Ben jij internal auditor, controller of risicomanager en wil je groeien in je vak? Ferocia biedt praktijkgerichte opleidingen en trainingen op het gebied van internal auditing, control en risicomanagement. Ontworpen voor professionals die zich willen ontwikkelen en meer willen betekenen voor hun organisatie. Opleidingen en trainingen Ferocia verzorgt open en incompany opleidingen en trainingen voor internal auditors, risk officers en controllers. Onze dienstverlening Ben jij internal auditor, controller of risicomanager en wil je groeien in je vak? Ferocia biedt praktijkgerichte opleidingen en trainingen op het gebied van internal auditing, control en risicomanagement. Ontworpen voor professionals die zich willen ontwikkelen en meer willen betekenen voor hun organisatie. Leren bij Ferocia is anders! Wij bieden geen standaardopleidingen, maar trajecten die direct aansluiten op jouw dagelijkse praktijk. Geen droge theorie, maar kennis en vaardigheden die je meteen kunt toepassen in je werk. Zo wordt leren niet iets wat je erbij doet, maar iets dat je direct vooruithelpt! Wat ons uniek maakt? Wij begeleiden je niet alleen in de leeromgeving, maar ook bij de toepassing in jouw eigen praktijk. Met een doordachte combinatie van online theoretische voorbereiding (e-learning), interactie (virtuele of fysieke) bijeenkomsten en persoonlijke coaching, zorgen we ervoor dat jij de opgedane kennis zelfstandig en met vertrouwen toepast op je werkvloer. Daarbij werken wij samen met toonaangevende partners zoals Avans+, het Instituut van Internal Auditors (IIA Nederland) en Sijthoff Accountants Academy. Daardoor ben je verzekerd van de hoogste inhoudelijke kwaliteit en maximale relevantie voor jouw vakgebied. Kwaliteit gegarandeerd Onze opleidingen en trainingen worden verzorgd door ervaren en gediplomeerde docenten die hun sporen ruimschoots hebben verdiend in de praktijk, en zijn verbonden aan één of meerdere universiteiten (RE, RO, RC) en hogescholen. Zij weten als geen ander hoe ze theorie moeten vertalen naar situaties die jij in je dagelijkse werkzaamheden tegenkomt. Je kunt hierdoor de opgedane kennis direct toepassen binnen jouw praktijk, waardoor een meerwaarde wordt geleverd aan zowel jouw persoonlijke ontwikkeling als aan het succes van je organisatie! Meer weten? Bekijk dan ons aanbod aan open leertrajecten op het gebied van internal auditing, control en risicomanagement. Op zoek naar een incompany leertraject op maat? Ook dan helpen we je graag verder! Neem contact met ons op en we verkennen graag je leervraag. Contact Open leertrajecten Ben je op zoek naar een opleiding of training binnen audit, control of risicomanagement? Ontdek onze praktijkgerichte leertrajecten. Audit Control Risk Waarom Ferocia? Innovatieve en praktijkgerichte leertrajecten  voor internal auditors, controllers en risk officers. Blended learning. Online voorbereiding, interactieve sessies en coaching in je eigen werksituatie. Open en incompany leertrajecten. Schrijf je in voor een van onze open leertraject of kies voor een incompany leertraject op maat. Gediplomeerde docenten die hun sporen in de praktijk hebben verdiend. Onze docenten zijn niet voor niets allemaal als docent verbonden aan universiteiten en hogescholen! Gerenommeerde partners , zoals Avans+, het Instituut van Internal Auditors Nederland (IIA Nederland) en Sijthoff Accountants Academy.

Versterk je gespreksvaardigheden met de training gesprekstechnieken. Leer omgaan met weerstand en maak écht impact. Alle blogs Risicomanagement, Internal auditing Training gesprekstechnieken voor auditors en riskmanagers Of je nu werkt als auditor, controller of risk officer, je succes hangt meer af van je gespreksvaardigheden dan je misschien denkt. Hoe scherp je analyses ook zijn en hoe goed je dossiers ook zijn voorbereid: zonder een open, doelgericht en effectief gesprek blijft je impact beperkt. Goede gesprekstechnieken zijn onmisbaar. Niet alleen om informatie boven tafel te krijgen, maar ook om echt verbinding te maken, weerstand te overbruggen en gedrag bespreekbaar te maken. Dat is precies waar de training gesprekstechnieken voor auditors en risicoprofessionals van Ferocia op inspeelt. Wat zijn gesprekstechnieken? Gesprekstechnieken zijn methoden en vaardigheden die je inzet om een gesprek doelgericht, gestructureerd en effectief te laten verlopen. Denk aan het stellen van de juiste vragen, het actief luisteren, het herkennen van non-verbale signalen, het omgaan met weerstand en het schakelen tussen verschillende communicatieniveaus. In het vakgebied van auditing en risicomanagement krijgen deze technieken nog een extra dimensie: je gesprekspartner is vaak iemand van binnen de organisatie, met eigen belangen, belangen die soms haaks staan op jouw bevindingen of observaties. Daarom is het cruciaal dat je als professional niet alleen vaktechnisch onderlegd bent, maar ook beschikt over de juiste gespreksvaardigheden. Gesprekstechnieken zijn geen ‘soft skill’ die je er zomaar bijdoet; ze vormen een wezenlijk onderdeel van je vakmanschap. Wat leer je tijdens de training gesprekstechnieken? De training Gesprekstechnieken van Ferocia is ontworpen voor professionals die werken binnen het domein van audit, control, risk of compliance en die effectiever willen worden in het voeren van kwalitatief goede gesprekken. In drie interactieve dagdelen leer je hoe je gesprekken beter voorbereidt, gestructureerd voert en afrondt. De training is opgebouwd rondom de volgende thema’s: Gespreksvoorbereiding : Hoe bereid je je voor op een auditinterview? Hoe sluit je interviewschema’s aan op het normenkader? Gesprekstechnieken : Je leert welke gesprekstechnieken je wanneer inzet en hoe je daarmee de regie in handen houdt, zonder het contact te verliezen. Vraagformulering : Je ontwikkelt vaardigheden om vragen scherp te formuleren, ook als het gaat over lastige onderwerpen als cultuur en gedrag. Communicatieniveaus : Je leert schakelen tussen inhoud, proces en relatie. Want alleen met bewustzijn op deze drie niveaus maak je echt impact. Omgaan met weerstand : Hoe herken je weerstand? En hoe kun je het ombuigen naar een constructief gesprek? Tijdens de training oefen je met deze vaardigheden aan de hand van praktijkcasussen, rollenspellen en reflectie. De theorie krijg je aangereikt via een innovatieve e-learningmodule, die je voorafgaand aan de bijeenkomsten zelfstandig doorloopt. Zo ben je optimaal voorbereid om tijdens de bijeenkomsten aan de slag te gaan met de toepassing in jouw praktijk. Wat kun je nadat je de training hebt afgerond? Na het afronden van de training ben je geen theoretisch expert, maar een beter uitgeruste professional. Je bent in staat om: gesprekken doelgericht en gestructureerd te voeren; de juiste gesprekstechnieken op het juiste moment in te zetten; de regie te houden, ook in lastige gesprekken of bij weerstand; diepere, betekenisvollere gesprekken te voeren over cultuur en gedrag; verschillende communicatieniveaus te herkennen en te benutten; effectiever informatie te verzamelen en gedragsaspecten bespreekbaar te maken; en jouw eigen stijl te ontwikkelen en bewust in te zetten. Je krijgt bovendien 12 PE-punten en een certificaat van deelname. Maar belangrijker nog: je ontwikkelt jezelf tot een gesprekspartner die gehoord wordt en die echt verschil maakt in de organisatie. Voor wie is deze training bedoeld? Deze training is speciaal ontwikkeld voor professionals die betrokken zijn bij audits, risicomanagement, compliance of control. Denk aan: Internal auditors (operational, IT of financial) Controllers Risk en compliance officers Accountants Medewerkers AO/IC Kwaliteitsmedewerkers Proceseigenaren Wat deze groep professionals verbindt? Van hen wordt verwacht dat zij gesprekken kunnen voeren waarin informatie wordt opgehaald, geanalyseerd en teruggekoppeld, vaak in een complexe of gevoelige context. De training is gericht op mensen met een HBO werk- en denkniveau die willen investeren in hun effectiviteit als gesprekspartner. De werkvorm van de training De training gesprekstechnieken is allesbehalve klassikaal en eenzijdig. Het is een praktijkgerichte, interactieve en blended leerervaring. Wat houdt dat in? E-learning (3 uur) : Voorafgaand aan de bijeenkomsten volg je de e-learning Interviewvaardigheden. Deze module doorloop je zelfstandig en in je eigen tempo. Zo leg je een solide basis aan theorie, die je vervolgens in de bijeenkomsten direct toepast. Drie interactieve bijeenkomsten (3 uur per bijeenkomst) : Deze sessies kun je fysiek of online bijwonen. Hier oefen je met de praktijk, ontvang je feedback en deel je ervaringen met andere deelnemers. Rollenspellen en praktijkopdrachten : Je oefent met realistische cases uit je eigen werkpraktijk. Persoonlijk actieplan : Je formuleert je eigen ontwikkeldoelen en krijgt daarop feedback van de docent en je mededeelnemers. Mixed classroom : Je kunt zelf kiezen of je fysiek of digitaal deelneemt. De training is volledig hybride ingericht. Het resultaat? Een training die aansluit op jouw praktijk, jouw uitdagingen en jouw leerstijl. En die jou helpt om niet alleen beter te luisteren, maar ook beter gehoord te worden. Waarom gesprekstechnieken een must zijn voor auditors en risicoprofessionals In een tijd waarin risicobeheersing, cultuur en gedrag steeds vaker centraal staan in audits, kun je als professional niet meer leunen op inhoud alleen. Het is niet genoeg om een dossier te analyseren; je moet ook het verhaal achter het proces boven tafel krijgen. Je moet gedrag bespreekbaar kunnen maken, de vinger kunnen leggen op impliciete overtuigingen en met weerstand kunnen omgaan zonder dat het gesprek stokt. Sterke gesprekstechnieken zijn daarbij geen luxe, maar noodzaak. Ze vormen de brug tussen observatie en actie, tussen analyse en interventie. En juist daarom verdienen ze een vaste plek in de gereedschapskist van iedere audit- en riskprofessional. Meer informatie over de training gesprekstechnieken klik hier . Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Steeds meer organisaties kiezen voor outsourcing van internal audit. Ontdek de voordelen zoals flexibiliteit, nichekennis en hogere auditkwaliteit. Alle blogs Co- en outsourcing Outsourcing auditafdeling Waarom steeds meer organisaties kiezen voor outsourcing van hun internal auditafdeling. In een wereld waarin veranderingen elkaar in razend tempo opvolgen, staat de interne auditfunctie onder druk. Organisaties worstelen met het behouden van capaciteit, het waarborgen van kwaliteit en het bieden van continuïteit. Tegelijkertijd worden compliance-eisen en wet- en regelgeving complexer. Steeds vaker stellen organisaties zichzelf de vraag: moeten we onze internal audit blijven uitvoeren met interne capaciteit, of is het tijd om deze auditafdeling uit te besteden? Outsourcing van internal audit: van noodgreep naar strategische keuze. Outsourcing van de internal auditfunctie wordt allang niet meer alleen ingezet bij personeelstekort. Voor veel organisaties, van multinationals tot publieke instellingen, is het uitbesteden van interne auditdiensten een doordachte, strategische keuze geworden. Door een externe auditpartij in te schakelen, kun je: auditcapaciteit uitbreiden zonder vaste kosten; specialistische kennis binnenhalen op thema’s zoals ESG-audits, cyberrisico’s, en digitale auditoplossingen; compliance-doelen beter borgen; en auditprocessen versnellen en optimaliseren. Wat zijn de voordelen van outsourcing van de auditafdeling? Op basis van gesprekken met Chief Audit Executives en compliance officers komen we steeds dezelfde voordelen tegen bij het uitbesteden van interne auditdiensten: Flexibele inzetbaarheid Geen langdurige werving, maar direct beschikbare expertise bij piekbelasting of specifieke thema-audits. Toegang tot nichekennis Denk aan AI in internal audits of audits gericht op de DORA-wetgeving en Europese richtlijnen. Frisse blik en kwaliteitsimpuls Een externe auditor stelt andere vragen, werkt vanuit andere kaders en brengt scherpere inzichten. Versnelling en efficiency Audit outsourcing helpt je sneller resultaten te boeken en ruimte te creëren voor interne focus op risicobeheersing. Hoe werkt succesvolle samenwerking met een externe auditpartij? Een geslaagde samenwerking met een externe partij vraagt om meer dan alleen het ondertekenen van een contract. De meest succesvolle vormen van internal audit outsourcing kenmerken zich door: Heldere scope en verwachtingsmanagement Formuleer duidelijk welke auditfuncties worden uitbesteed, met welk doel, en hoe de samenwerking eruitziet. Actieve kennisoverdracht Vermijd ‘black box’-audits. Werk samen aan overdracht en borging van kennis in de organisatie. Kiezen van de juiste partner Selecteer een audit outsourcing partner die de taal van governance, risicomanagement en gedrag begrijpt. Wanneer is outsourcing van de auditafdeling geschikt? Uitbesteden is niet altijd de oplossing. Maar bij capaciteitstekort, toenemende complexiteit of veranderende compliance-eisen kan outsourcing een manier zijn om: in control te blijven; auditfuncties toekomstbestendig in te richten; risico’s beheersbaar te houden; en te voldoen aan strengere regelgeving. Het is essentieel om goed af te wegen wanneer internal audit uitbesteden zinvol is. In gereguleerde sectoren is audit outsourcing toegestaan, mits voldaan wordt aan wet- en regelgeving, inclusief vereisten rondom privacy en onafhankelijkheid. