Waarom compliance (onder andere in het kader van NEN7510) niets met regels te maken heeft

Compliance

Ik weet nog niet of ik in dit artikel antwoord geef op deze vraag. Veel belangrijker echter zijn de andere standpunten en belangen die spelen bij compliance vraagstukken. Ik gebruik de Engelse term bij gebrek aan een Nederlandse term die voldoet.

Wanneer we de betekenis van Compliance opzoeken in de Dikke van Dale [1] komen we immers op de volgende termen: “Volgzaam, meegaand en onderworpen.” Naar mijn mening zijn dit geen termen waarmee ondernemers zich per definitie willen associëren. Ik houd het om die reden op de Engelse term.

Wanneer je start als ondernemer heb je waarschijnlijk allerlei creatieve ideeën over hoe iets zou moeten, of beter zou kunnen. Dát is veelal de reden om voor jezelf te beginnen. Je start je bedrijf en begint vol goede moed met het inregelen van hetgeen jij vindt dat anders kan of zou moeten. Je bent lekker bezig en ineens vallen er allerlei brieven op de deurmat. Allemaal afkomstig van verschillende instanties, waarvan je mogelijk het bestaan niet eens kende. Uiteraard krijg je brieven van de Belastingdienst, maar bijvoorbeeld ook van de Nederlandse Arbeidsinsprectie.[2] Of een vervelende brief met een boete van Buma/Stemra[3] (zoals een vriendin van mij laatst is overkomen tijdens het runnen van haar kringloopwinkel).

Procedures

Jawel. Als ondernemer, ook als startende ondernemer, is het van belang om het juridische kader te kennen waarbinnen jij je onderneming gaat runnen. Dit noem ik de procedures. Procedures zijn van belang, maar echter niet doorslaggevend voor het compliant zijn en blijven van je organisatie. De procedures waaraan jouw onderneming moet voldoen kun je laten uitzoeken door een jurist. Bijna elke jurist (van goedkoop tot duur) kan dit voor je uitzoeken. Je krijgt dan een overzicht van de regelgeving die van toepassing is op jouw onderneming.

Ben je dan compliant?

Nee.

Want het hebben van een overzicht en van de Procedures is slechts een algemeen kader. In die regelgeving staan zo goed als altijd definities en de: “gij zult/ gij zult niet”. Dat is helder.

Er staan echter ook zo goed als altijd de: ”wanneer gij dat doet, dient gij te voldoen aan a), b) en misschien c), maar zeker ook aan d)”.

Vervolgens wordt er in veel gevallen teruggewezen naar de definities of de “gij zult niet” en worden daarop uitzonderingen of beperkingen, vrijstellingen of ontheffingen gecreëerd. Die staan vaak iets verderop in de regeling. Óf zelfs in aanvullende regelingen (AmvB’s of Ministeriele regelingen en wat heb je al niet). Even denken.

Processen

Als ondernemer heb je nu een overzicht van de juridische kaders waarbinnen je kunt ondernemen. Oké denk je dan: ik ga dit omzetten in processen (werkprocessen, beleidsdocumenten en hoe het allemaal ook heet) en dan ben ik daarmee compliant.

Je geeft iemand in de organisatie de opdracht om processen te ontwerpen die moeten voldoen aan het chique juridische overzicht dat je hebt gekregen. Diegene is vereerd door de opdracht en begint vol goede moed. Het vertalen van het juridische gij zult/ gij zult niet, inclusief uitwerking van de beperkingen en uitzonderingen en mogelijke aanvullingen uit de lagere regelgeving neemt circa een jaar in beslag. Iedereen moet immers iets vinden van het concept. En daar komt de voor mij zo interessante dynamiek naar voren.

De afdeling Compliance (soms ook Integriteit want dat heeft kennelijk een direct verband) maakt een document gebaseerd op regelgeving. De afdeling financiën vindt daar iets van, want zij zien langzaamaan het financiële belang van de organisatie (we moeten toch geld verdienen?!) wegglippen; de afdeling Marketing vindt iets anders van de concepten, want zij zien langzaamaan het commerciële belang van de organisatie (wij moeten de markt toch gewoon nog kunnen benaderen?!) wegglippen; “Managers (en/of teamleiders)” vinden ook iets van de concepten, want zij zien de relatie tussen het concept en het afvinken van KPI’s (wij moeten onze mensen hierop toch kunnen sturen?!) wegglippen. In sommige gevallen wordt er nog aan een medewerker/ uitvoerder van het betreffende werkproces om input gevraagd. Deze krijgt een wirwarconcept onder ogen en mag daarop reactie geven…

Van boven naar het midden ontstaat er op deze wijze een wirwar aan commentaar op de ontwikkelde processen, meestal vanuit het eigen belang van verschillende afdelingen. Afhankelijk van de “drukkracht” van een bepaalde afdeling worden er verschillende aanpassingen doorgevoerd. Het uiteindelijk resultaat van procesbeschrijving is dan vaak een samenstel van (wenselijke) werkwijzen van verschillende afdelingen door elkaar. Meestal niet een proces dat de realiteit daadwerkelijk omschrijft. Máár het voldoet mogelijk wel nog aan de regelgeving.

