Breng IT, risk en governance samen met COBIT 2019. Ontdek hoe dit framework je helpt IT-risico’s te beheersen en je organisatie écht in control te brengen. Alle blogs IT-beheersing Cobit COBIT: het kompas voor IT-governance, risk en control Je herkent het vast. De IT-omgeving van je organisatie wordt elk jaar complexer. Er zijn legacy-systemen, cloudplatformen, ketens met leveranciers, security-eisen, privacywetgeving, DORA, AI-experimenten… En ondertussen verwacht de directie één simpel antwoord: “Zijn we in control?” Voor internal auditors, riskmanagers en controllers is dat geen makkelijke vraag meer. Excel-lijstjes en losse IT-audits zijn een goede basis maar niet voldoende. Je hebt een gemeenschappelijke taal nodig tussen business, IT en bestuur. Precies daar komt COBIT in beeld. In deze blog nemen we COBIT onder de loep. Wat is het, waarom is COBIT 2019 zo belangrijk, en hoe helpt het jou concreet in je audit- en risicopraktijk? Wat is COBIT? COBIT staat voor Control Objectives for Information and Related Technologies en is een internationaal erkend raamwerk van ISACA (de beroepsvereniging van IT-auditors) voor de governance en het management van informatie en technologie. Het is geen technisch handboek voor IT, maar een overkoepelend raamwerk dat helpt om IT-activiteiten te verbinden met organisatiedoelen, risico’s en compliance-eisen. Sinds de eerste versie in de jaren ’90 is COBIT flink geëvolueerd. De huidige versie, COBIT 2019 , bouwt voort op COBIT 5 en scherpt de focus op enterprise governance of information & technology (EGIT). Waar COBIT 5 vijf kernprincipes en 37 processen kende, werkt COBIT 2019 met zes governanceprincipes en een model van 40 governance- en managementdoelstellingen , verdeeld over vijf domeinen. Belangrijk om te benadrukken: COBIT is niet bedoeld als “IT-trucje” dat je bij de ICT-afdeling parkeert. Het framework richt zich nadrukkelijk op het speelveld tussen bestuur, business en IT. Het helpt bestuurders, lijnmanagement, IT, risk, security én internal audit om vanuit hetzelfde referentiekader naar IT-risico’s, prestaties en controls te kijken. COBIT als fundament voor IT-governance De gedachte achter COBIT is simpel en tegelijk krachtig: organisaties zijn steeds afhankelijker van informatie en technologie, dus moet de governance van IT integraal onderdeel zijn van corporate governance. In plaats van “IT beheert IT en de rest kijkt toe” zegt COBIT: informatie en technologie worden bestuurd vanuit dezelfde principes als de rest van de organisatie. Denk aan helder eigenaarschap, duidelijke doelen, risicobereidheid, prestatiemeting en continue verbetering. COBIT 2019 maakt dit concreet via een core model met 40 governance- en managementdoelstellingen. Deze zijn ondergebracht in vijf domeinen met elk een eigen focus: Evaluate, Direct and Monitor (EDM) voor governance door bestuur en directie. Align, Plan and Organize (APO) voor strategie, architectuur en organisatie van IT. Build, Acquire and Implement (BAI) voor veranderingen en projecten. Deliver, Service and Support (DSS) voor de dagelijkse dienstverlening en security. Monitor, Evaluate and Assess (MEA) voor monitoring, compliance en assurance. Elke doelstelling is verder uitgewerkt in processen, rollen, informatiestromen, benodigde vaardigheden, policies en onderliggende services en applicaties. Met andere woorden: COBIT beschrijft niet alleen wat er moet gebeuren, maar ook hoe je het governancesysteem kunt vormgeven. Waarom COBIT zo relevant is voor auditors en risk professionals Voor de doelgroep van Ferocia; internal auditors, risk managers, controllers en compliance officers is COBIT in feite een rijk gevulde gereedschapskist. Je krijgt een gestructureerde manier om naar IT-risico’s en beheersing te kijken, die je direct kunt aansluiten aan organisatiedoelen en enterprise risk management. In de praktijk zie je vaak drie problemen terugkomen: IT-risico’s worden versnipperd behandeld, business en IT spreken een andere taal, en auditplannen zijn wel risicogebaseerd, maar niet verankerd in een consistent IT-governancemodel. COBIT helpt op alle drie de punten. Ten eerste biedt het een gemeenschappelijke taal . Als jij het over DSS02 of BAI06 hebt, weet de IT-organisatie precies welke processen en activiteiten je bedoelt. Tegelijk kun je de koppeling leggen met enterprise goals, risk appetite en compliance-eisen, waardoor bestuurders zich herkennen in de taal. Ten tweede ondersteunt COBIT risicogebaseerde prioritering . Via de zogenaamde goals cascade vertaal je organisatiedoelen en risico’s naar alignment goals en vervolgens naar relevante governance- en managementdoelstellingen. Dat maakt het veel eenvoudiger om te onderbouwen waarom je bepaalde IT-processen wél en andere (nog) niet onderzoekt. En ten derde sluit COBIT goed aan bij de rol van de audit- en riskmanager als “schaap met vijf poten”: je combineert kennis van processen, risico’s, IT, governance én gedrag om het lerend vermogen van de organisatie te versterken. De kern van COBIT 2019: principes, doelen en design factors COBIT 2019 introduceert zes governanceprincipes voor een goed ingericht IT-governancesysteem. Dat zijn waardecreatie, risicobeheersing, transparante verantwoordelijkheid, integratie in corporate governance, een holistische aanpak en flexibiliteit. Die principes zijn geen theorie voor op de muur, maar concrete toetsstenen. Als jij een onderzoek doet op IT-outsourcing, cloudgebruik of cyberbeveiliging, kun je de vraag stellen: dragen deze keuzes bij aan waardecreatie, zijn de risico’s aantoonbaar in beeld en past de inrichting bij de rol van IT in onze organisatie? Een belangrijk nieuw element in COBIT 2019 zijn de design factors . Dat zijn factoren als ondernemingsstrategie, risicoprofiel, compliance-eisen, de rol van IT, sourcingmodel en dreigingslandschap, die bepalen hoe je governance-systeem er in jouw context uit moet zien. Voor auditors en riskmanagers is dit herkenbaar: een systeembeheerclub van 20 mensen bij een middelgroot bedrijf vraagt een andere invulling van IT-governance dan een internationaal opererende bank. Met de design factors voorkom je dat COBIT wordt gebruikt als “one size fits all”-checklist. Je ontwerpt een governancesysteem dat proportioneel is én toch stevig genoeg om de risico’s te dragen. COBIT in de audit- en riskpraktijk: van theorie naar veldwerk Hoe ziet dit er nu uit als je met je team bij een organisatie binnenstapt? In grote lijnen kun je drie gebruiksscenario’s onderscheiden. Allereerst kun je COBIT gebruiken als referentiemodel voor specifieke IT-onderzoek. Stel, je voert een onderzoek uit op change management of op de beveiliging van een kritieke applicatie. Via de relevante BAI- of DSS-processen zie je welke activiteiten, rollen, informatiestromen en controls “normaal” zijn om te verwachten. Dat helpt je om je normenkader scherp te krijgen en bevindingen beter te onderbouwen. Ten tweede kun je COBIT inzetten voor een brede beoordeling van IT-governance . Je kijkt dan niet naar één proces, maar naar de samenhang tussen processen. Hoe worden IT-doelen afgeleid van organisatiedoelen? Hoe lopen rapportagelijnen? Welke KPI’s en KRI’s worden gebruikt? Hoe wordt de performance van IT-leveranciers gemonitord? Je bouwt een integraal beeld op van de “besturing van IT”. Het derde scenario is dat je COBIT gebruikt als verbeterraamwerk . Daar komt de performance- en maturiteitscomponent van COBIT 2019 in beeld. Processen kunnen beoordeeld worden op een capabilityniveau van 0 tot 5. In plaats van alleen te concluderen dat iets “onvoldoende” is, kun je laten zien waar een proces nu staat, waar het minimaal zou moeten zitten gegeven het risicoprofiel, en welke concrete verbeterstappen nodig zijn om daar te komen. Die manier van werken past goed bij de rol van de moderne internal auditor en riskmanager: niet alleen controleren of een vinkje gezet kan worden, maar vooral organisaties helpen om doelgericht te groeien in volwassenheid. Koppeling met andere kaders: DORA, ISO, NIST en AI Een veelgehoorde vraag is: “Maar we doen al iets met ISO 27001, NIST CSF of we zijn bezig met DORA. Hebben we COBIT dan echt nog nodig?” Het korte antwoord: COBIT is geen concurrent van deze kaders, maar een paraplu . Waar ISO- en NIST-standaarden diep de inhoud in gaan op bijvoorbeeld informatiebeveiliging, geeft COBIT je het overkoepelende raamwerk waarin al die standaarden een plek krijgen. Ook richting nieuwe thema’s, zoals AI-governance, blijkt COBIT goed bruikbaar. ISACA laat in recente publicaties zien hoe je COBIT-principes en -doelstellingen kunt gebruiken voor het inrichten van verantwoord AI-gebruik, zonder dat je meteen alles opnieuw hoeft uit te vinden. Voor auditors en riskmanagers is dat prettig: je kunt bestaande frameworks, richtlijnen en wetgeving (zoals DORA voor financiële instellingen) koppelen aan concrete COBIT-doelstellingen en zo een geïntegreerd beeld vormen van risico’s en beheersing. Veelgemaakte fouten bij het werken met COBIT Toch gaat het in de praktijk regelmatig mis. Een paar valkuilen komen steeds terug. Een eerste valkuil is dat COBIT wordt behandeld als een starre checklist . Organisaties plakken procesnamen op bestaande activiteiten en verklaren zichzelf vervolgens “COBIT-compliant”. De essentie, namelijk of IT-governance echt bijdraagt aan waardecreatie, risicobeheersing en transparantie blijft dan onderbelicht. Een tweede valkuil is dat COBIT te technisch wordt ingestoken. De discussie belandt dan in de sfeer van tooling en detailprocessen, terwijl bestuurders en lijnmanagers juist behoefte hebben aan inzicht in risico’s, afhankelijkheden, verantwoordelijkheden en impact op organisatiedoelen. Derde valkuil: er wordt wel een prachtig governance-model op papier gezet, maar cultuur en gedrag blijven buiten beschouwing. Meldt men incidenten echt? Neemt het management eigenaarschap voor IT-risico’s? Worden auditbevindingen gebruikt om te leren of alleen om het dossier op orde te krijgen? Als je alleen naar hard controls kijkt, mis je een groot deel van het verhaal, iets wat in de opleidingen en trainingen van Ferocia wel duidelijk naar voren komt. Hoe begin je als organisatie met COBIT? De kracht van COBIT zit niet in dikke rapporten, maar in gesprekken die je ermee kunt voeren. Begin klein. Breng met bestuur, IT en risk een paar vragen in kaart: welke organisatiedoelen leunen het zwaarst op informatie en technologie? Welke risico’s houden jullie wakker? Waar zitten de grootste afhankelijkheden in de keten? Leg daar vervolgens het COBIT-model naast. Welke governance- en managementdoelstellingen zijn in jullie context echt cruciaal? Hoe zijn die nu ingericht? Welke hiaten zie je? Zo wordt COBIT geen theoretisch boekwerk, maar een praktische bril om anders naar je IT-landschap, risico’s en controls te kijken. Voor internal auditors en riskmanagers is COBIT daarmee een manier om je rol te verbreden. Je bent niet alleen meer de specialist die individuele processen controleert, maar ook de sparringpartner die de samenhang ziet tussen strategie, risico’s, IT-governance en gedrag. Tot slot COBIT 2019 is veel meer dan een IT-framework. Het is een kompas voor organisaties die serieus werk willen maken van digitale governance, risicobeheersing en verantwoording. Het helpt je om de taal van bestuurders, lijnmanagement en IT met elkaar te verbinden, risico’s scherp te krijgen en gericht te werken aan volwassenheid. Voor professionals in audit, risk, control en compliance biedt COBIT een stevige basis om je werk naar een hoger niveau te tillen. Of je nu een eerste IT-governance-scan doet of een meerjarig verbeterprogramma begeleidt: met COBIT heb je een internationaal erkend referentiekader in handen dat meegroeit met de veranderende digitale werkelijkheid. De vraag is dus niet zozeer of je iets met COBIT gaat doen, maar hoe je het gaat gebruiken: als vinklijstje, of als strategisch instrument om jouw organisatie écht in control te brengen over informatie en technologie. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

< Terug Vacature Coördinator Financiële administratie VluchtelingenWerk Nederland Per direct 32 tot 36 uur per week Amsterdam / Hybride € 57.404,12 tot € 92.205,93 per jaar SOLLICITEER Over Vluchtelingenwerk Overal ter wereld moeten mensen vluchten voor hun leven vanwege oorlog, politiek geweld, hun seksuele geaardheid, afkomst of religie. In Nederland kunnen zij rekenen op de ondersteuning van VluchtelingenWerk Nederland. Van aankomst tot zelfredzaamheid, zetten velen vrijwilligers en betaalde krachten zich dagelijks in. Jij kunt hieraan bijdragen en helpen de toekomst van vluchtelingen en asielzoekers vorm te geven. Bij VluchtelingenWerk werk je met bevlogen mensen in een organisatie die sterk in beweging is. Over de functie Als Coördinator Financiële Administratie stuur jij dagelijks een team van zes tot acht collega’s functioneel aan. Jij zorgt ervoor dat de financiële administratie op rolletjes loopt – met name aan de inkoop- en betalingskant. Daarnaast ondersteun je de business controller en financial controller met rapportages, analyses en managementinformatie. Je bewaakt de kwaliteit van de cijfers en de betrouwbaarheid van de administratie. Je signaleert verbetermogelijkheden, stelt richtlijnen en procedures op, en vertaalt deze in werkbare processen. Kortom: jij zorgt voor grip, structuur en continuïteit. Waarom dit jouw volgende stap is Je krijgt een centrale rol binnen de organisatie en bent van grote waarde voor de financiële betrouwbaarheid. Je werkt samen met betrokken collega’s in een informele en professionele werkomgeving. Er is volop ruimte om mee te denken en jouw ideeën te realiseren. Je combineert vakinhoudelijke en coördinatiewerkzaamheden. Wat ga je doen? Toezien op correcte verwerking van financiële mutaties en het uitvoeren van interne controles. Implementeren en onderhouden van administratieve richtlijnen en processen. Coördineren van maandrapportages en aanleveren van cijfers volgens de P&C-cyclus. Ondersteunen van je team bij administratieve vraagstukken. Samenwerken met controllers bij het opstellen van analyses, begrotingen en jaarstukken. Fungeren als verbindende schakel tussen afdelingen en schakelen met verschillende lagen in de organisatie. Wie zoeken we? Je beschikt over een afgeronde hbo-opleiding, bij voorkeur in een financiële richting. Je hebt ruime ervaring opgedaan binnen de financiële administratie, en weet hoe je betrouwbare rapportages opstelt en interne controleprocessen effectief inricht. Je analytisch vermogen stelt je in staat om knelpunten te herkennen en verbetermogelijkheden te signaleren. Je overziet het grotere geheel, maar hebt ook oog voor detail. Daarnaast neem je initiatief en toon je eigenaarschap: je wacht niet af, maar handelt proactief. Heb je ervaring met projectadministratie? Dan is dat zeker een pré. Je weet dan hoe je financiële stromen binnen projecten beheerst en overzicht houdt in een dynamische omgeving. Tot slot ben je een echte verbinder. Je bent toegankelijk en communiceert helder. Je biedt ondersteuning waar nodig, hebt oog voor je collega’s en draagt actief bij aan een prettige en professionele werksfeer binnen het team. Voor alle functies binnen VluchtelingenWerk Nederland is een Verklaring Omtrent het Gedrag (VOG) vereist. Kandidaten dienen bereid te zijn om deze VOG aan te vragen en te overleggen voorafgaand aan de indiensttreding. Wat bieden we? Een salaris van tussen € 57.404,12 en € 92.205,93 per jaar inclusief vakantietoeslag en 16,5% IKB (schaal 10). De mogelijkheid om 32 of 36 uur te werken. Hybride werken. Reiskostenvergoeding en thuiswerkvergoeding. Een pensioenregeling via Pensioenfonds Zorg & Welzijn. Loopbaanbudget voor studiekosten. Een telefoon en laptop van de zaak. Over ons Ferocia levert verschillende diensten op het gebied van audit, controlen risicomanagement. Zo bemiddelen we in (interim-)professionals, waarbij we ons onderscheiden met onder meer ons uitgebreide netwerk en scherpe tarieven. Daarnaast ontzorgen onze ervaren consultants organisaties bij vraagstukken op het gebied van sturing en beheersing; van coaching van raden van bestuur tot implementatie van beheersmaatregelen in complexe omgevingen. Ook biedt Ferocia open en inhouse opleidingen en trainingen op voorgenoemde gebieden. Dit alles doen we vanuit het principe ‘inspiratie, co-creatie, prestatie’. Lijkt deze functie je wat en herken je jezelf in het geschetste profiel? Of heb je vragen over deze functie? Solliciteer dan direct of neem contact op met Terri Stuijfbergen-Beens (085-0608598, terri.stuijfbergen@ferocia.nl ). Is deze functie toch niks voor jou? Check dan ook onze andere vacatures ! Ken je een andere topper bij wie deze functie zou passen? Dan komen we daarmee graag in contact! En vanzelfsprekend stellen we daar wat tegenover. Als je tip leidt tot plaatsing, dan belonen we je met een mooie finder's fee!