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Behavioural auditing onthult hoe gedrag en cultuur beheersing beïnvloeden. Krijg grip op informele patronen en versterk control, audit en risicomanagement. Alle blogs Gedrag en cultuur Behavioural auditing Grip op gedrag, sturing op resultaat Elke professional in audit, risk, control of compliance kent het gevoel: de formele kant klopt. Beleid staat op papier, processen zijn beschreven, controles zijn ingericht en rapportages worden volgens planning opgeleverd. En toch stagneert de uitvoering. Deadlines verschuiven, afspraken vervagen, prioriteiten verschuiven stilzwijgend. Niet omdat mensen niet willen, maar omdat onbewuste patronen, aannames en gewoonten sterker blijken dan procedureteksten. Wie echt in control wil zijn, moet daarom verder kijken dan procedures, regels en excelsheets. De doorslaggevende factor schuilt in gedrag en cultuur, in hoe mensen betekenis geven aan regels, veranderen onder tijdsdruk, elkaar aanspreken, en wat zij in de praktijk wel of juist niet doen. Behavioural auditing zet precies daar het zoeklicht. Het is geen ‘soft’ extraatje naast de reguliere audit, maar een volwaardige, methodisch verantwoorde manier van onderzoeken die aansluit op de vragen waar bestuur, management en professionals mee worstelen. Waarom lopen verbetertrajecten vast terwijl de analyse scherp is? Waarom wordt beleid niet duurzaam geborgd, ook al zijn rollen en processen helder? Waarom blijft het effect van allerlei interventies beperkt tot een korte opleving? Het korte antwoord: omdat de ongeschreven spelregels sterker zijn dan de geschreven. Het lange antwoord leest u hieronder. Wat is behavioural auditing? Behavioural auditing is een kwalitatieve, diepgravende auditmethode die het menselijk handelen onderzoekt waar het ontstaat: in de manier waarop mensen hun werk, collega’s, leiding en omgeving ervaren en duiden. Het vertrekpunt is het onderscheid tussen wat mensen zeggen belangrijk te vinden en te doen en wat hen in werkelijkheid stuurt. Dat verschil is geen onwil of hypocrisie, maar een menselijk gegeven. In de hectiek van de werkdag reageren we razendsnel vanuit mentale modellen en gewoonten. Die patronen zijn gevormd door opleiding, ervaring, achtergrond, teamdynamiek en/of het voorbeeld van leiders. Behavioural auditing maakt juist die drijfveren zichtbaar en bespreekbaar. De aanpak is anders dan klassieke audits op drie niveaus. Ten eerste de onderzoeksblik. Waar traditionele audits werken met vooraf gedefinieerde criteria en normenkaders, werkt behavioural auditing met ‘richtinggevende thema’s’ die tijdens het veldwerk flexibel mogen kantelen als het verhaal van de organisatie daarom vraagt. Denk aan begrippen als voorbeeldgedrag, aanspreekbaarheid, besluitvaardigheid of eigenaarschap. Ten tweede de dataverzameling. Geen generieke vragenlijsten die vooral oproepen wat mensen zeggen belangrijk te vinden en te doen, maar reflectieve, gestructureerde gesprekken waarin auditors met geïnterviewden afdalen naar hun drijfveren en overtuigingen. De techniek lijkt op het beklimmen en afdalen van de ‘inferentieladder’: van zichtbare feiten via betekenisgeving en aannames naar overtuigingen en terug. De gesprekken beginnen niet met abstracte waarden, maar met concrete gebeurtenissen, mijlpalen of incidenten die voor de onderzoeksvraag relevant zijn. Hoe werden die ervaren? Welke signalen zijn wel gezien en welke niet? Welke keuze leek logisch op dat moment en waarom? Ten derde de manier van rapporteren en valideren. Een behavioural audit mondt uit in een doorlopend verhaal waarin letterlijke citaten van betrokkenen worden verweven met analytische duiding door de auditors. Het is geen rapport met een eindoordeel, maar een zorgvuldig gecomponeerde spiegel die meerdere perspectieven naast elkaar zet. Dat rapport is geen eindstation. In een validatieworkshop gaan de geïnterviewden met elkaar in dialoog over herkenning, betekenis en consequenties. Vaak ontstaat daar het inzicht en de start van de verandering. Niet omdat de auditor het zegt, maar omdat de organisatie zichzelf hoort en ziet. Die erkenning maakt het mogelijk om het gesprek te verleggen van symptoombestrijding naar de echte oorzaken en om van enkelvoudig leren (anders doen) te bewegen naar dubbel-lus leren (anders denken en anders doen). Belangrijk is ook het control-perspectief. Waar in de literatuur vaak het onderscheid ‘hard’ versus ‘soft’ controls wordt gebruikt, werkt behavioural auditing met een praktischer onderscheid tussen de speelruimte die regels, processen, systemen en middelen geven en de manier waarop mensen die ruimte waarnemen en benutten. Het functioneren van beheersmaatregelen wordt dus niet alleen beoordeeld op opzet, bestaan en werking, maar ook op beleefde betekenis. Denk bijvoorbeeld aan wat roepen regels op, welke informele normen zijn sterker, wat doet het voorbeeld van leidinggevenden met naleving, waar ontstaan defensieve routines die iedereen kent maar niemand benoemt? Tot slot is behavioural auditing geen vrije vorm. Het is een discipline met een heldere methodiek, zoals een duidelijke opdrachtformulering, transparant veldwerk, volledige reproduceerbare veldwerk, systematische analyse van de onderzoeksdata en een gedocumenteerde audit trail. Die scherpte maakt de uitkomsten toetsbaar en de dialoog veilig. Waarom is behavioural auditing belangrijk? Omdat gedrag bepaalt of strategie, beleid en beheersmaatregelen in de praktijk werken. Dat klinkt vanzelfsprekend, maar veel organisaties sturen nog altijd primair op ontwerp en formalisatie: we tekenen het proces opnieuw, scherpen een procedure aan, zetten een extra check in het systeem en/of voegen een training toe. Soms helpt dat, vaak niet. Als de onderliggende aannames en ongeschreven regels ongemoeid blijven, verschuift het probleem. De formele stapels groeien, de werkdruk stijgt, de vermoeidheid over ‘weer een traject’ neemt toe, en de echte patronen blijven intact. Behavioural auditing doorbreekt die cirkel door drie dingen tegelijk te doen. Ten eerste geeft het taal aan wat tot dan toe onder water zat. Woorden als ‘we mogen fouten maken’ krijgen betekenis als blijkt dat men in besluitvorming vooral conflictvermijding belooft, lastige issues parkeert en elkaar uit de wind houdt. Ten tweede maakt het zichtbaar waar formele en informele systemen botsen. Een organisatie kan bijvoorbeeld roepen dat eigenaarschap bij teams ligt, terwijl stuurinformatie, autorisaties en besluitvormingsrituelen teams vooral afhankelijk houden. Ten derde creëert het momentum om te leren waar het ertoe doet. In de validatieworkshop hoort men niet de mening van de auditor, maar de eigen woorden in context. Dat is confronterend en bevrijdend tegelijk. Het maakt het mogelijk om de stap te zetten van ‘meer communiceren over procedures’ naar het herontwerpen van het gesprek, het besluit en het voorbeeld. De waarde van behavioural auditing laat zich zien in situaties waar klassieke interventies niet landen. Bij vraagstukken waar ‘nogmaals wijzen op de regels’ slechts tijdelijk effect heeft. Bij programma’s die wel plannen opleveren maar geen stevige borging. Bij samenwerking tussen afdelingen waar misverstanden hardnekkig terugkeren. Bij veranderagenda’s die op papier logisch zijn, maar in de praktijk vastlopen op wantrouwen of defensie. In al die gevallen leert de praktijk dat de kloof tussen wat mensen zeggen belangrijk te vinden, en wat hen in werkelijkheid stuurt in hun daadwerkelijke doen, niet verdwijnt door meer druk, maar door beter begrip en het expliciet maken van aannames. Daarbij versnelt behavioural auditing het lerend vermogen binnen organisaties. Waar traditionele trajecten soms een cyclus van rapport, weerwoord, herziening, etc. kennen, bouwt een behavioural audit vanaf dag één aan eigenaarschap: de betrokkenen herkennen zich in het verhaal en voelen urgentie om zelf te handelen. Tot slot raakt behavioural auditing aan de essentie van professionele trots. Alle internal audit professionals willen goed werk leveren. Naleven uit angst is fragiel, handelen vanuit begrip is duurzaam. Een audit die mensen helpt hun eigen aannames te onderzoeken, die leiders ondersteunt in zichtbaar, congruent voorbeeldgedrag en die teams een taal geeft om elkaar aan te spreken zonder te beschadigen, draagt rechtstreeks bij aan veilige, wendbare en resultaatgerichte organisaties. Door behavioural audits toe te voegen aan het pallet van internal auditors, controller, riskmanagers en compliance officers kunnen ze daadwerkelijk toegevoegde waarde leveren aan de lerende organisatie. Ferocia heeft ACS Behavioural Auditing & Consulting overgenomen Ferocia heeft ACS Behavioural Auditing & Consulting overgenomen. Daarmee halen we de grondlegger en pionier (Jan Otten) van behavioural auditing in huis en verbinden we zijn bewezen methodiek aan onze audit-, risk- en controlpraktijk. ACS Behavioural Auditing & Consulting heeft de afgelopen jaren een herkenbare standaard neergezet voor het verdiepend onderzoeken van gedrag en cultuur. Het resultaat is geen oekaze, maar een gedragen verhaal dat beweging veroorzaakt. Voor onze klanten betekent dit dat behavioural auditing niet langer een losse interventie is naast de reguliere audit, maar een geïntegreerd onderdeel van het werk dat zij van Ferocia kennen: opleidingen en trainingen, interim en consultancy, en werving en selectie. We kunnen hiermee audit, control, risk en compliancefuncties helpen om de kennis en vaardigheden om gedrag en cultuur te onderzoeken zelf op te bouwen als competentie. De overname is voor ons geen eindpunt, maar een vertrekpunt. We zetten de lijn van ACS Behavioural Auditing & Consulting voort, ontwikkelen door praktische toepasbaarheid, tooling en rapportagevormen. Zo maken we onderzoeken naar gedrag en cultuur nog toegankelijker voor onze relaties en verbinden we behavioural auditing aan onze bredere visie op internal auditing. Daarmee maken we waar wat veel organisaties al lang voelen: dat beheersing pas echt werkt als het gedrag en de cultuur klopt. Hoe Ferocia gedrag en cultuur binnen jouw organisatie versterkt Wij ondersteunen organisaties op drie manieren: 1. Opleiding en training We leiden internal auditors, controlllers en risicomanagers op tot echte professionals die zelfstandig onderzoek kunnen uitvoeren naar gedrag en cultuur. Denk aan onze postbacheloropleiding Gedrag- en cultuuronderzoek voor financials. 2. Tijdelijke inzet van auditors en risicoprofessionals Heb je tijdelijk capaciteit nodig voor de uitvoering van een behavioral audit? Wij leveren ervaren auditors die direct inzetbaar zijn. 3. Werving en selectie Op zoek naar een nieuwe internal auditor, controller of risicomanager die gespecialiseerd is in gedrag en cultuur? Wij helpen je met het vinden van de juiste professional. Iemand die niet alleen inhoudelijk sterk is, maar ook past bij jouw organisatiecultuur. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Onderzoek cultuur en gedrag in audits met de training soft controls. Leer modellen over cultuur en gedrag praktisch toepassen in jouw audits en stimuleer verandering. Schrijf je nu in! Training Soft controls Duur Studiekosten PE-punten 2 dagdelen € 495,- 9 Inschrijven Training Soft Controls Soft controls, ‘de menselijke factor’ binnen organisaties, krijgen steeds meer aandacht en staan steeds vaker op de auditkalender. Denk aan thema’s als sociale veiligheid, voorbeeldgedrag en vertrouwen. Maar hoe toets je soft controls tijdens een audit? In de training Soft Controls leer je in één lesdag en via een aanvullende e-learning de noodzakelijke technieken en modellen om soft controls effectief te onderzoeken in jouw praktijk. Je scherpt je begrip van cultuur en gedrag aan, oefent met vraagtechnieken en leert hoe je signalen uit de organisatie interpreteert en vertaalt naar concrete interventies. Wat leer je tijdens de training soft controls? Na afloop van deze training kun je cultuur, gedrag en soft controls helder definiëren en begrijp je waarom deze onmisbaar zijn voor effectieve beheersing en sturing. Je leert verschillende modellen toepassen binnen je audits en je bent in staat soft controls gericht te onderzoeken. Daarnaast maak je kennis met interventies die bijdragen aan het versterken van soft controls binnen jouw organisatie, zodat je niet alleen inzicht krijgt, maar ook handvatten hebt om daadwerkelijk verandering te stimuleren. Waarom kiezen voor de training soft controls? Praktisch en theoretisch onderbouwd: je leert bewezen modellen rond cultuur en gedrag kennen en direct toe te passen. Interactie met vakgenoten: ervaringsuitwisseling met collega’s uit andere organisaties. Direct inzetbaar: je stelt een persoonlijk actieplan op dat je kunt toepassen in de eigen praktijk. Flexibiliteit: kies voor fysiek of digitaal onderwijs via onze mixed classrooms. Korte, krachtige investering: in slechts één trainingsdag en een e-learning krijg je de essentiële inzichten en vaardigheden rond soft controls. Waarom kiezen voor Ferocia? Ferocia is de opleider voor professionals in audit, control en risk. Wij combineren academische diepgang met praktijkgericht leren, zodat je kennis direct toepasbaar is in jouw werkomgeving. Onze docenten zijn verbonden aan universiteiten, hogescholen en beroepsorganisaties en brengen hun ervaring uit de praktijk mee de opleiding in. We werken met een innovatieve didactiek waarin e-learning, rollenspellen, praktijkcases en coaching samenkomen in een blended format. Daarbij staat toepassing altijd centraal: je leert het niet alleen, je doet het ook. Ferocia gelooft in inspiratie, co-creatie en prestatie, en dat ervaar je in al onze programma’s! Wil jij leren hoe je met audits echt inzicht krijgt in cultuur en gedrag binnen organisaties? Schrijf je dan nu in voor de training Soft Controls en investeer in jouw professionele groei. Praktische informatie Doelgroep Werkvorm Tijdsinvestering Studiekosten Resultaat Je bent werkzaam als (operational, IT- of financial) auditor, accountant, controller, risk officer, compliance officer, medewerker AO/IC, kwaliteitsmedewerker of proceseigenaar en van jou wordt verwacht een oordeel te kunnen vormen over cultuur- en gedragsaspecten binnen jouw organisatie. Je wenst in korte tijd de basisbeginselen van soft controls te doorgronden en in de praktijk toe te kunnen passen. De tijdsinvestering bedraagt ongeveer 10 uur. Dit is inclusief lesdagen en praktijkopdrachten. In deze training werken we met een innovatieve e-learning, cases, rollenspellen en praktijkopdrachten. Je werkt zowel zelfstandig als in teamverband. Daarnaast deel je tijdens de bijeenkomsten jouw ervaringen met mededeelnemers die werkzaam zijn bij andere bedrijven. Door het interactieve karakter van de training ontstaat een sterk lerend effect. Deelnemers kunnen de bijeenkomsten van deze training via onze mixed classrooms zowel fysiek als digitaal bijwonen. Na afronding van de training ontvang je een certificaat van deelname. Indien je PE-plichtig bent ontvang je 9 PE-punten. De studiekosten bedragen € 495,- (all-in en vrij van btw). Wat eerdere deelnemers zeggen Bert van Scherpenzeel Quality manager "De training Soft controls is zeer interessant en inspirerend! " Marsha van Iersel Business controller "Veel interactie, levendige discussies en praktische voorbeelden maakten de training Soft controls bijzonder waardevol!" Menny Barendse Auditmanager "Het op praktische wijze leren toepassen van soft controls is een waardevolle aanvulling op onze audits!" Inzichten Hoe technologie onze opleidingen en trainingen vernieuwt. Van e-learning tot hybride classroom en realistische simulaties In deze blog laten we zien hoe technologie ons helpt om leren niet alleen efficiënter, maar vooral effectiever te maken. We laten zien hoe we e-learning inzetten waar het werkt, hoe onze hybride classroom trainingen flexibiliteit bieden zonder in te leveren op kwaliteit en waarom realistische simulaties zorgen voor echte leermomenten. Want of je nu start met auditing of al jarenlang riskmanager bent, blijven leren is essentieel. En dat moet dus wel goed geregeld zijn. De ti 20 sep 2025 5 minuten om te lezen Training soft controls In de wereld van audit, risk en control draait het al lang niet meer alleen om regels, processen en structuren. Natuurlijk zijn harde... 26 aug 2025 4 minuten om te lezen Soft Controls: de kracht van beheersing In organisaties waar alles op papier goed geregeld lijkt, met strak ingerichte processen, duidelijk vastgelegde verantwoordelijkheden en... 13 mei 2025 4 minuten om te lezen Meer weten of direct inschrijven? Brochure Adviesgesprek Inschrijven

