Zoekresultaten

Gratis event Behavioral Auditing 2.0. Leer hoe u gedrag en cultuur kunt auditen. Compact, efficiënt en ondersteund door AI. Fysiek of online te volgen. Event Behavioral auditing 2.0 Duur Studiekosten PE-punten 1 uur Gratis 1 Inschrijven Event Behavioral auditing 2.0 Gedrag en cultuur zijn cruciaal voor effectieve beheersing, maar blijven in audits vaak abstract en lastig toetsbaar. Met Behavioral Auditing 2.0 introduceren Ferocia en Jan Otten een doorontwikkelde aanpak voor het uitvoeren van gedragsaudits die wél houvast biedt in de praktijk. Behavioral Auditing 2.0 geeft verdiepend inzicht in de mentale modellen, overtuigingen en drijfveren die gedrag binnen organisaties sturen. De kern van de methode is behouden, maar de werkwijze is compacter, efficiënter en ondersteund door AI. Hierdoor wordt gedragsauditing beter uitvoerbaar, zonder concessies te doen aan kwaliteit, diepgang of privacy. De aanpak helpt organisaties bovendien om op een praktische en onderbouwde manier invulling te geven aan de IIA Topical Requirement for Organizational Behavior, met een duidelijke koppeling tussen cultuur en het bestaande controlframework. Leerdoelen Na afloop van dit event: begrijpt u de uitgangspunten en opbouw van Behavioral Auditing 2.0; heeft u inzicht in hoe AI kan worden ingezet binnen gedragsaudits; kunt u gedrag en cultuur concreter verbinden aan beheersing en auditkaders; en weet u hoe deze aanpak kan worden toegepast binnen de eigen auditpraktijk. Meld je nu aan voor het gratis event op 25 maart a.s. van 8:00 tot 9:00 uur , zowel fysiek als digitaal te volgen. Het event op 20 maart is al volledig volgeboekt. Praktische informatie Doelgroep Werkvorm Tijdsinvestering Studiekosten Resultaat Je bent werkzaam als auditor, controller, risk officer, compliance officer, medewerker AO/IC, kwaliteitsmedewerker of accountant en van jou wordt verwacht dat je gedrag en cultuur onderzoekt. De tijdsinvestering bedraagt 1 uur. Interactieve bijeenkomst die zowel fysiek als digitaal bij te wonen is. Na afloop van dit event ontvang je een certificaat van deelname. Indien je PE-plichtig bent ontvang je 1 PE-punt. Je kunt dit event kosteloos bijwonen. Meer weten of direct inschrijven? Brochure Adviesgesprek Inschrijven

Thema's Ferocia ondersteunt organisaties op het gebied van internal audit, control en risicomanagement. Onze consultants en trainers combineren diepgaande kennis met jarenlange ervaring in uiteenlopende sectoren. Hieronder vindt u enkele veelgevraagde thema’s waarop wij worden ingezet. Ontdek wat wij voor uw organisatie kunnen betekenen. Internal auditing Internal auditing GRC governance risk compliance GRC governance risk compliance Third Party Mededelingen Third Party Mededelingen VOR Verklaring Omtrent Risicobeheersing VOR Verklaring Omtrent Risicobeheersing Risicomanagement Risicomanagement IT beheersing IT beheersing Business Continuity Management Business Continuity Management Gedrag en cultuur Gedrag en cultuur Kwaliteitstoetsingen Kwaliteitstoetsingen GIAS GIAS

Snel een ervaren interim auditor, risk manager en controller nodig? Ontdek waarom Ferocia hiervoor jouw partner is. Kwalitatief, snel en scherpe tarieven. Alle blogs Interim en consultancy Interim auditor inhuren via Ferocia Personeelstekort. Ziekte. Veranderprojecten. Een plotselinge piek in het aantal audits. Wat de aanleiding ook is, organisaties staan regelmatig voor de uitdaging om snel een ervaren auditor aan boord te krijgen. En dan niet zomaar iemand, maar een professional die vanaf dag één meedraait, weet wat er gevraagd wordt en het verschil maakt. Bij Ferocia begrijpen we die urgentie. Maar we kijken verder dan alleen snelheid. Wij zorgen voor interim auditors die niet alleen gaten dichten, maar bijdragen aan verbetering, kwaliteit en rust in jouw auditfunctie. In deze blog lees je: wanneer het inhuren van een interim auditor verstandig is; wat je mag verwachten van een Ferocia-interimmer; en hoe wij het verschil maken ten opzichte van traditionele detacheerders. Wanneer kies je voor een interim auditor? Er zijn grofweg drie situaties waarin organisaties bij ons aankloppen: 1. Personele druk of uitval Een medewerker valt langdurig uit. Of er is al maanden sprake van onderbezetting, en de achterstanden lopen op. In zulke gevallen wil je geen maanden wachten tot een nieuwe vaste kracht start. 2. Projectmatige piekbelasting Een bijzondere opdracht komt langs: een thematische audit, due diligence, pre-audit voor certificering of begeleiding van een control improvement-traject. Dan is een tijdelijke versterking met specifieke ervaring een uitkomst. 3. Veranderopgave of crisis De organisatie zit in transitie, de risicobeheersing staat onder druk, of er is behoefte aan een frisse blik. Dan helpt een externe auditor die wel kritische vragen stelt en weet hoe je verbetert zonder ‘de winkel’ stil te leggen. Wat maakt een Ferocia-interimmer anders? Wij selecteren onze interim auditors niet alleen op ervaring, maar vooral op impact. Ervaring in complexe omgevingen Onze interimmers hebben hun sporen verdiend in jouw sector. Denk hierbij de overheid, zorg, financiële dienstverlening, infrastructuur en industrie. Ze kennen de druk, de gevoeligheden en de compliance-eisen. Snelle inzetbaarheid Geen lang inwerktraject. Ferocia-auditors zijn gewend om in te stappen, de context snel te doorgronden en direct waarde toe te voegen. Stevigheid en ‘zachtheid’ Een rechte rug en oog voor de organisatie. Onze mensen zijn analytisch sterk, maar ook communicatief vaardig en sensitief. Ze weten wanneer ze doorpakken, en wanneer ze eerst moeten luisteren. Aansluiting op jouw strategie We denken mee over meer dan alleen ‘wie heb je nodig’. We kijken naar wat je wilt bereiken met de inzet. Gaat het om continuïteit, versnelling, kennisoverdracht, vernieuwing? Hoe ziet de samenwerking eruit? 1. Intake die verder gaat dan de vacature Wij starten altijd met een goed gesprek. Over context, doelen, cultuur en verwachtingen. Alleen zo kunnen we de juiste match maken. 2. Profiel en persoonlijkheid We stellen alleen interim auditors voor waarvan we zeker weten dat ze passen bij jouw organisatie en opdracht. We kijken dus niet alleen naar het cv, maar ook naar houding, stijl en toegevoegde waarde. Oftewel de impact die en interim professional maakt. 3. Begeleiding en nazorg Onze interimmers staan er niet alleen voor. Ze maken gebruik van het Ferocia-netwerk van experts, opleidingen en intervisie. En wij blijven tijdens de opdracht in contact zodat je kunt bijsturen, opschalen of verlengen als dat nodig is. Waarom kiezen organisaties in interim auditor van Ferocia? Bij Ferocia zijn wij geen ‘cv-schuivers’. We zijn verbonden aan meerdere universiteiten, hogescholen en beroepsverenigingen waar wij het internal audit vakgebied doceren. Hierdoor weten we snel wat er speelt en kunnen we goed de match maken tussen de vraag en de ideale kandidaat. We werken niet voor iedereen, maar wel voor organisaties die het serieus nemen. Die zoeken naar kwaliteit, betrouwbaarheid en snelheid. En die begrijpen dat een goede interim auditor meer is dan tijdelijke bezetting, het is een kans om door te ontwikkelen. Onze opdrachtgevers kiezen ons omdat we: begrijpen wat het vak vraagt; werken met een netwerk van bewezen professionals; snel schakelen zonder in te boeten op kwaliteit; oog hebben voor mensen, cultuur en resultaat; scherpe tarieven hanteren en transparant zijn over onze marge; en SNA gecertificeerd zijn en volledig compliant zijn met de wet DBA. Tot slot: interim is geen tussenoplossing, het is een strategische keuze Interim inzet is geen zwaktebod. Het is een teken van kracht als je weet wanneer je externe hulp inschakelt, en hoe je daar het maximale uithaalt. Bij Ferocia geloven we dat een goede interim auditor het verschil maakt tussen aanmodderen en vooruitkomen en tussen ‘opvulling’ en echte versterking. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Ben jij internal auditor, controller of risicomanager en wil je groeien in je vak? Ferocia biedt praktijkgerichte opleidingen en trainingen op het gebied van internal auditing, control en risicomanagement. Ontworpen voor professionals die zich willen ontwikkelen en meer willen betekenen voor hun organisatie. Opleidingen en trainingen Ferocia verzorgt open en incompany opleidingen en trainingen voor internal auditors, risk officers en controllers. Onze dienstverlening Ben jij internal auditor, controller of risicomanager en wil je groeien in je vak? Ferocia biedt praktijkgerichte opleidingen en trainingen op het gebied van internal auditing, control en risicomanagement. Ontworpen voor professionals die zich willen ontwikkelen en meer willen betekenen voor hun organisatie. Leren bij Ferocia is anders! Wij bieden geen standaardopleidingen, maar trajecten die direct aansluiten op jouw dagelijkse praktijk. Geen droge theorie, maar kennis en vaardigheden die je meteen kunt toepassen in je werk. Zo wordt leren niet iets wat je erbij doet, maar iets dat je direct vooruithelpt! Wat ons uniek maakt? Wij begeleiden je niet alleen in de leeromgeving, maar ook bij de toepassing in jouw eigen praktijk. Met een doordachte combinatie van online theoretische voorbereiding (e-learning), interactie (virtuele of fysieke) bijeenkomsten en persoonlijke coaching, zorgen we ervoor dat jij de opgedane kennis zelfstandig en met vertrouwen toepast op je werkvloer. Daarbij werken wij samen met toonaangevende partners zoals Avans+, het Instituut van Internal Auditors (IIA Nederland) en Sijthoff Accountants Academy. Daardoor ben je verzekerd van de hoogste inhoudelijke kwaliteit en maximale relevantie voor jouw vakgebied. Kwaliteit gegarandeerd Onze opleidingen en trainingen worden verzorgd door ervaren en gediplomeerde docenten die hun sporen ruimschoots hebben verdiend in de praktijk, en zijn verbonden aan één of meerdere universiteiten (RE, RO, RC) en hogescholen. Zij weten als geen ander hoe ze theorie moeten vertalen naar situaties die jij in je dagelijkse werkzaamheden tegenkomt. Je kunt hierdoor de opgedane kennis direct toepassen binnen jouw praktijk, waardoor een meerwaarde wordt geleverd aan zowel jouw persoonlijke ontwikkeling als aan het succes van je organisatie! Meer weten? Bekijk dan ons aanbod aan open leertrajecten op het gebied van internal auditing, control en risicomanagement. Op zoek naar een incompany leertraject op maat? Ook dan helpen we je graag verder! Neem contact met ons op en we verkennen graag je leervraag. Contact Open leertrajecten Ben je op zoek naar een opleiding of training binnen audit, control of risicomanagement? Ontdek onze praktijkgerichte leertrajecten. Audit Control Risk Waarom Ferocia? Innovatieve en praktijkgerichte leertrajecten  voor internal auditors, controllers en risk officers. Blended learning. Online voorbereiding, interactieve sessies en coaching in je eigen werksituatie. Open en incompany leertrajecten. Schrijf je in voor een van onze open leertraject of kies voor een incompany leertraject op maat. Gediplomeerde docenten die hun sporen in de praktijk hebben verdiend. Onze docenten zijn niet voor niets allemaal als docent verbonden aan universiteiten en hogescholen! Gerenommeerde partners , zoals Avans+, het Instituut van Internal Auditors Nederland (IIA Nederland) en Sijthoff Accountants Academy.