< Terug Vacature Manager internal audit CMIS Group Per direct 32 tot 40 uur per week Amsterdam / Hybride € 64.800,- tot € 90.720,- per jaar SOLLICITEER Over CMIS Group Credit Management & Investor Solutions Group (CMIS Group) is een financiële dienstverlener die consumenten, geldverstrekkers en investeerders samenbrengt op de Nederlandse hypotheekmarkt. De verschillende divisies bedienen de volledige hypotheekketen: van onafhankelijk hypotheekadvies tot het aantrekken van kapitaal en het verzorgen van de service die bij hypotheken hoort. CMIS Group is het moederbedrijf van de bekende franchiseformule De Hypotheekshop, en van hypotheeklabels Merius Hypotheken, Hyra Hypotheken en Impact Hypotheken. XMIS Group is een internationaal opererende multi-asset class servicer met meer dan €7 miljard aan assets under management en circa 130 medewerkers. Het bedrijf wordt al jaren extern getoetst via onder andere Fitch Ratings en ISAE 3402-audits. Over de afdeling GRCA Je maakt deel uit van het GRCA-team (Governance, Risk Management, Compliance & Audit). Als Manager internal audit vorm je de derde verdedigingslinie: je voert onafhankelijke toetsingen uit en vertaalt bevindingen naar praktisch advies voor de business. Het team bestaat verder uit een chief risk officer, een risk manager en twee compliance officers, en je werkt veel samen met het team Legal en het team Business Process Improvement. Over de functie Je krijgt vrijheid om de rol inhoudelijk vorm te geven: het ontwikkelen van het auditjaarplan, het kiezen van methoden en tooling, en het aanbrengen van eigen accenten in focusonderwerpen en diepgang. Je kiest een werkwijze die past bij de vraag en de context, met volop ruimte voor initiatief en eigenaarschap. Je beoordeelt onafhankelijk de kwaliteit van risicobeheersing en vertaalt je bevindingen naar concrete, haalbare verbeteracties. Daarmee lever je een zichtbare bijdrage aan het lerend vermogen van de organisatie. De auditfunctie binnen het GRCA-team is essentieel om onafhankelijk te toetsen of interne processen en beheersmaatregelen effectief werken. Dit waarborgt transparantie, naleving van regelgeving en de continue verbetering van de organisatie en haar dienstverlening. Je werkt op de 15de etage van Gebouw Q-Port in Amsterdam Sloterdijk, met schitterend uitzicht over de stad. Het hoofdkantoor ligt op loopafstand van station Sloterdijk en hybride werken is goed mogelijk. De cultuur is hands-on, informeel en open. Je opereert in de volledige hypotheekketen (onder meer Merius Hypotheken, Impact Hypotheken, De Hypotheekshop en Huis & Hypotheek), waardoor je audits inhoudelijk afwisselend zijn. Wat ga je doen? Je stelt het auditjaarplan op en stemt deze af met de business. Je voert met name operationele, maar ook IT-audits uit en rapporteert hierover aan relevante stakeholders. Je faciliteert control self-assessments en diepgaande oorzaakanalyses. Je bewaakt de openstaande actiepunten. Je onderhoudt relaties met de business, de externe accountants en andere stakeholders. Je bent ambassadeur van de implementatie van het GRC-gedachtegoed binnen de organisatie. Je coördineert samen met de afdeling het ISAE 3402-programma. Wie zoeken we? We zoeken een constructieve internal auditor die leren en verbeteren boven afvinken stelt. Je hebt enkele jaren ervaring in audit, risk of control, bij voorkeur in een financiële omgeving. Je bent leergierig en investeert actief in jezelf: je volgt gericht trainingen of certificeringen waar zinvol en past nieuwe inzichten direct toe. Je voelt je thuis in een informele, open scale-upcontext en pakt eigenaarschap om de rol verder te vormen: van het opstellen van het auditjaarplan en het uitvoeren van operationele en IT-audits tot het begeleiden van control self-assessments en het slim inzetten van methoden, tooling en oorzaakanalyses. Je verbindt soepel met stakeholders – van business en MT tot externe accountants – en communiceert vloeiend in het Nederlands en Engels. Je werkt zelfstandig, zoekt actief de samenwerking op, bewaakt voortgang en borgt opvolging, zodat adviezen landen en de organisatie aantoonbaar beter wordt. Wat bieden we? Nieuwe, impactvolle rol in de derde lijn met veel vrijheid en invloed op de opzet van de auditfunctie. Compact GRCA-team, korte lijnen en directe samenwerking met het MT binnen de volledige hypotheekketen. Werkplek op de 15de etage van Gebouw Q-Port (Amsterdam Sloterdijk), met schitterend uitzicht; station op loopafstand en goede parkeermogelijkheden. Hybride werken: idealiter 2 tot 3 dagen op kantoor; flexibel werken tussen 07:00 en 21:00 uur. Salarisindicatie: € 5.000 – € 7.000 per maand (ca. € 64.800 – € 90.720 per jaar incl. vakantiegeld). 25 vakantiedagen (200 uur op basis van 40 uur); onbetaald verlof in overleg. Spotbonussen tot € 5.000,-. Pensioen via Zwitserleven: 7% werkgeversbijdrage en 2% werknemersbijdrage. Reiskostenvergoeding: € 0,23 per km of NS 2e klas (tot 75 km enkele reis). Thuiswerkvergoeding. Studiekostenregeling bespreekbaar en ruime kansen om door te groeien Collectieve zorgverzekering Informele cultuur met gezamenlijke lunches Over ons Ferocia is het enige bureau in Nederland dat volwaardige dienstverlening levert op het gebied van interim en consultancy, opleidingen en trainingen, en werving en selectie, binnen de vakgebieden internal audit, control en risicomanagement. Wij bieden deze disciplines afzonderlijk aan én combineren ze waar nodig — alles onder één dak. Dat is de kracht van complete dienstverlening! Lijkt deze functie je wat en herken je jezelf in het geschetste profiel? Of heb je vragen over deze functie? Solliciteer dan direct of neem contact op met Terri Stuijfbergen-Beens (085-0608598, terri.stuijfbergen@ferocia.nl ). Is deze functie toch niks voor jou? Check dan ook onze andere vacatures! Ken je een andere topper bij wie deze functie zou passen? Dan komen we daarmee graag in contact! En vanzelfsprekend stellen we daar wat tegenover. Als je tip leidt tot plaatsing, dan belonen we je met een mooie finder's fee!

Wat is internal auditing? Ontdek hoe internal auditing bijdraagt aan risicobeheersing, procesverbetering en strategische ondersteuning van organisaties. Internal auditing In deze blog gaan we in op het begrip internal auditing. Wat is het, hoe is het vakgebied ontstaan, waarom is het belangrijk voor organisaties en welke specialisaties zijn er binnen internal auditing? Voordat we hierop ingaan, gaan we eerst de term auditing bespreken en leggen we het verschil uit tussen extern en intern. Wat is auditing? Bij auditing denken veel mensen meteen aan het controleren van de boeken, het afvinken van lijstjes of het naleven van regels. Maar auditing is veel breder en waardevoller dan dat. Het is een vak dat steeds belangrijker wordt in een wereld vol risico’s, complexiteit en verandering. Auditing is toetsend onderzoek waarbij de werkelijk situatie wordt afgezet tegen een vooraf vastgestelde norm, wat resulteert in een oordeel. Audits worden systematisch, objectief en onafhankelijk uitgevoerd en de onderwerpen die ge-audit kunnen worden zijn eindeloos. Denk hierbij aan doelrealisatie, processen, systemen, wet- en regelgeving en gedragingen in een organisatie. Het doel is om te beoordelen of deze beheerst verlopen, voldoen aan normen of wet- en regelgeving en/of ze bijdragen aan het realiseren van organisatiedoelen. Maar auditing gaat verder dan controleren alleen. Het is ook een manier om organisaties te helpen verbeteren. De auditor is niet alleen de politieagent van de organisatie, maar zeker ook een objectieve en onafhankelijke expert die inzicht biedt, risico’s zichtbaar maakt en adviezen geeft die bijdragen aan het versterken van het lerend vermogen van de organisatie. Een goede audit is dus zowel toetsend als lerend. Het geeft duidelijkheid over wat er goed gaat, wat beter kan en waar risico’s liggen. External versus internal auditing Binnen het vakgebied auditing bestaan verschillende specialisaties die grofweg op de delen zijn in extern en intern. Afhankelijk ‘voor wie’ de audit wordt uitgevoerd bepaald in belangrijke mate in welke categorie deze valt. Bijvoorbeeld Financial auditing. Financial auditing, meestal uitgevoerd door een (externe) accountant, is de bekendste vorm van auditing en richt zich op de financiële verslaggeving. De financial auditor controleert of de jaarrekening een “getrouw beeld” geeft van de financiële situatie van een organisatie. Deze audits zijn vooral van belang voor externe stakeholders zoals aandeelhouders, toezichthouders en investeerders. Oftewel het maatschappelijke verkeer. Financial audits worden dan ook meestal door een externe auditor uitgevoerd. Hoewel dit type audit wettelijk verplicht is voor bepaalde organisaties, is de impact breder: het geeft vertrouwen in de financiële integriteit van de organisatie en stimuleert transparantie. Internal auditing is het vakgebied dat organisaties helpt grip te krijgen op risico’s, processen en IT-systemen. Internal auditors beoordelen onafhankelijk de kwaliteit van interne beheersmaatregelen en geven op basis daarvan onderbouwd advies over mogelijke verbeteringen. Ze onderzoeken of processen effectief verlopen, of risico’s adequaat worden beheerst en of wet- en regelgeving wordt nageleefd. De internal auditor is werkzaam in de organisatie en fungeert als 3de lijn binnen het three lines model. De internal auditor is veel meer dan een controleur, het is een strategische sparringpartner van bestuur en management. Vanuit een onafhankelijke positie stelt de auditor kritische vragen, benoemt blinde vlekken en helpt de organisatie beter voorbereid te zijn op interne en externe ontwikkelingen. Door structuur aan te brengen in het beheersen van risico’s en het verbeteren van processen, draagt internal auditing bij aan betere besluitvorming, verantwoordingsinformatie en structurele verbetering van prestaties. De oorsprong van internal auditing Het vakgebied van internal auditing zoals we dat vandaag de dag kennen is het resultaat van een lange evolutie. Oorspronkelijk ging het daarbij vooral om het controleren van financiële transacties. Kloppen de boeken? Wordt er niet gefraudeerd? Zijn de kasstromen zuiver? Het was een periode waarin vertrouwen hand in hand moest gaan met controle. En waar complexiteit in bedrijfsvoering toenam, nam ook de behoefte toe aan systematische interne controle. De wortels van internal auditing liggen dan ook in de administratie. In de negentiende eeuw, toen organisaties groeiden en multinationals ontstonden, werd het simpelweg te risicovol om alleen op externe accountants te vertrouwen. Men besefte: we hebben mensen nodig binnen de organisatie die meekijken, meedenken en controleren. Van controle naar aanvullende zekerheid over de kwaliteit van de beheersing De eerste internal auditors waren dus vooral bezig met het verifiëren van cijfers en het opsporen van fouten of fraude. Maar naarmate organisaties complexer werden, groeide het besef dat fouten niet alleen in de boekhouding ontstaan maar in processen, cultuur, systemen en gedrag. Hier begon de verschuiving van klassieke controle naar bredere ‘ assurance’ : zekerheid bieden over de kwaliteit van de risicobeheersing in processen en systemen. De internal auditor ging niet alleen kijken of iets klopt, maar vooral ook naar de kwaliteit van de beheersing en waarom iets niet werkt, inclusief hoe de organisatie kan leren en verbeteren. Het vak kreeg daarmee een fundamenteel andere insteek: van terugkijken naar vooruitkijken. Van financieel gericht naar organisatiebreed. De oprichting van het Institute of Internal Auditors (IIA) in 1941 markeerde een kantelpunt. Daarmee ontstond een beroepsorganisatie die het vak ging professionaliseren, standaarden ontwikkelde en het belang van onafhankelijkheid en objectiviteit benadrukte. Internal auditing werd een echt vak met eigen regels, normen en waarden. Het IIA stelde internal auditing officieel op de kaart als een onafhankelijk en gespecialiseerd beroep, los van de klassieke administratief-controlefuncties en de externe accountant. Dit gebeurde door: Het ontwikkelen van internationale standaarden en een ethische code, waardoor internal auditors een duidelijke professionele identiteit kregen. Het bieden van opleiding, certificering en normstelling, wat leidde tot een uniforme kwaliteitsbasis en verdere professionalisering van het vakgebied. De stimulans tot kennisdeling, praktijkontwikkeling en netwerking onder professionals, waarmee internal auditing zijn eigen positie veroverde binnen bedrijfsvoering en governance. Het Instituut van Internal Auditors Nederland (IIA Nederland) is officieel opgericht op 19 juni 1997 waarna ook in Nederland het vakgebied stevig op de kaart is gezet. Waarom is internal auditing belangrijk? Internal auditing is belangrijk omdat het organisaties helpt om grip te houden op hun interne processen, risico’s en complianceverplichtingen in een steeds complexere wereld. Of het nu gaat om het naleven van wet- en regelgeving, het voorkomen van fraude, het verbeteren van samenwerking tussen afdelingen of het vergroten van operationele efficiëntie, internal auditing speelt hierin een belangrijke rol. In tegenstelling tot externe auditing, waarbij de nadruk ligt op het controleren van financiële rapportages , richt internal auditing zich op het verbeteren van processen en het versterken van interne beheersing. De toegevoegde waarde zit niet alleen in het signaleren van risico’s of tekortkomingen, maar juist in het proactief adviseren over verbetermaatregelen . Dit maakt internal auditors waardevolle sparringpartners voor bestuurders en managers. Internal auditing vergroot ook het vertrouwen van stakeholders. Wanneer een organisatie intern laat zien dat zij haar processen kritisch en gestructureerd beoordeelt, straalt dat betrouwbaarheid uit naar klanten, toezichthouders en investeerders. Het draagt ook bij aan transparantie en goed bestuur. Kortom: internal auditing is geen verplichting, maar een strategisch instrument om als organisatie weerbaarder, efficiënter en toekomstbestendiger te worden. In een tijd waarin risico’s snel veranderen en informatie steeds belangrijker wordt, biedt internal auditing het overzicht, de structuur en de inzichten die nodig zijn om echt in control te zijn. Twee specialisaties binnen internal auditing Binnen het vakgebied van internal auditing zijn twee specialisaties toonaangevend: operational auditing en IT-auditing . Beide richten zich op het versterken van interne beheersing, maar doen dat vanuit een ander perspectief. Operational auditing is gericht op het beoordelen van bedrijfsprocessen en de effectiviteit van beheersmaatregelen. De focus ligt op de vraag