Laatst was ik bij een accountantsorganisatie die, op papier, alles op orde had. De compliance officer stuurde me de SIRA toe: een keurig vormgegeven excel-document, Bijna 30 risico’s beschreven en volledig uitgewerkt volgens de standaard zoals die door toezichthouders DNB en AFM is uitgewerkt en gepromoot. Maar tijdens het gesprek viel het stil toen ik vroeg: “Wat doen jullie met dit document in de praktijk?” De compliance officer glimlachte flauw met ene knipoog:
“Tja… het is vooral voor als de auditor komt.”
Die zin bleef hangen. Niet omdat het een unieke situatie was (integendeel). Maar omdat het zó zonde is. Zonde van het werk. Zonde van de tijd. En vooral: zonde van de kans die een goede SIRA wél kan zijn.
Iets wat ‘moet’, maar nergens landt
Bij veel organisaties is de Systematische Integriteitsrisicoanalyse (SIRA) een verplicht nummer. Iets dat één keer per jaar wordt afgestoft. Vaak geschreven door een extern adviseur, soms door een overbelaste compliance officer. Er wordt flink geïnvesteerd in structuur, formuleringen en risicoafwegingen.
Maar op de werkvloer?
- Niemand weet wat erin staat.
- Niemand voelt zich er verantwoordelijk voor.
- En niemand gebruikt het om keuzes te maken.
De SIRA is dan geen sturend instrument, maar een papieren schild. Iets dat je omhoog houdt als een toezichthouder belt.
De vergeten brug
Wat mij steeds weer opvalt: de inhoud van de SIRA is vaak behoorlijk goed. De risico’s zijn realistisch. De maatregelen zijn passend. De toon is serieus. En toch wordt het document vergeten. Hoe kan dat?
Omdat het geen brug slaat naar de praktijk. Omdat het zelden aansluit bij het gesprek op de werkvloer, bij dilemma’s in de uitvoering, of bij incidenten die echt gebeurd zijn. Het is een theorie en spreekt weinig tot de verbeelding.
Ook blijft het te vaak hangen in abstracte formuleringen: “Er is een verhoogd risico op belangenverstrengeling in geval van onvoldoende functiescheiding.”
Prachtig. Maar wat betekent dat voor de baliemedewerker, de klantacceptant of de controller?
Wat het wél kan zijn
Een goede SIRA kan zoveel meer zijn.
Het kan een startpunt zijn van gesprek.
Een spiegel voor de organisatie.
Een kompas voor integriteitsdilemma’s.
Een prioriteitenlijst voor beleidsmakers.
Een toetssteen voor leiderschap.
Ik zag het bij een kantoor dat besloot de SIRA niet als eindproduct te zien, maar als levend document. Ze bespraken de risico’s in teamvergaderingen. Gebruikten de voorbeelden in de training van nieuwe medewerkers. En koppelden interne signalen terug aan de risicoanalyse. Complete monitoringroutine waren opgehangen aan de SIRA.
De compliance officer daar zei iets wat me bijbleef:
“Sinds we de SIRA niet meer ‘voor de buitenwereld’ maken, helpt het ons juist intern scherp te blijven; we hebben sinds die tijd eigenlijk best hele interessante gesprekken…”
Geen last, maar kans
De verplichting tot een SIRA kun je niet schrappen. Maar je kunt er wél voor kiezen om het betekenis te geven. Niet door het nóg grondiger op te stellen, maar door het tot leven te brengen.
Dat begint met één simpele vraag:
Wat willen we dat deze analyse ons vertelt. En wie zou het moeten horen?
Als je die vraag durft te stellen, wordt de SIRA geen verplichting meer, maar een hulpmiddel. Een manier om risico’s bespreekbaar te maken voordat ze zich voordoen.
En dat is precies wat goede risicobeheersing zou moeten zijn:
Vooruitlopen met betekenis. Niet afvinken met een dood stuk.
Herkenbaar? Misschien ligt er bij jullie ook zo’n SIRA in de digitale la. Of wordt er hard gewerkt aan de volgende versie, zonder dat duidelijk is wat ermee moet gebeuren.
Laten we daar eens samen naar kijken. Stuur me een bericht op info@assurvia.com Dan praten we verder.