Volg een actuele, praktijkgerichte opleiding Internal auditing bij Ferocia & Avans+. Kies Operational of IT-auditing en versterk jouw rol als interne auditor. Alle blogs Internal auditing Opleiding Internal auditing Wat is internal auditing? Internal auditing is het vakgebied dat organisaties helpt grip te krijgen op risico’s, processen en IT-systemen. Internal auditors beoordelen onafhankelijk de kwaliteit van interne beheersmaatregelen en geven op basis daarvan onderbouwd advies over mogelijke verbeteringen. Ze onderzoeken of processen effectief verlopen, of risico’s adequaat worden beheerst en of wet- en regelgeving wordt nageleefd. De internal auditor is veel meer dan een controleur: het is een strategische sparringpartner van bestuur en management. Vanuit een onafhankelijke positie stelt de auditor kritische vragen, benoemt blinde vlekken en helpt de organisatie beter voorbereid te zijn op interne én externe ontwikkelingen. Door structuur aan te brengen in het beheersen van risico’s en het verbeteren van processen, draagt internal auditing bij aan betere besluitvorming, verantwoordingsinformatie en structurele verbetering van prestaties. Twee specialisaties binnen internal auditing Binnen het vakgebied van internal auditing zijn twee specialisaties toonaangevend: operational auditing en IT-auditing . Beide richten zich op het versterken van interne beheersing, maar doen dat vanuit een ander perspectief. Operational auditing is gericht op het beoordelen van bedrijfsprocessen en de effectiviteit van beheersmaatregelen. De focus ligt op de vraag of processen efficiënt, effectief en risicobewust zijn ingericht. Een operational auditor onderzoekt niet alleen of bestaande werkwijzen aansluiten bij organisatiedoelen, maar adviseert ook over mogelijke verbeteringen. Denk aan het optimaliseren van de samenwerking tussen afdelingen, het terugdringen van fouten of verspilling, en het versterken van interne controles. IT-auditing daarentegen zoomt in op de digitale kant van de organisatie. IT-auditors beoordelen of IT-systemen betrouwbaar, veilig en goed beheerd zijn. Daarbij onderzoeken zij onder meer of systemen beschikbaar zijn wanneer nodig, of data juist en volledig is (integriteit), en of gevoelige informatie goed wordt beschermd (vertrouwelijkheid). Ook toets je als IT-auditor of de organisatie voldoet aan relevante wet- en regelgeving, zoals de AVG of sectorspecifieke normen. Beide specialisaties binnen internal auditing leveren een waardevolle bijdrage aan het inzicht in risico’s en de kwaliteit van beheersing — en vormen samen een krachtige combinatie voor organisaties die in control willen zijn. Opleiding Internal auditing: kies jouw specialisatie Een opleiding Internal auditing is pas echt waardevol als deze aansluit bij de praktijk en inspeelt op de complexiteit van het vak. Daarom kies je bij Ferocia en Avans+ niet voor een algemene verzamelopleiding, maar voor twee gerichte postbacheloropleidingen die elk een belangrijk specialisme binnen internal auditing behandelen. Postbacheloropleiding Operational auditing De opleiding Operational auditing richt zich op het beoordelen en verbeteren van processen binnen organisaties. Als operational auditor analyseer je risico’s, toets je de werking van interne beheersmaatregelen en geef je onderbouwde verbeteradviezen. Tijdens deze opleiding internal auditing werk je aan een auditopdracht in je eigen praktijkomgeving, onder begeleiding van ervaren docenten. Zo ontwikkel je je tot een kritische, resultaatgerichte auditor met impact. Postbacheloropleiding IT-auditing De opleiding IT-auditing is bedoeld voor professionals die digitale risico’s willen beheersen. IT-auditors onderzoeken onder meer of systemen veilig zijn, data betrouwbaar is en wet- en regelgeving wordt nageleefd. Denk aan thema’s zoals informatiebeveiliging, systeemintegriteit en privacybescherming. Deze opleiding internal auditing geeft je alle kennis en tools om IT-systemen effectief te beoordelen en organisaties digitaal ‘in control’ te brengen. Versterk jouw organisatie met een gecombineerde opleiding Internal auditing Heb je bij Ferocia en Habeo+ al een opleiding Internal auditing gevolgd, zoals Operational auditing of IT-auditing? Dan kun je de tweede opleiding in verkorte vorm én tegen een gereduceerd tarief volgen. Dankzij deze modulaire opzet breid je jouw expertise uit van processen naar IT of andersom. Zo ontwikkel je je tot een allround internal auditor met brede inzetbaarheid en diepgaande kennis. Met de gecombineerde opleidingen Internal auditing van Ferocia en Avans+ vergroot je jouw toegevoegde waarde binnen elke organisatie. Waarom kiezen voor Ferocia en Habeo+? Ferocia en Habeo+ bundelen hun krachten om professionals op te leiden tot krachtige internal auditors die direct impact maken in de praktijk. Onze opleidingen onderscheiden zich door hun combinatie van theoretische diepgang, praktijkgericht leren én actualiteit. Je krijgt les van ervaren auditors en docenten uit het werkveld, werkt aan een echte auditopdracht binnen je eigen organisatie en leert in een groep met gelijkgestemde professionals. De lesstof is actueel en sluit aan bij de nieuwste ontwikkelingen in het vak, zoals het gebruik van AI in audits en de toepassing van de meest moderne vorm van auditmethodiek (auditmethodiek 2.0). Zo ontwikkel je niet alleen kennis, maar ook vaardigheden en zelfvertrouwen om als volwaardig sparringpartner op te treden. Met een diploma van Ferocia en Avans+ ben je optimaal voorbereid op de uitdagingen van morgen. Wil jij je ontwikkelen tot een allround internal auditor die écht het verschil maakt? Schrijf je dan nu in voor de postbacheloropleiding Operational auditing of IT-auditing van Ferocia en Habeo+, en geef jouw carrière een boost! Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Ferocia is gespecialiseerd in werving en selectie van internal auditors, controllers en risk officers. Vakinhoudelijk sterk en met aandacht voor de match. Werving en selectie Ferocia ontzorgt organisaties bij het invullen van vacatures op het gebied van internal audit, control en risicomanagement. Onze dienstverlening Ben je op zoek naar deskundige ondersteuning bij de werving en selectie van internal auditors, controllers of risk officers? Ferocia is hét recruitmentbureau voor financiële professionals. Wij begrijpen jouw sector, spreken de taal van de kandidaten en beschikken over een uniek netwerk. Door onder meer onze nauwe samenwerking met de beroepsverenigingen en onze docentschappen aan de post-initiële opleidingen (RO, RE en RC) kennen we veel potentiële kandidaten. En door onze inhoudelijke vakkennis voelen internal auditors, controllers en risk officers zich goed begrepen door ons. Dit maakt dat we doorgaans snel de juiste match kunnen maken! Onze aanpak: recruitment die werkt Elke succesvolle plaatsing begint met een grondige intake. Wij komen bij je langs om jouw organisatie, het team en de vacature écht te begrijpen. Op basis daarvan stellen we een scherp profiel op. Zo zorgen we dat onze selectie perfect aansluit bij jouw verwachtingen én de organisatiecultuur. Actieve werving en slimme vacaturepromotie Onze recruiters gaan direct aan de slag met jouw vacature. We plaatsen deze op gerenommeerde platforms, zoals LinkedIn en Indeed. Maar dat is pas het begin. Wij zetten ook in op: • Actieve benadering op LinkedIn via de recruiter suite • Ons netwerk van interim finance professionals (referral recruitment) • Een uitgebreide, actuele kandidatenbank met professionals die openstaan voor een nieuwe uitdaging Zorgvuldige selectie en diepgaande screening Wij selecteren zorgvuldig uit de geworven kandidaten. Uiteraard maakt een persoonlijk gesprek met een van onze recruiters en met een partner van Ferocia onderdeel uit van het selectietraject. Bovendien ondergaan kandidaten een werkgerelateerde persoonlijkheidstest. Dit biedt ons een gedetailleerd beeld van de persoonlijkheid van de kandidaat en de mate waarin de kandidaat aansluit op de organisatiecultuur en de eigenschappen uit het functieprofiel. Daarbij is onze pre-employment screening (PES) grondig en bestaat uit: • Identiteitscontrole • Verificatie van diploma’s • Twee referentiechecks • Negatieve mediacheck Transparante communicatie en snelle resultaten Natuurlijk staan we gedurende het werving-en-selectietraject in nauw contact en houden we je goed op de hoogte van onze vorderingen. En zodra we een geschikte kandidaat gevonden hebben ontvang je van ons direct het cv inclusief profielschets, persoonlijke motivatie en de uitkomsten van de werkgerelateerde persoonlijkheidstest. Hierdoor kun je snel met de kandidaat in gesprek. Benieuwd wat wij voor jouw organisatie kunnen betekenen? Neem vandaag nog contact met ons op voor een vrijblijvend kennismakingsgesprek. Contact Voor werkzoekenden Ben je op zoek naar een baan binnen audit, control of risicomanagement? Ferocia helpt je graag bij het vinden van een functie die past bij jouw ambities, ervaring en persoonlijkheid. Vacatures Waarom Ferocia? Expertise in de vakgebieden , waardoor we precies begrijpen wat je zoekt en kandidaten zich begrepen voelen. Een goed netwerk van professionals , waardoor we weten wie openstaat voor een nieuwe uitdaging. Eerlijke tarieven. Onze standaardvergoeding bedraagt 20% van het jaarsalaris. Oprechte aandacht voor jou en de kandidaten.