of processen efficiënt, effectief en risicobewust zijn ingericht. Een operational auditor onderzoekt niet alleen of bestaande werkwijzen aansluiten bij organisatiedoelen, maar adviseert ook over mogelijke verbeteringen. Denk aan het optimaliseren van de samenwerking tussen afdelingen, het terugdringen van fouten of verspilling, en het versterken van interne controles. Lees meer over operational auditing in deze blog. IT-auditing daarentegen zoomt in op de digitale kant van de organisatie. IT-auditors beoordelen of IT-systemen betrouwbaar, veilig en goed beheerd zijn. Daarbij onderzoeken zij onder meer of systemen beschikbaar zijn wanneer nodig, of data juist en volledig is (integriteit), en of gevoelige informatie goed wordt beschermd (vertrouwelijkheid). Ook toets je als IT-auditor of de organisatie voldoet aan relevante wet- en regelgeving, zoals de AVG of sectorspecifieke normen. Lees meer over IT-auditing in deze blog. Beide specialisaties binnen internal auditing leveren een waardevolle bijdrage aan het inzicht in risico’s en de kwaliteit van beheersing, en vormen samen een krachtige combinatie voor organisaties die in control willen zijn. Internal auditing als strategisch instrument Internal auditing is allang niet meer alleen een controlefunctie. Steeds meer organisaties benutten internal auditing als een strategisch instrument dat bijdraagt aan beter bestuur, verantwoording en besluitvorming. Waar internal auditing vroeger vooral werd gezien als een manier om fouten of tekortkomingen op te sporen, ligt de nadruk vandaag de dag op het creëren van waarde en het ondersteunen van strategische doelstellingen. Een internal auditor kijkt niet alleen naar de vraag of processen en risico’s goed zijn ingericht, maar ook of ze bijdragen aan de missie en visie van de organisatie. Vanuit een onafhankelijke positie fungeert de auditor als een kritische en constructieve sparringpartner voor het bestuur en management. Door de vinger op de zere plek te leggen én met oplossingen te komen, helpt internal auditing om strategische risico’s beter te beheersen en kansen beter te benutten. Daarbij levert internal auditing ook betrouwbare informatie op voor belangrijke stakeholders zoals de raad van bestuur, toezichthouders of externe accountants. Goed onderbouwde auditbevindingen zorgen voor meer transparantie, betere besluitvorming en tijdige bijsturing. In een tijd van snelle technologische ontwikkelingen, toenemende complexiteit en strengere regelgeving biedt internal auditing organisaties het overzicht, de structuur en het inzicht dat nodig is om proactief, weerbaar en toekomstgericht te opereren. Juist daarom kiezen steeds meer organisaties ervoor om hun internal auditfunctie te versterken en nauwer te koppelen aan strategische thema’s zoals digitale transformatie, ESG-risico’s of ketenverantwoordelijkheid. Hoe Ferocia kan jou helpen met internal auditing? Bij Ferocia begrijpen we dat internal auditing meer is dan een controlefunctie, het is een strategisch onderdeel van goed bestuur en risicobeheersing. Daarom ondersteunen wij organisaties op meerdere manieren bij het versterken van hun auditfunctie. Heb je tijdelijk behoefte aan capaciteit, specifieke expertise of inhoudelijk advies? Ferocia biedt zowel interim auditors als consultancy op maat. Of het nu gaat om tijdelijke vervanging, ondersteuning bij piekbelasting, specialistische audits (bijvoorbeeld op het gebied van IT of ESG) of strategisch advies over de inrichting van de internal auditafdeling, wij denken mee en leveren vakinhoudelijke versterking die past bij jouw organisatie. Daarnaast bieden we opleidingen en trainingen aan voor internal auditors en teams. Van volledige opleidingen tot vakinhoudelijke verdieping, zodat auditors sterker in hun rol staan en beter kunnen bijdragen aan strategische vraagstukken. Ferocia helpt ook bij de werving en selectie van internal auditors — professionals die niet alleen inhoudelijk sterk zijn, maar ook passen bij de cultuur en ambitie van jouw organisatie. Benieuwd wat wij voor jouw organisatie kunnen betekenen? Neem vandaag nog contact met ons op voor een vrijblijvend kennismakingsgesprek. Contact Blogs Waarom blijven dezelfde fouten terugkomen in organisaties? In deze blog lees je hoe internal auditing kan uitgroeien van controleur tot aanjager van leren en verbeteren. Ontdek hoe je met focus op gedrag, patronen en dialoog het lerend vermogen écht versterkt. Klik door voor meer informatie. Internal auditing en het lerend vermogen Knop Internal audit verandert snel. Auditmethodiek 2.0 laat zien hoe u met een gestructureerde, AI-ondersteunde aanpak relevantere en impactvollere audits uitvoert. Van voorbereiding tot rapportage. Ontdek hoe referentiemodellen, datamatrices en de AI-agents uw audits versnellen én de organisatie echt in beweging brengen. Auditmethodiek 2.0 Knop Personeelstekort, piek in audits of een spannend verandertraject? Met een interim auditor van Ferocia haal je geen ‘opvulling’ binnen, maar een ervaren professional die vanaf dag één productief is, rust brengt én je auditfunctie versterkt. Lees in de blog waarom dit een slimme, strategische keuze is. Interim auditor inhuren via Ferocia Knop Behavioral Auditing 2.0 legt de link tussen beheerscultuur en controlframework bloot met AI-ondersteunde gedragsanalyse. Sneller, dieper en concreter inzicht in hoe gedrag risicobeheersing écht beïnvloedt – volledig in lijn met de IIA-standaarden. Behavioral Auditing 2.0 Knop De blog laat zien hoe organisaties grip krijgen op AI met een vijflagenmodel voor governance, data, modelontwikkeling, monitoring en impact. Het model helpt risk-, compliance- en auditprofessionals AI structureel te beheersen en te toetsen, zonder data scientist te zijn. Grip op AI Knop Operational auditing geeft organisaties grip in een complexe wereld. In deze blog lees je hoe de operational auditor uitgroeit tot katalysator voor leren en verandering met oog voor digitalisering, cultuur, agile werken én transparantie. Ontdek waarom geen toekomstbestendige organisatie zonder kan. Operational auditing en jouw organisatie Knop Hoe blijft jouw auditfunctie relevant in een snel veranderende wereld? Agile auditing draait audits om: kortcyclisch, samen met de business en gericht op échte impact in plaats van alleen een eindrapport. Ontdek in deze blog hoe jij van controleur uitgroeit tot navigator van de toekomst. Agile auditing Knop Steeds meer organisaties besteden hun internal audit uit; niet uit nood, maar als bewuste strategische keuze. In deze blog lees je hoe outsourcing zorgt voor flexibele capaciteit, specialistische kennis en een frisse kwaliteitsimpuls, én wanneer het wél of juist niet past. Klik door om verder te lezen. Outsourcing auditafdeling Knop Het document betoogt dat de IIA Topical Requirement Organizational Behavior nuttig is, maar vooral zicht geeft op formele beheersing en naleving. Voor werkelijk gedragsonderzoek zijn drijfveren, mentale modellen en motieven nodig. Behavioral Auditing 2.0 en AI maken die diepere analyse praktisch uitvoerbaar. Organizational Behavior Knop IT-auditing is veel meer dan vinkjes zetten. In deze blog lees je hoe de IT-auditor zorgt voor veilige systemen, naleving van AVG/NIS2/DORA en grip op digitale risico’s. Ontdek de belangrijkste inzichten voor een sterke IT-audit én hoe Ferocia je hierbij kan helpen. IT-auditing Knop Wil je dat jouw auditrapport wél leidt tot actie? In deze blog ontdek je hoe je rapporten schrijft die beweging creëren: helder, krachtig, visueel en gericht op eigenaarschap in de 1e lijn. Geen papieren eindproduct, maar een interventie die echt verandering start. Klik door en maak jouw rapporten impactvoller dan ooit. Auditrapporten die wel leiden tot actie Knop Sta jij als internal auditfunctie voor een (aanstaande) kwaliteitstoetsing? Ferocia helpt je van readiness assessment tot en met onafhankelijke externe toetsing volgens de GIAS. Ontdek hoe je van ‘spannend examen’ naar kans op groei en professionalisering gaat. Kwaliteitstoetsing auditafdelingen Knop AI auditen vraagt niet om data science, maar om auditvaardigheden: governance toetsen, eigenaarschap vaststellen, AI-gebruik inventariseren en shadow AI zichtbaar maken. Begin klein, bijvoorbeeld met het AI-register en één concrete toepassing. Auditen van AI Knop

Veel risicobeleid faalt in de praktijk. Ontdek hoe je risicomanagement laat leven in je organisatie met 3 concrete pijlers voor duurzaam succes. Alle blogs Risicomanagement Waarom risicomanagement vaak niet werkt Veel organisaties hebben het op papier goed voor elkaar. Er ligt een risicomanagementbeleid, er zijn risicomatrixen, control frameworks en procedures die tot in detail zijn beschreven. Soms zelfs met keurige versies en goedgekeurd door de directie. Maar als je goed kijkt, doemt een ongemakkelijke vraag op: wordt dat beleid in de praktijk ook echt nageleefd? Worden risico’s tijdig herkend, geanalyseerd en beheerst? Of is het hele proces verworden tot een papieren tijger die in de kast verdwijnt tot de volgende risicosessie? Steeds meer organisaties erkennen dat effectieve risicobeheersing geen eenmalige inspanning is. Het werkt alleen als het een integraal onderdeel van de bedrijfsstrategie en -cultuur wordt. Niet als jaarlijkse verplichte ronde voor het jaarverslag, maar als een continu proces dat zichtbaar is in het dagelijks handelen van medewerkers.En vooral niet alleen in spreadsheets, maar merkbaar in het gedrag van mensen. De grootste valkuil: denken dat je ‘het geregeld hebt’ Een mooi en volledig risicodossier is geen garantie voor een weerbare organisatie. Het kan zelfs een vals gevoel van veiligheid geven. Juist in de dagelijkse praktijk ontstaat het verschil tussen formele risicobeheersing en daadwerkelijke weerbaarheid. Dat verschil zit vaak in ogenschijnlijk kleine dingen: Timing van de risicoanalyse Worden risico’s besproken bij de start van een project, of pas als de eerste problemen zich aandienen? Opvolging van afwijkingen Worden afwijkingen structureel opgepakt, of verdwijnen ze in de drukte van de dagelijkse operatie? Eigenaarschap Is risicobewustzijn ingebed in de hele organisatie, of wordt het gezien als “iets van de riskmanager”? We leven in een VUCA-wereld – vol Volatility, Uncertainty, Complexity en Ambiguity . In zo’n omgeving is risicomanagement niet alleen een methodiek maar een vaardigheid. De kernvraag wordt dan: Hoe zorg je dat risicobeheersing echt leeft in je organisatie? Drie pijlers voor duurzaam risicomanagement Een robuust risicomanagementsysteem is geen verzameling documenten, maar een set van werkende principes die gedragen worden door de hele organisatie. Drie pijlers zijn daarbij essentieel. 1. Van compliance naar cultuur Veel risicoprogramma’s stranden omdat ze worden ingericht als een compliance-oefening. Controles afvinken, rapportages maken en klaar. Dat is niet genoeg. Echte weerbaarheid ontstaat pas als er bewustwording en gedragsverandering plaatsvindt. Stel jezelf en je team vragen als: Waarom is dit risico belangrijk voor ons succes? Wat gebeurt er als we niets doen? Wat kan ik persoonlijk doen om dit risico te beperken? Door die vragen centraal te stellen, verschuift risicomanagement van een checklist naar een gedeelde verantwoordelijkheid. Medewerkers begrijpen dan niet alleen wat ze moeten doen, maar ook waarom . Praktisch voorbeeld: Een productielocatie met strakke veiligheidsprocedures merkte dat incidenten bleven voorkomen. Na onderzoek bleek dat medewerkers de regels wel kenden, maar ze als omslachtig ervaarden. Door samen te kijken naar werkbare aanpassingen en de achterliggende risico’s uit te leggen, nam de naleving toe en daalde het aantal incidenten. 2. Integreer risico’s in besluitvorming Risicomanagement werkt het best als het geen losstaand proces is. Het hoort in de haarvaten van de besluitvorming te zitten. Dat betekent: niet één keer per jaar een risicoworkshop, maar bij elke vergadering, elk project en elke evaluatie expliciet de vraag stellen: “Wat zijn de risico’s?” en “Hoe beheersen we die?” Dit vraagt ook om toegankelijke en actuele informatie. Risicoregisters moeten niet alleen compleet zijn, maar ook in een vorm beschikbaar die snel te gebruiken is bij beslissingen. Praktisch voorbeeld: Een retailorganisatie nam bij elke productintroductie standaard een marketing- en kostenanalyse door. Sinds kort voegen ze een “risicoparagraaf” toe waarin potentiële leveringsproblemen, reputatierisico’s en juridische vraagstukken direct worden meegenomen. Dit voorkomt verrassingen en versnelt de besluitvorming. 3. Maak risico’s bespreekbaar Risico’s identificeren is stap één. Ze durven benoemen is stap twee. In veel organisaties bestaat terughoudendheid om afwijkingen, twijfels of zorgen te delen. Soms uit angst voor gezichtsverlies, soms omdat “het toch niets uitmaakt”. Een effectieve risicocultuur vraagt om psychologische veiligheid: het gevoel dat je vrijuit kunt spreken zonder negatieve consequenties. Faciliteer open gesprekken, bijvoorbeeld via risk walks waarbij teams gezamenlijk operationele processen bekijken. Waardeer signalen van afwijkingen, ook als ze klein zijn. Beloon het melden van risico’s, in plaats van alleen het voorkomen van incidenten. Praktisch voorbeeld: Een ziekenhuisteam introduceerde een maandelijks “veiligheidsoverleg” waarin medewerkers incidenten en bijna-incidenten konden delen. Door deze openheid nam het aantal gemelde risico’s toe, waardoor preventieve maatregelen eerder konden worden genomen. Risicomanagement is mensenwerk Enterprise Risk Management (ERM), modellen en IT-systemen zijn belangrijke hulpmiddelen. Maar de kern van effectief risicobeheer blijft altijd: mensen . Het zijn de medewerkers die: risico’s signaleren; risico’s durven bespreken en maatregelen daadwerkelijk uitvoeren. Daarom is investeren in vaardigheden, bewustzijn en cultuur minstens zo belangrijk als investeren in systemen. Een organisatie met een beperkte toolset maar een hoog risicobewustzijn is vaak weerbaarder dan een organisatie met uitgebreide tooling en een lage betrokkenheid. Hoe krijg je dat voor elkaar? Begin met een goed gesprek Vraag in teams: “Wat kan er misgaan?” en “Wat doen we als dat gebeurt?” Dit opent de deur naar gedeeld eigenaarschap. Maak het concreet Gebruik voorbeelden uit de eigen praktijk. Theorie blijft pas hangen als mensen het herkennen in hun eigen werk. Investeer in training en begeleiding Richt je niet alleen op procedures, maar ook op besluitvormingsvaardigheden, communicatie en samenwerking. Vier successen Benoem en waardeer situaties waarin risico’s tijdig zijn herkend en aangepakt. Dat versterkt gewenst gedrag. De weg naar een veerkrachtige organisatie Organisaties die risicomanagement laten werken, hebben een paar dingen gemeen: Risicobewustzijn is zichtbaar in alle lagen Van directie tot werkvloer, iedereen ziet het belang en kent zijn rol. Besluitvorming en risicobeheer zijn onlosmakelijk verbonden Geen strategische keuze zonder risicobeoordeling. Openheid is de norm Risico’s benoemen wordt gezien als professionaliteit, niet als kritiek. Het proces is continu Risicomanagement leeft dagelijks, niet alleen bij jaarafsluiting of audits. Het resultaat? Een organisatie die sneller herstelt van tegenslagen, minder verrassingen kent en beter inspeelt op veranderingen in de omgeving. Oftewel: een organisatie die in control is. Tot slot Wil je jouw risicomanagementsysteem optimaliseren? Begin dan niet met een nieuw sjabloon of nog een control framework. Start met het gesprek. Vraag, luister, betrek en creëer een cultuur waarin iedereen zich verantwoordelijk voelt voor het herkennen en beheersen van risico’s. Dat is de eerste, en misschien wel belangrijkste, stap naar een veerkrachtige organisatie die klaar is voor de toekomst. Hoe Ferocia helpt organisaties met risicomanagement Ferocia ondersteunt organisaties op een manier die past bij hun ambitie, volwassenheidsniveau en context. Geen standaardmethodes, maar maatwerk. Praktisch en strategisch. Altijd gericht op verankering in de praktijk. Onze dienstverlening bestaat uit vier pijlers: 1. Opleidingen en trainingen We leiden professionals op in risicomanagement, control en compliance. Praktijkgericht, actueel en afgestemd op de uitdagingen van vandaag. Denk aan opleidingen als Cursus Risicomanagement of risicomanagement methodiek . 