Een beleidsdocument beschrijft wat een organisatie wil. Een controle beschrijft wat er daadwerkelijk gebeurt. Tussen die twee zit ruimte, en in die ruimte wonen de vragen die een auditor, een toezichthouder of een nieuwe bestuurder als eerste stelt. Niet: heeft u een beleid? Maar: kunt u laten zien dat het beleid ook de praktijk is?
Een beleidsstuk kan volledig, actueel en goed geschreven zijn, en toch niets zeggen over wat er op de vloer gebeurt. Beleid is een belofte. Praktijk is wat er is nagekomen. Het verschil zit in de vraag wie het beleid uitvoert, hoe dat gebeurt, en wat daarvan is vastgelegd. Zonder die drie elementen is een beleidsdocument een intentieverklaring, geen bewijsstuk.
Dat onderscheid is precies waar een verplichtingenregister op is gebouwd. Niet: welke regel geldt, maar: wie is eigenaar van de naleving, welk bewijs bestaat daarvan, en welke control toont aan dat het proces herhaalbaar is. Zonder eigenaar blijft een verplichting op papier. Wie hoort eigenaar te zijn van een verplichting is dan ook geen administratieve vraag, maar de vraag die het verschil maakt tussen beleid en praktijk.
Bewijs is niet het beleidsdocument zelf. Bewijs is het spoor dat de uitvoering van dat beleid achterlaat: een goedgekeurd formulier, een loggegeven, een e-mail met een besluit, een rapportage die op een vaste datum is opgeleverd. Bewijs bestaat pas als het is vastgelegd op het moment dat het gebeurde, niet achteraf gereconstrueerd.
Dit is waar veel organisaties struikelen. Het beleid is er, de intentie is oprecht, maar het bewijs is fragmentarisch of bestaat pas nadat er om is gevraagd. Een assurance-traject legt dat verschil genadeloos bloot. Wat een assurance-verklaring precies verlangt van een dossier is dan ook een aparte vraag: wat vraagt een assurance-verklaring van uw dossier laat zien dat de lat hoger ligt dan een verzameling documenten in een map.
De Compliance Check maakt zichtbaar waar beleid en praktijk uit elkaar lopen. Die zichtbaarheid is niet hetzelfde als de oplossing. De methode wijst aan welke verplichting geen eigenaar heeft, welke control ontbreekt en welk bewijs nog niet bestaat. Ze voert de control niet uit en ze schrijft het beleid niet. Ze levert een structuur waarmee een organisatie zelf kan vaststellen waar de praktijk achterblijft bij de belofte, en dat is een andere prestatie dan het dichten van die kloof.
Het is ook geen momentopname die blijft kloppen. Verplichtingen veranderen, eigenaren wisselen van functie, en wat vandaag als bewijs geldt kan morgen onvoldoende zijn. Hoe vaak een verplichtingenregister eigenlijk aanpassing nodig heeft, is een vraag die veel organisaties onderschatten: hoe vaak verandert een verplichtingenregister beschrijft waarom dit geen eenmalige exercitie is.
Het verschil tussen beleid en praktijk wordt groter naarmate meer partijen bij de uitvoering betrokken zijn, en dat geldt bij uitstek voor organisaties met vestigingen in meerdere landen. Een Europese regel krijgt per land een eigen invulling, en het beleid dat op hoofdkantoorniveau is geschreven, sluit niet automatisch aan op wat lokaal wordt bijgehouden. De praktijk in de ene vestiging kan sterk afwijken van de praktijk in de andere, terwijl het beleidsdocument in beide gevallen identiek is.
Dat maakt het onderhouden van die nationale koppen tot een terugkerende opgave in plaats van een eenmalige check. Hoe dat te doen is zonder in een wirwar van losse abonnementen en lokale tools te belanden, staat beschreven op hoe houdt u nationale koppen bij zonder abonnementenjungle.
Een rapport beschrijft een toestand op een moment. Het verschil tussen beleid en praktijk verandert echter voortdurend, en een momentopname veroudert zodra de eerste wijziging optreedt. Dat is waarom een compliance check als methode iets anders beoogt dan een rapport: het gaat om een levend register waarin eigenaarschap, bewijs en control blijvend aan elkaar gekoppeld zijn, in plaats van een document dat na opleveren direct gedateerd is.
De kosten van het niet weten waaronder een organisatie valt, worden meestal pas zichtbaar op het moment dat een toezichthouder, een bank of een grote klant om aantoonbaarheid vraagt en die niet blijkt te bestaan. Wat het kan betekenen om op dat moment zonder antwoord te staan, staat toegelicht op wat kost het om niet te weten waaronder u valt.
Het vaststellen van het verschil tussen beleid en praktijk roept vanzelf een vervolgvraag op: wie in de organisatie heeft daadwerkelijk de tijd om dat bewijs te verzamelen, bij te houden en te herzien zodra een verplichting wijzigt. Dat is een capaciteitsvraag, en die staat los van de vraag of de organisatie weet wat er moet gebeuren. FTE TO AI werkt vanuit die vervolgvraag met een werkscan die per taak berekent welk deel van het werk door AI is over te nemen, zodat duidelijk wordt waar mensen tijd overhouden voor het werk dat een computer niet kan doen: het beoordelen, het beslissen en het verantwoorden.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.