Onderzoek cultuur en gedrag in audits met de training soft controls. Leer modellen over cultuur en gedrag praktisch toepassen in jouw audits en stimuleer verandering. Schrijf je nu in! Training Soft controls Duur Studiekosten PE-punten 2 dagdelen € 495,- 9 Inschrijven Training Soft Controls Soft controls, ‘de menselijke factor’ binnen organisaties, krijgen steeds meer aandacht en staan steeds vaker op de auditkalender. Denk aan thema’s als sociale veiligheid, voorbeeldgedrag en vertrouwen. Maar hoe toets je soft controls tijdens een audit? In de training Soft Controls leer je in één lesdag en via een aanvullende e-learning de noodzakelijke technieken en modellen om soft controls effectief te onderzoeken in jouw praktijk. Je scherpt je begrip van cultuur en gedrag aan, oefent met vraagtechnieken en leert hoe je signalen uit de organisatie interpreteert en vertaalt naar concrete interventies. Wat leer je tijdens de training soft controls? Na afloop van deze training kun je cultuur, gedrag en soft controls helder definiëren en begrijp je waarom deze onmisbaar zijn voor effectieve beheersing en sturing. Je leert verschillende modellen toepassen binnen je audits en je bent in staat soft controls gericht te onderzoeken. Daarnaast maak je kennis met interventies die bijdragen aan het versterken van soft controls binnen jouw organisatie, zodat je niet alleen inzicht krijgt, maar ook handvatten hebt om daadwerkelijk verandering te stimuleren. Waarom kiezen voor de training soft controls? Praktisch en theoretisch onderbouwd: je leert bewezen modellen rond cultuur en gedrag kennen en direct toe te passen. Interactie met vakgenoten: ervaringsuitwisseling met collega’s uit andere organisaties. Direct inzetbaar: je stelt een persoonlijk actieplan op dat je kunt toepassen in de eigen praktijk. Flexibiliteit: kies voor fysiek of digitaal onderwijs via onze mixed classrooms. Korte, krachtige investering: in slechts één trainingsdag en een e-learning krijg je de essentiële inzichten en vaardigheden rond soft controls. Waarom kiezen voor Ferocia? Ferocia is de opleider voor professionals in audit, control en risk. Wij combineren academische diepgang met praktijkgericht leren, zodat je kennis direct toepasbaar is in jouw werkomgeving. Onze docenten zijn verbonden aan universiteiten, hogescholen en beroepsorganisaties en brengen hun ervaring uit de praktijk mee de opleiding in. We werken met een innovatieve didactiek waarin e-learning, rollenspellen, praktijkcases en coaching samenkomen in een blended format. Daarbij staat toepassing altijd centraal: je leert het niet alleen, je doet het ook. Ferocia gelooft in inspiratie, co-creatie en prestatie, en dat ervaar je in al onze programma’s! Wil jij leren hoe je met audits echt inzicht krijgt in cultuur en gedrag binnen organisaties? Schrijf je dan nu in voor de training Soft Controls en investeer in jouw professionele groei. Praktische informatie Doelgroep Werkvorm Tijdsinvestering Studiekosten Resultaat Je bent werkzaam als (operational, IT- of financial) auditor, accountant, controller, risk officer, compliance officer, medewerker AO/IC, kwaliteitsmedewerker of proceseigenaar en van jou wordt verwacht een oordeel te kunnen vormen over cultuur- en gedragsaspecten binnen jouw organisatie. Je wenst in korte tijd de basisbeginselen van soft controls te doorgronden en in de praktijk toe te kunnen passen. De tijdsinvestering bedraagt ongeveer 10 uur. Dit is inclusief lesdagen en praktijkopdrachten. In deze training werken we met een innovatieve e-learning, cases, rollenspellen en praktijkopdrachten. Je werkt zowel zelfstandig als in teamverband. Daarnaast deel je tijdens de bijeenkomsten jouw ervaringen met mededeelnemers die werkzaam zijn bij andere bedrijven. Door het interactieve karakter van de training ontstaat een sterk lerend effect. Deelnemers kunnen de bijeenkomsten van deze training via onze mixed classrooms zowel fysiek als digitaal bijwonen. Na afronding van de training ontvang je een certificaat van deelname. Indien je PE-plichtig bent ontvang je 9 PE-punten. De studiekosten bedragen € 495,- (all-in en vrij van btw). Wat eerdere deelnemers zeggen Bert van Scherpenzeel Quality manager "De training Soft controls is zeer interessant en inspirerend! " Marsha van Iersel Business controller "Veel interactie, levendige discussies en praktische voorbeelden maakten de training Soft controls bijzonder waardevol!" Menny Barendse Auditmanager "Het op praktische wijze leren toepassen van soft controls is een waardevolle aanvulling op onze audits!" Inzichten Hoe technologie onze opleidingen en trainingen vernieuwt. Van e-learning tot hybride classroom en realistische simulaties In deze blog laten we zien hoe technologie ons helpt om leren niet alleen efficiënter, maar vooral effectiever te maken. We laten zien hoe we e-learning inzetten waar het werkt, hoe onze hybride classroom trainingen flexibiliteit bieden zonder in te leveren op kwaliteit en waarom realistische simulaties zorgen voor echte leermomenten. Want of je nu start met auditing of al jarenlang riskmanager bent, blijven leren is essentieel. En dat moet dus wel goed geregeld zijn. De ti 20 sep 2025 5 minuten om te lezen Training soft controls In de wereld van audit, risk en control draait het al lang niet meer alleen om regels, processen en structuren. Natuurlijk zijn harde... 26 aug 2025 4 minuten om te lezen Soft Controls: de kracht van beheersing In organisaties waar alles op papier goed geregeld lijkt, met strak ingerichte processen, duidelijk vastgelegde verantwoordelijkheden en... 13 mei 2025 4 minuten om te lezen Meer weten of direct inschrijven? Brochure Adviesgesprek Inschrijven

Over ons Ferocia helpt organisaties met het optimaliseren van hun sturing en beheersing. Onze visie Wij geloven dat organisaties meer voor hun klanten en de maatschappij kunnen betekenen, wanneer zij beschikken over de juiste stuur- en verantwoordingsinformatie en zij hun processen optimaal weten te beheersen in de vaak complexe omgeving waarin zij acteren. Onze missie Wij helpen organisaties met het optimaliseren van hun sturing en beheersing. Dit doen wij door onze kennis op het gebied van audit, control, risk management en compliance te delen, organisaties op deze gebieden te adviseren en ze te helpen bij het vinden van passende interim-professionals. Onze strategie Ferocia levert verschillende diensten op het gebied van audit, control, risk management en compliance. Zo bieden we hier open en incompany opleidingen en trainingen over aan. Dit doen wij zowel zelfstandig als samen met gerenommeerde partners, zoals Avans+ en het Instituut van Internal Auditors Nederland (IIA Nederland). Daarnaast ontzorgen onze ervaren consultants organisaties bij vraagstukken op het gebied van sturing en beheersing, van coaching van raden van bestuur tot implementatie van beheersmaatregelen in complexe omgevingen. Ook bemiddelen we in interim-professionals, waarbij we ons onderscheiden met onder meer ons uitgebreide netwerk en scherpe tarieven. Dit alles doen we vanuit het principe ‘inspiratie, co-creatie, prestatie’. Onze mensen De gezichten achter Ferocia zijn allen expert in hun vak die hun sporen in de praktijk hebben verdiend. Samen hebben ze veel kennis over en ervaring in niet alleen de verschillende vakgebieden, maar ook in een breed scala aan sectoren. Hierdoor vormen ze samen een sterk team!

