Compliance definitie: wat het betekent en hoe je het aantoont

Compliance, gedefinieerd

Compliance is de toestand waarin je voldoet aan de regels die voor jouw organisatie gelden, en waarin je kunt aantonen dat je eraan voldoet.

De meeste definities stoppen na de eerste helft. Precies daar begint het gedoe. Een organisatie kan het goede doen en alsnog een bevinding krijgen, en ze kan inspecties doorkomen terwijl de praktijk op de werkvloer ongemerkt ergens anders is gaan staan.

Een werkbare definitie bestaat dus uit twee delen:

1. Conformiteit. Wat je doet komt overeen met wat de regel eist.
2. Aantoonbaarheid. Je kunt met registraties die standhouden laten zien dat dat waar was op de dag dat het ertoe deed.

Conformiteit zonder aantoonbaarheid is een bewering. Aantoonbaarheid zonder conformiteit is papierwerk. Compliance is de overlap.

Welke regels tellen als "van toepassing"

"De regels die voor jou gelden" doet veel werk in die ene zin. In de meeste organisaties is die verzameling breder dan mensen denken, en hij komt uit vier richtingen tegelijk:

• Wet- en regelgeving. Wettelijke eisen met een toezichthouder erachter. In Nederland ligt het toezicht op arbeidsveiligheid bij de Nederlandse Arbeidsinspectie, en voor bedrijven met gevaarlijke stoffen in het Rijnmondgebied loopt het omgevingstoezicht via DCMR.
• Normen en certificatieschema's. ISO-managementsysteemnormen, sectorschema's en de auditcycli die eraan hangen. Vrijwillig, totdat een klant of een vergunning ze verplicht maakt.
• Contracten en klanteisen. Bepalingen in leveranciersovereenkomsten, prekwalificatievragenlijsten, toegangsregels op locatie. Vaak de snelst groeiende categorie, en de categorie die het minst waarschijnlijk ergens centraal geregistreerd staat.
• Je eigen beleid. Procedures, werkinstructies en interne normen die je zelf hebt opgeschreven. Een auditor houdt je daar net zo hard aan als aan de wet, juist omdat jij ze hebt gesteld.

Die laatste verrast mensen. Zodra jij opschrijft dat een inspectie maandelijks plaatsvindt, is maandelijks de norm waarlangs je wordt gelegd. Niet het wettelijk minimum, maar je eigen zin.

Wil je zien hoe die vier categorieën op elkaar inwerken, dan werken we dat verder uit in wat compliance in de praktijk betekent.

Compliance is niet hetzelfde als veiligheid

Dat onderscheid is het waard om hardop te maken, want de twee woorden worden door elkaar gebruikt en ze betekenen niet hetzelfde.

Veiligheid gaat over de vraag of het risico werkelijk beheerst is. Compliance gaat over de vraag of die beheersmaatregel vereist is, is ingevoerd en aantoonbaar is. In een goed lopende organisatie overlappen ze flink, maar ze kunnen naar twee kanten uit elkaar lopen: een locatie kan echt veilig zijn en dat niet kunnen laten zien, en een locatie kan een compleet documentendossier hebben liggen bovenop een barrière die in twee jaar niemand heeft getest.

Hetzelfde geldt voor de aangrenzende vakgebieden. Compliance is de aantoonbaarheidslaag die dwars door EHS-management loopt en, in toenemende mate, door ESG-rapportage, waar de rapportageplicht nieuw is maar de onderliggende vraag de oude is: kun je onderbouwen wat je beweert?

De faalmodus is drift, geen onwil

Vrijwel niemand besluit om niet compliant te zijn. Wat er in plaats daarvan gebeurt is trager en veel lastiger te zien.

Er wordt een wijziging aan een installatie doorgevoerd en de veiligheidsstudie erachter wordt voor negentig procent bijgewerkt. Een procedure blijft van kracht nadat degene die hem begreep is vertrokken. Een checklist wordt afgetekend omdat aftekenen de routine is, en die handtekening draagt geen informatie meer. Een bevinding krijgt een eigenaar, een datum, en daarna een tweede datum.

Geen van deze dingen is een overtreding op de dag zelf. Bij elkaar, over een jaar of twee, openen ze een gat tussen wat je documenten zeggen en wat je operatie doet. Het woord daarvoor is compliance drift, en het is precies de reden dat een definitie die stopt bij "je houdt je aan de regels" operationeel weinig waard is. De regels zijn niet veranderd. Jouw afstand ertoe wel.

Wat een werkend compliance systeem echt nodig heeft

Als aantoonbaarheid de helft van de definitie is, dan is de praktische vraag wat die aantoonbaarheid produceert. In onze ervaring is het antwoord weinig spectaculair en bestaat het uit vier dingen:

• Eén register van toepasselijke eisen. Een lijst van wat geldt, waar het vandaan komt en wie de eigenaar is. Op één plek bijgehouden, niet elke keer opnieuw uit het geheugen gereconstrueerd als iemand het vraagt.
• Een verbinding van eis naar bewijs. Per eis: welke registratie toont het aan, en waar staat die. Dit is de verbinding die als eerste breekt zodra systemen verspreid zitten over netwerkschijven, mail en Excel.
• Afsluiting van bevindingen, niet alleen registratie. Een observatie die is gemeld maar niet is opgelost, is een aansprakelijkheid met een tijdstempel erop. De check- en act-helft van de cyclus is waar de meeste systemen dun worden.
• Een trigger op verandering. Iedere wijziging is een vraag over welke eisen meebewegen. Als management of change en compliance twee losse processen zijn, is drift structureel in plaats van toevallig.

Daar is geen software voor nodig. Genoeg kleinere organisaties regelen dit prima met een gedisciplineerde set spreadsheets. Het houdt op te werken op het punt waarop het aantal eisen, locaties en mensen groter wordt dan wat een paar ervaren hoofden kunnen dragen, en de rekening voor die grensovergang wordt meestal betaald tijdens een inspectie in plaats van opgemerkt ervoor.

Dat is ook de drempel waar generiek gereedschap begint te piepen, waar we over schreven in waarom generieke safety management software tekortschiet voor Seveso-III-bedrijven.

De vraag die het waard is om te stellen

Een definitie is pas nuttig als hij verandert wat je controleert. Neem dus die twee helften en leg ze naast één eis waar je zeker van bent.

Kun je vandaag, zonder een collega te bellen, laten zien wat het aantoont? En wanneer heeft iemand die kon beoordelen of dat bewijs de werkelijkheid nog beschrijft, er voor het laatst naar gekeken?

Voelt dat tweede antwoord ongemakkelijk, dan is dat nog geen compliance-falen. Het is een vroege aflezing van waar de drift begint.

Waar wij hierin zitten

Wij bouwen inspectie- en auditsoftware, configureerbare formulieren en workflows, en opvolging van corrigerende acties, met Clara als AI-assistent die helpt terug te vinden en te verbinden wat je al hebt. Het ondersteunt het werk. Het maakt een organisatie niet compliant, en het neemt het eigenaarschap van je managementsysteem niet over: dat blijft van jou.

Wil je uitzoeken of jouw bewijs standhoudt, dan gaan we dat gesprek graag aan zonder dat er een demo aan vastzit. Begin bij het eisenregister. De meeste bruikbare bevindingen zitten daar al in.