Het compliance-wiel: Kwadrant 2, Beleid & Procedures

De spaken van het wiel

Van governance naar werkbare controls

In het vorige blog zetten we de as van het wiel vast: Visie & Governance. We stelden de ongemakkelijke vraag over wie welke risico's mag beslissen, werkten de vier bouwstenen uit en zagen hoe de AFM bevestigt dat een goed beschreven compliancefunctie nog geen effectieve is.

Nu is het tijd voor de spaken. Kwadrant 2: Beleid & Procedures. Dit is het kwadrant waar de wettelijke werkelijkheid van buiten wordt omgezet naar de operationele werkelijkheid van binnen. Zonder stevige spaken behoudt het wiel niet zijn vorm.

Hoe het misgaat

Je beleid telt veertig documenten waarvan niemand meer weet welk het actuele is. Je risicoregister staat in een spreadsheet die voor het laatst werd bijgewerkt toen die ene collega nog in dienst was. En je hebt voor de AVG een risicoanalyse gemaakt, voor NIS2 een andere, en voor ISO 27001 nog een derde, met deels tegenstrijdige uitkomsten en driedubbel onderhoud. En voor de ontwikkelingen rondom AI wordt er een geheel nieuwe schaduworganisatie opgezet.

Het gevolg: compliance wordt een last in plaats van een instrument. En als een klant, aanbesteder of toezichthouder vraagt om bewijs, niet om beschrijvingen, maar om bewijs, dan begint de zoektocht opnieuw.

De oplossing zit niet in meer beleid. Het zit in betere structuur.

Drie stappen naar werkbare controls

Stap 1: Weet wat er op je afkomt

De Digital Decade-wetgeving is geen losse stapel wetten. Het is een stelsel dat bewust op elkaar is afgestemd. Denk in drie lagen:

Algemeen van toepassing: AVG, Cyberbeveiligingswet/NIS2, AI Act, Data Act, CRA.

Sectorspecifiek: NEN 7510 (zorg), BIO (overheid), DORA (financiële sector), MDR (medische hulpmiddelen). Wie AI inzet als medisch hulpmiddel heeft te maken met zowel de AI Act als de MDR, twee overlappende kaders met elk hun eigen conformiteitseisen.

Keten-gedreven: CSRD, CSDDD, Cbw en DORA verplichten grote organisaties hun leveranciersketen door te lichten. Zit je in die keten? Dan worden jouw compliance-prestaties onderdeel van de verantwoordingsplicht van je klant.

Maak dit overzicht niet eenmalig. Bouw een regulatory radar in: een structureel proces waarbij nieuwe wetgeving en wijzigingen worden gesignaleerd en direct gemapt naar je bestaande raamwerk.

Stap 2: Van eis naar risico: de gemeenschappelijke taal

De sleutel zit in de tussenstap: risico's. Elke wettelijke eis beantwoordt impliciet de vraag: wat kan er misgaan als we dit niet doen? Door eerst naar risico's te vertalen, creëer je de gemeenschappelijke taal die een many-to-many structuur mogelijk maakt.

AVG art. 32, NIS2 art. 21 en ISO 27001 A.9 verwijzen alle drie naar hetzelfde onderliggende risico: ongeautoriseerde toegang tot gevoelige gegevens. Eenmalig identificeren, wegen en beheren, en je dekt alle drie de eisen tegelijk af.

Stap 3: Van risico naar maatregel: de many-to-many structuur

De vraag bij elke maatregel is: welke andere risico's dekt deze control ook af? En welke (combinatie van) maatregel(en) is het best passend?

Een goed ingericht RBAC-systeem dekt tegelijkertijd: AVG art. 32, NIS2/Cbw art. 21, ISO 27001 A.9, AI Act art. 9 én je eigen datalekrisico. Dit levert drie concrete voordelen op: impactanalyse bij een falende control, snelle gap-analyse bij nieuwe wetgeving en efficiënt uitbreiden zonder opnieuw te beginnen.