Ontdek hoe een DORA audit bijdraagt om jouw organisatie digitaal weerbaar maakt. Praktische tips en een stappenplan! Alle blogs IT-beheersing DORA audit Stel je voor: je wordt wakker en internetbankieren werkt niet. Betalingen lopen vast, orders worden niet verwerkt, de klantenservice raakt overspoeld. Een storing van een paar uur, maar de impact is direct voelbaar in omzet, vertrouwen en misschien zelfs in de headline van het journaal. Precies dát scenario wil de Digital Operational Resilience Act (DORA) beperken. En precies dáár komt de DORA audit in beeld. Wat is DORA in gewone mensentaal DORA is Europese regelgeving die moet borgen dat financiële organisaties digitaal weerbaar zijn. Niet alleen tegen cyberaanvallen, maar tegen álle ICT-gerelateerde verstoringen: van uitval van een datacenter tot een mislukte release van nieuwe software. De regeling geldt voor een breed palet aan financiële instellingen: banken, verzekeraars, beleggingsinstellingen, betaalinstellingen en meer. In totaal zo’n twintig typen financiële entiteiten vallen onder de reikwijdte. Daarnaast introduceert DORA een toezichtskader op zogeheten “kritieke ICT-dienstverleners”, zoals grote cloud- en technologiepartijen die cruciaal zijn voor de financiële sector. De kern van DORA draait om vijf thema’s: Een robuust ICT-riskmanagement raamwerk. Beheersing en rapportage van ICT-incidenten. Periodieke testen van digitale weerbaarheid. Beheer van risico’s rond uitbestede ICT-diensten (third parties). Informatie-uitwisseling over dreigingen en kwetsbaarheden. Belangrijk detail: instellingen moeten vanaf 17 januari 2025 aantoonbaar voldoen aan DORA. Dat maakt de vraag “hoe DORA-proof zijn wij eigenlijk?” urgent voor bestuur, directie én internal audit. Wat is een DORA audit? Een DORA audit is een systematisch onderzoek naar de vraag in hoeverre een organisatie voldoet aan de eisen van DORA én of de digitale operationele weerbaarheid daadwerkelijk op niveau is. Het gaat dus niet alleen om “hebben we beleid op papier?”, maar vooral om: werkt het, sluiten we aan bij de risico’s van deze organisatie, en kunnen we dat aantonen richting de toezichthouder? Inhoudelijk raakt een DORA audit onder meer: Governance en rol van bestuur en hoger management in ICT-risicomanagement. Opzet, bestaan en werking van het ICT-riskmanagementframework (beleid, processen, rapportages). Registratie, classificatie en rapportage van ICT-incidenten en “major incidents”. De manier waarop digitale weerbaarheid getest wordt, van business continuity tot penetratietests. Contractmanagement en riskmanagement rond ICT-dienstverleners, inclusief kritieke third parties. DORA schrijft expliciet voor dat het ICT-risicomanagement framework onderdeel moet zijn van het totale risicomanagementsysteem en dat dit framework periodiek onderwerp van interne audit is. Daarmee is de DORA audit geen ‘nice to have’, maar een directe opdracht aan de derde lijn. Voor internal auditors, riskmanagers en compliance officers sluit dit nauw aan bij hun bestaande verantwoordelijkheden: risico’s identificeren, beheersmaatregelen beoordelen, compliance borgen en het bestuur in positie brengen. Waarom een DORA audit méér is dan “nog een IT-audit” Veel organisaties behandelen DORA aanvankelijk als “de zoveelste IT-regelgeving”. Maar wie DORA reduceert tot een technisch compliance-project, mist de essentie. DORA gaat niet alleen over firewalls, back-ups en loggingsystemen. Het gaat over de continuïteit van primaire processen en het vertrouwen van klanten. De wetgever heeft bewust gekozen voor een integrale benadering waarin ICT-risico’s expliciet onderdeel zijn van het bredere risicomanagement en de governance van de organisatie. Dat zie je bijvoorbeeld terug in: De nadruk op bestuur en senior management: zij blijven eindverantwoordelijk voor digitale weerbaarheid, ook als er veel is uitbesteed. De rol van critical ICT third-party providers, die onder direct Europees toezicht kunnen vallen. De verplichting om ICT-risico’s, incidentmanagement, testen en third-party risk in één samenhangend framework onder te brengen. Een DORA audit raakt dus de volle breedte van de organisatie: business, IT, risk, compliance, inkoop én directie. Juist daarom ligt hier een belangrijke kans voor internal audit om zich te positioneren als strategische partner in plaats van “controleur achteraf”. De vijf bouwstenen van een DORA audit verder uitgediept Om de DORA audit concreter te maken, loont het om de vijf thema’s nog iets verder uit te werken, in gewone taal. 1. Governance en strategie Hier gaat het om de vraag: heeft de organisatie digitaal risicobewust leiderschap? Bestuur en directie moeten niet alleen formeel verantwoordelijk zijn, maar ook aantoonbaar betrokken: via rapportages, besluitvorming over risk appetite, prioritering van investeringen en het stellen van de juiste vragen. Een goede DORA audit kijkt of digitale weerbaarheid verankerd is in strategie, risk appetite, impacttoleranties en de planning- & controlcyclus. 2. ICT-riskmanagementframework DORA verlangt een “sound, comprehensive and well-documented” ICT-risicomanagementframework. Dat betekent: duidelijke policies, processen, rollen, risk assessments, controls, monitoring en rapportages. Voor auditors is dit vertrouwd terrein: je beoordeelt de opzet, het bestaan en de werking van het framework, met specifieke aandacht voor de aansluiting op de organisatiecontext en de proportionaliteit (niet elk klein kantoor hoeft een bank-achtige inrichting te hebben). 3. Incidentmanagement en rapportage Als er iets misgaat, moet dat snel zichtbaar zijn, intern én, bij grote incidenten, voor de toezichthouder. DORA stelt eisen aan detectie, logging, classificatie, escalatie en rapportages van ICT-incidenten. In de audit kijk je daarom niet alleen naar het incidentregister, maar ook naar monitoring, alerting, de praktijk van storingsafhandeling en de kwaliteit van root cause analyses. 4. Testen van digitale weerbaarheid Weerbaarheid kun je niet alleen op papier beoordelen. DORA verlangt periodieke testen, variërend van basis-testen tot geavanceerde threat-led penetratietests. Voor de audit betekent dit: beoordelen of het testplan risicogebaseerd is, of de resultaten leiden tot concrete verbeteracties en of lessen uit oefeningen (bijvoorbeeld crisis-simulaties) daadwerkelijk worden opgepakt. 5. Third-party risk management Veel financiële instellingen leunen (zwaar) op externe ICT-dienstverleners, van cloud tot betalingsplatforms. DORA stelt scherpe eisen aan contracten, auditrechten, exit-strategieën en het structureel monitoren van deze leveranciers. Een DORA audit zoomt in op de keten: begrijpt de organisatie welke functies afhankelijk zijn van welke leveranciers, zijn de contracten DORA-proof en hoe wordt de performance en security van leveranciers gemonitord? De DORA audit stap voor stap Hoewel elke organisatie en elke auditopdracht uniek is, kun je een DORA audit grofweg langs vijf stappen opbouwen. 1. Begrijp de context en scope Start met helderheid: op welke entiteiten is DORA van toepassing, welke diensten zijn kritisch en welke ICT-ketens horen daarbij? Voor internal auditors betekent dit: De organisatiestructuur en vergunningen goed begrijpen. In kaart brengen welke processen “kritieke of belangrijke functies” ondersteunen. Bepalen welke ICT-assets en third parties essentieel zijn voor die functies. Pas als deze scope scherp is, kun je zinnige uitspraken doen over digitale operationele weerbaarheid. 2. Leg de link met het bestaande risicomanagement DORA vraagt om integratie met het bestaande risicomanagementframework, niet om een parallel DORA-universum. Een logische vervolgstap is dus om te analyseren: Hoe ICT-risico’s nu in de enterprise risk management (ERM)-cyclus zijn opgenomen. In hoeverre het bestaande risk- en control-framework al aansluit bij de DORA-eisen. Of rollen en verantwoordelijkheden rondom ICT-risico’s duidelijk zijn belegd, in lijn met het three lines model . Internal auditors en riskmanagers ervaren in de praktijk vaak dat ICT-risico’s versnipperd zijn belegd en dat IT en business verschillende talen spreken. Een DORA audit legt deze fricties helder bloot, en kan zo een katalysator zijn voor verbetering. 3. Voer een gerichte DORA gap-analyse uit Een goede DORA audit begint met inzicht in de grootste gaten. Geen checklist van honderden eisen, maar een gerichte analyse langs de volgende hoofdthema’s: Governance en strategie: is er een duidelijke digitale weerbaarheidsstrategie, met risk appetite en impacttoleranties voor ICT-verstoringen? ICT-riskmanagement: is er een gedocumenteerd framework, inclusief beleid, processen, rollen, rapportages en monitoring? Incidentmanagement: worden ICT-incidenten volledig en uniform geregistreerd, geclassificeerd en opgevolgd? Kun je major incidents tijdig rapporteren aan toezichthouders? Testen van digitale weerbaarheid: zijn er structurele tests, van functionele recovery-tests tot crisis-oefeningen en – waar nodig – threat-led penetratietests? Third-party risk: zijn contracten, exit-strategieën, auditrechten en rapportages rond kritieke ICT-leveranciers in lijn met DORA vereisten? In deze fase komt de expertise van auditors sterk naar voren: het scherp krijgen van de werkelijke onderzoeksvraag, het kiezen van passende criteria en het analyseren van complexe ICT-ketens. 