2. Interim ondersteuning Tijdelijk capaciteit nodig? Onze ervaren risk-professionals helpen bij implementatie, monitoring of verandermanagement. Ze zijn snel inzetbaar en gewend om te schakelen tussen strategie en uitvoering. 3. Consultancy en implementatie Van het opzetten van een risicomanagement framework tot het begeleiden van RCSA’s of het inrichten van de drie lijnen: onze consultants helpen je om risicomanagement praktisch en strategisch neer te zetten. 4. Werving en selectie We helpen je bij het vinden van de juiste mensen op het gebied van risk, control en audit. Mensen die niet alleen de kennis hebben, maar ook de vaardigheden om risico’s bespreekbaar te maken, draagvlak te creëren en resultaten te boeken. Onze kracht? We combineren inhoudelijke expertise met een scherp oog voor cultuur, gedrag en verandervraagstukken. Want uiteindelijk draait het niet alleen om het proces maar om de mensen. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Operational auditing helpt organisaties risico’s te beheersen, processen te verbeteren en strategische doelen te realiseren met scherp inzicht en impact. Alle blogs Internal auditing Operational auditing en jouw organisatie Zijn onze processen nog wel beheerst? Bereiken we onze doelen dit jaar? Is onze informatiebeveiliging op orde? Zomaar wat vragen die bij bestuurders en managers kunnen spelen. En niet zelden blijven ze onbeantwoord, met alle risico’s van dien. Gelukkig is er een vakgebied dat hier wel grip op biedt: operational auditing. In deze blog lees je wat operational auditing precies is, welke ontwikkelingen het vak transformeren en waarom deze auditor steeds belangrijker wordt voor organisaties die vooruit willen. Wat is operational auditing? Operational auditing is het vakgebied waarin een auditor objectief en onafhankelijk onderzoekt of de beheersing van processen en systemen binnen een organisatie zodanig zijn ingericht, dat strategische en operationele doelstellingen worden behaald. Daarbij kijkt de auditor niet alleen naar wat er is , maar vooral naar wat er moet gebeuren om risico’s te beperken en prestaties te verbeteren. Het gaat dus niet om het afvinken van regels, maar om het versterken van het lerend vermogen van de organisatie. De operational auditor stelt de juiste vragen, ontwikkelt een maatwerk normenkader, voert gedegen onderzoek uit en presenteert bevindingen op een manier die beweging brengt. Een blik naar voren dus. En dat maakt operational auditing tot veel meer dan een controlefunctie: het is een katalysator voor leren en verandering. Wat doet een operational auditor precies? De competenties van een goede operational auditor reiken ver. Het is iemand die: de werkelijke vraag achter de opdracht weet te achterhalen; een relevant toetsingskader kan samenstellen op basis van beleid, wetgeving, controlmodellen en best practices; een betrouwbaar beeld schetst van de huidige beheersingssituatie; scherpe, onderbouwde conclusies trekt; en bevindingen samen met de 1 ste lijn vertaalt naar aanbevelingen die daadwerkelijk tot verbetering leiden. En dat alles in een omgeving die steeds complexer, digitaler en wendbaarder wordt. Waarom is operational auditing zo relevant? De wereld verandert razendsnel. Organisaties moeten zich aanpassen aan nieuwe technologieën, veranderende wet- en regelgeving, maatschappelijke verwachtingen en de interne dynamiek. Daarbij zien we vier structurele trends die het vakgebied van operational auditing extra urgent maken: 1. Digitalisering en IT-risico’s IT is niet langer een ondersteunende functie, maar het fundament van vrijwel ieder bedrijfsproces. Denk aan ERP-systemen, data-analytics, AI, cloudoplossingen en cybersecurity. Tegelijkertijd lopen organisaties steeds meer risico door systeemstoringen, datalekken of gebrekkige autorisatieprocessen. Voor operational auditors betekent dit: opdoen van meer technische kennis, meer samenwerking met IT-auditors en -specialisten, en meer aandacht voor digitale weerbaarheid. De operational auditor van vandaag moet ook de wereld van morgen begrijpen. 2. Focus op cultuur en gedrag Traditioneel lag de nadruk van audits op hard controls : processen, procedures en systemen. Maar steeds meer organisaties beseffen dat beheersing ook vraagt om inzicht in gedrag, communicatie en leiderschap. De operational auditor richt zich daarom steeds vaker ook op soft controls : vertrouwen, integriteit, aanspreekbaarheid en voorbeeldgedrag. Geen gemakkelijk terrein, maar wel essentieel. Want zoals Merchant het zegt: " Management control is het doelgericht beïnvloeden van gedrag ." 3. Agile werken en wendbaarheid Waar vroeger stabiliteit de norm was, draait het nu om aanpassingsvermogen. Organisaties kiezen voor agile werkmethoden, multidisciplinaire teams en kortcyclisch ontwikkelen. Deze wendbaarheid vraagt ook iets van auditors: minder focus op lange audittrajecten, meer op continue feedback, korte doorlooptijden en realtime risico-inzichten. Agile auditing komt hiermee in opmars: een aanpak waarin auditing en wendbaarheid elkaar versterken. 4. Verantwoordingsdruk en transparantie Vanuit toezichthouders, klanten en de maatschappij groeit de druk op organisaties om transparant te zijn over prestaties, risico’s en beheersmaatregelen. Denk aan ESG-rapportages, ketenverantwoordelijkheid en sociale rechtvaardigheid. Operational auditors kunnen een cruciale rol spelen in het aantoonbaar maken van beheersing binnen deze complexe context, mits zij over de juiste vaardigheden en attitude beschikken. De toekomst van operational auditing: waar gaat het heen? De ontwikkelingen binnen het vakgebied zijn veelbelovend en uitdagend. Dit zijn de belangrijkste bewegingen: ➤ Van controlerend naar vooruitkijkend Audits blikken niet alleen terug, maar moeten ook vooruitkijken. Steeds vaker wordt gevraagd: Wat moeten we nu weten om straks in control te zijn? ➤ Van compliance naar performance Naast naleving van regels verschuift de aandacht naar het verbeteren van processen, kwaliteit en effectiviteit. Audits dragen daarmee direct bij aan strategisch succes. ➤ Van onafhankelijk naar verbindend De auditor van nu is geen afstandelijke beoordelaar, maar een kritische vriend. Iemand die scherp blijft, maar ook meedenkt. Die de verbinding zoekt met de business en interventies doet die echt verschil maken. ➤ Van generalist naar specialist (en vice versa) De opkomst van thema’s als data-auditing, AI, duurzaamheid en cyber maakt dat sommige auditors zich specialiseren. Tegelijkertijd blijft er behoefte aan de generalistische operational auditor die het geheel overziet en verbanden legt. Wat betekent dit voor organisaties? Organisaties die werk willen maken van beheersing, wendbaarheid en verantwoording, kunnen niet zonder sterke operational auditors. Zij zijn het kompas in onrustige tijden. Maar dan moeten organisaties ook investeren: in opleiding, in positionering, in een cultuur waarin audits serieus worden genomen. En bovenal in mensen. Want goede auditors zijn schaars. En voor auditors zelf? Voor auditors betekent dit: blijven leren. Blijven trainen. Blijven reflecteren. Het vak vraagt meer dan ooit om een combinatie van harde expertise en zachte vaardigheden: onderzoekskunde, oordeelsvorming, communicatie, psychologie, verandermanagement. Of, zoals we het in onze opleiding zeggen: een goede auditor is niet alleen een vakman, maar ook een veranderaar. Tot slot Operational auditing is geen luxe of last. Het is een noodzaak. Voor elke organisatie die haar doelen wil bereiken in een complexe wereld. Het is een vakgebied in beweging, net als de wereld waarin het opereert. En juist daarom is het nu het moment om als operational auditor te groeien. In kennis, in invloed en in impact. Hoe Ferocia operational auditing binnen jouw organisatie versterkt Bij Ferocia geloven we in operational auditing als strategisch instrument. Een manier om niet alleen risico’s te beheersen, maar om organisaties sterker en wendbaarder te maken. Daarom ondersteunen wij organisaties op drie manieren: 1. Opleidingen en trainingen We leiden auditors op tot echte professionals die zelfstandig en met impact een audit kunnen uitvoeren. Denk aan onze postbacheloropleiding Operational Auditing of de cursus operational auditoring . Theorie en praktijk, met aandacht voor zowel hard controls als soft controls. 2. Tijdelijke inzet van auditors en risicoprofessionals Heb je tijdelijk capaciteit nodig voor de uitvoering van een operational audit? Wij leveren ervaren operational auditors die direct inzetbaar zijn. 3. Werving en selectie Op zoek naar een nieuwe operational auditor om je team te versterken? Wij helpen je met het vinden van de juiste professional. Iemand die niet alleen inhoudelijk sterk is, maar ook past bij jouw organisatiecultuur. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

< Terug Vacature (Senior) manager Toonaangevend consultancykantoor Per direct 40 uur per week Randstad / Hybride € 65.901,60 tot € 114.696,- per jaar SOLLICITEER Over onze opdrachtgever Onze opdrachtgever behoort wereldwijd tot de grootste advies- en accountantsorganisaties en ondersteunt klanten bij complexe vraagstukken op het gebied van audit, tax en advisory. Vanuit diepgaande vakkennis, sectorexpertise en een internationaal netwerk helpt de organisatie klanten om vertrouwen te versterken, prestaties te verbeteren en toekomstbestendig te blijven. In Nederland werkt de organisatie voor een brede en aansprekende groep klanten, waaronder ministeries, uitvoeringsorganisaties, gemeenten, provincies, zorginstellingen, financiële instellingen en grote ondernemingen. Vakinhoudelijke kwaliteit, ondernemerschap, samenwerking en persoonlijke ontwikkeling staan centraal. Medewerkers krijgen veel verantwoordelijkheid, werken samen met ervaren professionals en krijgen volop ruimte om zich verder te ontwikkelen. Over de afdeling Je komt terecht in een multidisciplinaire adviesafdeling van circa tachtig professionals die organisaties ondersteunt bij het versterken van governance, risicomanagement, interne beheersing, compliance en internal audit. De afdeling werkt aan complexe en vaak bestuurlijk gevoelige vraagstukken voor onder meer publieke organisaties, financiële instellingen en grote ondernemingen. Professionals met uiteenlopende achtergronden, disciplines en expertisegebieden werken intensief samen. Daardoor krijg je volop mogelijkheden om over de grenzen van je eigen vakgebied heen te kijken, samen te werken met andere specialisten en ervaring op te doen binnen verschillende disciplines. Dat zorgt voor een omgeving met veel inhoudelijke diepgang, brede sectorkennis en ruimte om te leren, verantwoordelijkheid te nemen en jezelf verder te ontwikkelen. Tegelijkertijd is het een sociaal en betrokken team waarin kennisdeling, samenwerking en plezier in het werk vanzelfsprekend zijn. Binnen de afdeling maak je onderdeel uit van een groeiend team dat zich volledig richt op de publieke en semipublieke sector. Omdat dit team zich in een belangrijke groeifase bevindt, krijg je veel ruimte om mee te bouwen aan de verdere ontwikkeling, positionering en groei van de praktijk. Over de functie Wil jij organisaties binnen de publieke sector helpen om maatschappelijke vraagstukken beter bestuurbaar, beheersbaar en toekomstbestendig te maken? Als (senior) manager werk je aan complexe vraagstukken op het gebied van governance, risicomanagement, interne beheersing, compliance en internal audit. Je adviseert toonaangevende publieke organisaties en helpt hen strategische uitdagingen te vertalen naar duurzame oplossingen die daadwerkelijk het verschil maken. Je staat aan de basis van de verdere groei van de publieke-sectorpraktijk. Samen met een ambitieus en ondernemend team bouw je aan de verdere ontwikkeling van de praktijk en vergroot je de maatschappelijke impact van de organisatie. Je ontwikkelt duurzame klantrelaties, signaleert nieuwe kansen en krijgt veel vrijheid om jouw eigen netwerk en klantenportefeuille verder uit te bouwen. Daarnaast denk je mee over vernieuwende proposities die aansluiten op actuele ontwikkelingen binnen de publieke sector. Met jouw vakinhoudelijke expertise en inzicht in bestuurlijke vraagstukken ben je een volwaardige sparringpartner voor bestuurders, directies, toezichthouders en andere senior stakeholders. Je brengt snel de kern van complexe vraagstukken boven tafel, daagt bestaande denkpatronen uit en helpt organisaties keuzes te maken die hun governance, risicobeheersing en wendbaarheid duurzaam versterken. Je combineert inhoudelijke diepgang met verbindend leiderschap. Je geeft leiding aan multidisciplinaire teams, begeleidt collega’s in hun professionele ontwikkeling en creëert een omgeving waarin samenwerking, kennisdeling en kwaliteit vanzelfsprekend zijn. Je inspireert anderen, ontwikkelt talent en bouwt mee aan een team waarin mensen met plezier samenwerken en van elkaar leren. Je krijgt veel ruimte om jezelf verder te ontwikkelen. Je krijgt verantwoordelijkheid, wordt gestimuleerd initiatief te nemen en kunt nieuwe ideeën