Wat is internal auditing? Ontdek hoe internal auditing bijdraagt aan risicobeheersing, procesverbetering en strategische ondersteuning van organisaties. Internal auditing In deze blog gaan we in op het begrip internal auditing. Wat is het, hoe is het vakgebied ontstaan, waarom is het belangrijk voor organisaties en welke specialisaties zijn er binnen internal auditing? Voordat we hierop ingaan, gaan we eerst de term auditing bespreken en leggen we het verschil uit tussen extern en intern. Wat is auditing? Bij auditing denken veel mensen meteen aan het controleren van de boeken, het afvinken van lijstjes of het naleven van regels. Maar auditing is veel breder en waardevoller dan dat. Het is een vak dat steeds belangrijker wordt in een wereld vol risico’s, complexiteit en verandering. Auditing is toetsend onderzoek waarbij de werkelijk situatie wordt afgezet tegen een vooraf vastgestelde norm, wat resulteert in een oordeel. Audits worden systematisch, objectief en onafhankelijk uitgevoerd en de onderwerpen die ge-audit kunnen worden zijn eindeloos. Denk hierbij aan doelrealisatie, processen, systemen, wet- en regelgeving en gedragingen in een organisatie. Het doel is om te beoordelen of deze beheerst verlopen, voldoen aan normen of wet- en regelgeving en/of ze bijdragen aan het realiseren van organisatiedoelen. Maar auditing gaat verder dan controleren alleen. Het is ook een manier om organisaties te helpen verbeteren. De auditor is niet alleen de politieagent van de organisatie, maar zeker ook een objectieve en onafhankelijke expert die inzicht biedt, risico’s zichtbaar maakt en adviezen geeft die bijdragen aan het versterken van het lerend vermogen van de organisatie. Een goede audit is dus zowel toetsend als lerend. Het geeft duidelijkheid over wat er goed gaat, wat beter kan en waar risico’s liggen. External versus internal auditing Binnen het vakgebied auditing bestaan verschillende specialisaties die grofweg op de delen zijn in extern en intern. Afhankelijk ‘voor wie’ de audit wordt uitgevoerd bepaald in belangrijke mate in welke categorie deze valt. Bijvoorbeeld Financial auditing. Financial auditing, meestal uitgevoerd door een (externe) accountant, is de bekendste vorm van auditing en richt zich op de financiële verslaggeving. De financial auditor controleert of de jaarrekening een “getrouw beeld” geeft van de financiële situatie van een organisatie. Deze audits zijn vooral van belang voor externe stakeholders zoals aandeelhouders, toezichthouders en investeerders. Oftewel het maatschappelijke verkeer. Financial audits worden dan ook meestal door een externe auditor uitgevoerd. Hoewel dit type audit wettelijk verplicht is voor bepaalde organisaties, is de impact breder: het geeft vertrouwen in de financiële integriteit van de organisatie en stimuleert transparantie. Internal auditing is het vakgebied dat organisaties helpt grip te krijgen op risico’s, processen en IT-systemen. Internal auditors beoordelen onafhankelijk de kwaliteit van interne beheersmaatregelen en geven op basis daarvan onderbouwd advies over mogelijke verbeteringen. Ze onderzoeken of processen effectief verlopen, of risico’s adequaat worden beheerst en of wet- en regelgeving wordt nageleefd. De internal auditor is werkzaam in de organisatie en fungeert als 3de lijn binnen het three lines model. De internal auditor is veel meer dan een controleur, het is een strategische sparringpartner van bestuur en management. Vanuit een onafhankelijke positie stelt de auditor kritische vragen, benoemt blinde vlekken en helpt de organisatie beter voorbereid te zijn op interne en externe ontwikkelingen. Door structuur aan te brengen in het beheersen van risico’s en het verbeteren van processen, draagt internal auditing bij aan betere besluitvorming, verantwoordingsinformatie en structurele verbetering van prestaties. De oorsprong van internal auditing Het vakgebied van internal auditing zoals we dat vandaag de dag kennen is het resultaat van een lange evolutie. Oorspronkelijk ging het daarbij vooral om het controleren van financiële transacties. Kloppen de boeken? Wordt er niet gefraudeerd? Zijn de kasstromen zuiver? Het was een periode waarin vertrouwen hand in hand moest gaan met controle. En waar complexiteit in bedrijfsvoering toenam, nam ook de behoefte toe aan systematische interne controle. De wortels van internal auditing liggen dan ook in de administratie. In de negentiende eeuw, toen organisaties groeiden en multinationals ontstonden, werd het simpelweg te risicovol om alleen op externe accountants te vertrouwen. Men besefte: we hebben mensen nodig binnen de organisatie die meekijken, meedenken en controleren. Van controle naar aanvullende zekerheid over de kwaliteit van de beheersing De eerste internal auditors waren dus vooral bezig met het verifiëren van cijfers en het opsporen van fouten of fraude. Maar naarmate organisaties complexer werden, groeide het besef dat fouten niet alleen in de boekhouding ontstaan maar in processen, cultuur, systemen en gedrag. Hier begon de verschuiving van klassieke controle naar bredere ‘ assurance’ : zekerheid bieden over de kwaliteit van de risicobeheersing in processen en systemen. De internal auditor ging niet alleen kijken of iets klopt, maar vooral ook naar de kwaliteit van de beheersing en waarom iets niet werkt, inclusief hoe de organisatie kan leren en verbeteren. Het vak kreeg daarmee een fundamenteel andere insteek: van terugkijken naar vooruitkijken. Van financieel gericht naar organisatiebreed. De oprichting van het Institute of Internal Auditors (IIA) in 1941 markeerde een kantelpunt. Daarmee ontstond een beroepsorganisatie die het vak ging professionaliseren, standaarden ontwikkelde en het belang van onafhankelijkheid en objectiviteit benadrukte. Internal auditing werd een echt vak met eigen regels, normen en waarden. Het IIA stelde internal auditing officieel op de kaart als een onafhankelijk en gespecialiseerd beroep, los van de klassieke administratief-controlefuncties en de externe accountant. Dit gebeurde door: Het ontwikkelen van internationale standaarden en een ethische code, waardoor internal auditors een duidelijke professionele identiteit kregen. Het bieden van opleiding, certificering en normstelling, wat leidde tot een uniforme kwaliteitsbasis en verdere professionalisering van het vakgebied. De stimulans tot kennisdeling, praktijkontwikkeling en netwerking onder professionals, waarmee internal auditing zijn eigen positie veroverde binnen bedrijfsvoering en governance. Het Instituut van Internal Auditors Nederland (IIA Nederland) is officieel opgericht op 19 juni 1997 waarna ook in Nederland het vakgebied stevig op de kaart is gezet. Waarom is internal auditing belangrijk? Internal auditing is belangrijk omdat het organisaties helpt om grip te houden op hun interne processen, risico’s en complianceverplichtingen in een steeds complexere wereld. Of het nu gaat om het naleven van wet- en regelgeving, het voorkomen van fraude, het verbeteren van samenwerking tussen afdelingen of het vergroten van operationele efficiëntie, internal auditing speelt hierin een belangrijke rol. In tegenstelling tot externe auditing, waarbij de nadruk ligt op het controleren van financiële rapportages , richt internal auditing zich op het verbeteren van processen en het versterken van interne beheersing. De toegevoegde waarde zit niet alleen in het signaleren van risico’s of tekortkomingen, maar juist in het proactief adviseren over verbetermaatregelen . Dit maakt internal auditors waardevolle sparringpartners voor bestuurders en managers. Internal auditing vergroot ook het vertrouwen van stakeholders. Wanneer een organisatie intern laat zien dat zij haar processen kritisch en gestructureerd beoordeelt, straalt dat betrouwbaarheid uit naar klanten, toezichthouders en investeerders. Het draagt ook bij aan transparantie en goed bestuur. Kortom: internal auditing is geen verplichting, maar een strategisch instrument om als organisatie weerbaarder, efficiënter en toekomstbestendiger te worden. In een tijd waarin risico’s snel veranderen en informatie steeds belangrijker wordt, biedt internal auditing het overzicht, de structuur en de inzichten die nodig zijn om echt in control te zijn. Twee specialisaties binnen internal auditing Binnen het vakgebied van internal auditing zijn twee specialisaties toonaangevend: operational auditing en IT-auditing . Beide richten zich op het versterken van interne beheersing, maar doen dat vanuit een ander perspectief. Operational auditing is gericht op het beoordelen van bedrijfsprocessen en de effectiviteit van beheersmaatregelen. De focus ligt op de vraag of processen efficiënt, effectief en risicobewust zijn ingericht. Een operational auditor onderzoekt niet alleen of bestaande werkwijzen aansluiten bij organisatiedoelen, maar adviseert ook over mogelijke verbeteringen. Denk aan het optimaliseren van de samenwerking tussen afdelingen, het terugdringen van fouten of verspilling, en het versterken van interne controles. Lees meer over operational auditing in deze blog. IT-auditing daarentegen zoomt in op de digitale kant van de organisatie. IT-auditors beoordelen of IT-systemen betrouwbaar, veilig en goed beheerd zijn. Daarbij onderzoeken zij onder meer of systemen beschikbaar zijn wanneer nodig, of data juist en volledig is (integriteit), en of gevoelige informatie goed wordt beschermd (vertrouwelijkheid). Ook toets je als IT-auditor of de organisatie voldoet aan relevante wet- en regelgeving, zoals de AVG of sectorspecifieke normen. Lees meer over IT-auditing in deze blog. Beide specialisaties binnen internal auditing leveren een waardevolle bijdrage aan het inzicht in risico’s en de kwaliteit van beheersing, en vormen samen een krachtige combinatie voor organisaties die in control willen zijn. Internal auditing als strategisch instrument Internal auditing is allang niet meer alleen een controlefunctie. Steeds meer organisaties benutten internal auditing als een strategisch instrument dat bijdraagt aan beter bestuur, verantwoording en besluitvorming. Waar internal auditing vroeger vooral werd gezien als een manier om fouten of tekortkomingen op te sporen, ligt de nadruk vandaag de dag op het creëren van waarde en het ondersteunen van strategische doelstellingen. Een internal auditor kijkt niet alleen naar de vraag of processen en risico’s goed zijn ingericht, maar ook of ze bijdragen aan de missie en visie van de organisatie. Vanuit een onafhankelijke positie fungeert de auditor als een kritische en constructieve sparringpartner voor het bestuur en management. Door de vinger op de zere plek te leggen én met oplossingen te komen, helpt internal auditing om strategische risico’s beter te beheersen en kansen beter te benutten. Daarbij levert internal auditing ook betrouwbare informatie op voor belangrijke stakeholders zoals de raad van bestuur, toezichthouders of externe accountants. Goed onderbouwde auditbevindingen zorgen voor meer transparantie, betere besluitvorming en tijdige bijsturing. In een tijd van snelle technologische ontwikkelingen, toenemende complexiteit en strengere regelgeving biedt internal auditing organisaties het overzicht, de structuur en het inzicht dat nodig is om proactief, weerbaar en toekomstgericht te opereren. Juist daarom kiezen steeds meer organisaties ervoor om hun internal auditfunctie te versterken en nauwer te koppelen aan strategische thema’s zoals digitale transformatie, ESG-risico’s of ketenverantwoordelijkheid. Hoe Ferocia kan jou helpen met internal auditing? Bij Ferocia begrijpen we dat internal auditing meer is dan een controlefunctie, het is een strategisch onderdeel van goed bestuur en risicobeheersing. Daarom ondersteunen wij organisaties op meerdere manieren bij het versterken van hun auditfunctie. Heb je tijdelijk behoefte aan capaciteit, specifieke expertise of inhoudelijk advies? Ferocia biedt zowel interim auditors als consultancy op maat. Of het nu gaat om tijdelijke vervanging, ondersteuning bij piekbelasting, specialistische audits (bijvoorbeeld op het gebied van IT of ESG) of strategisch advies over de inrichting van de internal auditafdeling, wij denken mee en leveren vakinhoudelijke versterking die past bij jouw organisatie. Daarnaast bieden we opleidingen en trainingen aan voor internal auditors en teams. Van volledige opleidingen tot vakinhoudelijke verdieping, zodat auditors sterker in hun rol staan en beter kunnen bijdragen aan strategische vraagstukken. Ferocia helpt ook bij de werving en selectie van internal auditors — professionals die niet alleen inhoudelijk sterk zijn, maar ook passen bij de cultuur en ambitie van jouw organisatie. Benieuwd wat wij voor jouw organisatie kunnen betekenen? Neem vandaag nog contact met ons op voor een vrijblijvend kennismakingsgesprek. Contact Blogs Waarom blijven dezelfde fouten terugkomen in organisaties? In deze blog lees je hoe internal auditing kan uitgroeien van controleur tot aanjager van leren en verbeteren. Ontdek hoe je met focus op gedrag, patronen en dialoog het lerend vermogen écht versterkt. Klik door voor meer informatie. Internal auditing en het lerend vermogen Knop Internal audit verandert snel. Auditmethodiek 2.0 