Beleidsinflatie: de stille killer

Goed beleid heeft een eigenaar, een versiedatum, een reviewcyclus en een directe koppeling aan de risico's en controls die het beschrijft. Goede procedures beschrijven niet alleen wát iemand moet doen, maar ook waarom en hoe het bewijs eruit ziet. Bouw bewijsvoering direct in, zodat bewijs ontstaat tijdens het werk, niet een paar weken voor de audit.

Soevereiniteit in dit kwadrant

Welk beleid stel je op voor dataopslag buiten de EU? Hoe documenteer je de Transfer Impact Assessment (TIA) als structureel onderdeel van je verwerkingsregister? De Data Act geeft nieuwe instrumenten: overstaprechten, toegangsrechten en verboden op data-lock-in. Wie dit beleid op orde heeft, maakt soevereiniteit aantoonbaar en bereidt zich voor op de Cloud and AI Development Act (CADA).

AI als versneller, en als risicobron

AI kan de regulatory radar automatiseren. Het kan snel complexe verbanden leggen, documenten analyseren en repetitieve taken consequent uitvoeren. Zo kan het ook beleid logisch aan elkaar koppelen, overlap signaleren en waar nodig versimpelen. Maar AI introduceert ook nieuwe risico's: garbage in, garbage out. Behandel AI-output als het concept van een junior, laat het altijd valideren en leg vast wie dat heeft gedaan. Bovendien is een AI-toepassing zelf een compliance-object: de AI Act (art. 9) vereist een risicobeheersysteem over de hele levenscyclus van hoog-risico AI-systemen.

Van 'we doen het' naar 'we kunnen het bewijzen'

Aantoonbaarheid is geen bijproduct meer. Het is de norm. Klanten die zelf aan CSRD, NIS2 of DORA moeten voldoen, zijn verplicht hun leveranciersketen door te lichten. Een klant vraagt niet meer of je beleid hebt, hij vraagt om bewijs.

Hier sluit ComplianceProof op aan: een onafhankelijke, juridisch onderbouwde verklaring over een specifieke compliance-vraag, of het nu gaat om AVG-naleving, AI-geletterdheid of de hoog-risico status van een AI-systeem. Geen allesomvattend certificeringstraject, maar gerichte zekerheid op precies het punt waar jouw klant of toezichthouder zekerheid over vraagt. Een organisatie die haar beleid en controls op orde heeft, doorloopt zo'n toets sneller en met minder frictie. Het bewijs is er al.

Wettelijke ankers in dit kwadrant

De AVG vereist een register van verwerkingsactiviteiten en aantoonbare passende maatregelen; de AI Act verplicht technische documentatie en een risicobeheersysteem voor hoog-risico toepassingen; de Cyberbeveiligingswet eist gedocumenteerde beveiligingsmaatregelen; DORA vereist een ICT-risicokader met aantoonbare controls.

Wat je deze week kunt doen

Tel de koppelingen. Zet je registers naast elkaar, verwerkingen, risico's, AI-systemen, leveranciers, en vraag per register: wie is eigenaar, wanneer is hij voor het laatste bijgewerkt, en is hij gekoppeld aan een ander register? Dat "nee" is je nulmeting.

Doe één mapping. Neem één nieuwe eis en map die op je bestaande risico's en controls. Meet hoe lang het duurt.

Stel de beleidsinventarisatie ter discussie. Hoeveel beleidsdocumenten heeft jouw organisatie? Wie is eigenaar van elk?

In het volgende blog

De spaken zitten in het wiel. In blog 4 stoppen we bij de naaf: People, Process & Technology, waarom verandermanagement dé onderschatte factor is in elk compliance-programma. En in blog 5 zoomen we in op het derde kwadrant: Cultuur, want de sterkste control is uiteindelijk een medewerker die op het juiste moment de juiste keuze maakt.

Wil je weten hoe goed jouw beleid en risicoregisters aan elkaar hangen? Wij helpen je graag met een praktische gap-analyse.