uitproberen. Nieuwsgierigheid, ondernemerschap en lef worden gewaardeerd. Je hoeft niet alles al te weten of altijd direct de perfecte oplossing te hebben; door te experimenteren, feedback te ontvangen en van fouten te leren, groei je verder als adviseur én als leider. Voor ambitieuze professionals biedt deze functie een unieke kans om organisaties, collega’s én een groeiende praktijk verder te brengen, met een duidelijk perspectief op verdere doorgroei. Jouw taken Adviseren van publieke organisaties over governance, risicomanagement, interne beheersing, compliance en internal audit. Fungeren als strategisch sparringpartner voor bestuurders, directies, toezichthouders en andere senior stakeholders. Leidinggeven aan multidisciplinaire projectteams en coachen van collega’s. Opbouwen en onderhouden van duurzame klantrelaties. Signaleren van commerciële kansen en bijdragen aan business development. Ontwikkelen van vernieuwende proposities die inspelen op maatschappelijke en bestuurlijke ontwikkelingen. Meebouwen aan de verdere groei en positionering van de publieke-sectorpraktijk. Bewaken van de kwaliteit van opdrachten en bijdragen aan de verdere ontwikkeling van de adviespraktijk. Wie zoeken we? Je bent een ondernemende en ervaren professional die inhoudelijke expertise combineert met leiderschap, commercieel inzicht en gevoel voor bestuurlijke verhoudingen. Je krijgt energie van complexe maatschappelijke vraagstukken en weet deze te vertalen naar heldere keuzes en concrete verbeteringen. Daarbij ben je een stevige en geloofwaardige gesprekspartner voor bestuurders, directies, toezichthouders en andere senior stakeholders. Je bent iemand die graag bouwt: aan duurzame klantrelaties, aan de ontwikkeling van collega’s en aan een groeiende adviespraktijk. Je herkent kansen, neemt initiatief en krijgt er energie van om samen met anderen nieuwe opdrachten en proposities te ontwikkelen. Tegelijkertijd geef je op een verbindende en coachende manier leiding en help je professionals om het beste uit zichzelf te halen. Je voelt je thuis in een dynamische omgeving waarin je schakelt tussen inhoud, leiderschap, klantrelaties en business development. Je bent nieuwsgierig, ambitieus en resultaatgericht, maar ook benaderbaar en gericht op samenwerking. Verder beschik je over een afgeronde wo-master, heb je minimaal zes jaar relevante werkervaring voor de functie van manager en minimaal negen jaar voor de functie van senior manager, en heb je ervaring met governance, risicomanagement, interne beheersing, compliance en/of internal audit. Affiniteit met de publieke sector en maatschappelijke vraagstukken is essentieel; ervaring binnen de publieke of semipublieke sector is een pré. Een RA-, RE- of RO-titel, of hiervoor studerend, is eveneens een pré. Wat bieden we? Een bruto jaarsalaris van € 65.901,60 tot € 80.740,80 (manager) of € 79.315,20 tot € 114.696 (senior manager) op basis van een 40-urige werkweek, afhankelijk van kennis en ervaring (exclusief prestatiebeloning en mobiliteitsbudget). Een aantrekkelijke prestatiebeloning van gemiddeld één maandsalaris (manager) of twee maandsalarissen (senior manager). Keuze uit een elektrische leaseauto of een mobiliteitsbudget. Premievrij pensioen. 30 vakantiedagen. Een volledig ingerichte thuiswerkplek, laptop en telefoon. Ruime opleidings- en ontwikkelmogelijkheden. Veel ruimte voor ondernemerschap, initiatief en persoonlijke ontwikkeling. Een duidelijk groeipad richting partnership. Werken aan complexe en maatschappelijk relevante opdrachten. Een sociaal, betrokken en collegiaal team waarin samenwerking, kennisdeling en plezier centraal staan. Over ons Ferocia is het enige bureau in Nederland dat volwaardige dienstverlening levert op het gebied van interim en consultancy, opleidingen en trainingen, en werving en selectie, binnen de vakgebieden internal audit, control en risicomanagement. Wij bieden deze disciplines afzonderlijk aan én combineren ze waar nodig — alles onder één dak. Dat is de kracht van complete dienstverlening!

Ontdek hoe integraal risicomanagement jouw organisatie wendbaar en toekomstbestendig maakt. Verhoog veerkracht met een integrale en strategische aanpak. Risicomanagement Cyberdreigingen, klimaatverandering, verstoorde supply chains, strenge wet- en regelgeving, maatschappelijke druk op duurzaamheid en transparantie... De wereld verandert snel. En met deze veranderingen groeit de complexiteit en impact van risico’s voor organisaties in elke sector. De vraag is niet of risico’s zich voordoen, maar wanneer en hoe . Juist daarom is risicomanagement relevanter dan ooit. Niet als een jaarlijkse exercitie op papier, maar als een continu strategisch proces. Als stuurinstrument, leerinstrument en als versneller om je organisatiedoelen te realiseren. Maar wat is risicomanagement nu eigenlijk? En hoe zorg je ervoor dat het meer oplevert dan alleen rapporten en registraties? Wat is risicomanagement? In de kern draait risicomanagement om het gestructureerd omgaan met onzekerheden die de realisatie van je organisatiedoelen bedreigen. Het is het proces waarin je: risico’s identificeert; inschat wat hun impact en waarschijnlijkheid is; bepaalt welke (beheers)maatregelen je neemt om risico’s te mitigeren; en monitort of die (beheers)maatregelen ook daadwerkelijk effect hebben. Maar dat is de theorie. In de praktijk gaat risicomanagement veel verder dan een inventarisatie of risicomatrix. Hoe je effectief een risicoanalyse uitvoert, lees in deze blog. Het raakt aan alle niveaus van de organisatie: van strategische besluitvorming tot operationele uitvoering. Het omvat strategische risico’s (zoals reputatie of marktveranderingen), operationele risico’s (procesfouten, datalekken), compliance risico’s (nieuwe wetgeving, toezichthouders) en IT- en cyberrisico’s. Kortom: risicomanagement is geen abstract model maar een concreet hulpmiddel om grip te houden op alles wat jouw doelen in de weg kan staan. En dat begint met de juiste mindset. Waarom is risicomanagement belangrijk? Een organisatie zonder effectief risicomanagement laat zich leiden door incidenten. Brandjes blussen in plaats van koers houden. Iedere plotselinge verandering; een hack, nieuwe wetgeving, uitstroom van medewerkers zorgt voor paniek, vertraging of verlies van vertrouwen. Met goed risicomanagement: Ben je wendbaarder : je anticipeert op risico’s in plaats van ze alleen te beheersen. Neem je betere beslissingen : risico-informatie wordt meegenomen in besluitvorming. Verhoog je het lerend vermogen : risico’s worden gedeeld, besproken en aangepakt. Bouw je vertrouwen op : bij stakeholders, toezichthouders en medewerkers. Versterk je prestaties : doordat je risico’s koppelt aan doelen en KPI’s. Zeker in een tijd waarin organisaties sneller moeten reageren op veranderingen, is het van belang dat risicomanagement een natuurlijk onderdeel wordt van het dagelijks werk. Risicomanagement als strategisch instrument Veel organisaties hebben risicomanagement wel “op papier” geregeld: er zijn beleidsstukken, risicomatrices en formats. Maar in de praktijk blijven ze steken in afvinken, rapporteren of controleren. Bij Ferocia geloven we dat risicomanagement pas waarde toevoegt als het strategisch wordt ingezet. Niet als verplicht nummer of externe druk vanuit wet- en regelgeving, maar als integraal onderdeel van je bedrijfsvoering. Een manier om sneller, slimmer en slagvaardiger je doelen te realiseren. Strategisch risicomanagement betekent: Een proactieve houding : risico’s worden besproken voordat ze zich voordoen. Integraal denken : risico’s zijn geen apart onderwerp, maar onderdeel van processen als strategie, finance, HR, IT en operations. Daarbij zijn er keuzes te maken voor een risicomanagement model. Lees hierover mee in de blog over risicomanagement modellen . Duidelijke governance : eigenaarschap is belegd bij lijnmanagement, zij zijn en voelen zich verantwoordelijk. Continuïteit : risicomanagement is geen project maar een kort cyclisch proces. De visie van Ferocia op risicomanagement Voor ons is risicomanagement geen doel op zich, maar een hulpmiddel voor het management om de strategie te realiseren. En precies daar wringt het in veel organisaties: risicomanagement leeft vooral bij de controlfunctie of de tweede lijn terwijl het management, degene die de doelen moet halen, niet of onvoldoende is aangehaakt. Wij zien dat als een groot risico op zich! Te vaak is er geen verbinding tussen risicomanagement en het primaire proces. Hierdoor worden bevindingen worden niet herkend, maatregelen blijven liggen, risico’s worden niet geadresseerd. Het gevolg? Control voelt zich niet gehoord en gaat nog vaker en strenger controleren. Het management haakt af omdat het te bureaucratisch aanvoelt. Zo ontstaat een vicieuze cirkel waarin risicomanagement een papieren tijger wordt. Onze visie is helder: "effectief risicomanagement begint bij het betrekken van het management." Het management is primair verantwoordelijk voor het realiseren van de organisatiedoelen. Daar moet risicomanagement dus ondersteunend aan zijn. Geen dikke rapporten, maar inzichten die leiden tot betere keuzes, tijdige interventies en meer grip op de toekomst. Daarom pleiten wij voor een risicomanagementfunctie die: Geïntegreerd is in de 1 ste lijn; Effectief is in het signaleren van echte risico’s; Efficiënt werkt met slimme tooling en processen; En bovenal: begrijpelijk en werkbaar is voor iedereen in de organisatie. De opbouw van een effectief risicomanagement systeem Zoals gezegd is goed risicomanagement is geen checklist, maar een samenhangend systeem dat uw organisatie wendbaarder, betrouwbaarder en toekomstbestendiger maakt. Bij Ferocia kijken we daarom integraal naar vier thema’s die samen de ruggengraat vormen: 1. risicogovernance & strategie 2. risico-identificatie & beoordeling 3. risicobehandeling & beheersmaatregelen en monitoring 4. rapportage & assurance. Hieronder introduceren we elk thema en de belangrijkste onderliggende bouwstenen. Het doel: een begrijpelijk raamwerk waarmee u vandaag kunt starten en morgen kunt sturen. 1. Risico governance & strategie Een effectief risicomanagementsysteem begint bij duidelijke governance: wie beslist, wie voert uit en wie houdt toezicht? Wij hanteren het Three Lines Model. De eerste lijn is eigenaar van en beheerst de risico’s in de operatie. De tweede lijn (risk & compliance) ontwerpt kaders, adviseert en challenged. De derde lijn (interne audit) geeft onafhankelijke assurance over de opzet en werking en het samenspel tussen de eerste en tweede lijn. In sommige organisaties werkt ook een ‘lijn 1,5’. Bijvoorbeeld risicomanagers die adviseren en ondersteunen vanuit de business en zo dicht op de operatie zitten. Vanuit hun expertise werken zij samen met en voor de eerste lijn. Ultieme besluitvorming vindt plaats aan de top: de directie is eindverantwoordelijk en zet de toon. Een Risk Management Committee of een gecombineerd Risk & Audit Comité borgt de periodieke bespreking en bijstelling van risico’s, risk appetite en tolerances. Op de agenda van deze gremia staan in elk geval de top-risico’s, de mate van beheersing en de effectiviteit van (key) controls, incidenten en de daarbij horende lessons learned. Risk appetite en risk tolerances: wat betekent ‘meer of minder risico’ nu echt? Twee begrippen worden vaak door elkaar gehaald. Risk appetite of risicobereidheid: het niveau en type risico dat de organisatie willens en wetens wil nemen om strategische doelen te bereiken. Het is richtinggevend en kwalitatief, bijvoorbeeld: ‘wij tolereren geen schendingen van privacywetgeving’. Risk tolerances zijn concrete bandbreedtes per doel of proces waarbinnen variatie nog acceptabel is. Denk aan drempelwaarden voor IT-beschikbaarheid, verliezen of projectoverschrijdingen. Overschrijding van een tolerance is geen paniek, wél een helder signaal om bij te sturen. Risk appetite schetst de horizon; tolerances zijn de bakens langs de route. Koppeling met strategie en prestatiesturing Risicomanagement voedt besluitvorming pas echt als het verbonden is met doelstellingen en KPI/KRI’s. Koppel uw strategische KPI’s (zoals groei, klanttevredenheid of doorlooptijd) aan Key Risk Indicators (KRI’s) die vroegtijdig waarschuwen. Denk aan het aantal kritieke kwetsbaarheden in productie, het percentage high-risk leveranciers zonder contractuele clausules of de trend in near misses. Zo ontstaat één stuurmiddel voor prestaties én risico’s. 2. Risico-identificatie & beoordeling Zonder goed inzicht geen goede keuzes. Een risicoregister vormt de uitkomst: een eenduidig format met risicotaxonomie (zoals strategisch, financieel, operationeel, compliance), beschrijvingen die de oorzaak-gebeurtenis-gevolg-keten helder maken, en eigenaarschap per risico. Dat eigenaarschap ligt in de business. Risk ondersteunt en challenged. Risico identificatie Risico-identificatie is een gestructureerd en herhaalbaar proces waarin u top-down (vanuit strategie, doelstellingen en transities) én bottom-up (via processen, projecten en ketenpartners) kijkt en risico’s identificeert. Dat kan via workshops en walk-throughs met procesbeschrijvingen, analyse van incidenten, bijna-incidenten, auditbevindingen, klachten en externe signalen (wetgeving, markt, leveranciers, dreigingsinformatie). We formuleren risico’s consequent als gebeurtenis-oorzaak-gevolg en vermijden containerbegrippen. Nieuwe of gewijzigde risico’s ontstaan vaak bij verandermomenten (nieuwe producten, leveranciers, releases, reorganisatie) en verdienen daarom aandacht. De uitkomst van identificatie is een overzicht met context en aannames die later te toetsen zijn. Daarna volgt registratie in een risicoregister met eigenaren en vervolgstappen voor beoordeling. Kwantitatief én kwalitatief beoordelen Het beoordelen van risico’s start met het inschatten van kans en impact. Kwalitatieve schalen (laag–midden–hoog) geven snelheid en vergelijkbaarheid. Kwantitatieve methoden voegen diepgang toe, bijvoorbeeld scenario’s met bandbreedtes of Value-at-Risk benaderingen. Heatmaps zijn behulpzaam om te prioriteren, maar kijk verder: sommige risico’s hebben een lage kans maar catastrofale impact of sterke onderlinge samenhang. Scenario-analyse en stresstesten Scenario’s maken risico’s tastbaar. Begin met plausibele, narratieve scenario’s met duidelijke aannames: wat gebeurt er als een kritieke leverancier uitvalt, of als een ransomware-aanval een kernsysteem platlegt? Kwantificeer waar het kan: extra kosten, omzetverlies, impact op servicelevels en hersteltermijnen. Stresstesten verkennen vervolgens de grenzen en kunnen enkelvoudige of gecombineerde schokken omvatten: wat als twee incidenten samen optreden, of als herstel (of detectie) dubbel zo lang duurt? Belangrijk is dat scenario’s en testen leiden tot besluiten: extra maatregelen, meer redundantie of buffers, of het bijstellen van doelen. 