laat zien hoe u met een gestructureerde, AI-ondersteunde aanpak relevantere en impactvollere audits uitvoert. Van voorbereiding tot rapportage. Ontdek hoe referentiemodellen, datamatrices en de AI-agents uw audits versnellen én de organisatie echt in beweging brengen. Auditmethodiek 2.0 Knop Personeelstekort, piek in audits of een spannend verandertraject? Met een interim auditor van Ferocia haal je geen ‘opvulling’ binnen, maar een ervaren professional die vanaf dag één productief is, rust brengt én je auditfunctie versterkt. Lees in de blog waarom dit een slimme, strategische keuze is. Interim auditor inhuren via Ferocia Knop Behavioral Auditing 2.0 legt de link tussen beheerscultuur en controlframework bloot met AI-ondersteunde gedragsanalyse. Sneller, dieper en concreter inzicht in hoe gedrag risicobeheersing écht beïnvloedt – volledig in lijn met de IIA-standaarden. Behavioral Auditing 2.0 Knop De blog laat zien hoe organisaties grip krijgen op AI met een vijflagenmodel voor governance, data, modelontwikkeling, monitoring en impact. Het model helpt risk-, compliance- en auditprofessionals AI structureel te beheersen en te toetsen, zonder data scientist te zijn. Grip op AI Knop Operational auditing geeft organisaties grip in een complexe wereld. In deze blog lees je hoe de operational auditor uitgroeit tot katalysator voor leren en verandering met oog voor digitalisering, cultuur, agile werken én transparantie. Ontdek waarom geen toekomstbestendige organisatie zonder kan. Operational auditing en jouw organisatie Knop Hoe blijft jouw auditfunctie relevant in een snel veranderende wereld? Agile auditing draait audits om: kortcyclisch, samen met de business en gericht op échte impact in plaats van alleen een eindrapport. Ontdek in deze blog hoe jij van controleur uitgroeit tot navigator van de toekomst. Agile auditing Knop Steeds meer organisaties besteden hun internal audit uit; niet uit nood, maar als bewuste strategische keuze. In deze blog lees je hoe outsourcing zorgt voor flexibele capaciteit, specialistische kennis en een frisse kwaliteitsimpuls, én wanneer het wél of juist niet past. Klik door om verder te lezen. Outsourcing auditafdeling Knop Het document betoogt dat de IIA Topical Requirement Organizational Behavior nuttig is, maar vooral zicht geeft op formele beheersing en naleving. Voor werkelijk gedragsonderzoek zijn drijfveren, mentale modellen en motieven nodig. Behavioral Auditing 2.0 en AI maken die diepere analyse praktisch uitvoerbaar. Organizational Behavior Knop IT-auditing is veel meer dan vinkjes zetten. In deze blog lees je hoe de IT-auditor zorgt voor veilige systemen, naleving van AVG/NIS2/DORA en grip op digitale risico’s. Ontdek de belangrijkste inzichten voor een sterke IT-audit én hoe Ferocia je hierbij kan helpen. IT-auditing Knop Wil je dat jouw auditrapport wél leidt tot actie? In deze blog ontdek je hoe je rapporten schrijft die beweging creëren: helder, krachtig, visueel en gericht op eigenaarschap in de 1e lijn. Geen papieren eindproduct, maar een interventie die echt verandering start. Klik door en maak jouw rapporten impactvoller dan ooit. Auditrapporten die wel leiden tot actie Knop Sta jij als internal auditfunctie voor een (aanstaande) kwaliteitstoetsing? Ferocia helpt je van readiness assessment tot en met onafhankelijke externe toetsing volgens de GIAS. Ontdek hoe je van ‘spannend examen’ naar kans op groei en professionalisering gaat. Kwaliteitstoetsing auditafdelingen Knop AI auditen vraagt niet om data science, maar om auditvaardigheden: governance toetsen, eigenaarschap vaststellen, AI-gebruik inventariseren en shadow AI zichtbaar maken. Begin klein, bijvoorbeeld met het AI-register en één concrete toepassing. Auditen van AI Knop

Veel risicobeleid faalt in de praktijk. Ontdek hoe je risicomanagement laat leven in je organisatie met 3 concrete pijlers voor duurzaam succes. Alle blogs Risicomanagement Waarom risicomanagement vaak niet werkt Veel organisaties hebben het op papier goed voor elkaar. Er ligt een risicomanagementbeleid, er zijn risicomatrixen, control frameworks en procedures die tot in detail zijn beschreven. Soms zelfs met keurige versies en goedgekeurd door de directie. Maar als je goed kijkt, doemt een ongemakkelijke vraag op: wordt dat beleid in de praktijk ook echt nageleefd? Worden risico’s tijdig herkend, geanalyseerd en beheerst? Of is het hele proces verworden tot een papieren tijger die in de kast verdwijnt tot de volgende risicosessie? Steeds meer organisaties erkennen dat effectieve risicobeheersing geen eenmalige inspanning is. Het werkt alleen als het een integraal onderdeel van de bedrijfsstrategie en -cultuur wordt. Niet als jaarlijkse verplichte ronde voor het jaarverslag, maar als een continu proces dat zichtbaar is in het dagelijks handelen van medewerkers.En vooral niet alleen in spreadsheets, maar merkbaar in het gedrag van mensen. De grootste valkuil: denken dat je ‘het geregeld hebt’ Een mooi en volledig risicodossier is geen garantie voor een weerbare organisatie. Het kan zelfs een vals gevoel van veiligheid geven. Juist in de dagelijkse praktijk ontstaat het verschil tussen formele risicobeheersing en daadwerkelijke weerbaarheid. Dat verschil zit vaak in ogenschijnlijk kleine dingen: Timing van de risicoanalyse Worden risico’s besproken bij de start van een project, of pas als de eerste problemen zich aandienen? Opvolging van afwijkingen Worden afwijkingen structureel opgepakt, of verdwijnen ze in de drukte van de dagelijkse operatie? Eigenaarschap Is risicobewustzijn ingebed in de hele organisatie, of wordt het gezien als “iets van de riskmanager”? We leven in een VUCA-wereld – vol Volatility, Uncertainty, Complexity en Ambiguity . In zo’n omgeving is risicomanagement niet alleen een methodiek maar een vaardigheid. De kernvraag wordt dan: Hoe zorg je dat risicobeheersing echt leeft in je organisatie? Drie pijlers voor duurzaam risicomanagement Een robuust risicomanagementsysteem is geen verzameling documenten, maar een set van werkende principes die gedragen worden door de hele organisatie. Drie pijlers zijn daarbij essentieel. 1. Van compliance naar cultuur Veel risicoprogramma’s stranden omdat ze worden ingericht als een compliance-oefening. Controles afvinken, rapportages maken en klaar. Dat is niet genoeg. Echte weerbaarheid ontstaat pas als er bewustwording en gedragsverandering plaatsvindt. Stel jezelf en je team vragen als: Waarom is dit risico belangrijk voor ons succes? Wat gebeurt er als we niets doen? Wat kan ik persoonlijk doen om dit risico te beperken? Door die vragen centraal te stellen, verschuift risicomanagement van een checklist naar een gedeelde verantwoordelijkheid. Medewerkers begrijpen dan niet alleen wat ze moeten doen, maar ook waarom . Praktisch voorbeeld: Een productielocatie met strakke veiligheidsprocedures merkte dat incidenten bleven voorkomen. Na onderzoek bleek dat medewerkers de regels wel kenden, maar ze als omslachtig ervaarden. Door samen te kijken naar werkbare aanpassingen en de achterliggende risico’s uit te leggen, nam de naleving toe en daalde het aantal incidenten. 2. Integreer risico’s in besluitvorming Risicomanagement werkt het best als het geen losstaand proces is. Het hoort in de haarvaten van de besluitvorming te zitten. Dat betekent: niet één keer per jaar een risicoworkshop, maar bij elke vergadering, elk project en elke evaluatie expliciet de vraag stellen: “Wat zijn de risico’s?” en “Hoe beheersen we die?” Dit vraagt ook om toegankelijke en actuele informatie. Risicoregisters moeten niet alleen compleet zijn, maar ook in een vorm beschikbaar die snel te gebruiken is bij beslissingen. Praktisch voorbeeld: Een retailorganisatie nam bij elke productintroductie standaard een marketing- en kostenanalyse door. Sinds kort voegen ze een “risicoparagraaf” toe waarin potentiële leveringsproblemen, reputatierisico’s en juridische vraagstukken direct worden meegenomen. Dit voorkomt verrassingen en versnelt de besluitvorming. 3. Maak risico’s bespreekbaar Risico’s identificeren is stap één. Ze durven benoemen is stap twee. In veel organisaties bestaat terughoudendheid om afwijkingen, twijfels of zorgen te delen. Soms uit angst voor gezichtsverlies, soms omdat “het toch niets uitmaakt”. Een effectieve risicocultuur vraagt om psychologische veiligheid: het gevoel dat je vrijuit kunt spreken zonder negatieve consequenties. Faciliteer open gesprekken, bijvoorbeeld via risk walks waarbij teams gezamenlijk operationele processen bekijken. Waardeer signalen van afwijkingen, ook als ze klein zijn. Beloon het melden van risico’s, in plaats van alleen het voorkomen van incidenten. Praktisch voorbeeld: Een ziekenhuisteam introduceerde een maandelijks “veiligheidsoverleg” waarin medewerkers incidenten en bijna-incidenten konden delen. Door deze openheid nam het aantal gemelde risico’s toe, waardoor preventieve maatregelen eerder konden worden genomen. Risicomanagement is mensenwerk Enterprise Risk Management (ERM), modellen en IT-systemen zijn belangrijke hulpmiddelen. Maar de kern van effectief risicobeheer blijft altijd: mensen . Het zijn de medewerkers die: risico’s signaleren; risico’s durven bespreken en maatregelen daadwerkelijk uitvoeren. Daarom is investeren in vaardigheden, bewustzijn en cultuur minstens zo belangrijk als investeren in systemen. Een organisatie met een beperkte toolset maar een hoog risicobewustzijn is vaak weerbaarder dan een organisatie met uitgebreide tooling en een lage betrokkenheid. Hoe krijg je dat voor elkaar? Begin met een goed gesprek Vraag in teams: “Wat kan er misgaan?” en “Wat doen we als dat gebeurt?” Dit opent de deur naar gedeeld eigenaarschap. Maak het concreet Gebruik voorbeelden uit de eigen praktijk. Theorie blijft pas hangen als mensen het herkennen in hun eigen werk. Investeer in training en begeleiding Richt je niet alleen op procedures, maar ook op besluitvormingsvaardigheden, communicatie en samenwerking. Vier successen Benoem en waardeer situaties waarin risico’s tijdig zijn herkend en aangepakt. Dat versterkt gewenst gedrag. De weg naar een veerkrachtige organisatie Organisaties die risicomanagement laten werken, hebben een paar dingen gemeen: Risicobewustzijn is zichtbaar in alle lagen Van directie tot werkvloer, iedereen ziet het belang en kent zijn rol. Besluitvorming en risicobeheer zijn onlosmakelijk verbonden Geen strategische keuze zonder risicobeoordeling. Openheid is de norm Risico’s benoemen wordt gezien als professionaliteit, niet als kritiek. Het proces is continu Risicomanagement leeft dagelijks, niet alleen bij jaarafsluiting of audits. Het resultaat? Een organisatie die sneller herstelt van tegenslagen, minder verrassingen kent en beter inspeelt op veranderingen in de omgeving. Oftewel: een organisatie die in control is. Tot slot Wil je jouw risicomanagementsysteem optimaliseren? Begin dan niet met een nieuw sjabloon of nog een control framework. Start met het gesprek. Vraag, luister, betrek en creëer een cultuur waarin iedereen zich verantwoordelijk voelt voor het herkennen en beheersen van risico’s. Dat is de eerste, en misschien wel belangrijkste, stap naar een veerkrachtige organisatie die klaar is voor de toekomst. Hoe Ferocia helpt organisaties met risicomanagement Ferocia ondersteunt organisaties op een manier die past bij hun ambitie, volwassenheidsniveau en context. Geen standaardmethodes, maar maatwerk. Praktisch en strategisch. Altijd gericht op verankering in de praktijk. Onze dienstverlening bestaat uit vier pijlers: 1. Opleidingen en trainingen We leiden professionals op in risicomanagement, control en compliance. Praktijkgericht, actueel en afgestemd op de uitdagingen van vandaag. Denk aan opleidingen als Cursus Risicomanagement of risicomanagement methodiek . 2. Interim ondersteuning Tijdelijk capaciteit nodig? Onze ervaren risk-professionals helpen bij implementatie, monitoring of verandermanagement. Ze zijn snel inzetbaar en gewend om te schakelen tussen strategie en uitvoering. 3. Consultancy en implementatie Van het opzetten van een risicomanagement framework tot het begeleiden van RCSA’s of het inrichten van de drie lijnen: onze consultants helpen je om risicomanagement praktisch en strategisch neer te zetten. 4. Werving en selectie We helpen je bij het vinden van de juiste mensen op het gebied van risk, control en audit. Mensen die niet alleen de kennis hebben, maar ook de vaardigheden om risico’s bespreekbaar te maken, draagvlak te creëren en resultaten te boeken. Onze kracht? We combineren inhoudelijke expertise met een scherp oog voor cultuur, gedrag en verandervraagstukken. Want uiteindelijk draait het niet alleen om het proces maar om de mensen. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Operational auditing helpt organisaties risico’s te beheersen, processen te verbeteren en strategische doelen te realiseren met scherp inzicht en impact. Alle blogs Internal auditing Operational auditing en jouw organisatie Zijn onze processen nog wel beheerst? Bereiken we onze doelen dit jaar? Is onze informatiebeveiliging op orde? Zomaar wat vragen die bij bestuurders en managers kunnen spelen. En niet zelden blijven ze onbeantwoord, met alle risico’s van dien. Gelukkig is er een vakgebied dat hier wel grip op biedt: operational auditing. In deze blog lees je wat operational auditing precies is, welke ontwikkelingen het vak transformeren en waarom deze auditor steeds belangrijker wordt voor organisaties die vooruit willen. Wat is operational auditing? Operational auditing is het vakgebied waarin een auditor objectief en onafhankelijk onderzoekt of de beheersing van processen en systemen binnen een organisatie zodanig zijn ingericht, dat strategische en operationele doelstellingen worden behaald. Daarbij kijkt de auditor niet alleen naar wat er is , maar vooral naar wat er moet gebeuren om risico’s te beperken en prestaties te verbeteren. Het gaat dus niet om het afvinken van regels, maar om het versterken van het lerend vermogen van de organisatie. De operational auditor stelt de juiste vragen, ontwikkelt een maatwerk normenkader, voert gedegen onderzoek uit en presenteert bevindingen op een manier die beweging brengt. Een blik naar voren dus. En dat maakt operational auditing tot veel meer dan een controlefunctie: het is een katalysator voor leren en verandering. Wat doet een operational auditor precies? De competenties van een goede operational auditor reiken ver. Het is iemand die: de werkelijke vraag achter de opdracht weet te achterhalen; een relevant toetsingskader kan samenstellen op basis van beleid, wetgeving, controlmodellen en best practices; een betrouwbaar beeld schetst van de huidige beheersingssituatie; scherpe, onderbouwde conclusies trekt; en bevindingen samen met de 1 ste lijn vertaalt naar aanbevelingen die daadwerkelijk tot verbetering leiden. En dat alles in een omgeving die steeds complexer, digitaler en wendbaarder wordt. Waarom is operational auditing zo relevant? De wereld verandert razendsnel. Organisaties moeten zich aanpassen aan nieuwe technologieën, veranderende wet- en regelgeving, maatschappelijke verwachtingen en de interne dynamiek. Daarbij zien we vier structurele trends die het vakgebied van operational auditing extra urgent maken: 1. Digitalisering en IT-risico’s IT is niet langer een ondersteunende functie, maar het fundament van vrijwel ieder bedrijfsproces. Denk aan ERP-systemen, data-analytics, AI, cloudoplossingen en cybersecurity. Tegelijkertijd lopen organisaties steeds meer risico door systeemstoringen, datalekken of gebrekkige autorisatieprocessen. Voor operational auditors betekent dit: opdoen van meer technische kennis, meer samenwerking met IT-auditors en -specialisten, en meer aandacht voor digitale weerbaarheid. De operational auditor van vandaag moet ook de wereld van morgen begrijpen. 