4. Ontwerp een meerjarig DORA auditprogramma Een DORA audit is geen eenmalige exercitie. Het ICT-riskmanagementframework moet periodiek worden herzien en is onderwerp van terugkerende interne audits. Een volwassen aanpak vraagt dus om een meerjarig auditprogramma, waarin je bijvoorbeeld: Jaarlijks de governance, risk-rapportages en incidentmanagement beoordeelt. Periodiek diepgravende audits doet op kritieke ICT-ketens, zoals betaalverkeer of handelsplatforms. Thematisch audits plant op third-party risk, security-monitoring of crisis-oefeningen. Voor internal auditors bij grote organisaties sluit dit goed aan bij bestaande auditplannen en KPI’s zoals het aantal afgeronde audits, de dekking van kritieke risico’s en de mate van compliance. 5. Besteed expliciet aandacht aan cultuur en gedrag Digitale weerbaarheid is niet alleen techniek, processen en papieren beleidsdocumenten. Het draait net zo goed om gedrag: melden mensen incidenten? Nemen lijnmanagers eigenaarschap voor ICT-risico’s? Worden lessons learned echt benut? Ferocia besteedt in haar opleidingen veel aandacht aan de balans tussen hard en soft controls en aan het doelgericht beïnvloeden van gedrag binnen organisaties. De DORA audit is een uitstekende gelegenheid om die bril op te zetten: Hoe praten mensen in de organisatie over ICT-risico’s; als “IT-probleem” of als strategische factor? Is er een open meldcultuur rondom incidenten en bijna-incidenten? Worden testresultaten en auditbevindingen gebruikt om te leren, of alleen om vinkjes te zetten richting toezichthouder? Internal auditors die ook de culturele dimensie onderzoeken, leveren veel rijkere en duurzamere aanbevelingen op dan wanneer ze alleen de formele beheersmaatregelen beoordelen. Veelgemaakte fouten bij DORA audits In de praktijk zien we een aantal valkuilen terugkeren: Organisaties die DORA puur als IT-project behandelen, missen de koppeling met strategie en business. Dan ontstaat er een “compliance-laagje” over bestaande processen, zonder dat de echte kwetsbaarheden verdwijnen. Een andere valkuil is het overschatten van de huidige volwassenheid: “we doen al jaren iets met BCM en cyber, dus dat zal wel goed zitten”. Een DORA audit laat vaak zien dat processen niet integraal zijn, dat rapportages versnipperd zijn en dat er gaten zitten in incidentregistratie of third-party-beheer. Tot slot is er het risico van te veel focus op documenten. Een fraai geschreven beleidsstuk zegt weinig als medewerkers het niet kennen, systemen het niet ondersteunen of incidenten tóch langs de radar glippen. Hier komt het vakmanschap van de operational auditor naar voren: dóórvragen, de werkvloer op, feiten checken. De rol van internal audit na 17 januari 2025 Vanaf het moment dat DORA volledig van kracht is, wordt de DORA audit geen eenmalige exercitie maar een terugkerend onderdeel van de auditplanning. Voor internal auditors bij grote organisaties betekent dit: ICT-risico’s structureel opnemen in de risicobeoordeling en audituniversum. Zorgen voor voldoende kennis en vaardigheden op het gebied van ICT-risicomanagement en digitale weerbaarheid. Intensief samenwerken met risk management en compliance om dubbel werk te voorkomen en toch onafhankelijke assurance te bieden. Daarmee groeit de internal auditor steeds meer uit tot gesprekspartner van bestuur en toezichthouder over digitale weerbaarheid. Door scherp, onafhankelijk en toekomstgericht te onderzoeken en te rapporteren. Hoe Ferocia kan ondersteunen? DORA raakt precies de gebieden waar Ferocia dagelijks mee bezig is: audit, control, risk management en compliance, zowel via opleidingen en trainingen als via interim en consultancy en werving en selectie. Of je nu internal auditor, riskmanager of compliance officer bent: een stevig DORA onderzoek vraagt om actuele kennis, praktische vaardigheden en het vermogen om techniek, processen en gedrag met elkaar te verbinden. Met praktijkgerichte opleidingen, ervaren interim-professionals en ondersteuning bij het opbouwen van je audit- en riskteam helpt Ferocia organisaties om niet alleen “DORA-compliant” te zijn, maar vooral écht digitaal weerbaar. Zodat bestuurders rustig kunnen slapen, óók als er ergens in de keten een storing optreedt. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Versterk jouw IT-beheersing met een effectieve IT audits. Ontdek waarom IT auditing essentieel is voor veiligheid, compliance en continuïteit. Alle blogs Internal auditing IT-auditing De digitale transformatie is in volle gang. Organisaties automatiseren processen, slaan gevoelige gegevens op in de cloud en maken steeds vaker gebruik van algoritmes en AI. Daarmee neemt ook de afhankelijkheid van IT-systemen toe, en dus ook de risico’s. Maar hoe weet je of je IT-omgeving daadwerkelijk ‘in control’ is? Of je systemen veilig zijn? En of jouw organisatie voldoet aan relevante wet- en regelgeving? Hier komt de IT-auditor in beeld. In deze blog lees je wat IT-auditing is, waarom het onmisbaar is in moderne organisaties en wat de belangrijkste inzichten zijn voor het uitvoeren van een effectieve IT-audit. Wat is IT-auditing? Een IT-audit is een gestructureerd en onafhankelijk onderzoek naar de beheersing van IT-processen en -systemen binnen een organisatie. De IT-auditor beoordeelt of deze processen: betrouwbaar zijn; voldoen aan interne en externe normen; bijdragen aan de organisatiedoelen; voldoende beschermd zijn tegen risico’s, zoals datalekken of uitval. Het doel van een IT-audit is niet alleen om te controleren, maar vooral om inzicht te geven in risico’s en handvatten te bieden om deze te beheersen. Daarmee draagt een IT-audit direct bij aan de kwaliteit en continuïteit van bedrijfsvoering. Waarom is IT-auditing zo belangrijk? Waar lang geleden de focus van audits vooral lag op financiële en operationele processen zijn IT-audits vandaag de dag essentieel. Dat heeft drie belangrijke redenen: 1. Digitalisering raakt alle processen Vrijwel elke organisatie draait op digitale systemen. Van HR tot finance, van productie tot klantcontact, alles loopt via IT. Een storing of beveiligingslek kan direct impact hebben op de hele organisatie. 2. Regelgeving wordt strenger Wet- en regelgeving zoals de AVG, NIS2 of DORA stellen steeds hogere eisen aan informatiebeveiliging, privacy en beschikbaarheid. Een IT-audit helpt om aan te tonen dat je hieraan voldoet. 3. Complexiteit neemt toe Cloudomgevingen, ketenintegratie, third-party risico’s, legacy systemen: IT-omgevingen zijn complexer dan ooit. Dit vraagt om specialistische audits die verder kijken dan de standaard checklist. Wat onderzoekt een IT-auditor? Een IT-audit kan verschillende onderwerpen omvatten. Denk bijvoorbeeld aan: Informatiebeveiliging (Information Security) Zijn vertrouwelijkheid, integriteit en beschikbaarheid van data geborgd? Change management Worden wijzigingen in systemen gecontroleerd en goedgekeurd? Toegangsbeheer Hebben alleen bevoegde personen toegang tot systemen en gegevens? Continuïteitsbeheer Zijn er procedures bij calamiteiten? Is er een disaster recovery plan? IT-governance Zijn verantwoordelijkheden, beleid en controlemechanismen goed ingericht? Compliance Voldoet de organisatie aan relevante wet- en regelgeving? De scope van een IT-audit hangt sterk af van de risico’s die binnen een specifieke organisatie of sector spelen. De belangrijkste inzichten bij het uitvoeren van een IT audit 1. Begrijp het bedrijfsproces voor je de techniek induikt Een veelgemaakte fout is om meteen de techniek in te duiken. Een effectieve IT-auditor begint bij het bedrijfsproces. Wat is het doel van het systeem? Welke risico’s bedreigen dat doel? En welke IT-maatregelen zijn genomen om die risico’s te beheersen? De techniek is belangrijk, maar niet het vertrekpunt. Zonder procesinzicht mist je audit impact. 2. Werk met een helder normenkader Een IT-audit draait om toetsing en toetsing vereist een normenkader. Dat kan een standaard zijn (zoals COBIT, ISO27001 of NIST) maar ook intern beleid. Zorg dat je deze normen vooraf goed definieert en vertaalt naar toetsbare criteria. Zorg dat je met de opdrachtgever en eventueel de auditee dit normenkader goed afstemt. Alleen dan kun je op gestructureerde wijze beoordelen of de beheersmaatregelen effectief zijn en als dat niet zo is, zet je auditrapport aan te verbetering.. 3. Toon niet alleen gebreken, maar geef handelingsperspectief Een goed auditrapport laat niet alleen zien wat er fout gaat, maar ook hoe het beter kan. Kom samen met de 1 ste lijn tot concrete aanbevelingen en quick wins. Daarmee maak je jouw werk relevant voor het management en worden bevindingen ook echt worden opgepakt. 4. Zorg voor stakeholdermanagement Een IT-audit raakt vaak meerdere afdelingen: IT, security, operations, legal, etc.. Elke stakeholder heeft andere belangen en verwachtingen. Het is cruciaal dat je dit veld goed overziet, belangen scherp krijgt en open communiceert. Daarmee creëer je draagvlak en voorkom je weerstand. 5. Let op soft controls en gedrag Niet alleen systemen bepalen of een IT-omgeving veilig is. Ook gedrag speelt een belangrijke rol. Worden wachtwoorden gedeeld? Klikken medewerkers op phishinglinks? Is er voldoende security awareness? Een IT-audit die alleen op hard controls (zoals firewalls of toegangssystemen) focust, mist vaak de kern van het risico. Neem daarom ook cultuur en gedrag mee in je beoordeling. 6. Automatiseer waar mogelijk IT-auditors beschikken steeds vaker over tools voor data-analyse, continuous monitoring en geautomatiseerde toetsing. Maak hier slim gebruik van. Niet om het menselijke oordeel te vervangen, maar wel om sneller, breder en diepgaander te kunnen auditen. 