3. Risicobehandeling & beheersmaatregelen Zodra risico’s helder zijn, volgt de keuze voor de risk response. Grofweg zijn er vier opties: vermijden (stoppen of niet beginnen), verminderen (maatregelen nemen), delen/overdragen (verzekering), en accepteren (bewust binnen appetite en tolerance). Het is zelden óf-óf: een combinatie bereikt vaak meer. Risicobehandeling is belangrijk bij het ontwerp van controls of beheersmaatregelen. Preventieve maatregelen voorkomen fouten of misbruik, bijvoorbeeld scheiding van taken of toegangsbeheer. Detectieve maatregelen zoals monitoring, reconciliaties, log-analyse signaleren snel en betrouwbaar. Correctieve maatregelen corrigeren fouten of omissies. Bepaal samen met de business welke controls key zijn: die met de grootste invloed op het restrisico of op de wettelijke naleving. Non-key-controls kunnen lichter worden ingericht of helemaal niet, mits het geheel robuust blijft. 4. Monitoring, rapportage & assurance Wat niet gemonitord wordt, daar wordt niet op gestuurd. Monitoring gaat verder dan terugkijken: het is ook vooruitkijkend en dus een early-warning-systeem. Kies KRI’s die ertoe doen, met duidelijke definities, goede brondata en doordachte drempelwaarden. Werk daarbij met signalering wat goed is (groen), aandacht nodig heeft (geel) of waar ingrijpactie’s noodzakelijk zijn (rood). Leg vooraf vast wie wat doet bij eventuele overschrijding. Voorkom decoratie: stuur op wat er echt toe doet. Rapportage die bestuurders écht helpt Belangrijk is om niet alleen te meten maar ook om te informeren, bijvoorbeeld aan het bestuur. Bestuurders hebben veelal weinig tijd. Een één-pagina dashboard dwingt tot scherpte: top-risico’s, trend per KRI, status van maatregelen, incidenten en lessons learned. De bijlagen bevatten details: de eerste pagina vertelt het verhaal. Maak duidelijk wat vragen we van het bestuur? Prioteren, informeren, investeren, escaleren of bijsturen. Zo bouwt u het geheel: samenhang in plaats van losse lijsten Samen vormen deze bouwstenen een solide raamwerk voor risicomanagement: helder in governance, scherp in prioritering, proportioneel in beheersing en lerend in de cyclus. Het helpt uw organisatie vooruit door risico’s te signaleren, afgewogen keuzes te maken en middelen te richten op wat er écht toe doet. Met een risk appetite en concrete tolerances wordt de balans tussen risico en rendement transparant en bestuurbaar. Het resultaat: betrouwbare processen en dienstverlening, aantoonbare naleving en meer veerkracht bij verstoringen, zonder onnodige bureaucratie. Hoe Ferocia organisaties ondersteunt met risicomanagement? Ferocia ondersteunt organisaties op een manier die past bij hun ambitie, volwassenheidsniveau en context. Geen standaardmethodes, maar maatwerk. Praktisch en strategisch. Altijd gericht op verankering in de praktijk. Onze dienstverlening bestaat uit vier pijlers: 1. Opleidingen en trainingen We leiden professionals op in risicomanagement, control en compliance. Praktijkgericht, actueel en afgestemd op de uitdagingen van vandaag. Denk aan opleidingen als Cursus Risicomanagement of risicomanagement methodiek . 2. Interim ondersteuning Tijdelijk capaciteit nodig? Onze ervaren risk-professionals helpen bij implementatie, monitoring of verandermanagement. Ze zijn snel inzetbaar en gewend om te schakelen tussen strategie en uitvoering. 3. Consultancy en implementatie Van het opzetten van een risicomanagement framework tot het begeleiden van RCSA’s of het inrichten van de drie lijnen: onze consultants helpen je om risicomanagement praktisch en strategisch neer te zetten. 4. Werving en selectie We helpen je bij het vinden van de juiste mensen op het gebied van risk, control en audit. Mensen die niet alleen de kennis hebben, maar ook de vaardigheden om risico’s bespreekbaar te maken, draagvlak te creëren en resultaten te boeken. Onze kracht? We combineren inhoudelijke expertise met een scherp oog voor cultuur, gedrag en verandervraagstukken. Want uiteindelijk draait het niet alleen om het proces maar om de mensen. Benieuwd wat wij voor jouw organisatie kunnen betekenen? Neem vandaag nog contact met ons op voor een vrijblijvend kennismakingsgesprek. Contact Blogs Waarom werkt risicomanagement zo vaak wél op papier, maar niet in de praktijk? In deze blog ontdek je de meest voorkomende oorzaken; gebrek aan eigenaarschap, slechte timing en geen ondersteunende cultuur. Leer hoe je risicomanagement wél laat leven in besluitvorming en gedrag. Klik door en maak jouw organisatie écht weerbaar. Waarom risicomanagement vaak niet werkt Knop Welk risicomanagementmodel past bij jouw organisatie? In deze blog ontdek je de verschillen tussen COSO ERM, ISO 31000, het Three Lines Model, de BIO en RISMAN én hoe je ze slim toepast. Praktisch, helder en direct inzetbaar. Klik door en kies het model dat jouw organisatie écht vooruit helpt. Risicomanagement model Knop De blog laat zien hoe organisaties grip krijgen op AI met een vijflagenmodel voor governance, data, modelontwikkeling, monitoring en impact. Het model helpt risk-, compliance- en auditprofessionals AI structureel te beheersen en te toetsen, zonder data scientist te zijn. Grip op AI Knop Risk appetite en risk tolerances lijken theoretisch, maar bepalen in de praktijk of uw organisatie met vertrouwen durft te innoveren én tijdig begrenst. In deze blog leest u hoe u ze concreet maakt, van bestuurskamer tot werkvloer, met voorbeelden, valkuilen en praktische tips. Risk appetite en risk tolerance Knop Steeds meer organisaties besteden hun internal audit uit; niet uit nood, maar als bewuste strategische keuze. In deze blog lees je hoe outsourcing zorgt voor flexibele capaciteit, specialistische kennis en een frisse kwaliteitsimpuls, én wanneer het wél of juist niet past. Klik door om verder te lezen. Outsourcing auditafdeling Knop Veel risicoanalyses blijven hangen in lijstjes en matrixen waar niemand iets mee doet. In deze blog lees je wat een écht goede risicoanalyse is, welke valkuilen je moet vermijden en hoe je risico’s verbindt met gedrag, besluitvorming en resultaat. Maak van risicoanalyse een krachtig stuurinstrument. Risicoanalyse Knop AI auditen vraagt niet om data science, maar om auditvaardigheden: governance toetsen, eigenaarschap vaststellen, AI-gebruik inventariseren en shadow AI zichtbaar maken. Begin klein, bijvoorbeeld met het AI-register en één concrete toepassing. Auditen van AI Knop

Voorkom papieren risicoanalyses en versterk besluitvorming. Ontdek effectieve methodes en valkuilen voor een succesvolle risicoanalyse. Alle blogs Risicomanagement Risicoanalyse Iedere organisatie krijgt ermee te maken: risico’s. Van kleine operationele incidenten tot strategische dreigingen die de continuïteit onder druk zetten. En dus voeren we risicoanalyses uit. Tenminste… dat denken we. In de praktijk blijkt dat veel analyses blijven steken in papieren exercities, onduidelijke terminologie of generieke risico-overzichten waar niemand echt iets mee doet. Hoe komt dat, wat is een risicoanalyse eigenlijk, en hoe doe je het dan wel goed? In deze blog duiken we hier dieper in; van definitie en valkuilen tot methodes en praktijktoepassingen. Ook lees je hoe Ferocia organisaties ondersteunt om risicoanalyse te verbinden aan resultaat, gedrag en besluitvorming. Wat is een risicoanalyse? Een risicoanalyse is het proces waarbij een organisatie systematisch identificeert, beoordeelt en prioriteert welke risico’s haar doelstellingen kunnen bedreigen. Het doel is om inzicht te krijgen in de risico’s die er echt toe doen, zodat er passende (beheers)maatregelen getroffen kunnen worden. Een goede risicoanalyse geeft antwoord op vragen als: Wat kan er misgaan? Hoe groot is de kans dat het gebeurt? Wat is het mogelijke effect op onze doelstellingen? Hoe effectief zijn onze bestaande beheersmaatregelen? Wat accepteren we, en wat niet? Het is een hulpmiddel, geen doel op zich. Een goede risicoanalyse ondersteunt besluitvorming, versterkt sturing en vergroot het risicobewustzijn binnen de organisatie. De valkuilen van een risicoanalyse In de praktijk zien we dat risicoanalyses vaak tekortschieten. Dit zijn de meest voorkomende valkuilen: 1. Te abstract Risico’s worden soms zo breed geformuleerd (“marktverandering”, “cyberdreiging”), dat niemand weet wat er echt bedoeld wordt. 2. Verwarring over begrippen Begrippen als risico, kans, impact, restrisico en beheersmaatregel worden door elkaar gebruikt of verschillend geïnterpreteerd. Dit leidt tot verwarring en inconsistente analyses. 3. Geen aansluiting bij besluitvorming Veel risicoanalyses eindigen in rapporten die in een la verdwijnen. De uitkomsten worden niet gekoppeld aan sturing, budgettering of organisatiedoelstellingen. 4. Te lineair en instrumenteel De analyse wordt als een check-the-box-activiteit uitgevoerd, lijstje invullen en vinkjes zetten. Gedrag, cultuur en interactie blijven buiten beeld, terwijl daar vaak juist de echte risico’s zitten. 5. Geen betrokkenheid van de business De risicoanalyse wordt vaak uitgevoerd door riskmanagers of compliance officers, zonder betrokkenheid van afdelingen of het lijnmanagement. Dan blijft het een papieren werkelijkheid. Methoden voor risicoanalyse Er zijn verschillende methoden om risico’s te analyseren. Welke geschikt is, hangt af van het doel, de context en het type risico’s. 1. Klassieke risico-inventarisatie (Kans x Impact) De meest gebruikte methode: je benoemt risico’s, schat de kans en impact in (bijvoorbeeld op een schaal van 1–5) en maakt een risicomatrix. Simpel en snel, maar gevoelig voor subjectiviteit. 2. Risk Control Self Assessment (RCSA) Bij een RCSA beoordelen medewerkers zelf, vaak in workshops, welke risico’s er zijn in hun proces en hoe goed de beheersmaatregelen werken. Deze methode vergroot eigenaarschap, bewustwording en betrokkenheid. 3. Bowtie-analyse Een visuele methode waarbij je de relatie tussen oorzaken, risico’s en gevolgen in kaart brengt, inclusief beheersmaatregelen. Helpt om de logica achter risico’s te begrijpen. 4. SWIFT (Structured What-If Technique) Een semi-gestructureerde brainstormmethode waarbij je scenario’s doorloopt: “Wat als X gebeurt?” Handig voor complexe processen of projecten. 5. FTA (Fault Tree Analysis) en ETA (Event Tree Analysis) Meer technische methodes voor het analyseren van oorzaken en gevolgen in ketens of technische systemen. Vaak gebruikt in industrie of IT. 6. Monte Carlo-simulatie Een kwantitatieve aanpak waarbij risico’s en variabelen worden doorgerekend op basis van duizenden scenario’s. Wordt vooral toegepast bij financiële of projectrisico’s. Hoe voer je een effectieve risicoanalyse uit? Een effectieve risicoanalyse herken je aan deze vijf kenmerken: 1. Vooraf helder doel en scope bepalen Gaat het om een proces, project of organisatiebreed? Hoe duidelijker de scope, hoe gerichter de analyse. 2. Taal en definities afstemmen Zorg dat iedereen die betrokken is, dezelfde begrippen en definities hanteert. Dit voorkomt miscommunicatie. Maak een risicotaxonomie en train mensen in het gebruik ervan. 3. Betrek de business actief Risico’s worden pas tastbaar als ze besproken worden met de mensen die het werk doen. Werk met workshops, interviews of RCSA-sessies. Laat mensen zelf risico’s benoemen en beoordelen. 4. Gebruik meerdere perspectieven Combineer data, proceskennis, interne audits, externe ontwikkelingen en menselijk gedrag. Analyseer niet alleen de ‘harde’ risico’s, maar ook cultuur, houding en motivatie. 5. Koppel risico’s aan doelen, sturing en gedrag Een risicoanalyse is pas effectief als de uitkomsten leiden tot actie. Koppel risico’s aan KPI’s, strategie en jaarplannen. Zorg voor eigenaarschap en opvolging. Hoe Ferocia helpt bij risicoanalyse Bij Ferocia geloven we niet in papieren exercities of standaardlijstjes. Wij helpen organisaties om risicoanalyses wél effectief te maken – als levend instrument dat richting geeft. Dat doen we op vijf manieren: 1. Training en opleiding Via opleidingen zoals Integraal Risicomanagement of masterclasses als RCSA in de praktijk helpen we professionals om risicoanalyse te begrijpen, toe te passen én te verankeren in hun organisatie. 2. Workshops en begeleiding op maat We begeleiden teams bij het uitvoeren van RCSA’s, bowtie-analyses of risicoworkshops. Daarbij zorgen we voor structuur, duidelijke definities en ruimte voor reflectie en gedrag. 3. Advies en co-creatie Samen met jouw organisatie ontwikkelen we een aanpak die werkt: afgestemd op jullie processen, cultuur en strategie. Geen blauwdruk, maar maatwerk. 4. Tooling en templates We bieden praktische formats en methodieken om risicoanalyses eenvoudig en consistent uit te voeren. Daarmee creëren we overzicht én diepgang. 5. Verbinding met control, audit en strategie Wij zorgen dat risicoanalyse niet op zichzelf staat, maar verbonden is met de interne controlcyclus, de auditagenda en strategisch risicomanagement. Tot slot: een risicoanalyse is geen doel, maar een middel Een risicoanalyse is pas waardevol als het gedrag verandert, besluitvorming verbetert en risico’s echt beheerst worden. Dat vraagt om meer dan een matrixje invullen. Het vraagt om een gedeeld begrip van risico’s, om scherpe analyses, en om een cultuur waarin mensen verantwoordelijkheid nemen. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