2. Focus op cultuur en gedrag Traditioneel lag de nadruk van audits op hard controls : processen, procedures en systemen. Maar steeds meer organisaties beseffen dat beheersing ook vraagt om inzicht in gedrag, communicatie en leiderschap. De operational auditor richt zich daarom steeds vaker ook op soft controls : vertrouwen, integriteit, aanspreekbaarheid en voorbeeldgedrag. Geen gemakkelijk terrein, maar wel essentieel. Want zoals Merchant het zegt: " Management control is het doelgericht beïnvloeden van gedrag ." 3. Agile werken en wendbaarheid Waar vroeger stabiliteit de norm was, draait het nu om aanpassingsvermogen. Organisaties kiezen voor agile werkmethoden, multidisciplinaire teams en kortcyclisch ontwikkelen. Deze wendbaarheid vraagt ook iets van auditors: minder focus op lange audittrajecten, meer op continue feedback, korte doorlooptijden en realtime risico-inzichten. Agile auditing komt hiermee in opmars: een aanpak waarin auditing en wendbaarheid elkaar versterken. 4. Verantwoordingsdruk en transparantie Vanuit toezichthouders, klanten en de maatschappij groeit de druk op organisaties om transparant te zijn over prestaties, risico’s en beheersmaatregelen. Denk aan ESG-rapportages, ketenverantwoordelijkheid en sociale rechtvaardigheid. Operational auditors kunnen een cruciale rol spelen in het aantoonbaar maken van beheersing binnen deze complexe context, mits zij over de juiste vaardigheden en attitude beschikken. De toekomst van operational auditing: waar gaat het heen? De ontwikkelingen binnen het vakgebied zijn veelbelovend en uitdagend. Dit zijn de belangrijkste bewegingen: ➤ Van controlerend naar vooruitkijkend Audits blikken niet alleen terug, maar moeten ook vooruitkijken. Steeds vaker wordt gevraagd: Wat moeten we nu weten om straks in control te zijn? ➤ Van compliance naar performance Naast naleving van regels verschuift de aandacht naar het verbeteren van processen, kwaliteit en effectiviteit. Audits dragen daarmee direct bij aan strategisch succes. ➤ Van onafhankelijk naar verbindend De auditor van nu is geen afstandelijke beoordelaar, maar een kritische vriend. Iemand die scherp blijft, maar ook meedenkt. Die de verbinding zoekt met de business en interventies doet die echt verschil maken. ➤ Van generalist naar specialist (en vice versa) De opkomst van thema’s als data-auditing, AI, duurzaamheid en cyber maakt dat sommige auditors zich specialiseren. Tegelijkertijd blijft er behoefte aan de generalistische operational auditor die het geheel overziet en verbanden legt. Wat betekent dit voor organisaties? Organisaties die werk willen maken van beheersing, wendbaarheid en verantwoording, kunnen niet zonder sterke operational auditors. Zij zijn het kompas in onrustige tijden. Maar dan moeten organisaties ook investeren: in opleiding, in positionering, in een cultuur waarin audits serieus worden genomen. En bovenal in mensen. Want goede auditors zijn schaars. En voor auditors zelf? Voor auditors betekent dit: blijven leren. Blijven trainen. Blijven reflecteren. Het vak vraagt meer dan ooit om een combinatie van harde expertise en zachte vaardigheden: onderzoekskunde, oordeelsvorming, communicatie, psychologie, verandermanagement. Of, zoals we het in onze opleiding zeggen: een goede auditor is niet alleen een vakman, maar ook een veranderaar. Tot slot Operational auditing is geen luxe of last. Het is een noodzaak. Voor elke organisatie die haar doelen wil bereiken in een complexe wereld. Het is een vakgebied in beweging, net als de wereld waarin het opereert. En juist daarom is het nu het moment om als operational auditor te groeien. In kennis, in invloed en in impact. Hoe Ferocia operational auditing binnen jouw organisatie versterkt Bij Ferocia geloven we in operational auditing als strategisch instrument. Een manier om niet alleen risico’s te beheersen, maar om organisaties sterker en wendbaarder te maken. Daarom ondersteunen wij organisaties op drie manieren: 1. Opleidingen en trainingen We leiden auditors op tot echte professionals die zelfstandig en met impact een audit kunnen uitvoeren. Denk aan onze postbacheloropleiding Operational Auditing of de cursus operational auditoring . Theorie en praktijk, met aandacht voor zowel hard controls als soft controls. 2. Tijdelijke inzet van auditors en risicoprofessionals Heb je tijdelijk capaciteit nodig voor de uitvoering van een operational audit? Wij leveren ervaren operational auditors die direct inzetbaar zijn. 3. Werving en selectie Op zoek naar een nieuwe operational auditor om je team te versterken? Wij helpen je met het vinden van de juiste professional. Iemand die niet alleen inhoudelijk sterk is, maar ook past bij jouw organisatiecultuur. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

< Terug Vacature (Senior) manager Toonaangevend consultancykantoor Per direct 40 uur per week Randstad / Hybride € 65.901,60 tot € 114.696,- per jaar SOLLICITEER Over onze opdrachtgever Onze opdrachtgever behoort wereldwijd tot de grootste advies- en accountantsorganisaties en ondersteunt klanten bij complexe vraagstukken op het gebied van audit, tax en advisory. Vanuit diepgaande vakkennis, sectorexpertise en een internationaal netwerk helpt de organisatie klanten om vertrouwen te versterken, prestaties te verbeteren en toekomstbestendig te blijven. In Nederland werkt de organisatie voor een brede en aansprekende groep klanten, waaronder ministeries, uitvoeringsorganisaties, gemeenten, provincies, zorginstellingen, financiële instellingen en grote ondernemingen. Vakinhoudelijke kwaliteit, ondernemerschap, samenwerking en persoonlijke ontwikkeling staan centraal. Medewerkers krijgen veel verantwoordelijkheid, werken samen met ervaren professionals en krijgen volop ruimte om zich verder te ontwikkelen. Over de afdeling Je komt terecht in een multidisciplinaire adviesafdeling van circa tachtig professionals die organisaties ondersteunt bij het versterken van governance, risicomanagement, interne beheersing, compliance en internal audit. De afdeling werkt aan complexe en vaak bestuurlijk gevoelige vraagstukken voor onder meer publieke organisaties, financiële instellingen en grote ondernemingen. Professionals met uiteenlopende achtergronden, disciplines en expertisegebieden werken intensief samen. Daardoor krijg je volop mogelijkheden om over de grenzen van je eigen vakgebied heen te kijken, samen te werken met andere specialisten en ervaring op te doen binnen verschillende disciplines. Dat zorgt voor een omgeving met veel inhoudelijke diepgang, brede sectorkennis en ruimte om te leren, verantwoordelijkheid te nemen en jezelf verder te ontwikkelen. Tegelijkertijd is het een sociaal en betrokken team waarin kennisdeling, samenwerking en plezier in het werk vanzelfsprekend zijn. Binnen de afdeling maak je onderdeel uit van een groeiend team dat zich volledig richt op de publieke en semipublieke sector. Omdat dit team zich in een belangrijke groeifase bevindt, krijg je veel ruimte om mee te bouwen aan de verdere ontwikkeling, positionering en groei van de praktijk. Over de functie Wil jij organisaties binnen de publieke sector helpen om maatschappelijke vraagstukken beter bestuurbaar, beheersbaar en toekomstbestendig te maken? Als (senior) manager werk je aan complexe vraagstukken op het gebied van governance, risicomanagement, interne beheersing, compliance en internal audit. Je adviseert toonaangevende publieke organisaties en helpt hen strategische uitdagingen te vertalen naar duurzame oplossingen die daadwerkelijk het verschil maken. Je staat aan de basis van de verdere groei van de publieke-sectorpraktijk. Samen met een ambitieus en ondernemend team bouw je aan de verdere ontwikkeling van de praktijk en vergroot je de maatschappelijke impact van de organisatie. Je ontwikkelt duurzame klantrelaties, signaleert nieuwe kansen en krijgt veel vrijheid om jouw eigen netwerk en klantenportefeuille verder uit te bouwen. Daarnaast denk je mee over vernieuwende proposities die aansluiten op actuele ontwikkelingen binnen de publieke sector. Met jouw vakinhoudelijke expertise en inzicht in bestuurlijke vraagstukken ben je een volwaardige sparringpartner voor bestuurders, directies, toezichthouders en andere senior stakeholders. Je brengt snel de kern van complexe vraagstukken boven tafel, daagt bestaande denkpatronen uit en helpt organisaties keuzes te maken die hun governance, risicobeheersing en wendbaarheid duurzaam versterken. Je combineert inhoudelijke diepgang met verbindend leiderschap. Je geeft leiding aan multidisciplinaire teams, begeleidt collega’s in hun professionele ontwikkeling en creëert een omgeving waarin samenwerking, kennisdeling en kwaliteit vanzelfsprekend zijn. Je inspireert anderen, ontwikkelt talent en bouwt mee aan een team waarin mensen met plezier samenwerken en van elkaar leren. Je krijgt veel ruimte om jezelf verder te ontwikkelen. Je krijgt verantwoordelijkheid, wordt gestimuleerd initiatief te nemen en kunt nieuwe ideeën uitproberen. Nieuwsgierigheid, ondernemerschap en lef worden gewaardeerd. Je hoeft niet alles al te weten of altijd direct de perfecte oplossing te hebben; door te experimenteren, feedback te ontvangen en van fouten te leren, groei je verder als adviseur én als leider. Voor ambitieuze professionals biedt deze functie een unieke kans om organisaties, collega’s én een groeiende praktijk verder te brengen, met een duidelijk perspectief op verdere doorgroei. Jouw taken Adviseren van publieke organisaties over governance, risicomanagement, interne beheersing, compliance en internal audit. Fungeren als strategisch sparringpartner voor bestuurders, directies, toezichthouders en andere senior stakeholders. Leidinggeven aan multidisciplinaire projectteams en coachen van collega’s. Opbouwen en onderhouden van duurzame klantrelaties. Signaleren van commerciële kansen en bijdragen aan business development. Ontwikkelen van vernieuwende proposities die inspelen op maatschappelijke en bestuurlijke ontwikkelingen. Meebouwen aan de verdere groei en positionering van de publieke-sectorpraktijk. Bewaken van de kwaliteit van opdrachten en bijdragen aan de verdere ontwikkeling van de adviespraktijk. Wie zoeken we? Je bent een ondernemende en ervaren professional die inhoudelijke expertise combineert met leiderschap, commercieel inzicht en gevoel voor bestuurlijke verhoudingen. Je krijgt energie van complexe maatschappelijke vraagstukken en weet deze te vertalen naar heldere keuzes en concrete verbeteringen. Daarbij ben je een stevige en geloofwaardige gesprekspartner voor bestuurders, directies, toezichthouders en andere senior stakeholders. Je bent iemand die graag bouwt: aan duurzame klantrelaties, aan de ontwikkeling van collega’s en aan een groeiende adviespraktijk. Je herkent kansen, neemt initiatief en krijgt er energie van om samen met anderen nieuwe opdrachten en proposities te ontwikkelen. Tegelijkertijd geef je op een verbindende en coachende manier leiding en help je professionals om het beste uit zichzelf te halen. Je voelt je thuis in een dynamische omgeving waarin je schakelt tussen inhoud, leiderschap, klantrelaties en business development. Je bent nieuwsgierig, ambitieus en resultaatgericht, maar ook benaderbaar en gericht op samenwerking. Verder beschik je over een afgeronde wo-master, heb je minimaal zes jaar relevante werkervaring voor de functie van manager en minimaal negen jaar voor de functie van senior manager, en heb je ervaring met governance, risicomanagement, interne beheersing, compliance en/of internal audit. Affiniteit met de publieke sector en maatschappelijke vraagstukken is essentieel; ervaring binnen de publieke of semipublieke sector is een pré. Een RA-, RE- of RO-titel, of hiervoor studerend, is eveneens een pré. Wat bieden we? Een bruto jaarsalaris van € 65.901,60 tot € 80.740,80 (manager) of € 79.315,20 tot € 114.696 (senior manager) op basis van een 40-urige werkweek, afhankelijk van kennis en ervaring (exclusief prestatiebeloning en mobiliteitsbudget). Een aantrekkelijke prestatiebeloning van gemiddeld één maandsalaris (manager) of twee maandsalarissen (senior manager). Keuze uit een elektrische leaseauto of een mobiliteitsbudget. Premievrij pensioen. 30 vakantiedagen. Een volledig ingerichte thuiswerkplek, laptop en telefoon. Ruime opleidings- en ontwikkelmogelijkheden. Veel ruimte voor ondernemerschap, initiatief en persoonlijke ontwikkeling. Een duidelijk groeipad richting partnership. Werken aan complexe en maatschappelijk relevante opdrachten. Een sociaal, betrokken en collegiaal team waarin samenwerking, kennisdeling en plezier centraal staan. Over ons Ferocia is het enige bureau in Nederland dat volwaardige dienstverlening levert op het gebied van interim en consultancy, opleidingen en trainingen, en werving en selectie, binnen de vakgebieden internal audit, control en risicomanagement. Wij bieden deze disciplines afzonderlijk aan én combineren ze waar nodig — alles onder één dak. Dat is de kracht van complete dienstverlening!