7. Wees wendbaar en actueel IT-omgevingen veranderen snel. Wacht daarom niet altijd op een jaarlijkse audit, maar werk met flexibele en iteratieve audits. Zo blijf je relevant en sluit je beter aan bij de dynamiek van de organisatie. De toekomst van IT-auditing De komende jaren zal IT-auditing alleen maar belangrijker worden. Nieuwe technologieën brengen nieuwe risico’s: AI, blockchain, quantum computing. Tegelijkertijd groeit de behoefte aan zekerheid, transparantie en compliance. De IT-auditor van de toekomst is dan ook niet alleen technisch onderlegd, maar: · begrijpt businessprocessen; · kan risico’s vertalen naar impact; · communiceert effectief met bestuurders en techneuten; en · en blijft continu leren. Tot slot: investeren in kwaliteit loont Een goede IT-audit levert meer op dan alleen een rapport. Het creëert inzicht, versterkt de beheersing en vergroot het vertrouwen van stakeholders. Zeker in een wereld waarin data en technologie de kern van je organisatie vormen, is investeren in IT-auditing geen luxe maar noodzaak. Hoe Ferocia IT-auditing binnen jouw organisatie versterkt Bij Ferocia geloven we in IT-auditing als strategisch instrument. Een manier om niet alleen risico’s te beheersen, maar om organisaties sterker en wendbaarder te maken. Daarom ondersteunen wij organisaties op drie manieren: 1. Opleidingen en trainingen We leiden auditors op tot echte professionals die zelfstandig en met impact een audit kunnen uitvoeren. Denk aan onze postbacheloropleiding IT Auditing of de cursus IT voor auditors . Theorie en praktijk, met aandacht voor zowel hard controls als soft controls. 2. Tijdelijke inzet van auditors en risicoprofessionals Heb je tijdelijk capaciteit nodig voor de uitvoering van een IT-audit? Wij leveren ervaren IT-auditors die direct inzetbaar zijn. 3. Werving en selectie Op zoek naar een nieuwe IT-auditor? Wij helpen je met het vinden van de juiste professional. Iemand die niet alleen inhoudelijk sterk is, maar ook past bij jouw organisatiecultuur. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Ontdek hoe integraal risicomanagement jouw organisatie wendbaar en toekomstbestendig maakt. Verhoog veerkracht met een integrale en strategische aanpak. Risicomanagement Cyberdreigingen, klimaatverandering, verstoorde supply chains, strenge wet- en regelgeving, maatschappelijke druk op duurzaamheid en transparantie... De wereld verandert snel. En met deze veranderingen groeit de complexiteit en impact van risico’s voor organisaties in elke sector. De vraag is niet of risico’s zich voordoen, maar wanneer en hoe . Juist daarom is risicomanagement relevanter dan ooit. Niet als een jaarlijkse exercitie op papier, maar als een continu strategisch proces. Als stuurinstrument, leerinstrument en als versneller om je organisatiedoelen te realiseren. Maar wat is risicomanagement nu eigenlijk? En hoe zorg je ervoor dat het meer oplevert dan alleen rapporten en registraties? Wat is risicomanagement? In de kern draait risicomanagement om het gestructureerd omgaan met onzekerheden die de realisatie van je organisatiedoelen bedreigen. Het is het proces waarin je: risico’s identificeert; inschat wat hun impact en waarschijnlijkheid is; bepaalt welke (beheers)maatregelen je neemt om risico’s te mitigeren; en monitort of die (beheers)maatregelen ook daadwerkelijk effect hebben. Maar dat is de theorie. In de praktijk gaat risicomanagement veel verder dan een inventarisatie of risicomatrix. Hoe je effectief een risicoanalyse uitvoert, lees in deze blog. Het raakt aan alle niveaus van de organisatie: van strategische besluitvorming tot operationele uitvoering. Het omvat strategische risico’s (zoals reputatie of marktveranderingen), operationele risico’s (procesfouten, datalekken), compliance risico’s (nieuwe wetgeving, toezichthouders) en IT- en cyberrisico’s. Kortom: risicomanagement is geen abstract model maar een concreet hulpmiddel om grip te houden op alles wat jouw doelen in de weg kan staan. En dat begint met de juiste mindset. Waarom is risicomanagement belangrijk? Een organisatie zonder effectief risicomanagement laat zich leiden door incidenten. Brandjes blussen in plaats van koers houden. Iedere plotselinge verandering; een hack, nieuwe wetgeving, uitstroom van medewerkers zorgt voor paniek, vertraging of verlies van vertrouwen. Met goed risicomanagement: Ben je wendbaarder : je anticipeert op risico’s in plaats van ze alleen te beheersen. Neem je betere beslissingen : risico-informatie wordt meegenomen in besluitvorming. Verhoog je het lerend vermogen : risico’s worden gedeeld, besproken en aangepakt. Bouw je vertrouwen op : bij stakeholders, toezichthouders en medewerkers. Versterk je prestaties : doordat je risico’s koppelt aan doelen en KPI’s. Zeker in een tijd waarin organisaties sneller moeten reageren op veranderingen, is het van belang dat risicomanagement een natuurlijk onderdeel wordt van het dagelijks werk. Risicomanagement als strategisch instrument Veel organisaties hebben risicomanagement wel “op papier” geregeld: er zijn beleidsstukken, risicomatrices en formats. Maar in de praktijk blijven ze steken in afvinken, rapporteren of controleren. Bij Ferocia geloven we dat risicomanagement pas waarde toevoegt als het strategisch wordt ingezet. Niet als verplicht nummer of externe druk vanuit wet- en regelgeving, maar als integraal onderdeel van je bedrijfsvoering. Een manier om sneller, slimmer en slagvaardiger je doelen te realiseren. Strategisch risicomanagement betekent: Een proactieve houding : risico’s worden besproken voordat ze zich voordoen. Integraal denken : risico’s zijn geen apart onderwerp, maar onderdeel van processen als strategie, finance, HR, IT en operations. Daarbij zijn er keuzes te maken voor een risicomanagement model. Lees hierover mee in de blog over risicomanagement modellen . Duidelijke governance : eigenaarschap is belegd bij lijnmanagement, zij zijn en voelen zich verantwoordelijk. Continuïteit : risicomanagement is geen project maar een kort cyclisch proces. De visie van Ferocia op risicomanagement Voor ons is risicomanagement geen doel op zich, maar een hulpmiddel voor het management om de strategie te realiseren. En precies daar wringt het in veel organisaties: risicomanagement leeft vooral bij de controlfunctie of de tweede lijn terwijl het management, degene die de doelen moet halen, niet of onvoldoende is aangehaakt. Wij zien dat als een groot risico op zich! Te vaak is er geen verbinding tussen risicomanagement en het primaire proces. Hierdoor worden bevindingen worden niet herkend, maatregelen blijven liggen, risico’s worden niet geadresseerd. Het gevolg? Control voelt zich niet gehoord en gaat nog vaker en strenger controleren. Het management haakt af omdat het te bureaucratisch aanvoelt. Zo ontstaat een vicieuze cirkel waarin risicomanagement een papieren tijger wordt. Onze visie is helder: "effectief risicomanagement begint bij het betrekken van het management." Het management is primair verantwoordelijk voor het realiseren van de organisatiedoelen. Daar moet risicomanagement dus ondersteunend aan zijn. Geen dikke rapporten, maar inzichten die leiden tot betere keuzes, tijdige interventies en meer grip op de toekomst. Daarom pleiten wij voor een risicomanagementfunctie die: Geïntegreerd is in de 1 ste lijn; Effectief is in het signaleren van echte risico’s; Efficiënt werkt met slimme tooling en processen; En bovenal: begrijpelijk en werkbaar is voor iedereen in de organisatie. De opbouw van een effectief risicomanagement systeem Zoals gezegd is goed risicomanagement is geen checklist, maar een samenhangend systeem dat uw organisatie wendbaarder, betrouwbaarder en toekomstbestendiger maakt. Bij Ferocia kijken we daarom integraal naar vier thema’s die samen de ruggengraat vormen: 1. risicogovernance & strategie 2. risico-identificatie & beoordeling 3. risicobehandeling & beheersmaatregelen en monitoring 4. rapportage & assurance. Hieronder introduceren we elk thema en de belangrijkste onderliggende bouwstenen. Het doel: een begrijpelijk raamwerk waarmee u vandaag kunt starten en morgen kunt sturen. 