< Terug Vacature (Senior) internal auditor De Goudse Per direct 32 tot 40 uur per week Gouda / Hybride € 63.666,70 tot € 100.239,59 per jaar SOLLICITEER Over De Goudse De Goudse is een trots, onafhankelijk familiebedrijf met bijna 100 jaar ervaring in het bieden van verzekeringsoplossingen die echt het verschil maken voor hun klanten. Ze hebben zich altijd ingezet voor het welzijn en de financiële zekerheid van ondernemers en particulieren, en met hun focus op innovatie, betrokkenheid en vakmanschap weten ze zich te onderscheiden. Werken bij De Goudse betekent deel uitmaken van een organisatie waar samenwerking en het bereiken van doelen hand in hand gaan. De werkomgeving is dynamisch, met korte lijnen en veel ruimte voor eigen inbreng, in een cultuur waar ondernemerschap, ontwikkeling en werkplezier centraal staan. Voor professionals die waarde hechten aan persoonlijke groei en impact, biedt De Goudse een unieke plek om hun expertise verder uit te bouwen. Over de afdeling Het Internal Audit-team bij De Goudse is een klein, hecht en deskundig team dat De Goudse helpt haar doelen te realiseren door de effectiviteit van de processen van risicomanagement, beheersing en governance te evalueren en te verbeteren. Het team rapporteert rechtstreeks aan de Raad van Bestuur en de Audit- en Riskcommissie van de Raad van Commissarissen. Het team voert audits uit op uiteenlopende gebieden, van operationele en financiële processen tot IT-beveiliging en compliance. Teamleden krijgen volop ruimte voor persoonlijke ontwikkeling en het uitbouwen van hun expertise, en worden continu uitgedaagd om scherp te blijven en met een frisse blik naar onze organisatie te kijken. Over de functie Ben jij een ervaren auditor met sterke communicatieve vaardigheden en neem jij graag het initiatief? Als (senior) internal auditor bij De Goudse krijg je de kans om jouw expertise verder uit te bouwen binnen een ambitieuze en ondernemende organisatie met een breed scala aan producten, processen en systemen. Je vervult een sleutelrol in het identificeren van verbeterpunten en het versterken van de controle en integriteit van de bedrijfsvoering. Dankzij de compacte omvang van het team en de korte lijnen binnen De Goudse heb je veel eigen verantwoordelijkheid, is je werk afwisselend en maak je écht impact. In deze functie ben je verantwoordelijk voor het uitvoeren van diepgaande audits op operationeel gebied en op gebied van compliance – zowel zelfstandig als in samenwerking met andere auditors. Jouw rol gaat verder dan onderzoek: je adviseert (team)managers proactief en praktisch op basis van jouw bevindingen, waardoor je direct bijdraagt aan strategische beslissingen en de efficiëntie van de organisatie. Je bent een belangrijk aanspreekpunt voor (team)management, waarbij heldere communicatie en afstemming essentieel zijn om adviezen om te zetten in actie. Samenwerken zit in je DNA: je bouwt duurzame relaties op met andere auditors, risk officers, de actuariële functie en compliance officers, evenals met de eerste lijn. Bovendien speel je een actieve rol in het doorontwikkelen van de interne auditfunctie. Bij De Goudse krijg je volop kansen om je kennis en expertise te verdiepen en verder te ontwikkelen, met een duidelijk groeipad dat aansluit bij jouw ambities. Als jij klaar bent om impact te maken en bij te dragen aan de toekomst van een organisatie die continu in beweging is, dan is deze rol jou op het lijf geschreven! Jouw taken Je voert audits uit op processen, systemen, projecten, risicomanagement, compliance en governance. Daarnaast voer je adviesopdrachten uit. Je adviseert gevraagd en ongevraagd over de wijze waarop de beheersing kan worden verbeterd. Je onderhoudt constructieve relaties met stakeholders binnen de organisatie. Je levert een inhoudelijke bijdrage aan de verdere professionalisering van Internal Audit binnen De Goudse. Wie zoeken we? We zoeken een ervaren en gedreven (senior) internal auditor met minimaal vier jaar werkervaring als auditor, accountant of in een vergelijkbare functie, die zelfstandig kan opereren en een scherp oog heeft voor detail. In deze rol voer je diepgaande audits uit en lever je een belangrijke bijdrage aan het verder verbeteren van onze processen en interne beheersing. Je hebt een afgeronde hbo- of wo-opleiding en bij voorkeur een RA-, RE- of RO-titel behaald. Of je volgt op dit moment de opleiding tot RE of RO (of bent bereidt om hiermee op korte termijn te starten). Aantoonbare kennis van AO/IC is hierbij een belangrijke voorwaarde. Met jouw ervaring ben je uitstekend in staat om audits zelfstandig te ontwerpen en uit te voeren. Je weet hoe je effectief en proactief (team)managers moet adviseren op basis van je bevindingen, en je communiceert helder en overtuigend. We zoeken een professional die zelfstandig werkt, maar ook goed in een team kan functioneren en makkelijk verbinding maakt met collega’s en stakeholders. Je hebt een oplossingsgerichte houding en kunt omgaan met weerstand, waarbij je zorgt voor een constructieve samenwerking. Met jouw communicatieve vaardigheden en open persoonlijkheid bouw je aan sterke relaties binnen en buiten het auditteam, waaronder met risk officers, de actuariële functie, compliance officers en de eerste lijn. Jouw bijdrage aan de continue verbetering van de interne auditfunctie maakt jou onmisbaar in ons team! Wat bieden we? Een salaris van tussen € 63.666,70 en € 100.239,59 per jaar op basis van 38 uur (incl. vakantietoeslag en dertiende maand) 216 vakantie-uren op basis van 38 uur Pensioen via Zwitserleven PPI Reiskostenvergoeding De mogelijkheid om je thuiswerkplek in te richten (keuzemenu) en om flexibel thuis te werken Ruime studiekostenvergoeding Een brede functie met veel ruimte voor eigen initiatief en ontwikkeling Een goede balans tussen werk en privé Over ons Ferocia is het enige bureau in Nederland dat volwaardige dienstverlening levert op het gebied van interim en consultancy, opleidingen en trainingen, en werving en selectie, binnen de vakgebieden internal audit, control en risicomanagement. Wij bieden deze disciplines afzonderlijk aan én combineren ze waar nodig — alles onder één dak. Dat is de kracht van complete dienstverlening! Lijkt deze functie je wat en herken je jezelf in het geschetste profiel? Of heb je vragen over deze functie? Solliciteer dan direct of neem contact op met Terri Stuijfbergen-Beens (085-0608598, terri.stuijfbergen@ferocia.nl ). Is deze functie toch niks voor jou? Check dan ook onze andere vacatures! Ken je een andere topper bij wie deze functie zou passen? Dan komen we daarmee graag in contact! En vanzelfsprekend stellen we daar wat tegenover. Als je tip leidt tot plaatsing, dan belonen we je met een mooie finder's fee!

Business Continuity Management helpt organisaties veerkrachtig te blijven bij crises. Ontdek hoe BCM risico’s vertaalt naar actie en weerbaarheid vergroot. Business Continuity Management Stel je voor: je organisatie ligt een dag stil. Niet alleen de mailserver, maar een cruciaal systeem. Orders worden niet verwerkt. Klanten kunnen niet geholpen worden. Een fabriek draait niet. Of een cyberaanval raakt juist die processen waar je als organisatie je license to operate aan ontleent. De eerste uren red je het op improvisatie en adrenaline. Maar dan komt de echte vraag: hebben we hier grip op, of zijn we overgeleverd aan de omstandigheden? Dat is precies waar Business Continuity Management (BCM) over gaat. Wat is Business Continuity Management? BCM wordt vaak verward met IT-disaster recovery of een mapje “calamiteitenplannen” in SharePoint. Nuttig, maar te beperkt. In essentie is BCM het gestructureerd vermogen van een organisatie om kritieke processen te blijven uitvoeren bij verstoringen. Het gaat om continuïteit van dienstverlening, niet om het voorkomen van elk incident. Dat laatste lukt toch niet. De kernvragen zijn: welke processen moeten doorlopen, welke maximale impact accepteren we, welke structuur en welk raamwerk zetten we neer en wie neemt welke besluiten onder druk? BCM verbindt strategie, processen, mensen, technologie en leveranciers in één verhaal. Dat maakt het bij uitstek een onderwerp voor riskmanagers, controllers en internal auditors: jullie zitten precies op het snijvlak van doelen, risico’s en beheersing. Waarom BCM nu belangrijker is dan ooit Organisaties opereren allang niet meer in een stabiele, voorspelbare omgeving. De afgelopen jaren hebben laten zien hoe kwetsbaar ketens zijn. Cyberaanvallen, energietekorten, personeelsschaarste, pandemieën, geopolitieke spanningen, falende leveranciers: het zijn geen theoretische scenario’s, maar dingen die “gewoon gebeuren”. Tegelijk neemt de afhankelijkheid van digitale hulpmiddelen exponentieel toe. Een verstoring is zelden nog geïsoleerd; vaak raakt het meerdere ketenpartners tegelijk. Daarbij komen aangescherpte verwachtingen van toezichthouders en wetgevers, zoals DORA in de financiële sector of NIS2 voor vitale en belangrijke sectoren. BCM schuift daarmee van “nice to have” naar kernonderdeel van goed bestuur. Bestuurders zien dat ook. Continuïteit, reputatie en vertrouwen van klanten zijn strategische thema’s. Maar tussen die bestuurlijke ambitie en de praktijk op de werkvloer zit vaak een gat. Precies daar kan goed BCM het verschil maken. BCM, risicomanagement en incidentmanagement: hoe hangt het samen? Een veel gestelde vraag: hebben we naast risicomanagement nu óók BCM nodig? Het antwoord is ja, maar niet als los traject. Risicomanagement richt zich primair op het identificeren en behandelen van risico’s voordat ze zich voordoen. Je probeert de kans te verlagen en de impact te beperken. BCM gaat uit van de veronderstelling dat verstoringen óók daadwerkelijk optreden. Niet als “zwarte zwaan”, maar als realistische gebeurtenis. De vraag verschuift van “hoe voorkomen we dit volledig?” naar “hoe zorgen we dat we door kunnen?”. Incidentmanagement heeft vervolgens de focus op de eerste reactie: detecteren, escaleren, oplossen. BCM kijkt verder: hoe vangen we de impact op, hoe herstellen we, hoe houden we de organisatie bestuurbaar, hoe communiceren we en hoe leren we na afloop? Je kunt het zien als drie lagen:– risicomanagement om slimmer te worden vóór een incident,– incidentmanagement om effectief te reageren tijdens een incident,– BCM om de continuïteit van de organisatie te borgen rondom het incident. Als internal auditor of riskmanager is het dus niet de vraag óf je met BCM te maken krijgt, maar vooral hoe goed die drie lagen op elkaar aansluiten. De kern van BCM: van BIA tot herstel in de praktijk Hoewel ieder BCM-traject een eigen kleur krijgt, zie je in volwassen organisaties steeds een aantal vaste bouwstenen terug. Niet als theoretisch model, maar als logisch groeipad. Het startpunt is bijna altijd een Business Impact Analyse (BIA). Daarin breng je in kaart welke processen echt kritisch zijn, welke producten en diensten daarvan afhangen, wat de impact is van uitval en binnen hoeveel tijd je weer op een minimaal niveau moet functioneren. Het mooie van een goede BIA is dat hij het gesprek dwingt over prioriteiten. Niet alles is “hoog, rood, kritisch”. Vanuit die impactanalyse werk je naar continuïteitsstrategieën. Wat doe je als een locatie uitvalt? Als een kernapplicatie niet beschikbaar is? Als een cruciale leverancier faalt? Ga je uit van alternatieve locaties, redundante systemen, handmatige noodprocedures, afspraken met andere partijen? Hier raakt BCM direct de wereld van architectuur, sourcing, IT-inrichting en contractmanagement. Vervolgens worden deze keuzes vertaald naar concrete business continuity-plannen. Geen dikke bundels die niemand leest, maar praktische, rolgerichte instructies: wie belt wie, welke beslissingen worden waar genomen, welke processen schalen we eerst op, welke klanten moeten we actief informeren, hoe documenteren we wat er gebeurt? Tot slot komt een cruciaal onderdeel dat in veel organisaties wordt onderschat: oefenen en leren. Een plan dat nooit getest is, is geen plan. Oefeningen, simulaties, onverwachte uitvalsessies: ze maken zichtbaar wat er in de praktijk wel en niet werkt. En ze leggen vaak bloot dat het echte knelpunt niet in de techniek zit, maar in coördinatie, besluitvorming en communicatie. Mensen, gedrag en soft controls in BCM BCM klinkt al snel technisch: fallback-locaties, RTO’s, RPO’s, redundante lijnen. Maar als je kijkt naar incidenten en crises in de praktijk, zie je dat succes of mislukking vaak wordt bepaald door gedrag. Wordt een storing tijdig gemeld of schuift iemand het voor zich uit? Durven medewerkers een incident te escaleren als ze bang zijn dat het “gedoe” oplevert? Neemt het management onder druk besluiten of vervalt men in afwachten en micro-management? Worden verantwoordelijkheden tijdens een crisis duidelijk opgepakt, of is iedereen tegelijk “bezig”? Dat zijn geen hard-controlvragen, maar soft-controlvragen. Ze gaan over leiderschap, cultuur, voorbeeldgedrag, open communicatie en psychologische veiligheid. In opleidingen zoals operational auditing en integraal risicomanagement zie je die thema’s steeds nadrukkelijker terugkomen, juist omdat auditors merken dat een systeem op papier klopt maar in de praktijk niet werkt als gedrag niet meedoet. Voor BCM geldt hetzelfde. Een continuïteitsplan zonder geoefend crisisteam is als een ongelezen handleiding. Een prachtige BIA zonder draagvlak in de business is als een spreadsheet in de la. Daarom is het zo belangrijk dat BCM niet alleen “in de staf” plaatsvindt, maar dat lijnmanagement vanaf het begin betrokken is. De rol van internal audit en risicomanagement in BCM BCM is typisch zo’n thema waar de drie lijnen (three lines model) elkaar nodig hebben. De eerste lijn, de business en de operationele teams kennen de processen, klanten en systemen. Zij weten welke activiteiten echt niet stil kunnen vallen en welke workaround in de praktijk nog nét werkt. Zij zijn eigenaar van continuïteitsplannen. De tweede lijn, risk, compliance en security, helpt om kaders te zetten, methodiek te kiezen, scenario’s te beoordelen en de kwaliteit van plannen te bewaken. Zij zorgen dat BCM niet eenmalig is, maar ingebed wordt in de reguliere planning- & controlcyclus en risicodialogen. De derde lijn, internal audit heeft een unieke rol. De auditor kijkt onafhankelijk en objectief naar de opzet, het bestaan en de werking van BCM. Klopt de logica van het raamwerk? Sluit de BIA aan op de strategische doelen? Zijn de plannen getest en geactualiseerd? Leren we van oefeningen en echte incidenten? En misschien wel de meest interessante vraag: past de continuïteitsaanpak bij de risk appetite van bestuur en directie, of is men óf veel te krampachtig, óf juist te laconiek? Daarnaast kan internal audit een katalysator zijn voor een bredere discussie. Een audit op BCM raakt per definitie meerdere disciplines: IT, HR, facility, inkoop, business, communicatie. Het is een uitgelezen kans om silo’s te doorbreken en de organisatie als geheel naar een hoger niveau van weerbaarheid te helpen. BCM in een wereld van ketens en uitbesteding Waar BCM vroeger nog vooral binnen de eigen muren werd bekeken, is dat vandaag niet meer houdbaar. Vrijwel iedere organisatie is onderdeel van meerdere ketens. Denk aan cloud leveranciers, SaaS-applicaties, logistieke partners, shared service centers, uitbestede klantcontactcentra. Dat betekent dat continuïteitsrisico’s ook buiten je eigen organisatie liggen. Een verstoring bij een leverancier kan jouw dienstverlening direct raken. BCM moet daarom hand in hand gaan met Third Party Risk Management en contractuele afspraken. Wat staat er in de SLA over beschikbaarheid en herstel? Is er een exit-strategie als een leverancier langere tijd uitvalt? Zijn er afspraken over gedeelde oefeningen en testscenario’s? Voor auditors en riskmanagers is dit een interessante maar ook complexe dimensie. Je bent niet alleen meer bezig