In de vorige blog stond de inrichting centraal: GRC geïntegreerd in het BPM-proces. Maar inrichting alleen garandeert nog geen werking in de praktijk.

GRC wordt pas effectief als het is verankerd in de primaire processen en wordt gedragen door de organisatie zelf.

Borging van GRC bereik je niet door meer controles of extra audits. In de praktijk zit de sleutel in verankering in het dagelijks werk. GRC wordt pas effectief wanneer de eerste lijn:

• begrijpt waarom risico- en compliancebeheersing belangrijk is;

• deze vanzelfsprekend meeneemt in het uitvoeren en verbeteren van processen;

• en zich herkent in de gekozen beheersmaatregelen.

De rol van de tweede lijn is hierin cruciaal, maar wezenlijk anders dan vaak gedacht. Niet als controleur of ‘politieagent’, maar als gids en sparringpartner. De tweede lijn helpt risico’s te duiden, kaders te vertalen naar de praktijk en beheersing verder te professionaliseren.

Het Management Control Framework ondersteunt deze manier van werken doordat het meer doet dan vastleggen. Het maakt zichtbaar:

• wie waarvoor verantwoordelijk is;

• hoe processen samenhangen met risico’s en controls;

• en welke stuurinformatie beschikbaar is voor management en bestuur.

Daardoor wordt GRC geen losstaande verplichting, maar onderdeel van hoe de organisatie haar processen inricht, uitvoert en verbetert. Dat vergroot eigenaarschap en zorgt ervoor dat beheersing bijdraagt aan kwaliteit en voorspelbaarheid.

Wanneer GRC is verankerd in processen en gedragen wordt door de organisatie, ontstaat rust en voorspelbaarheid. Risicobeheersing en compliance worden onderdeel van “hoe we werken”, in plaats van iets dat achteraf moet worden verantwoord.

Dat roept de volgende vraag op: hoe gebruik je dit inzicht om daadwerkelijk te sturen en bij te sturen?
Hoe voorkom je dat waardevolle informatie alsnog verdwijnt in losse rapportages?

In de laatste blog van deze serie gaan we in op eigenaarschap en integraal sturen.