1. Risico governance & strategie Een effectief risicomanagementsysteem begint bij duidelijke governance: wie beslist, wie voert uit en wie houdt toezicht? Wij hanteren het Three Lines Model. De eerste lijn is eigenaar van en beheerst de risico’s in de operatie. De tweede lijn (risk & compliance) ontwerpt kaders, adviseert en challenged. De derde lijn (interne audit) geeft onafhankelijke assurance over de opzet en werking en het samenspel tussen de eerste en tweede lijn. In sommige organisaties werkt ook een ‘lijn 1,5’. Bijvoorbeeld risicomanagers die adviseren en ondersteunen vanuit de business en zo dicht op de operatie zitten. Vanuit hun expertise werken zij samen met en voor de eerste lijn. Ultieme besluitvorming vindt plaats aan de top: de directie is eindverantwoordelijk en zet de toon. Een Risk Management Committee of een gecombineerd Risk & Audit Comité borgt de periodieke bespreking en bijstelling van risico’s, risk appetite en tolerances. Op de agenda van deze gremia staan in elk geval de top-risico’s, de mate van beheersing en de effectiviteit van (key) controls, incidenten en de daarbij horende lessons learned. Risk appetite en risk tolerances: wat betekent ‘meer of minder risico’ nu echt? Twee begrippen worden vaak door elkaar gehaald. Risk appetite of risicobereidheid: het niveau en type risico dat de organisatie willens en wetens wil nemen om strategische doelen te bereiken. Het is richtinggevend en kwalitatief, bijvoorbeeld: ‘wij tolereren geen schendingen van privacywetgeving’. Risk tolerances zijn concrete bandbreedtes per doel of proces waarbinnen variatie nog acceptabel is. Denk aan drempelwaarden voor IT-beschikbaarheid, verliezen of projectoverschrijdingen. Overschrijding van een tolerance is geen paniek, wél een helder signaal om bij te sturen. Risk appetite schetst de horizon; tolerances zijn de bakens langs de route. Koppeling met strategie en prestatiesturing Risicomanagement voedt besluitvorming pas echt als het verbonden is met doelstellingen en KPI/KRI’s. Koppel uw strategische KPI’s (zoals groei, klanttevredenheid of doorlooptijd) aan Key Risk Indicators (KRI’s) die vroegtijdig waarschuwen. Denk aan het aantal kritieke kwetsbaarheden in productie, het percentage high-risk leveranciers zonder contractuele clausules of de trend in near misses. Zo ontstaat één stuurmiddel voor prestaties én risico’s. 2. Risico-identificatie & beoordeling Zonder goed inzicht geen goede keuzes. Een risicoregister vormt de uitkomst: een eenduidig format met risicotaxonomie (zoals strategisch, financieel, operationeel, compliance), beschrijvingen die de oorzaak-gebeurtenis-gevolg-keten helder maken, en eigenaarschap per risico. Dat eigenaarschap ligt in de business. Risk ondersteunt en challenged. Risico identificatie Risico-identificatie is een gestructureerd en herhaalbaar proces waarin u top-down (vanuit strategie, doelstellingen en transities) én bottom-up (via processen, projecten en ketenpartners) kijkt en risico’s identificeert. Dat kan via workshops en walk-throughs met procesbeschrijvingen, analyse van incidenten, bijna-incidenten, auditbevindingen, klachten en externe signalen (wetgeving, markt, leveranciers, dreigingsinformatie). We formuleren risico’s consequent als gebeurtenis-oorzaak-gevolg en vermijden containerbegrippen. Nieuwe of gewijzigde risico’s ontstaan vaak bij verandermomenten (nieuwe producten, leveranciers, releases, reorganisatie) en verdienen daarom aandacht. De uitkomst van identificatie is een overzicht met context en aannames die later te toetsen zijn. Daarna volgt registratie in een risicoregister met eigenaren en vervolgstappen voor beoordeling. Kwantitatief én kwalitatief beoordelen Het beoordelen van risico’s start met het inschatten van kans en impact. Kwalitatieve schalen (laag–midden–hoog) geven snelheid en vergelijkbaarheid. Kwantitatieve methoden voegen diepgang toe, bijvoorbeeld scenario’s met bandbreedtes of Value-at-Risk benaderingen. Heatmaps zijn behulpzaam om te prioriteren, maar kijk verder: sommige risico’s hebben een lage kans maar catastrofale impact of sterke onderlinge samenhang. Scenario-analyse en stresstesten Scenario’s maken risico’s tastbaar. Begin met plausibele, narratieve scenario’s met duidelijke aannames: wat gebeurt er als een kritieke leverancier uitvalt, of als een ransomware-aanval een kernsysteem platlegt? Kwantificeer waar het kan: extra kosten, omzetverlies, impact op servicelevels en hersteltermijnen. Stresstesten verkennen vervolgens de grenzen en kunnen enkelvoudige of gecombineerde schokken omvatten: wat als twee incidenten samen optreden, of als herstel (of detectie) dubbel zo lang duurt? Belangrijk is dat scenario’s en testen leiden tot besluiten: extra maatregelen, meer redundantie of buffers, of het bijstellen van doelen. 3. Risicobehandeling & beheersmaatregelen Zodra risico’s helder zijn, volgt de keuze voor de risk response. Grofweg zijn er vier opties: vermijden (stoppen of niet beginnen), verminderen (maatregelen nemen), delen/overdragen (verzekering), en accepteren (bewust binnen appetite en tolerance). Het is zelden óf-óf: een combinatie bereikt vaak meer. Risicobehandeling is belangrijk bij het ontwerp van controls of beheersmaatregelen. Preventieve maatregelen voorkomen fouten of misbruik, bijvoorbeeld scheiding van taken of toegangsbeheer. Detectieve maatregelen zoals monitoring, reconciliaties, log-analyse signaleren snel en betrouwbaar. Correctieve maatregelen corrigeren fouten of omissies. Bepaal samen met de business welke controls key zijn: die met de grootste invloed op het restrisico of op de wettelijke naleving. Non-key-controls kunnen lichter worden ingericht of helemaal niet, mits het geheel robuust blijft. 4. Monitoring, rapportage & assurance Wat niet gemonitord wordt, daar wordt niet op gestuurd. Monitoring gaat verder dan terugkijken: het is ook vooruitkijkend en dus een early-warning-systeem. Kies KRI’s die ertoe doen, met duidelijke definities, goede brondata en doordachte drempelwaarden. Werk daarbij met signalering wat goed is (groen), aandacht nodig heeft (geel) of waar ingrijpactie’s noodzakelijk zijn (rood). Leg vooraf vast wie wat doet bij eventuele overschrijding. Voorkom decoratie: stuur op wat er echt toe doet. Rapportage die bestuurders écht helpt Belangrijk is om niet alleen te meten maar ook om te informeren, bijvoorbeeld aan het bestuur. Bestuurders hebben veelal weinig tijd. Een één-pagina dashboard dwingt tot scherpte: top-risico’s, trend per KRI, status van maatregelen, incidenten en lessons learned. De bijlagen bevatten details: de eerste pagina vertelt het verhaal. Maak duidelijk wat vragen we van het bestuur? Prioteren, informeren, investeren, escaleren of bijsturen. Zo bouwt u het geheel: samenhang in plaats van losse lijsten Samen vormen deze bouwstenen een solide raamwerk voor risicomanagement: helder in governance, scherp in prioritering, proportioneel in beheersing en lerend in de cyclus. Het helpt uw organisatie vooruit door risico’s te signaleren, afgewogen keuzes te maken en middelen te richten op wat er écht toe doet. Met een risk appetite en concrete tolerances wordt de balans tussen risico en rendement transparant en bestuurbaar. Het resultaat: betrouwbare processen en dienstverlening, aantoonbare naleving en meer veerkracht bij verstoringen, zonder onnodige bureaucratie. Hoe Ferocia organisaties ondersteunt met risicomanagement? Ferocia ondersteunt organisaties op een manier die past bij hun ambitie, volwassenheidsniveau en context. Geen standaardmethodes, maar maatwerk. Praktisch en strategisch. Altijd gericht op verankering in de praktijk. Onze dienstverlening bestaat uit vier pijlers: 1. Opleidingen en trainingen We leiden professionals op in risicomanagement, control en compliance. Praktijkgericht, actueel en afgestemd op de uitdagingen van vandaag. Denk aan opleidingen als Cursus Risicomanagement of risicomanagement methodiek . 2. Interim ondersteuning Tijdelijk capaciteit nodig? Onze ervaren risk-professionals helpen bij implementatie, monitoring of verandermanagement. Ze zijn snel inzetbaar en gewend om te schakelen tussen strategie en uitvoering. 3. Consultancy en implementatie Van het opzetten van een risicomanagement framework tot het begeleiden van RCSA’s of het inrichten van de drie lijnen: onze consultants helpen je om risicomanagement praktisch en strategisch neer te zetten. 4. Werving en selectie We helpen je bij het vinden van de juiste mensen op het gebied van risk, control en audit. Mensen die niet alleen de kennis hebben, maar ook de vaardigheden om risico’s bespreekbaar te maken, draagvlak te creëren en resultaten te boeken. Onze kracht? We combineren inhoudelijke expertise met een scherp oog voor cultuur, gedrag en verandervraagstukken. Want uiteindelijk draait het niet alleen om het proces maar om de mensen. Benieuwd wat wij voor jouw organisatie kunnen betekenen? Neem vandaag nog contact met ons op voor een vrijblijvend kennismakingsgesprek. Contact Blogs Waarom werkt risicomanagement zo vaak wél op papier, maar niet in de praktijk? In deze blog ontdek je de meest voorkomende oorzaken; gebrek aan eigenaarschap, slechte timing en geen ondersteunende cultuur. Leer hoe je risicomanagement wél laat leven in besluitvorming en gedrag. Klik door en maak jouw organisatie écht weerbaar. Waarom risicomanagement vaak niet werkt Knop Welk risicomanagementmodel past bij jouw organisatie? In deze blog ontdek je de verschillen tussen COSO ERM, ISO 31000, het Three Lines Model, de BIO en RISMAN én hoe je ze slim toepast. Praktisch, helder en direct inzetbaar. Klik door en kies het model dat jouw organisatie écht vooruit helpt. Risicomanagement model Knop De blog laat zien hoe organisaties grip krijgen op AI met een vijflagenmodel voor governance, data, modelontwikkeling, monitoring en impact. Het model helpt risk-, compliance- en auditprofessionals AI structureel te beheersen en te toetsen, zonder data scientist te zijn. Grip op AI Knop Risk appetite en risk tolerances lijken theoretisch, maar bepalen in de praktijk of uw organisatie met vertrouwen durft te innoveren én tijdig begrenst. In deze blog leest u hoe u ze concreet maakt, van bestuurskamer tot werkvloer, met voorbeelden, valkuilen en praktische tips. Risk appetite en risk tolerance Knop Steeds meer organisaties besteden hun internal audit uit; niet uit nood, maar als bewuste strategische keuze. In deze blog lees je hoe outsourcing zorgt voor flexibele capaciteit, specialistische kennis en een frisse kwaliteitsimpuls, én wanneer het wél of juist niet past. Klik door om verder te lezen. Outsourcing auditafdeling Knop Veel risicoanalyses blijven hangen in lijstjes en matrixen waar niemand iets mee doet. In deze blog lees je wat een écht goede risicoanalyse is, welke valkuilen je moet vermijden en hoe je risico’s verbindt met gedrag, besluitvorming en resultaat. Maak van risicoanalyse een krachtig stuurinstrument. Risicoanalyse Knop AI auditen vraagt niet om data science, maar om auditvaardigheden: governance toetsen, eigenaarschap vaststellen, AI-gebruik inventariseren en shadow AI zichtbaar maken. Begin klein, bijvoorbeeld met het AI-register en één concrete toepassing. Auditen van AI Knop