met interne controls, maar ook met de vraag in hoeverre je zicht en grip hebt op de weerbaarheid van partners. Zeker in sectoren waar DORA of NIS2 gelden, zie je dat toezichthouders nadrukkelijk vragen naar deze ketenblik. BCM kan daar een sterke kapstok voor zijn. Hoe begin je zonder te verdrinken in modellen? BCM kan intimiderend overkomen. Frameworks, standaarden, maturity-modellen, je ziet al snel door de bomen het bos niet meer. Toch hoeft een eerste stap niet ingewikkeld te zijn. Begin met het gesprek: welke processen of diensten zijn voor ons écht cruciaal? Wat gebeurt er als die een dag, drie dagen, een week uitvallen? Welke klanten raken we dan? Welke wettelijke verplichtingen spelen een rol? Dit soort gesprekken levert vaak meer inzicht en urgentie op dan een dikke rapportage. Van daaruit kun je gericht starten met één of twee processen. Liever klein en concreet, dan meteen een organisatiebrede exercitie die vastloopt in complexiteit. Kies een kernproces, doe een beknopte BIA, stel een praktisch continuïteitsplan op, oefen dat plan met het team en leer ervan. De ervaring die je daar opdoet, gebruik je om de rest van de organisatie stapsgewijs mee te nemen. Internal auditors en riskmanagers hebben hierbij een mooie rol als gids. Niet door BCM “over te nemen”, maar door scherpe vragen te stellen, methodische ondersteuning te bieden en te helpen prioriteren. Zo wordt BCM geen project van één afdeling, maar een organisatiebrede beweging. Business Continuity Management als investering in lerend vermogen Als je BCM terugbrengt tot “een plan voor als het misgaat”, doe je jezelf tekort. In de kern is het een manier om als organisatie te leren omgaan met onzekerheid. Je gaat bewuster kijken naar afhankelijkheden. Je ontdekt welke processen stiekem kritischer zijn dan gedacht. Je ziet hoe beslissingen in het hier en nu, bijvoorbeeld over uitbesteding, cloudmigratie of personeelsbezetting gevolgen hebben voor je toekomstige weerbaarheid. En je leert door te oefenen: hoe reageren mensen onder druk, welke informatie mis je, waar ontstaan misverstanden, waar gaat het juist heel goed? Dat maakt BCM niet alleen een audit, risk- of compliance-verhaal, maar een ontwikkelvraagstuk. Een kans om het lerend vermogen van management en medewerkers te vergroten, en daarmee de kans dat je als organisatie ook in turbulente tijden je doelen blijft realiseren. Tot slot Business Continuity Management is een noodzakelijk antwoord op een wereld waarin verstoringen de norm zijn geworden. Het helpt organisaties om verder te kijken dan incidenten en brandjes, en structureel na te denken over de vraag: hoe blijven wij waarde leveren als het tegenzit? Voor internal auditors, riskmanagers, controllers en compliance-professionals is BCM daarmee een krachtig thema om het gesprek over risico’s, governance en gedrag te verdiepen. Niet met nog een checklist, maar met concrete scenario’s, eerlijke gesprekken en praktische plannen die getest en geleefd worden. Wil je BCM in jouw organisatie naar een hoger niveau brengen, of zoek je ondersteuning bij het uitvoeren van een audit, het opzetten van een raamwerk of het trainen van teams? Dan is dit precies het terrein waar Ferocia je kan helpen, via opleidingen en trainingen, interim en consultancy en werving en selectie. Zodat je niet alleen een “BCM-plan” hebt, maar een organisatie die daadwerkelijk veerkrachtig is als het erop aankomt. Benieuwd wat wij voor jouw organisatie kunnen betekenen? Neem vandaag nog contact met ons op voor een vrijblijvend kennismakingsgesprek. Contact Blogs

Ontdek hoe Behavioral Auditing 2.0 met AI snel diep inzicht biedt in gedrag en cultuur binnen controlframeworks. Maak organisatiegedrag auditbaar. Alle blogs Gedrag en cultuur Behavioral Auditing 2.0 Gedrag en cultuur in relatie tot risicobeheersing Ferocia heeft samen met Jan Otten Behavioral Auditing 2.0 ontwikkeld. D e vernieuwde methode voor het uitvoeren van gedragsaudits. Krijg diep inzicht in mentale modellen, drijfveren en overtuigingen achter gedrag. Net zo krachtig als voorheen, maar nu nog simpeler, sneller en AI-ondersteund. Een praktische aanpak om invulling te geven aan de IIA Topical Requirement for Organizational Behavior. De eerste generatie Behavioral auditing, ontwikkeld door Jan Otten en Inge van der Meulen, gaf organisaties al inzicht in gedrag en cultuur. Het bracht onderstromen aan het licht: waarom blijven verbetertrajecten steken, ondanks heldere rapporten? Waarom verzanden veranderingen, ook al zijn rollen en processen op papier logisch ingericht? Antwoorden lagen zelden in nog een procedure of nog een training, maar in wat mensen werkelijk doen, gestuurd door gewoonten, groepsdynamiek, onuitgesproken normen en impliciete aannames. Wat maakt Behavioral Auditing 2.0 vernieuwend? Behavioral auditing 2.0 is op twee manier vernieuwd: het gebruik van geavanceerde AI-modellen waardoor de audit simpel en sneller uitgevoerd kan worden met behoud van dezelfde kwaliteit en diepgang; en de expliciete koppeling tussen de beheerscultuur en het controlframework waardoor het herkenbaarder en dicht bij het werk van een internal auditor komt te staan. Behavioral Auditing 2.0 is de doorontwikkeling van de vertrouwde gedragsaudit, waarin de volledige kwalitatieve data-analyse is vervangen door een AI‑gestuurde aanpak. De kern blijft identiek: diep inzicht in mentale modellen, drijfveren en overtuigingen achter gedrag, op basis van rijke interviewdata. In plaats van handmatig coderen, clusteren en thematiseren, laat Behavioral Auditing 2.0 dit werk doen door geavanceerde AI‑modellen die grote hoeveelheden interview transcripten razendsnel analyseren. Deze modellen herkennen patronen, thema’s en sentimenten die voorheen veel uren denkarbeid vroegen, met een consistentie en reproduceerbaarheid die handmatige analyse vaak niet haalt. De geavanceerde AI-modellen zet de transcripten om in een gestructureerd, doorlopend narratief dat qua opbouw en scherpte aansluit bij de verhalen die auditors eerder handmatig maakten. Dat narratief is nog steeds volledig opgebouwd uit letterlijke citaten uit de interviews, zodat de stem van de organisatie hoorbaar blijft en direct als input kan dienen voor de validatieworkshop. Waar de auditor voorheen diep in de codering en classificatie van fragmenten moest duiken, verschuift de focus nu naar duiding, toetsing en dialoog met de organisatie. De geavanceerde AI-modellen leveren in minuten een eerste, rijk onderbouwd narratief en thematische indeling op, waardoor de auditor zijn expertise kan inzetten waar die de meeste waarde heeft: interpretatie, risicoweging en het ontwerpen van interventies. De essentie van Behavioral Auditing blijft volledig behouden: inductieve gedragsanalyse, stevige onderbouwing en herkenbare narratieve die beweging in organisaties op gang brengen. Behavioral Audit 2.0 levert deze kwaliteit nu in een fractie van de tijd, met minder doorlooptijd, lagere analysekosten en meer ruimte voor reflectie en interactie met bestuur, management en medewerkers Daarbij focust Behavioral Auditing 2.0 zich specifiek op de vraag: is onze (beheers)cultuur congruent met ons controlframework? Oftewel, als we kijken naar de formeel ingerichte beheersmaatregelen om risico te mitigeren, en naar hoe de cultuur binnen de organisatie hoe medewerkers werkelijk met deze beheersmaatregelen omgaan, herkennen we dan een logisch, samenhangend geheel? Of staat het controlframework en de cultuur op gespannen voet met elkaar? Die vraag lijkt simpel, maar is het niet. Want het controlframework is meer dan een set maatregelen. Het is een netwerk van checks, autorisaties, routines, dashboards, normenkaders en verwachtingen. En “(beheers)cultuur” is meer dan een slogan op een poster. Het is hoe mensen in de praktijk betekenis geven aan regels, hoe zij onder tijdsdruk keuzes maken, wie zich veilig voelt om iets te zeggen, wie elkaar aanspreekt, en wat er gebeurt als iemand wél een grens trekt. Met andere woorden: het is “de manier waarop we hier de dingen doen”, en precies daar zitten zowel de kracht als de kwetsbaarheid van beheersing. Neem het vierogenprincipe. In veel organisaties is dat een beheersmaatregel in het controlframework. Maar stel dat de cultuur zo is ingericht dat elkaar aanspreken ongemakkelijk is. Dat feedback snel als kritiek wordt ervaren. Dat medewerkers liever vermijden dan confronteren, omdat “gedoe” interne conflicten oplevert of omdat er toch niets mee gebeurt. Dan verandert het vierogenprincipe van een beheersmaatregel in een ritueel. Er wordt wel gekeken, maar niet echt gezien. De tweede handtekening wordt gezet omdat dat nu eenmaal moet, niet omdat er een inhoudelijke dialoog plaatsvindt. Formeel klopt het. Gedragsmatig is het een leeg omhulsel. Het kan ook precies andersom. Een organisatie kan zichzelf graag beschrijven als “betrokken, mensgericht en gebaseerd op vertrouwen”. Maar ondertussen bestaat het controlframework uit een dicht netwerk van microcontroles, dubbele registraties, autorisaties op de kleinste handelingen en escalatieprocedures die vooral wantrouwen communiceren. Medewerkers ervaren: “ze geloven ons niet.” En wat doet dat met gedrag? Mensen gaan slimmer worden in het systeem in plaats van beter in het werk. Ze gaan afvinken, verstoppen, omzeilen, ‘netjes’ rapporteren wat veilig is. De formele stapel groeit, de werkdruk stijgt, en de echte risico’s verhuizen naar de schaduw. Het controlframework is ontworpen als bescherming, maar wordt beleefd als controle op de persoon. Ook hier: een mismatch tussen wat we zeggen en wat we doen. Behavioral Auditing 2.0 maakt precies deze eventuele mismatch zichtbaar. Niet door er een extra vragenlijst over cultuur naast te leggen, maar door het controlframework te analyseren en de beheerscultuur te onderzoeken en te beoordelen in welke mate deze congruent zijn. Dat deze beweging nodig is, is inmiddels ook expliciet terug te zien in de ontwikkeling van het vak. Het IIA heeft in het kader van de Global Internal Audit Standards een Topical Requirement voor Organizational Behavior gepubliceerd. Organisatiegedrag is niet langer een vage bijlage bij ‘culture’, maar een te auditen risicodomein. Slecht uitgelijnd gedrag kan tot slechte uitkomsten leiden, zelfs als de intenties goed zijn, en vraagt daarom om governance-, risk- en controlprocessen die je net zo serieus beoordeelt als andere risico’s. Het Topical Requirement biedt een minimum-baseline. Het vraagt dat auditors op drie niveaus kijken: governance, risk management en controls rondom organisatiegedrag. Kijk je naar de governance-eisen, dan gaat het onder meer om de rol van board en senior management: is er heldere accountability voor gedragsverwachtingen, en bestaan er processen om alignment tussen gedragsinzichten en organisatiedoelen te monitoren en bij te sturen. Dat is precies waar Behavioral Auditing 2.0 antwoord op geeft. Niet door te vragen of “tone at the top” ergens in een code staat, maar door te onderzoeken welk gedrag daadwerkelijk wordt beloond, welke dilemma’s managers in het echt tegenkomen, en hoe besluitvorming, aanspreekbaarheid en voorbeeldgedrag uitpakken in de operatie. Op risk managementniveau vraagt het IIA onder meer of de organisatie een aanpak heeft om gedragsrisico’s te managen, of monitoring van organisatiegedrag adequaat en tijdig is, of gaps tussen verwacht en daadwerkelijk gedrag (incl. root causes) consequent worden gecommuniceerd. Ook hier sluit Behavioral Auditing 2.0 naadloos aan, juist omdat het vertrekpunt niet is “wat is het gewenste gedrag?”, maar “wat gebeurt er nu, en welke aannames sturen dat?” En op het niveau van controls vraagt het IIA dat organisaties processen hebben om risicovolle gedragspatronen te identificeren en te mitigeren, dat er een duidelijke toon en communicatie over verwacht gedrag is, dat er meld- en escalatiemechanismen bestaan met bescherming, dat incentives en consequenties aligned zijn met doelen, dat issue management bestaat om misaligned gedrag te corrigeren en te escaleren en dat training, onboarding en talentprocessen gedragsverwachtingen ondersteunen. Met andere woorden: gedrag moet niet alleen “besproken” worden, het moet ontworpen worden in de manier waarop je mensen aanneemt, beoordeelt, beloont, corrigeert en beschermt. Hier wordt de waarde van Behavioral Auditing 2.0 zichtbaar: het maakt dit hele pakket toetsbaar, zonder te vervallen in vaagheid. Het helpt auditors om niet te blijven hangen in algemene cultuurwoorden, maar om scherp te kijken naar de consistentie tussen het controlframework en cultuur. De kernboodschap is daarom: in control zijn is niet het hebben van maatregelen, maar het hebben van maatregelen die passen bij de cultuur, of het ontwikkelen van een cultuur die de maatregelen kan dragen. Behavioral Auditing 2.0 brengt die twee werelden bij elkaar. Het legt bloot waar je controlframework en je beheerscultuur elkaar versterken, en waar ze elkaar ondermijnen. En precies daarin geeft het concreet invulling aan het Topical Requirement van het IIA: het maakt organisatiegedrag auditbaar, bespreekbaar en verbeterbaar, met dezelfde professionaliteit die we gewend zijn bij andere risicodomeinen. Wie dat eenmaal ziet, gaat anders kijken naar “de oplossing”. Niet automatisch meer controls toevoegen, maar eerst begrijpen wat er gebeurt. Soms blijkt dat je cultuur best volwassen is, maar dat je systeem nog in een wantrouwmodus staat. En soms blijkt dat je systeem prima is, maar dat je cultuur niet veilig genoeg is om het systeem te laten werken. En misschien is dat wel de grootste winst van Behavioral Auditing 2.0: het brengt beheersing terug naar waar het uiteindelijk altijd over gaat. Niet over papier, maar over keuzes. Niet over regels, maar over gedrag. Niet over hoe het hoort, maar over hoe het werkt. Hoe Ferocia gedrag en cultuur binnen jouw organisatie versterkt Wij ondersteunen organisaties op drie manieren: 1. Opleiding en training We leiden internal auditors, controlllers en risicomanagers op tot echte professionals die zelfstandig onderzoek kunnen uitvoeren naar gedrag en cultuur. Denk aan onze postbacheloropleiding Gedrag- en cultuuronderzoek voor financials. 2. Tijdelijke inzet van auditors en risicoprofessionals Heb je tijdelijk capaciteit nodig voor de uitvoering van een behavioral audit? Wij leveren ervaren auditors die direct inzetbaar zijn. 3. Werving en selectie Op zoek naar een nieuwe internal auditor die gespecialiseerd is in gedrag en cultuur om je team te versterken? Wij helpen je met het vinden van de juiste professional. Iemand die niet alleen inhoudelijk sterk is, maar ook past bij jouw organisatiecultuur. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl