Discussie Opinie Vandaag

Mijn A-Team: wanneer kwaliteit, risico en compliance samenkomen

"I love it when a plan comes together." Voor wie, net als ik, is opgegroeid met The A-Team, roept die zin waarschijnlijk meteen een beeld op. Hannibal Smith met een brede glimlach, een sigaar en de geruststellende gedachte dat het, hoe chaotisch het onderweg ook leek, uiteindelijk toch goed kwam.

Yvette van Ee

Helemaal toevallig is die associatie niet. Ik werk bij aaff in het Compliance & Risk Office onder aansturing van Arnout van Kempen. De A van aaff, de A van Arnout en een team dat risico's, beheersing, compliancekaders en kwaliteitssturing met elkaar verbindt. Met enige fantasie is mijn eigen A-Team snel gevonden.

Voor mijn generatie was The A-Team vaste prik. Vier totaal verschillende karakters, ieder met een eigen talent en een eigen route naar hetzelfde doel. Aan het begin leek het vaak rommelig: urgentie, obstakels, improvisatie en losse onderdelen. Maar ergens onderweg vielen die onderdelen op hun plek. Niet vanzelf, maar omdat iedereen zijn rol pakte.

Van losse onderdelen naar samenhang

Aan die uitspraak moest ik de afgelopen periode regelmatig denken bij het proces rondom SKM1. Ook daar brengen we verschillende onderdelen samen: kwaliteitsdoelstellingen, kwaliteitsrisico's, beheersingsmaatregelen, monitoring, bevindingen, herstelmaatregelen en vastlegging in Naris, het systeem dat wij gebruiken voor governance, risicomanagement en compliance. Op papier klinkt dat overzichtelijk. In de praktijk is het vooral mensenwerk.

SKM1 vraagt dat een kantoor zijn kwaliteitsmanagementsysteem risicogericht inricht. In de kern betekent dit dat kwaliteit aantoonbaar wordt georganiseerd, beheerst, gemonitord en verbeterd. Dat vraagt onder meer om kwaliteitsdoelstellingen, een inschatting van kwaliteitsrisico's, passende maatregelen en opvolging binnen een Plan-Do-Check-Act-cyclus. Binnen aaff brengen we die elementen steeds meer samen in één structuur, waarbij Naris helpt om risico's, maatregelen, onderbouwing en monitoringresultaten zichtbaar en navolgbaar vast te leggen.

Een plan dat pas gaat werken als je het samen doet

Wat ik mooi vind aan dit proces, is dat het niet alleen gaat over een standaard of een systeem. Het gaat over hoe we als organisatie naar kwaliteit kijken: niet als iets wat je één keer beschrijft en daarna bewaart, maar als iets wat voortdurend aandacht vraagt. Welke risico's zien we? Welke maatregelen helpen echt? Waar ontstaan tekortkomingen? En wat doen we vervolgens om daarvan te leren?

Daarvoor hebben we verschillende perspectieven nodig. De eerste lijn kent de praktijk, weet waar processen werken of juist schuren en is verantwoordelijk voor de volledige Plan-Do-Check-Act-cyclus: van het onderkennen van risico's en het treffen van maatregelen, tot het monitoren, evalueren en bijsturen daarvan. KVC, het team dat zich richt op vaktechniek en kwaliteitsontwikkeling, helpt bij de duiding en toepassing van professionele standaarden, beleid en kwaliteitskaders. CRO, het Compliance & Risk Office, brengt het onafhankelijke risico- en complianceperspectief in en kijkt naar de samenhang, werking en opvolging van beheersmaatregelen. En het bestuur en de kwaliteitsbepaler bewaken de richting en nemen verantwoordelijkheid voor het kwaliteitsmanagementsysteem als geheel. Juist in die wisselwerking ontstaat de waarde.

Waarom het onderweg soms rommelig mag zijn

Een implementatieproces als dit verloopt niet in een rechte lijn. Soms blijkt een risico scherper te moeten worden geformuleerd. Soms past een maatregel niet precies bij het risico waarvoor die bedoeld was. Soms roept een control test juist nieuwe vragen op. Dat kan voelen als vertraging, maar vaak is het precies daar waar het leren begint.

Want kwaliteit ontstaat niet doordat alles meteen perfect is ingericht. Kwaliteit ontstaat doordat we zichtbaar maken wat we doen, toetsen of het werkt en bereid zijn bij te sturen. Door risico's te begrijpen, maatregelen te bespreken en bevindingen te zien als informatie om beter te worden.

Naris als hulpmiddel, niet als doel

Naris helpt ons daarbij. Het systeem brengt structuur, samenhang en transparantie. Het maakt zichtbaar welke risico's we onderkennen, welke beheersingsmaatregelen daarbij horen en welke monitoring en opvolging nodig zijn. Daarmee wordt kwaliteitsmanagement minder afhankelijk van losse documenten, afzonderlijke overleggen of persoonlijke kennis. Het wordt beter overdraagbaar, navolgbaar en bestuurbaar.

Maar Naris is niet het doel. Het doel is dat we als organisatie beter begrijpen waar onze kwaliteitsrisico's zitten en hoe we daarop sturen. De interne kwaliteitsonderzoeken, waar ik eerder over schreef, zijn daarvan een goed voorbeeld: zij vormen één van de controls binnen het kwaliteitsmanagementsysteem. De uitkomsten helpen om te toetsen of maatregelen werken, waar tekortkomingen zichtbaar worden en welke opvolging nodig is. Juist door bevindingen, maatregelen en opvolging in Naris te verbinden, ontstaat meer samenhang tussen registratie, reflectie en verbetering.

Wanneer het plan samenkomt

Misschien is dat wel de belangrijkste parallel met The A-Team. Een plan komt niet samen omdat één iemand alle antwoorden heeft. Een plan komt samen, omdat verschillende mensen vanuit hun eigen rol bijdragen, omdat onderweg wordt bijgesteld en omdat het gezamenlijke doel helder blijft. Bij SKM1 is dat doel duidelijk: een kwaliteitsmanagementsysteem dat niet alleen voldoet aan de standaard, maar ook helpt om kwaliteit binnen aaff duurzaam te versterken.

We zijn er nog niet. Niet omdat het plan ontbreekt, maar juist omdat onze ambitie groter is. We willen niet alleen SKM1 goed inrichten, maar ook andere compliancekaders steeds beter verbinden, zoals ISO 27001, de AVG, de Wwft en DPIA’s. Ook communicatie vanuit toezichthouders hoort daarbij: welke risico's signaleren zij, welke thema's krijgen meer nadruk en wat betekent dat voor onze eigen kwaliteits- en risicosturing? De contouren worden steeds zichtbaarder. Rollen worden scherper, gesprekken concreter en stap voor stap ontstaat een manier van werken waarin kwaliteit aantoonbaar wordt gemaakt.

En dan hoor ik in gedachten toch weer Hannibal Smith: "I love it when a plan comes together." Niet omdat alles vanzelf goed komt, maar omdat je ziet dat samenwerking, structuur en volhouden verschil maken. Zeker wanneer het gaat om het duurzaam versterken van kwaliteit, risico en compliance binnen je kantoor.