Ontdek hoe integraal risicomanagement jouw organisatie wendbaar en toekomstbestendig maakt. Verhoog veerkracht met een integrale en strategische aanpak. Risicomanagement Cyberdreigingen, klimaatverandering, verstoorde supply chains, strenge wet- en regelgeving, maatschappelijke druk op duurzaamheid en transparantie... De wereld verandert snel. En met deze veranderingen groeit de complexiteit en impact van risico’s voor organisaties in elke sector. De vraag is niet of risico’s zich voordoen, maar wanneer en hoe . Juist daarom is risicomanagement relevanter dan ooit. Niet als een jaarlijkse exercitie op papier, maar als een continu strategisch proces. Als stuurinstrument, leerinstrument en als versneller om je organisatiedoelen te realiseren. Maar wat is risicomanagement nu eigenlijk? En hoe zorg je ervoor dat het meer oplevert dan alleen rapporten en registraties? Wat is risicomanagement? In de kern draait risicomanagement om het gestructureerd omgaan met onzekerheden die de realisatie van je organisatiedoelen bedreigen. Het is het proces waarin je: risico’s identificeert; inschat wat hun impact en waarschijnlijkheid is; bepaalt welke (beheers)maatregelen je neemt om risico’s te mitigeren; en monitort of die (beheers)maatregelen ook daadwerkelijk effect hebben. Maar dat is de theorie. In de praktijk gaat risicomanagement veel verder dan een inventarisatie of risicomatrix. Hoe je effectief een risicoanalyse uitvoert, lees in deze blog. Het raakt aan alle niveaus van de organisatie: van strategische besluitvorming tot operationele uitvoering. Het omvat strategische risico’s (zoals reputatie of marktveranderingen), operationele risico’s (procesfouten, datalekken), compliance risico’s (nieuwe wetgeving, toezichthouders) en IT- en cyberrisico’s. Kortom: risicomanagement is geen abstract model maar een concreet hulpmiddel om grip te houden op alles wat jouw doelen in de weg kan staan. En dat begint met de juiste mindset. Waarom is risicomanagement belangrijk? Een organisatie zonder effectief risicomanagement laat zich leiden door incidenten. Brandjes blussen in plaats van koers houden. Iedere plotselinge verandering; een hack, nieuwe wetgeving, uitstroom van medewerkers zorgt voor paniek, vertraging of verlies van vertrouwen. Met goed risicomanagement: Ben je wendbaarder : je anticipeert op risico’s in plaats van ze alleen te beheersen. Neem je betere beslissingen : risico-informatie wordt meegenomen in besluitvorming. Verhoog je het lerend vermogen : risico’s worden gedeeld, besproken en aangepakt. Bouw je vertrouwen op : bij stakeholders, toezichthouders en medewerkers. Versterk je prestaties : doordat je risico’s koppelt aan doelen en KPI’s. Zeker in een tijd waarin organisaties sneller moeten reageren op veranderingen, is het van belang dat risicomanagement een natuurlijk onderdeel wordt van het dagelijks werk. Risicomanagement als strategisch instrument Veel organisaties hebben risicomanagement wel “op papier” geregeld: er zijn beleidsstukken, risicomatrices en formats. Maar in de praktijk blijven ze steken in afvinken, rapporteren of controleren. Bij Ferocia geloven we dat risicomanagement pas waarde toevoegt als het strategisch wordt ingezet. Niet als verplicht nummer of externe druk vanuit wet- en regelgeving, maar als integraal onderdeel van je bedrijfsvoering. Een manier om sneller, slimmer en slagvaardiger je doelen te realiseren. Strategisch risicomanagement betekent: Een proactieve houding : risico’s worden besproken voordat ze zich voordoen. Integraal denken : risico’s zijn geen apart onderwerp, maar onderdeel van processen als strategie, finance, HR, IT en operations. Daarbij zijn er keuzes te maken voor een risicomanagement model. Lees hierover mee in de blog over risicomanagement modellen . Duidelijke governance : eigenaarschap is belegd bij lijnmanagement, zij zijn en voelen zich verantwoordelijk. Continuïteit : risicomanagement is geen project maar een kort cyclisch proces. De visie van Ferocia op risicomanagement Voor ons is risicomanagement geen doel op zich, maar een hulpmiddel voor het management om de strategie te realiseren. En precies daar wringt het in veel organisaties: risicomanagement leeft vooral bij de controlfunctie of de tweede lijn terwijl het management, degene die de doelen moet halen, niet of onvoldoende is aangehaakt. Wij zien dat als een groot risico op zich! Te vaak is er geen verbinding tussen risicomanagement en het primaire proces. Hierdoor worden bevindingen worden niet herkend, maatregelen blijven liggen, risico’s worden niet geadresseerd. Het gevolg? Control voelt zich niet gehoord en gaat nog vaker en strenger controleren. Het management haakt af omdat het te bureaucratisch aanvoelt. Zo ontstaat een vicieuze cirkel waarin risicomanagement een papieren tijger wordt. Onze visie is helder: "effectief risicomanagement begint bij het betrekken van het management." Het management is primair verantwoordelijk voor het realiseren van de organisatiedoelen. Daar moet risicomanagement dus ondersteunend aan zijn. Geen dikke rapporten, maar inzichten die leiden tot betere keuzes, tijdige interventies en meer grip op de toekomst. Daarom pleiten wij voor een risicomanagementfunctie die: Geïntegreerd is in de 1 ste lijn; Effectief is in het signaleren van echte risico’s; Efficiënt werkt met slimme tooling en processen; En bovenal: begrijpelijk en werkbaar is voor iedereen in de organisatie. De opbouw van een effectief risicomanagement systeem Zoals gezegd is goed risicomanagement is geen checklist, maar een samenhangend systeem dat uw organisatie wendbaarder, betrouwbaarder en toekomstbestendiger maakt. Bij Ferocia kijken we daarom integraal naar vier thema’s die samen de ruggengraat vormen: 1. risicogovernance & strategie 2. risico-identificatie & beoordeling 3. risicobehandeling & beheersmaatregelen en monitoring 4. rapportage & assurance. Hieronder introduceren we elk thema en de belangrijkste onderliggende bouwstenen. Het doel: een begrijpelijk raamwerk waarmee u vandaag kunt starten en morgen kunt sturen. 1. Risico governance & strategie Een effectief risicomanagementsysteem begint bij duidelijke governance: wie beslist, wie voert uit en wie houdt toezicht? Wij hanteren het Three Lines Model. De eerste lijn is eigenaar van en beheerst de risico’s in de operatie. De tweede lijn (risk & compliance) ontwerpt kaders, adviseert en challenged. De derde lijn (interne audit) geeft onafhankelijke assurance over de opzet en werking en het samenspel tussen de eerste en tweede lijn. In sommige organisaties werkt ook een ‘lijn 1,5’. Bijvoorbeeld risicomanagers die adviseren en ondersteunen vanuit de business en zo dicht op de operatie zitten. Vanuit hun expertise werken zij samen met en voor de eerste lijn. Ultieme besluitvorming vindt plaats aan de top: de directie is eindverantwoordelijk en zet de toon. Een Risk Management Committee of een gecombineerd Risk & Audit Comité borgt de periodieke bespreking en bijstelling van risico’s, risk appetite en tolerances. Op de agenda van deze gremia staan in elk geval de top-risico’s, de mate van beheersing en de effectiviteit van (key) controls, incidenten en de daarbij horende lessons learned. Risk appetite en risk tolerances: wat betekent ‘meer of minder risico’ nu echt? Twee begrippen worden vaak door elkaar gehaald. Risk appetite of risicobereidheid: het niveau en type risico dat de organisatie willens en wetens wil nemen om strategische doelen te bereiken. Het is richtinggevend en kwalitatief, bijvoorbeeld: ‘wij tolereren geen schendingen van privacywetgeving’. Risk tolerances zijn concrete bandbreedtes per doel of proces waarbinnen variatie nog acceptabel is. Denk aan drempelwaarden voor IT-beschikbaarheid, verliezen of projectoverschrijdingen. Overschrijding van een tolerance is geen paniek, wél een helder signaal om bij te sturen. Risk appetite schetst de horizon; tolerances zijn de bakens langs de route. Koppeling met strategie en prestatiesturing Risicomanagement voedt besluitvorming pas echt als het verbonden is met doelstellingen en KPI/KRI’s. Koppel uw strategische KPI’s (zoals groei, klanttevredenheid of doorlooptijd) aan Key Risk Indicators (KRI’s) die vroegtijdig waarschuwen. Denk aan het aantal kritieke kwetsbaarheden in productie, het percentage high-risk leveranciers zonder contractuele clausules of de trend in near misses. Zo ontstaat één stuurmiddel voor prestaties én risico’s. 2. Risico-identificatie & beoordeling Zonder goed inzicht geen goede keuzes. Een risicoregister vormt de uitkomst: een eenduidig format met risicotaxonomie (zoals strategisch, financieel, operationeel, compliance), beschrijvingen die de oorzaak-gebeurtenis-gevolg-keten helder maken, en eigenaarschap per risico. Dat eigenaarschap ligt in de business. Risk ondersteunt en challenged. Risico identificatie Risico-identificatie is een gestructureerd en herhaalbaar proces waarin u top-down (vanuit strategie, doelstellingen en transities) én bottom-up (via processen, projecten en ketenpartners) kijkt en risico’s identificeert. Dat kan via workshops en walk-throughs met procesbeschrijvingen, analyse van incidenten, bijna-incidenten, auditbevindingen, klachten en externe signalen (wetgeving, markt, leveranciers, dreigingsinformatie). We formuleren risico’s consequent als gebeurtenis-oorzaak-gevolg en vermijden containerbegrippen. Nieuwe of gewijzigde risico’s ontstaan vaak bij verandermomenten (nieuwe producten, leveranciers, releases, reorganisatie) en verdienen daarom aandacht. De uitkomst van identificatie is een overzicht met context en aannames die later te toetsen zijn. Daarna volgt registratie in een risicoregister met eigenaren en vervolgstappen voor beoordeling. Kwantitatief én kwalitatief beoordelen Het beoordelen van risico’s start met het inschatten van kans en impact. Kwalitatieve schalen (laag–midden–hoog) geven snelheid en vergelijkbaarheid. Kwantitatieve methoden voegen diepgang toe, bijvoorbeeld scenario’s met bandbreedtes of Value-at-Risk benaderingen. Heatmaps zijn behulpzaam om te prioriteren, maar kijk verder: sommige risico’s hebben een lage kans maar catastrofale impact of sterke onderlinge samenhang. Scenario-analyse en stresstesten Scenario’s maken risico’s tastbaar. Begin met plausibele, narratieve scenario’s met duidelijke aannames: wat gebeurt er als een kritieke leverancier uitvalt, of als een ransomware-aanval een kernsysteem platlegt? Kwantificeer waar het kan: extra kosten, omzetverlies, impact op servicelevels en hersteltermijnen. Stresstesten verkennen vervolgens de grenzen en kunnen enkelvoudige of gecombineerde schokken omvatten: wat als twee incidenten samen optreden, of als herstel (of detectie) dubbel zo lang duurt? Belangrijk is dat scenario’s en testen leiden tot besluiten: extra maatregelen, meer redundantie of buffers, of het bijstellen van doelen. 3. Risicobehandeling & beheersmaatregelen Zodra risico’s helder zijn, volgt de keuze voor de risk response. Grofweg zijn er vier opties: vermijden (stoppen of niet beginnen), verminderen (maatregelen nemen), delen/overdragen (verzekering), en accepteren (bewust binnen appetite en tolerance). Het is zelden óf-óf: een combinatie bereikt vaak meer. Risicobehandeling is belangrijk bij het ontwerp van controls of beheersmaatregelen. Preventieve maatregelen voorkomen fouten of misbruik, bijvoorbeeld scheiding van taken of toegangsbeheer. Detectieve maatregelen zoals monitoring, reconciliaties, log-analyse signaleren snel en betrouwbaar. Correctieve maatregelen corrigeren fouten of omissies. Bepaal samen met de business welke controls key zijn: die met de grootste invloed op het restrisico of op de wettelijke naleving. Non-key-controls kunnen lichter worden ingericht of helemaal niet, mits het geheel robuust blijft. 