GRC zonder omweg: hoe het framework aansluit op je Seveso-VBS

Elk Seveso- of BRZO-bedrijf heeft een veiligheidsbeheersysteem (VBS) dat is opgebouwd rond de zeven elementen uit bijlage III van de Seveso III-richtlijn: organisatie en personeel, identificatie en beoordeling van gevaren, operationele controle, wijzigingsbeheer, noodplanning, prestatiebewaking en audit en beoordeling. Wie in de EHS-praktijk werkt, kent die structuur uit het hoofd.

Het probleem is niet de structuur. Het probleem is de vertaalslag naar de boardroom. Een CFO, een raad van bestuur of een risicocommissie denkt niet in "bijlage III-elementen". Zij denken in Governance, Risk en Compliance - GRC. Dat is de taal waarin zij al jaren rapporteren over financiële risico's, IT-risico's en operationele risico's. Als jouw VBS in die taal niet te vertalen is, wordt het voor hen een geïsoleerd nalevingsdossier in plaats van een onderdeel van het bredere risicobeleid van de onderneming.

Goed nieuws: de vertaling is niet ingewikkeld. GRC en het VBS beschrijven grotendeels dezelfde werkelijkheid, alleen met een ander vocabulaire.

• Governance = wie is eigenaar van het systeem en het PBZO/MAPP-document, en hoe wordt dat eigenaarschap ingevuld.
• Risk = gevarenidentificatie en -beoordeling.
• Compliance = binnen de gestelde grenzen opereren, en dat kunnen aantonen.

Hieronder werken we die drie stuk voor stuk uit.

Governance: wie is eigenaar van het PBZO, en hoe

Governance draait om één vraag: wie heeft de bevoegdheid en de verantwoordelijkheid, en is dat vastgelegd? Binnen het VBS is dat rechtstreeks het element organisatie en personeel.

Concreet betekent dit:

• Een heldere verantwoordingsstructuur. Wie is eindverantwoordelijk voor het PBZO-document, wie is verantwoordelijk voor de uitvoering per locatie, en wie schakelt naar boven bij een tekortkoming? Als het antwoord "een beetje bij iedereen" is, is er geen governance.
• Opleiding en competentie gekoppeld aan rol. Niet een generieke veiligheidstraining voor iedereen, maar aantoonbare competentie die past bij de verantwoordelijkheid die iemand draagt - van operator tot locatiemanager.
• Een herzieningscyclus voor het PBZO. Governance is geen momentopname. Het document moet periodiek worden herzien, en die herziening moet zijn vastgelegd: wanneer, door wie, en wat er is aangepast.
• Vastgelegde beslissingsbevoegdheid. Wie keurt een afwijking goed? Wie tekent af bij wijzigingsbeheer (MOC)? Bij welke ernst van een tekortkoming gaat het dossier naar de raad van bestuur? Dit zijn precies de vragen die een risicocommissie stelt over elk ander bedrijfsrisico - ze verdienen hetzelfde antwoord voor procesveiligheid.

Als je dit deel op orde hebt, kun je in twee zinnen aan een bestuurder uitleggen wie waarvoor verantwoordelijk is. Dat is governance.

Risk: gevarenidentificatie en -beoordeling

Risk in GRC-termen is niets anders dan het element gevarenidentificatie en -beoordeling uit het VBS - maar dan met één belangrijke discipline die veel bedrijven missen: één actueel gevarenregister, in plaats van een verzameling losse studies.

Een financieel risicoregister of een IT-risicoregister werkt volgens hetzelfde principe: alle geïdentificeerde risico's staan op één plek, met actuele beoordeling, eigenaar en beheersmaatregel. Niemand accepteert daar een risicoregister dat is opgebouwd uit rapporten van verschillende jaren die nooit met elkaar zijn samengevoegd. Voor procesveiligheid geldt exact dezelfde logica.

In de praktijk zien we vaak dat een HAZOP van drie jaar geleden nog als uitgangspunt dient, terwijl de installatie sindsdien is gewijzigd, het proces is aangepast, of nieuwe stoffen zijn geïntroduceerd. Een gevarenregister is geen archief - het moet in verbinding blijven staan met de realiteit op de vloer. Elke wijziging aan installatie, proces of hoeveelheid gevaarlijke stof hoort een trigger te zijn om het register te toetsen, niet pas de eerstvolgende geplande herbeoordeling.

Eén actueel, centraal gevarenregister is dus niet alleen een operationele wens. Het is de basis waarop een risicocommissie kan vertrouwen dat de risico-informatie die zij krijgt, klopt.

Compliance: operationele controle, audit en aantonen

Compliance is het element waar de meeste bedrijven het meeste werk in steken - en waar het risico het grootst is dat het verwordt tot papierwerk voor de inspectie, los van de rest van het systeem.

Compliance in GRC-termen bestaat uit drie lagen:

1. Operationele controle, gekoppeld aan de gevaren uit de risicobeoordeling. Elke beheersmaatregel moet herleidbaar zijn naar een specifiek geïdentificeerd gevaar - niet een generieke checklist die los staat van wat er daadwerkelijk mis kan gaan.
2. Audit en beoordeling, met een spoor dat laat zien wanneer een beheersmaatregel is gecontroleerd, door wie, en met welk resultaat.
3. Een gesloten cirkel op bevindingen. Een afwijking die bij een audit naar boven komt, moet aantoonbaar worden opgevolgd - niet alleen genoteerd.

Het punt is dit: compliance is geen aparte administratieve laag bovenop je VBS. Het is de bewijslaag die aantoont dat governance en risicobeheer daadwerkelijk werken zoals ze op papier beschreven staan. Een inspecteur - en ook een bestuurder - wil niet alleen weten dát er een beheersmaatregel is, maar kunnen zien wanneer die voor het laatst is getoetst en wat daaruit kwam.

De drie elementen samen

De kracht van het GRC-framework zit in de samenhang. Een compliance-tekortkoming staat nooit op zichzelf - je kunt hem in één zin terugleiden door alle drie de lagen heen, en dat is precies wat een bestuurder wil kunnen volgen:

"Deze beheersmaatregel is niet getoetst (compliance), omdat niemand eigenaar was van die controle (governance), waardoor een bekend gevaar (risk) langer onbeheerst is gebleven dan bedoeld."

Dat ene zin is meteen de reden waarom GRC voor een bestuurder waardevoller is dan een losse audit-bevinding: het maakt zichtbaar waar in de keten het probleem echt zit, en dus ook waar de oplossing moet worden aangebracht.

Praktisch startpunt: drie vragen

Je hoeft niet je hele VBS te herstructureren om deze vertaalslag te maken. Begin met drie vragen, en je weet meteen waar de zwakke plekken zitten:

1. Wie is vandaag aantoonbaar verantwoordelijk voor het PBZO? Niet wie het ooit heeft opgesteld, maar wie er nu op wordt aangesproken.
2. Bestaat er één actueel gevarenregister, of ligt de informatie verspreid over losse HAZOP-rapporten, studies en spreadsheets die niet met elkaar praten?
3. Kun je voor je belangrijkste gevaren de lijn trekken van risicobeoordeling naar beheersmaatregel naar auditbewijs - zonder dat iemand dagenlang in mappen hoeft te zoeken?

Als je op alle drie een duidelijk antwoord hebt, staat je GRC-verhaal. Zo niet, dan weet je precies waar te beginnen.