De directie of Raad van Bestuur krijgt de laatste versie, vraagt de jurist of dit akkoord is zo en ondertekent.

Proces(beschrijving) klaar.

Ben je nu compliant?

Nee.

People

De processen die we als organisatie gaan volgen zijn van boven naar beneden gesijpeld. De processen komen uiteindelijk terecht op de werkvloer. De grootste club mensen in je organisatie (DE “People”) zullen een praktische uitvoering moeten gaan geven aan het van een juridisch bureau gevallen wirwarproces. Deze mensen horen wel het belang dat de organisatie hecht aan “compliance” want jij zorgt voor “awareness-sessies” en toolboxmeetings daarover; er zijn e-learnings te volgen en er is een spel ontwikkeld. Daarbij kunnen deze People altijd terecht bij de eerstelijn helppdesk met hun vragen over het proces.

Ben je nu compliant?

Eens kijken:
Volgens álle ISO en privacy en Informatieveiligheidsnormen (IB) dien je een compliance cyclus te doorlopen. Deze omvat de Plan-Do-Check-Act cyclus.

Vanuit Arboregelgeving (die regelgeving geldt voor elke werkgever) is er in de Beleidsregel boeteoplegging[4]. Er is bijvoorbeeld omschreven dat het (bij een onverhoopt arbeidsongeval) boete-matigend werkt wanneer je:

– de risico’s van de concrete werkzaamheden voldoende zijn geïnventariseerd en een veilige werkwijze is ontwikkeld die voldoet aan de vereisten van de arbeidsomstandighedenwetgeving;

– de noodzakelijke randvoorwaarden zijn gecreëerd voor het toepassen van een veilige werkwijze;

– er adequate instructies zijn gegeven;

– er adequaat toezicht is gehouden.

PDCA

Maar dat moet je ook nog wel kunnen aantonen. Het staat niet vaak uitdrukkelijk vermeld in de regelgeving (Procedure), terwijl het “in control” zijn over deze PDCA-cyclus (en eigenlijk elke PDCA-cyclus, of het nu gaat over een veilige werkomgeving, (zorg)kwaliteit, privacy, of informatiebeveiliging) alleen maar bewezen kan worden door rapportage en registratie.

Dit kunnen aantonen is overigens wel uitdrukkelijk vermeld in de Algemene Verordening Gegevensbescherming[5] (AVG) én is uitdrukkelijk onderwerp van elke ISO/NEN norm. Die gaan namelijk over managementsystemen. Een managementsysteem is eigenlijk niets anders dan het systeem (mag ook Word of Excel zijn) waarin jij als organisatie de voor jouw geldende daadwerkelijke risico’s inventariseert, daarop toegespitst een veilige werkwijze ontwikkelt, - die als laatste stap wat mij betreft tegen het procedure-/juridische overzicht wordt aangehouden - en waarin jij vervolgens gaat kiezen voor maatregelen waarmee je de grootste, belangrijkste risico’s mitigeert. Hier zit wat mij betreft de crux.

Beleidskeuzes

Totdat het tegendeel bewezen is, is wat mij betreft elke ondernemer eigenwijs. En eigenwijs staat wat mij betreft haaks op “Volgzaam, meegaand en onderworpen.”

Ik acht vervolgens (ook totdat het tegendeel bewezen is) elke ondernemer in staat om in de eigen organisatie de juiste beleidskeuzes te maken.

Wanneer we deze stellingen als uitgangspunt nemen dan komen we in een heel andere dynamiek terecht dan hierboven wat prikkelend omschreven.

Conclusie Procedures, Processen, People, PDCA

Ja het kennen van de procedures is essentieel;
Ja het opstellen van processen is essentieel. Echter het beginnen bij de People staat voorop:

Je kijkt naar je onderneming en beschouwt van uitvoerend af, welke werkwijzen bestaan er nu écht in mijn onderneming.
Vervolgens: welke risico’s zie ik nu écht op de vlakken waarin er voor mij Procedures gelden?
Daarna: welke risico’s wil ik nu écht mitigeren?
Vervolgens: welke maatregelen zijn er mogelijk en welke voer ik in? (welke randvoorwaarden creëer ik)? Vervolgens: welke risico’s accepteer ik als restrisico?
Vervolgens welke (juridische) onderbouwing houd ik aan en registreer ik en draag ik uit ter verantwoording dat ík als beleidsmaker, dít een acceptabele beleidskeuze vindt.

Uiteindelijk zou je instructie moeten geven en toe moeten zien.

Dat moet je ook wel doen, maar bedenk wel het volgende: wanneer je begint bij de People en dus de Processen omschrijft die de medewerkers (misschien al jarenlang) daadwerkelijk uitvoeren, dat zij deze processen door en door kennen. Zij zijn processpecialist. Niet alleen dat, zij hebben de Processen waarschijnlijk zelf en vanuit zichzelf ontwikkeld en aangepast naar de meest efficiënte en snelle en prettige manier van werken. Als dat zo is, dan zal er weinig weerstand zijn tegen de omschreven processen en weinig instructie nodig[6].

Je hebt nu People die als vanzelf werken volgens de omschreven Processen, en die Processen zijn aangehouden tegen de voor jou geldende Procedures.

Het antwoord op de vraag of je dan compliant bent kun je zelf het beste geven. Stel nu dat je met jouw onderneming al volledig voldoet aan een ISO/NEN norm die jouw compliance bevestigd, dan hoef je dat antwoord niet telkens aan iedereen die het vraagt te geven.

Daarbij kun je overigens op dag 12 compliant zijn en op dag 13 al niet meer. Compliant zijn is afhankelijk van welk kader je als uitgangspunt neemt. Compliant zijn is een middel om te komen tot een succesvolle organisatie en niet een doel op zich.

Afijn.

Hoe dit nu te vertalen naar de NEN 7510?

Zorginstellingen zijn gebonden aan de voor hen geldende wet- en regelgeving. (Procedures). Zorginstellingen zijn vanuit kwaliteitsverplichtingen van nature geneigd om een kwaliteitsmanagementsysteem te volgen en in te richten (Processen). In hoeverre hierbij de People betrokken zijn (geweest) is afhankelijk van elke individuele organisatie.

De NEN 7510 en aanverwanten betreft instructies waarlangs je als organisatie kan inregelen dat je Procedureel en Procesmatig compliant bent alwaar het betreft de normen die gelden aangaande informatiebeveiliging in de zorg. NEN en ISO-instructies gaan altijd uit van een managementsysteem dat je opzet en inricht en onderhoudt volgens PDCA.

Wanneer ik de inleidende tekst van NEN 7510-1 lees, voornamelijk onder het kopje 0.8 Relatie met Nederlandse wet- en regelgeving dan staat er letterlijk: ”In een aantal gevallen volgt uit de wet- en regelgeving een verplichting om aan NEN 7510 te voldoen.”
Eronder volgt een opsomming van wet- en regelgeving die ik toevallig vrij minutieus ken.

Ik onderschrijf dan ook de stelling dat er vanuit die regelgeving dwingendrechtelijke verplichtingen aangaande informatiebeveiliging op zorgondernemers rusten.

Vervolgens volg ik de insteek dat het NEN 7510 gecertificeerd zijn een ontzettend handige manier is om aan alle partijen waar je “zaken mee doet” aan te tonen dat je aan (onder andere) al die dwingendrechtelijke informatieveiligheidsverplichtingen voldoet.

Kortweg kan ik dan het volgende stellen:

Wanneer je (vanuit welke wettelijke verplichting ook) toch al een managementsysteem gericht op informatiebeveiliging in de zorg hebt ingericht zoals hierboven allemaal omschreven, dus vanuit People naar je Processen en binnen het kader van de voor jou geldende Procedures en in de PDCA-cyclus, dan is de kans enorm groot dat je stiekem al voldoet aan de instructies van deze NEN-norm. Als je de beleidskeuzes ook allemaal verantwoord hebt onderbouwd en je kunt aantonen dat je in control bent, chapeau!
Wat let je dan nog om op papier het certificeringstraject te doorlopen?

Wanneer je een zorgondernemer bent die nog niets heeft ingericht op dit vlak en die wel geïnspireerd is geraakt door de bottom-up wijze van inrichten van zo’n informatieveiligheidssysteem…

Wat let je dan om dat langs de voorgekauwde kaders van deze norm te doen?

Wanneer je ergens tussen deze twee voorbeelden zweeft (en dat zal in 95% van de gevallen zo zijn) ga dan bij jezelf te rade waarom je het als zorgondernemer zo belangrijk vindt om te lezen of het al of niet verplicht is om NEN 7510 te implementeren. Neem daarbij het gehele landschap van Procedures, Processen en People in jouw organisatie ogenschouw en bepaal op welke wijze jíj kiest om te voldoen aan de voor jouw organisatie geldende dwingendrechtelijke verplichtingen.

Kan ik je helpen? Ik lees of hoor het graag.

[1] https://www.vandale.nl/gratis-woordenboek/engels-nederlands/vertaling/compliance#.X6O-YpCg-M8

Compliance 1 volgzaamheid, meegaandheid: in compliance with your wish overeenkomstig uw wens; compliance with the law naleving van de wet 2 onderdanigheid, onderworpenheid

[2] https://www.inspectieszw.nl/inspectie-szw/handhavingsmethoden-en-vormen-van-toezicht

[3] https://www.bumastemra.nl/faq/hoe-betalen/

[4] https://wetten.overheid.nl/BWBR0032326/2020-10-13

[5] Artikel 5 Beginselen inzake verwerking van persoonsgegevens
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”).

[6] Uiteraard kan hier al een probleem liggen, maar dat is een ander onderwerp dat een heel eigen artikel verdient en dat los je dan toch ook nog steeds niet op door een managementsysteem te implementeren gebaseerd op Procedures en Processen zoals boven omschreven.