Een fout ontstaat.
Er komt een extra controle.
Er vindt fraude plaats.
We voegen toezicht toe.
Een risico wordt zichtbaar.
Er komt een registratieplicht.
Dat klinkt logisch.
En vaak is het ook logisch.
Maar zodra een controle eenmaal onderdeel is geworden van een proces, gebeurt er iets interessants.
We controleren voortaan.
Maand na maand.
Jaar na jaar.
En langzaam verdwijnt een andere vraag naar de achtergrond:
Hoe weten we eigenlijk of deze controle nog werkt?
Wanneer een controle iets vindt
Stel dat een controle fraude ontdekt.
Dan voelt het antwoord eenvoudig.
Zie je wel?
De controle was nodig.
Er is iets gevonden wat anders misschien onopgemerkt was gebleven.
Maar stel dat een controle jarenlang niets vindt.
Wat betekent dat dan?
Dat de controle niet nodig is?
Of juist dat mensen zich anders gedragen omdat ze weten dat er gecontroleerd wordt?
Dat is het ingewikkelde aan preventie.
Een deel van het succes bestaat uit gebeurtenissen die niet plaatsvinden.
En wat niet gebeurt, laat zich moeilijk tellen.
Een controle heeft ook een prijs
De opbrengst van een controle kan dus moeilijk zichtbaar zijn.
De kosten zijn dat vaak evenmin.
Niet omdat ze er niet zijn.
Maar omdat ze verspreid zijn.
Tien minuten hier.
Een formulier daar.
Een extra document.
Een extra goedkeuring.
Een medewerker die gegevens verzamelt.
Een ondernemer die informatie aanlevert.
Los van elkaar lijkt het weinig.
Maar stel dat duizend ondernemers ieder één uur per jaar aan dezelfde controle besteden.
Dan vertegenwoordigt dat samen duizend uur werk.
Meer dan een half arbeidsjaar.
En dan hebben we het nog niet over de tijd van de organisatie die de informatie vervolgens ontvangt,
verwerkt en controleert.
Een controle kost daarom niet alleen geld.
Ze kost ook:
tijd;
capaciteit;
aandacht;
doorlooptijd;
en soms flexibiliteit.
Dat betekent niet dat de controle daarom moet verdwijnen.
Maar die prijs hoort wel bij de beoordeling.
Controle is onderdeel van een proces
Misschien is dit waar het interessant wordt.
We behandelen een controle vaak alsof het een afzonderlijke handeling is.
Maar een controle staat bijna nooit op zichzelf.
Er moet informatie voor worden verzameld.
Die informatie moet ergens worden vastgelegd.
Iemand moet haar beoordelen.
Afwijkingen moeten worden onderzocht.
Uitkomsten moeten misschien worden gerapporteerd.
En soms ontstaat daarna weer een nieuwe controle.
Zo kan één beheersmaatregel langzaam een heel proces om zich heen bouwen.
En dat proces kan blijven bestaan, ook wanneer niemand meer opnieuw onderzoekt welke waarde de oorspronkelijke controle nog toevoegt.
Meer controle betekent niet automatisch meer beheersing
Wanneer een risico belangrijk is, voelt een extra controle veilig.
Maar naarmate er meer controles bijkomen, wordt een volgende vraag steeds belangrijker:
Hoeveel extra risico vangt deze controle nog af?
Misschien ontdekt een nieuwe controle iets wat alle eerdere controles misten.
Dan kan haar toegevoegde waarde groot zijn.
Maar misschien controleert zij grotendeels hetzelfde risico dat op drie andere plaatsen al wordt beheerst.
Dan ontstaat overlap.
En precies daarom kun je de waarde van een controle niet beoordelen door alleen te vragen of zij een goed doel dient. Je moet ook weten welke plaats zij binnen het totale systeem inneemt.
Wat probeer je eigenlijk te beschermen?
Misschien begint het beoordelen van een controle daarom niet bij de controle zelf.
Maar bij het risico.
Wat kan er misgaan?
Hoe groot is de kans daarop?
Wat zijn de gevolgen?
Welke andere maatregelen bestaan al?
En welke extra zekerheid voegt deze controle daar werkelijk aan toe?
Pas daarna kun je kijken naar de andere kant.
Wat vraagt deze controle van mensen en organisaties?
Hoeveel tijd kost zij?
Hoeveel vertraging veroorzaakt zij?
Hoe ingewikkeld maakt zij het proces?
En ontstaan er misschien nieuwe risico’s doordat mensen vooral bezig raken met het voldoen aan de controle?
Dat laatste is belangrijk.
Want een systeem kan op papier perfect beheerst lijken en in de praktijk steeds moeilijker uitvoerbaar worden.
Niet alles laat zich uitrekenen
Daar zit dezelfde moeilijkheid als bij veel maatschappelijke vraagstukken.
Veiligheid heeft waarde.
Vertrouwen heeft waarde.
Het voorkomen van fraude heeft waarde.
Maar die waarde laat zich niet altijd precies tegenover een aantal arbeidsuren zetten.
Dat hoeft ook niet.
De vraag hoeft niet altijd te zijn:
“Kunnen we exact bewijzen dat deze controle meer oplevert dan zij kost?”
De vraag kan ook zijn:
“Kunnen we nog uitleggen waarom deze controle bestaat, welk risico zij beheerst en waarom we de belasting die zij veroorzaakt redelijk vinden?”
Dat is geen perfecte rekensom.
Maar het is wel een vorm van bestuurbaarheid.
Een controle verdient onderhoud
Misschien zouden controles daarom net als processen periodiek opnieuw bekeken moeten worden.
Niet pas wanneer iemand klaagt dat er te veel regels zijn.
Maar als normaal onderdeel van goed systeemonderhoud.
Bestaat het risico nog?
Is de controle nog steeds nodig?
Werkt zij zoals bedoeld?
Is dezelfde informatie inmiddels ergens anders beschikbaar?
Bestaat er overlap met andere controles?
Kan het doel eenvoudiger worden bereikt?
En misschien de ongemakkelijkste vraag:
Zouden we deze controle vandaag opnieuw op dezelfde manier ontwerpen?
Als het antwoord ja is, hebben we opnieuw begrepen waarom zij bestaat.
Als het antwoord nee is, hebben we iets anders geleerd.
Dan is niet noodzakelijk het doel achterhaald.
Misschien is alleen het proces eromheen aan vernieuwing toe.
De moeilijkste controlevraag
Een controle werkt niet automatisch omdat zij bestaat.
En ook niet alleen omdat zij af en toe iets ontdekt.
Daarom zouden we misschien steeds opnieuw drie vragen moeten durven stellen:
Welke zekerheid levert deze controle ons op?
Welke prijs betalen we daarvoor?
En vinden we die verhouding nog steeds verdedigbaar?
Want goede beheersing betekent niet dat je ieder risico probeert uit te sluiten.
Het betekent dat je bewust bepaalt welke risico’s je wilt beheersen,
waarom je dat doet en hoeveel complexiteit je daarvoor bereid bent te bouwen.
En misschien is dat wel de moeilijkste controlevraag van allemaal.