Veel risicobeleid faalt in de praktijk. Ontdek hoe je risicomanagement laat leven in je organisatie met 3 concrete pijlers voor duurzaam succes. Alle blogs Risicomanagement Waarom risicomanagement vaak niet werkt Veel organisaties hebben het op papier goed voor elkaar. Er ligt een risicomanagementbeleid, er zijn risicomatrixen, control frameworks en procedures die tot in detail zijn beschreven. Soms zelfs met keurige versies en goedgekeurd door de directie. Maar als je goed kijkt, doemt een ongemakkelijke vraag op: wordt dat beleid in de praktijk ook echt nageleefd? Worden risico’s tijdig herkend, geanalyseerd en beheerst? Of is het hele proces verworden tot een papieren tijger die in de kast verdwijnt tot de volgende risicosessie? Steeds meer organisaties erkennen dat effectieve risicobeheersing geen eenmalige inspanning is. Het werkt alleen als het een integraal onderdeel van de bedrijfsstrategie en -cultuur wordt. Niet als jaarlijkse verplichte ronde voor het jaarverslag, maar als een continu proces dat zichtbaar is in het dagelijks handelen van medewerkers.En vooral niet alleen in spreadsheets, maar merkbaar in het gedrag van mensen. De grootste valkuil: denken dat je ‘het geregeld hebt’ Een mooi en volledig risicodossier is geen garantie voor een weerbare organisatie. Het kan zelfs een vals gevoel van veiligheid geven. Juist in de dagelijkse praktijk ontstaat het verschil tussen formele risicobeheersing en daadwerkelijke weerbaarheid. Dat verschil zit vaak in ogenschijnlijk kleine dingen: Timing van de risicoanalyse Worden risico’s besproken bij de start van een project, of pas als de eerste problemen zich aandienen? Opvolging van afwijkingen Worden afwijkingen structureel opgepakt, of verdwijnen ze in de drukte van de dagelijkse operatie? Eigenaarschap Is risicobewustzijn ingebed in de hele organisatie, of wordt het gezien als “iets van de riskmanager”? We leven in een VUCA-wereld – vol Volatility, Uncertainty, Complexity en Ambiguity . In zo’n omgeving is risicomanagement niet alleen een methodiek maar een vaardigheid. De kernvraag wordt dan: Hoe zorg je dat risicobeheersing echt leeft in je organisatie? Drie pijlers voor duurzaam risicomanagement Een robuust risicomanagementsysteem is geen verzameling documenten, maar een set van werkende principes die gedragen worden door de hele organisatie. Drie pijlers zijn daarbij essentieel. 1. Van compliance naar cultuur Veel risicoprogramma’s stranden omdat ze worden ingericht als een compliance-oefening. Controles afvinken, rapportages maken en klaar. Dat is niet genoeg. Echte weerbaarheid ontstaat pas als er bewustwording en gedragsverandering plaatsvindt. Stel jezelf en je team vragen als: Waarom is dit risico belangrijk voor ons succes? Wat gebeurt er als we niets doen? Wat kan ik persoonlijk doen om dit risico te beperken? Door die vragen centraal te stellen, verschuift risicomanagement van een checklist naar een gedeelde verantwoordelijkheid. Medewerkers begrijpen dan niet alleen wat ze moeten doen, maar ook waarom . Praktisch voorbeeld: Een productielocatie met strakke veiligheidsprocedures merkte dat incidenten bleven voorkomen. Na onderzoek bleek dat medewerkers de regels wel kenden, maar ze als omslachtig ervaarden. Door samen te kijken naar werkbare aanpassingen en de achterliggende risico’s uit te leggen, nam de naleving toe en daalde het aantal incidenten. 2. Integreer risico’s in besluitvorming Risicomanagement werkt het best als het geen losstaand proces is. Het hoort in de haarvaten van de besluitvorming te zitten. Dat betekent: niet één keer per jaar een risicoworkshop, maar bij elke vergadering, elk project en elke evaluatie expliciet de vraag stellen: “Wat zijn de risico’s?” en “Hoe beheersen we die?” Dit vraagt ook om toegankelijke en actuele informatie. Risicoregisters moeten niet alleen compleet zijn, maar ook in een vorm beschikbaar die snel te gebruiken is bij beslissingen. Praktisch voorbeeld: Een retailorganisatie nam bij elke productintroductie standaard een marketing- en kostenanalyse door. Sinds kort voegen ze een “risicoparagraaf” toe waarin potentiële leveringsproblemen, reputatierisico’s en juridische vraagstukken direct worden meegenomen. Dit voorkomt verrassingen en versnelt de besluitvorming. 3. Maak risico’s bespreekbaar Risico’s identificeren is stap één. Ze durven benoemen is stap twee. In veel organisaties bestaat terughoudendheid om afwijkingen, twijfels of zorgen te delen. Soms uit angst voor gezichtsverlies, soms omdat “het toch niets uitmaakt”. Een effectieve risicocultuur vraagt om psychologische veiligheid: het gevoel dat je vrijuit kunt spreken zonder negatieve consequenties. Faciliteer open gesprekken, bijvoorbeeld via risk walks waarbij teams gezamenlijk operationele processen bekijken. Waardeer signalen van afwijkingen, ook als ze klein zijn. Beloon het melden van risico’s, in plaats van alleen het voorkomen van incidenten. Praktisch voorbeeld: Een ziekenhuisteam introduceerde een maandelijks “veiligheidsoverleg” waarin medewerkers incidenten en bijna-incidenten konden delen. Door deze openheid nam het aantal gemelde risico’s toe, waardoor preventieve maatregelen eerder konden worden genomen. Risicomanagement is mensenwerk Enterprise Risk Management (ERM), modellen en IT-systemen zijn belangrijke hulpmiddelen. Maar de kern van effectief risicobeheer blijft altijd: mensen . Het zijn de medewerkers die: risico’s signaleren; risico’s durven bespreken en maatregelen daadwerkelijk uitvoeren. Daarom is investeren in vaardigheden, bewustzijn en cultuur minstens zo belangrijk als investeren in systemen. Een organisatie met een beperkte toolset maar een hoog risicobewustzijn is vaak weerbaarder dan een organisatie met uitgebreide tooling en een lage betrokkenheid. Hoe krijg je dat voor elkaar? Begin met een goed gesprek Vraag in teams: “Wat kan er misgaan?” en “Wat doen we als dat gebeurt?” Dit opent de deur naar gedeeld eigenaarschap. Maak het concreet Gebruik voorbeelden uit de eigen praktijk. Theorie blijft pas hangen als mensen het herkennen in hun eigen werk. Investeer in training en begeleiding Richt je niet alleen op procedures, maar ook op besluitvormingsvaardigheden, communicatie en samenwerking. Vier successen Benoem en waardeer situaties waarin risico’s tijdig zijn herkend en aangepakt. Dat versterkt gewenst gedrag. De weg naar een veerkrachtige organisatie Organisaties die risicomanagement laten werken, hebben een paar dingen gemeen: Risicobewustzijn is zichtbaar in alle lagen Van directie tot werkvloer, iedereen ziet het belang en kent zijn rol. Besluitvorming en risicobeheer zijn onlosmakelijk verbonden Geen strategische keuze zonder risicobeoordeling. Openheid is de norm Risico’s benoemen wordt gezien als professionaliteit, niet als kritiek. Het proces is continu Risicomanagement leeft dagelijks, niet alleen bij jaarafsluiting of audits. Het resultaat? Een organisatie die sneller herstelt van tegenslagen, minder verrassingen kent en beter inspeelt op veranderingen in de omgeving. Oftewel: een organisatie die in control is. Tot slot Wil je jouw risicomanagementsysteem optimaliseren? Begin dan niet met een nieuw sjabloon of nog een control framework. Start met het gesprek. Vraag, luister, betrek en creëer een cultuur waarin iedereen zich verantwoordelijk voelt voor het herkennen en beheersen van risico’s. Dat is de eerste, en misschien wel belangrijkste, stap naar een veerkrachtige organisatie die klaar is voor de toekomst. Hoe Ferocia helpt organisaties met risicomanagement Ferocia ondersteunt organisaties op een manier die past bij hun ambitie, volwassenheidsniveau en context. Geen standaardmethodes, maar maatwerk. Praktisch en strategisch. Altijd gericht op verankering in de praktijk. Onze dienstverlening bestaat uit vier pijlers: 1. Opleidingen en trainingen We leiden professionals op in risicomanagement, control en compliance. Praktijkgericht, actueel en afgestemd op de uitdagingen van vandaag. Denk aan opleidingen als Cursus Risicomanagement of risicomanagement methodiek . 2. Interim ondersteuning Tijdelijk capaciteit nodig? Onze ervaren risk-professionals helpen bij implementatie, monitoring of verandermanagement. Ze zijn snel inzetbaar en gewend om te schakelen tussen strategie en uitvoering. 3. Consultancy en implementatie Van het opzetten van een risicomanagement framework tot het begeleiden van RCSA’s of het inrichten van de drie lijnen: onze consultants helpen je om risicomanagement praktisch en strategisch neer te zetten. 4. Werving en selectie We helpen je bij het vinden van de juiste mensen op het gebied van risk, control en audit. Mensen die niet alleen de kennis hebben, maar ook de vaardigheden om risico’s bespreekbaar te maken, draagvlak te creëren en resultaten te boeken. Onze kracht? We combineren inhoudelijke expertise met een scherp oog voor cultuur, gedrag en verandervraagstukken. Want uiteindelijk draait het niet alleen om het proces maar om de mensen. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl