. Zo voorkom je dat je je ecosysteem forceert in de structuur van een tool, en dat je over twee jaar opnieuw begint.

Voor organisaties die al in Atlassian werken en snel een werkende basis willen, ontwikkelden wij bijvoorbeeld de ICTRecht GRC Blueprint: geen zoveelste GRC-tool, maar structuur en templates in de omgeving waar mensen al werken.

Tot slot: van losse projecten naar een levend ecosysteem

Daarmee sluiten we de reeks. Duurzame compliance is geen eindpunt maar een ritme: gevoed door de juiste mensen, de juiste processen én de juiste basis. Samenvattend mijn tips:

• Werk vanuit één visie, strategie en duidelijke governance met heldere verantwoordelijkheden.
• Bouw één geïntegreerd raamwerk in plaats van een projectje per wet, met many-to-many koppelingen tussen eisen, risico’s en maatregelen.
• Werk risicogebaseerd, met een vastgestelde risicobereidheid als kompas en een consistente risicomethodologie.
• Houd het raamwerk levend met de PDCA-cyclus en een rolling roadmap die je elk kwartaal herziet.
• Verdeel rollen helder via het three lines-model en maak per control-eigenaar concreet wat, waarom, hoe en wanneer.
• Stem de tweede en derde lijn af in één geïntegreerd assurance-raamwerk, zodat je niet dubbel toetst.
• Toets op opzet, bestaan én werking, niet op groene vinkjes.
• Geef elke deficiency een eigenaar, deadline en prioriteit, ook bij bewuste risicoacceptatie.
• Zorg dat bewijslast ontstaat tíjdens het werk, niet vlak voor de audit.
• Blijf pragmatisch, maar niet vrijblijvend. Het dient stakeholders comfort, inzicht en overtuiging te geven.
• Kies je tooling pas ná de diagnose en laat de tool het raamwerk dienen, niet andersom.

Benieuwd welke basis past bij jouw ecosysteem? Wij denken graag vrijblijvend met je mee en helpen je de afwegingen te vertalen naar een oplossing die past bij jouw organisatie en ambities.

---

[1] Grand View Research, “Enterprise Governance, Risk & Compliance (eGRC) Market Size, Share & Trends Analysis Report”. Zie: grandviewresearch.com.