4. Monitoring, rapportage & assurance Wat niet gemonitord wordt, daar wordt niet op gestuurd. Monitoring gaat verder dan terugkijken: het is ook vooruitkijkend en dus een early-warning-systeem. Kies KRI’s die ertoe doen, met duidelijke definities, goede brondata en doordachte drempelwaarden. Werk daarbij met signalering wat goed is (groen), aandacht nodig heeft (geel) of waar ingrijpactie’s noodzakelijk zijn (rood). Leg vooraf vast wie wat doet bij eventuele overschrijding. Voorkom decoratie: stuur op wat er echt toe doet. Rapportage die bestuurders écht helpt Belangrijk is om niet alleen te meten maar ook om te informeren, bijvoorbeeld aan het bestuur. Bestuurders hebben veelal weinig tijd. Een één-pagina dashboard dwingt tot scherpte: top-risico’s, trend per KRI, status van maatregelen, incidenten en lessons learned. De bijlagen bevatten details: de eerste pagina vertelt het verhaal. Maak duidelijk wat vragen we van het bestuur? Prioteren, informeren, investeren, escaleren of bijsturen. Zo bouwt u het geheel: samenhang in plaats van losse lijsten Samen vormen deze bouwstenen een solide raamwerk voor risicomanagement: helder in governance, scherp in prioritering, proportioneel in beheersing en lerend in de cyclus. Het helpt uw organisatie vooruit door risico’s te signaleren, afgewogen keuzes te maken en middelen te richten op wat er écht toe doet. Met een risk appetite en concrete tolerances wordt de balans tussen risico en rendement transparant en bestuurbaar. Het resultaat: betrouwbare processen en dienstverlening, aantoonbare naleving en meer veerkracht bij verstoringen, zonder onnodige bureaucratie. Hoe Ferocia organisaties ondersteunt met risicomanagement? Ferocia ondersteunt organisaties op een manier die past bij hun ambitie, volwassenheidsniveau en context. Geen standaardmethodes, maar maatwerk. Praktisch en strategisch. Altijd gericht op verankering in de praktijk. Onze dienstverlening bestaat uit vier pijlers: 1. Opleidingen en trainingen We leiden professionals op in risicomanagement, control en compliance. Praktijkgericht, actueel en afgestemd op de uitdagingen van vandaag. Denk aan opleidingen als Cursus Risicomanagement of risicomanagement methodiek . 2. Interim ondersteuning Tijdelijk capaciteit nodig? Onze ervaren risk-professionals helpen bij implementatie, monitoring of verandermanagement. Ze zijn snel inzetbaar en gewend om te schakelen tussen strategie en uitvoering. 3. Consultancy en implementatie Van het opzetten van een risicomanagement framework tot het begeleiden van RCSA’s of het inrichten van de drie lijnen: onze consultants helpen je om risicomanagement praktisch en strategisch neer te zetten. 4. Werving en selectie We helpen je bij het vinden van de juiste mensen op het gebied van risk, control en audit. Mensen die niet alleen de kennis hebben, maar ook de vaardigheden om risico’s bespreekbaar te maken, draagvlak te creëren en resultaten te boeken. Onze kracht? We combineren inhoudelijke expertise met een scherp oog voor cultuur, gedrag en verandervraagstukken. Want uiteindelijk draait het niet alleen om het proces maar om de mensen. Benieuwd wat wij voor jouw organisatie kunnen betekenen? Neem vandaag nog contact met ons op voor een vrijblijvend kennismakingsgesprek. Contact Blogs Waarom werkt risicomanagement zo vaak wél op papier, maar niet in de praktijk? In deze blog ontdek je de meest voorkomende oorzaken; gebrek aan eigenaarschap, slechte timing en geen ondersteunende cultuur. Leer hoe je risicomanagement wél laat leven in besluitvorming en gedrag. Klik door en maak jouw organisatie écht weerbaar. Waarom risicomanagement vaak niet werkt Knop Welk risicomanagementmodel past bij jouw organisatie? In deze blog ontdek je de verschillen tussen COSO ERM, ISO 31000, het Three Lines Model, de BIO en RISMAN én hoe je ze slim toepast. Praktisch, helder en direct inzetbaar. Klik door en kies het model dat jouw organisatie écht vooruit helpt. Risicomanagement model Knop De blog laat zien hoe organisaties grip krijgen op AI met een vijflagenmodel voor governance, data, modelontwikkeling, monitoring en impact. Het model helpt risk-, compliance- en auditprofessionals AI structureel te beheersen en te toetsen, zonder data scientist te zijn. Grip op AI Knop Risk appetite en risk tolerances lijken theoretisch, maar bepalen in de praktijk of uw organisatie met vertrouwen durft te innoveren én tijdig begrenst. In deze blog leest u hoe u ze concreet maakt, van bestuurskamer tot werkvloer, met voorbeelden, valkuilen en praktische tips. Risk appetite en risk tolerance Knop Steeds meer organisaties besteden hun internal audit uit; niet uit nood, maar als bewuste strategische keuze. In deze blog lees je hoe outsourcing zorgt voor flexibele capaciteit, specialistische kennis en een frisse kwaliteitsimpuls, én wanneer het wél of juist niet past. Klik door om verder te lezen. Outsourcing auditafdeling Knop Veel risicoanalyses blijven hangen in lijstjes en matrixen waar niemand iets mee doet. In deze blog lees je wat een écht goede risicoanalyse is, welke valkuilen je moet vermijden en hoe je risico’s verbindt met gedrag, besluitvorming en resultaat. Maak van risicoanalyse een krachtig stuurinstrument. Risicoanalyse Knop AI auditen vraagt niet om data science, maar om auditvaardigheden: governance toetsen, eigenaarschap vaststellen, AI-gebruik inventariseren en shadow AI zichtbaar maken. Begin klein, bijvoorbeeld met het AI-register en één concrete toepassing. Auditen van AI Knop

Voorkom papieren risicoanalyses en versterk besluitvorming. Ontdek effectieve methodes en valkuilen voor een succesvolle risicoanalyse. Alle blogs Risicomanagement Risicoanalyse Iedere organisatie krijgt ermee te maken: risico’s. Van kleine operationele incidenten tot strategische dreigingen die de continuïteit onder druk zetten. En dus voeren we risicoanalyses uit. Tenminste… dat denken we. In de praktijk blijkt dat veel analyses blijven steken in papieren exercities, onduidelijke terminologie of generieke risico-overzichten waar niemand echt iets mee doet. Hoe komt dat, wat is een risicoanalyse eigenlijk, en hoe doe je het dan wel goed? In deze blog duiken we hier dieper in; van definitie en valkuilen tot methodes en praktijktoepassingen. Ook lees je hoe Ferocia organisaties ondersteunt om risicoanalyse te verbinden aan resultaat, gedrag en besluitvorming. Wat is een risicoanalyse? Een risicoanalyse is het proces waarbij een organisatie systematisch identificeert, beoordeelt en prioriteert welke risico’s haar doelstellingen kunnen bedreigen. Het doel is om inzicht te krijgen in de risico’s die er echt toe doen, zodat er passende (beheers)maatregelen getroffen kunnen worden. Een goede risicoanalyse geeft antwoord op vragen als: Wat kan er misgaan? Hoe groot is de kans dat het gebeurt? Wat is het mogelijke effect op onze doelstellingen? Hoe effectief zijn onze bestaande beheersmaatregelen? Wat accepteren we, en wat niet? Het is een hulpmiddel, geen doel op zich. Een goede risicoanalyse ondersteunt besluitvorming, versterkt sturing en vergroot het risicobewustzijn binnen de organisatie. De valkuilen van een risicoanalyse In de praktijk zien we dat risicoanalyses vaak tekortschieten. Dit zijn de meest voorkomende valkuilen: 1. Te abstract Risico’s worden soms zo breed geformuleerd (“marktverandering”, “cyberdreiging”), dat niemand weet wat er echt bedoeld wordt. 2. Verwarring over begrippen Begrippen als risico, kans, impact, restrisico en beheersmaatregel worden door elkaar gebruikt of verschillend geïnterpreteerd. Dit leidt tot verwarring en inconsistente analyses. 3. Geen aansluiting bij besluitvorming Veel risicoanalyses eindigen in rapporten die in een la verdwijnen. De uitkomsten worden niet gekoppeld aan sturing, budgettering of organisatiedoelstellingen. 4. Te lineair en instrumenteel De analyse wordt als een check-the-box-activiteit uitgevoerd, lijstje invullen en vinkjes zetten. Gedrag, cultuur en interactie blijven buiten beeld, terwijl daar vaak juist de echte risico’s zitten. 5. Geen betrokkenheid van de business De risicoanalyse wordt vaak uitgevoerd door riskmanagers of compliance officers, zonder betrokkenheid van afdelingen of het lijnmanagement. Dan blijft het een papieren werkelijkheid. Methoden voor risicoanalyse Er zijn verschillende methoden om risico’s te analyseren. Welke geschikt is, hangt af van het doel, de context en het type risico’s. 1. Klassieke risico-inventarisatie (Kans x Impact) De meest gebruikte methode: je benoemt risico’s, schat de kans en impact in (bijvoorbeeld op een schaal van 1–5) en maakt een risicomatrix. Simpel en snel, maar gevoelig voor subjectiviteit. 2. Risk Control Self Assessment (RCSA) Bij een RCSA beoordelen medewerkers zelf, vaak in workshops, welke risico’s er zijn in hun proces en hoe goed de beheersmaatregelen werken. Deze methode vergroot eigenaarschap, bewustwording en betrokkenheid. 3. Bowtie-analyse Een visuele methode waarbij je de relatie tussen oorzaken, risico’s en gevolgen in kaart brengt, inclusief beheersmaatregelen. Helpt om de logica achter risico’s te begrijpen. 4. SWIFT (Structured What-If Technique) Een semi-gestructureerde brainstormmethode waarbij je scenario’s doorloopt: “Wat als X gebeurt?” Handig voor complexe processen of projecten. 5. FTA (Fault Tree Analysis) en ETA (Event Tree Analysis) Meer technische methodes voor het analyseren van oorzaken en gevolgen in ketens of technische systemen. Vaak gebruikt in industrie of IT. 6. Monte Carlo-simulatie Een kwantitatieve aanpak waarbij risico’s en variabelen worden doorgerekend op basis van duizenden scenario’s. Wordt vooral toegepast bij financiële of projectrisico’s. Hoe voer je een effectieve risicoanalyse uit? Een effectieve risicoanalyse herken je aan deze vijf kenmerken: 1. Vooraf helder doel en scope bepalen Gaat het om een proces, project of organisatiebreed? Hoe duidelijker de scope, hoe gerichter de analyse. 2. Taal en definities afstemmen Zorg dat iedereen die betrokken is, dezelfde begrippen en definities hanteert. Dit voorkomt miscommunicatie. Maak een risicotaxonomie en train mensen in het gebruik ervan. 3. Betrek de business actief Risico’s worden pas tastbaar als ze besproken worden met de mensen die het werk doen. Werk met workshops, interviews of RCSA-sessies. Laat mensen zelf risico’s benoemen en beoordelen. 4. Gebruik meerdere perspectieven Combineer data, proceskennis, interne audits, externe ontwikkelingen en menselijk gedrag. Analyseer niet alleen de ‘harde’ risico’s, maar ook cultuur, houding en motivatie. 5. Koppel risico’s aan doelen, sturing en gedrag Een risicoanalyse is pas effectief als de uitkomsten leiden tot actie. Koppel risico’s aan KPI’s, strategie en jaarplannen. Zorg voor eigenaarschap en opvolging. Hoe Ferocia helpt bij risicoanalyse Bij Ferocia geloven we niet in papieren exercities of standaardlijstjes. Wij helpen organisaties om risicoanalyses wél effectief te maken – als levend instrument dat richting geeft. Dat doen we op vijf manieren: 1. Training en opleiding Via opleidingen zoals Integraal Risicomanagement of masterclasses als RCSA in de praktijk helpen we professionals om risicoanalyse te begrijpen, toe te passen én te verankeren in hun organisatie. 2. Workshops en begeleiding op maat We begeleiden teams bij het uitvoeren van RCSA’s, bowtie-analyses of risicoworkshops. Daarbij zorgen we voor structuur, duidelijke definities en ruimte voor reflectie en gedrag. 3. Advies en co-creatie Samen met jouw organisatie ontwikkelen we een aanpak die werkt: afgestemd op jullie processen, cultuur en strategie. Geen blauwdruk, maar maatwerk. 4. Tooling en templates We bieden praktische formats en methodieken om risicoanalyses eenvoudig en consistent uit te voeren. Daarmee creëren we overzicht én diepgang. 5. Verbinding met control, audit en strategie Wij zorgen dat risicoanalyse niet op zichzelf staat, maar verbonden is met de interne controlcyclus, de auditagenda en strategisch risicomanagement. Tot slot: een risicoanalyse is geen doel, maar een middel Een risicoanalyse is pas waardevol als het gedrag verandert, besluitvorming verbetert en risico’s echt beheerst worden. Dat vraagt om meer dan een matrixje invullen. Het vraagt om een gedeeld begrip van risico’s, om scherpe analyses, en om een cultuur waarin mensen verantwoordelijkheid nemen. Neem contact met ons op Meer weten? Neem dan contact met ons op. Wij helpen je graag verder! Mark Daamen Partner Phone 06 42 23 62 05‬ Mail mark.daamen@ferocia.nl Björn Walrave Partner Phone 06 25 12 06 54 Mail bjorn.walrave@ferocia.nl Guus Focken Partner Phone 06 11 91 85 41‬ Mail guus.focken@ferocia.nl

Business Continuity Management helpt organisaties veerkrachtig te blijven bij crises. Ontdek hoe BCM risico’s vertaalt naar actie en weerbaarheid vergroot. Business Continuity Management Stel je voor: je organisatie ligt een dag stil. Niet alleen de mailserver, maar een cruciaal systeem. Orders worden niet verwerkt. Klanten kunnen niet geholpen worden. Een fabriek draait niet. Of een cyberaanval raakt juist die processen waar je als organisatie je license to operate aan ontleent. De eerste uren red je het op improvisatie en adrenaline. Maar dan komt de echte vraag: hebben we hier grip op, of zijn we overgeleverd aan de omstandigheden? Dat is precies waar Business Continuity Management (BCM) over gaat. Wat is Business Continuity Management? BCM wordt vaak verward met IT-disaster recovery of een mapje “calamiteitenplannen” in SharePoint. Nuttig, maar te beperkt. In essentie is BCM het gestructureerd vermogen van een organisatie om kritieke processen te blijven uitvoeren bij verstoringen. Het gaat om continuïteit van dienstverlening, niet om het voorkomen van elk incident. Dat laatste lukt toch niet. De kernvragen zijn: welke processen moeten doorlopen, welke maximale impact accepteren we, welke structuur en welk raamwerk zetten we neer en wie neemt welke besluiten onder druk? BCM verbindt strategie, processen, mensen, technologie en leveranciers in één verhaal. Dat maakt het bij uitstek een onderwerp voor riskmanagers, controllers en internal auditors: jullie zitten precies op het snijvlak van doelen, risico’s en beheersing. Waarom BCM nu belangrijker is dan ooit Organisaties opereren allang niet meer in een stabiele, voorspelbare omgeving. De afgelopen jaren hebben laten zien hoe kwetsbaar ketens zijn. Cyberaanvallen, energietekorten, personeelsschaarste, pandemieën, geopolitieke spanningen, falende leveranciers: het zijn geen theoretische scenario’s, maar dingen die “gewoon gebeuren”. Tegelijk neemt de afhankelijkheid van digitale hulpmiddelen exponentieel toe. Een verstoring is zelden nog geïsoleerd; vaak raakt het meerdere ketenpartners tegelijk. Daarbij komen aangescherpte verwachtingen van toezichthouders en wetgevers, zoals DORA in de financiële sector of NIS2 voor vitale en belangrijke sectoren. BCM schuift daarmee van “nice to have” naar kernonderdeel van goed bestuur. Bestuurders zien dat ook. Continuïteit, reputatie en vertrouwen van klanten zijn strategische thema’s. Maar tussen die bestuurlijke ambitie en de praktijk op de werkvloer zit vaak een gat. Precies daar kan goed BCM het verschil maken. BCM, risicomanagement en incidentmanagement: hoe hangt het samen? Een veel gestelde vraag: hebben we naast risicomanagement nu óók BCM nodig? Het antwoord is ja, maar niet als los traject. Risicomanagement richt zich primair op het identificeren en behandelen van risico’s voordat ze zich voordoen. Je probeert de kans te verlagen en de impact te beperken. BCM gaat uit van de veronderstelling dat verstoringen óók daadwerkelijk optreden. Niet als “zwarte zwaan”, maar als realistische gebeurtenis. De vraag verschuift van “hoe voorkomen we dit volledig?” naar “hoe zorgen we dat we door kunnen?”. Incidentmanagement heeft vervolgens de focus op de eerste reactie: detecteren, escaleren, oplossen. BCM kijkt verder: hoe vangen we de impact op, hoe herstellen we, hoe houden we de organisatie bestuurbaar, hoe communiceren we en hoe leren we na afloop? Je kunt het zien als drie lagen:– risicomanagement om slimmer te worden vóór een incident,– incidentmanagement om effectief te reageren tijdens een incident,– BCM om de continuïteit van de organisatie te borgen rondom het incident. Als internal auditor of riskmanager is het dus niet de vraag óf je met BCM te maken krijgt, maar vooral hoe goed die drie lagen op elkaar aansluiten. De kern van BCM: van BIA tot herstel in de praktijk Hoewel ieder BCM-traject een eigen kleur krijgt, zie je in volwassen organisaties steeds een aantal vaste bouwstenen terug. Niet als theoretisch model, maar als logisch groeipad. Het startpunt is bijna altijd een Business Impact Analyse (BIA). Daarin breng je in kaart welke processen echt kritisch zijn, welke producten en diensten daarvan afhangen, wat de impact is van uitval en binnen hoeveel tijd je weer op een minimaal niveau moet functioneren. Het mooie van een goede BIA is dat hij het gesprek dwingt over prioriteiten. Niet alles is “hoog, rood, kritisch”. Vanuit die impactanalyse werk je naar continuïteitsstrategieën. Wat doe je als een locatie uitvalt? Als een kernapplicatie niet beschikbaar is? Als een cruciale leverancier faalt? Ga je uit van alternatieve locaties, redundante systemen, handmatige noodprocedures, afspraken met andere partijen? Hier raakt BCM direct de wereld van architectuur, sourcing, IT-inrichting en contractmanagement. Vervolgens worden deze keuzes vertaald naar concrete business continuity-plannen. Geen dikke bundels die niemand leest, maar praktische, rolgerichte instructies: wie belt wie, welke beslissingen worden waar genomen, welke processen schalen we eerst op, welke klanten moeten we actief informeren, hoe documenteren we wat er gebeurt? Tot slot komt een cruciaal onderdeel dat in veel organisaties wordt onderschat: oefenen en leren. Een plan dat nooit getest is, is geen plan. Oefeningen, simulaties, onverwachte uitvalsessies: ze maken zichtbaar wat er in de praktijk wel en niet werkt. En ze leggen vaak bloot dat het echte knelpunt niet in de techniek zit, maar in coördinatie, besluitvorming en communicatie. Mensen, gedrag en soft controls in BCM BCM klinkt al snel technisch: fallback-locaties, RTO’s, RPO’s, redundante lijnen. Maar als je kijkt naar incidenten en crises in de praktijk, zie je dat succes of mislukking vaak wordt bepaald door gedrag. Wordt een storing tijdig gemeld of schuift iemand het voor zich uit? Durven medewerkers een incident te escaleren als ze bang zijn dat het “gedoe” oplevert? Neemt het management onder druk besluiten of vervalt men in afwachten en micro-management? Worden verantwoordelijkheden tijdens een crisis duidelijk opgepakt, of is iedereen tegelijk “bezig”? Dat zijn geen hard-controlvragen, maar soft-controlvragen. Ze gaan over leiderschap, cultuur, voorbeeldgedrag, open communicatie en psychologische veiligheid. In opleidingen zoals operational auditing en integraal risicomanagement zie je die thema’s steeds nadrukkelijker terugkomen, juist omdat auditors merken dat een systeem op papier klopt maar in de praktijk niet werkt als gedrag niet meedoet. Voor BCM geldt hetzelfde. Een continuïteitsplan zonder geoefend crisisteam is als een ongelezen handleiding. Een prachtige BIA zonder draagvlak in de business is als een spreadsheet in de la. Daarom is het zo belangrijk dat BCM niet alleen “in de staf” plaatsvindt, maar dat lijnmanagement vanaf het begin betrokken is. De rol van internal audit en risicomanagement in BCM BCM is typisch zo’n thema waar de drie lijnen (three lines model) elkaar nodig hebben. De eerste lijn, de business en de operationele teams kennen de processen, klanten en systemen. Zij weten welke activiteiten echt niet stil kunnen vallen en welke workaround in de praktijk nog nét werkt. Zij zijn eigenaar van continuïteitsplannen. De tweede lijn, risk, compliance en security, helpt om kaders te zetten, methodiek te kiezen, scenario’s te beoordelen en de kwaliteit van plannen te bewaken. Zij zorgen dat BCM niet eenmalig is, maar ingebed wordt in de reguliere planning- & controlcyclus en risicodialogen. De derde lijn, internal audit heeft een unieke rol. De auditor kijkt onafhankelijk en objectief naar de opzet, het bestaan en de werking van BCM. Klopt de logica van het raamwerk? Sluit de BIA aan op de strategische doelen? Zijn de plannen getest en geactualiseerd? Leren we van oefeningen en echte incidenten? En misschien wel de meest interessante vraag: past de continuïteitsaanpak bij de risk appetite van bestuur en directie, of is men óf veel te krampachtig, óf juist te laconiek? Daarnaast kan internal audit een katalysator zijn voor een bredere discussie. Een audit op BCM raakt per definitie meerdere disciplines: IT, HR, facility, inkoop, business, communicatie. Het is een uitgelezen kans om silo’s te doorbreken en de organisatie als geheel naar een hoger niveau van weerbaarheid te helpen. BCM in een wereld van ketens en uitbesteding Waar BCM vroeger nog vooral binnen de eigen muren werd bekeken, is dat vandaag niet meer houdbaar. Vrijwel iedere organisatie is onderdeel van meerdere ketens. Denk aan cloud leveranciers, SaaS-applicaties, logistieke partners, shared service centers, uitbestede klantcontactcentra. Dat betekent dat continuïteitsrisico’s ook buiten je eigen organisatie liggen. Een verstoring bij een leverancier kan jouw dienstverlening direct raken. BCM moet daarom hand in hand gaan met Third Party Risk Management en contractuele afspraken. Wat staat er in de SLA over beschikbaarheid en herstel? Is er een exit-strategie als een leverancier langere tijd uitvalt? Zijn er afspraken over gedeelde oefeningen en testscenario’s? Voor auditors en riskmanagers is dit een interessante maar ook complexe dimensie. Je bent niet alleen meer bezig met interne controls, maar ook met de vraag in hoeverre je zicht en grip hebt op de weerbaarheid van partners. Zeker in sectoren waar DORA of NIS2 gelden, zie je dat toezichthouders nadrukkelijk vragen naar deze ketenblik. BCM kan daar een sterke kapstok voor zijn. Hoe begin je zonder te verdrinken in modellen? BCM kan intimiderend overkomen. Frameworks, standaarden, maturity-modellen, je ziet al snel door de bomen het bos niet meer. Toch hoeft een eerste stap niet ingewikkeld te zijn. Begin met het gesprek: welke processen of diensten zijn voor ons écht cruciaal? Wat gebeurt er als die een dag, drie dagen, een week uitvallen? Welke klanten raken we dan? Welke wettelijke verplichtingen spelen een rol? Dit soort gesprekken levert vaak meer inzicht en urgentie op dan een dikke rapportage. Van daaruit kun je gericht starten met één of twee processen. Liever klein en concreet, dan meteen een organisatiebrede exercitie die vastloopt in complexiteit. Kies een kernproces, doe een beknopte BIA, stel een praktisch continuïteitsplan op, oefen dat plan met het team en leer ervan. De ervaring die je daar opdoet, gebruik je om de rest van de organisatie stapsgewijs mee te nemen. Internal auditors en riskmanagers hebben hierbij een mooie rol als gids. Niet door BCM “over te nemen”, maar door scherpe vragen te stellen, methodische ondersteuning te bieden en te helpen prioriteren. Zo wordt BCM geen project van één afdeling, maar een organisatiebrede beweging. Business Continuity Management als investering in lerend vermogen Als je BCM terugbrengt tot “een plan voor als het misgaat”, doe je jezelf tekort. In de kern is het een manier om als organisatie te leren omgaan met onzekerheid. Je gaat bewuster kijken naar afhankelijkheden. Je ontdekt welke processen stiekem kritischer zijn dan gedacht. Je ziet hoe beslissingen in het hier en nu, bijvoorbeeld over uitbesteding, cloudmigratie of personeelsbezetting gevolgen hebben voor je toekomstige weerbaarheid. En je leert door te oefenen: hoe reageren mensen onder druk, welke informatie mis je, waar ontstaan misverstanden, waar gaat het juist heel goed? Dat maakt BCM niet alleen een audit, risk- of compliance-verhaal, maar een ontwikkelvraagstuk. Een kans om het lerend vermogen van management en medewerkers te vergroten, en daarmee de kans dat je als organisatie ook in turbulente tijden je doelen blijft realiseren. Tot slot Business Continuity Management is een noodzakelijk antwoord op een wereld waarin verstoringen de norm zijn geworden. Het helpt organisaties om verder te kijken dan incidenten en brandjes, en structureel na te denken over de vraag: hoe blijven wij waarde leveren als het tegenzit? Voor internal auditors, riskmanagers, controllers en compliance-professionals is BCM daarmee een krachtig thema om het gesprek over risico’s, governance en gedrag te verdiepen. Niet met nog een checklist, maar met concrete scenario’s, eerlijke gesprekken en praktische plannen die getest en geleefd worden. Wil je BCM in jouw organisatie naar een hoger niveau brengen, of zoek je ondersteuning bij het uitvoeren van een audit, het opzetten van een raamwerk of het trainen van teams? Dan is dit precies het terrein waar Ferocia je kan helpen, via opleidingen en trainingen, interim en consultancy en werving en selectie. Zodat je niet alleen een “BCM-plan” hebt, maar een organisatie die daadwerkelijk veerkrachtig is als het erop aankomt. Benieuwd wat wij voor jouw organisatie kunnen betekenen? Neem vandaag nog contact met ons op voor een vrijblijvend kennismakingsgesprek. Contact Blogs