Compenseren: de fout die als behulpzaamheid voelt

Pim Sewuster · 25 augustus 2026 · 4 min leestijd

In het kort

Compenseren is werk overnemen dat ergens anders in de organisatie thuishoort: de IT-riskafdeling schrijft de procesbeschrijvingen van anderen en vangt op wat blijft liggen.
Dat is inefficiënt én ineffectief: er raken meer mensen bij het werk betrokken, en het gebeurt te laat en minder goed dan wanneer de juiste persoon het doet.
Het houdt zichzelf in stand: wie het werk overneemt, neemt ook het verantwoordelijkheidsgevoel over, en wie het had moeten doen leert dat het vanzelf goedkomt.

Het beheersen van risico’s is gewoon werk: het continuïteitsplan dat elk jaar bijgewerkt moet worden, de uitwijkoefening die iemand moet inplannen, het IT-proces dat nog op papier moet. Dat werk heeft een logische plek in de organisatie, bij de mensen die er dagelijks mee werken. In de praktijk zie ik het vaak blijven liggen, waarna de IT-riskafdeling het overneemt.

Dat overnemen noem ik compenseren. Het voelt als behulpzaamheid, en op korte termijn werkt het ook. Toch is het de grootste fout die ik een IT-risk- of securityafdeling zie maken: compenseren is inefficiënt, het is ineffectief, en het ergste is dat het zichzelf in stand houdt.

Begrip

Met compenseren bedoel ik hier niet de vakterm compenserende maatregel, een alternatieve maatregel die het risico vergelijkbaar afdekt wanneer de voorgeschreven maatregel niet haalbaar is. Dit stuk gaat over iets anders: een afdeling die structureel werk opvangt dat bij een ander belegd is.

Meer mensen voor hetzelfde werk

Compenseren maakt het werk om te beginnen duurder. IT Risk kan het niet alleen: ze moet informatie uitvragen bij de mensen die het werk dagelijks doen, wachten op hun antwoorden, en het resultaat daarna weer bij hen laten toetsen. Werk dat kennis van de dagelijkse praktijk vraagt, kost via IT Risk zo opgeteld meer uren, niet minder.

Te laat en minder goed

Het resultaat is er ook niet beter op. IT Risk staat verder van het werk af dan degene die het dagelijks doet. Een maatregel die ze namens een ander bedenkt of uitvoert, mist daardoor al snel de kennis die hem effectief moet maken: hoe het werk echt loopt en waar het knelt.

Compenseren komt bovendien vrijwel altijd te laat, want IT Risk ziet pas dat iets blijft liggen wanneer het al gebeurd had moeten zijn. Een voorbeeld uit mijn eigen praktijk: de periodieke beoordeling van toegangsrechten. Die hoort bij de manager, want alleen die weet wie er in zijn team werkt en welke toegang zijn mensen voor hun werk nodig hebben. Toch gebeurde de beoordeling alleen wanneer de IT Risk Officer er expliciet om vroeg; niet dat herinneren was het probleem, maar zonder dat aandringen gebeurde er niets. “Periodiek” betekende in de praktijk “wanneer erom gevraagd wordt”. De manager beoordeelde dan alsnog, te laat, en rechten bleven zo langer staan dan de bedoeling was. IT Risk maakte achteraf het dossier weer compleet, maar het werk zelf veranderde niet.

Waarom het zichzelf in stand houdt

Het derde probleem is het grootste, want het verklaart waarom compenseren niet vanzelf overgaat. Verantwoordelijkheidsgevoel verhuist mee met het werk: wie het werk overneemt, neemt ook het gevoel over dat het zijn werk is. Degene die het had moeten doen, leert dat het ook goedkomt als hij niets doet. Dat is geen onwil: het klopte ook, iemand anders ving het op. Vaak is het nog simpeler: niemand heeft hem ooit verteld dat dit bij zijn functie hoort.

Bij de volgende taak wacht hij dus af, of merkt niet eens dat er iets te doen valt. IT Risk ziet dat en vangt het weer op. Zo stapelt het werk zich daar op, terwijl het verantwoordelijkheidsgevoel eromheen verder wegebt.

Intussen heeft niemand er last van. IT Risk ziet een probleem dat ze kan oplossen, en lost het graag op; dat voelt als vakmanschap, niet als fout. De ander vindt het prima, of komt er naast zijn gewone werk niet aan toe. Zelf doen voelt voor IT Risk bovendien sneller: het werk teruggeven kost uitleg, wachten en soms een escalatie. Zo kan dit jaren doorgaan. Het valt pas op wanneer IT Risk steeds groter wordt, en altijd druk is.

Teruggeven in plaats van overnemen

Mijn advies is eenvoudig te formuleren en lastig vol te houden: compenseer zo min mogelijk. Maak het werk liever klein genoeg om te dragen: lever een ingevuld voorbeeld aan in plaats van het risicoregister te vullen, lees mee met de procesbeschrijving in plaats van hem te schrijven, geef de manager een leesbare lijst zodat hij zelf kan beoordelen. En vertel mensen dát er iets van hen wordt verwacht, want veel van dit werk is nooit hardop belegd.

Kan het echt niet anders, omdat een toezichthouder een termijn stelt of een auditor niet kan wachten, maak het compenseren dan expliciet: benoem wat IT Risk overneemt en van wie, en spreek een einddatum af. Werk dat daarna nog bij IT Risk ligt, behandelt u als werk dat zichtbaar is blijven liggen.

Laat het zichtbaar liggen

Soms hoort iets te blijven liggen bij wie het liet liggen. Een kwetsbaarheid die vandaag misbruikt kan worden laat u niet open om een punt te maken. Maar het continuïteitsplan dat niet bijgewerkt wordt of de uitwijkoefening die al drie kwartalen doorschuift mag blijven liggen. Spreek dan hardop af dat het daar ligt, en zet het met naam en reden in de rapportage aan de directie. Verantwoordelijkheidsgevoel keert pas terug wanneer het gevolg van niets doen terechtkomt bij wie het liet liggen.

Wilt u weten of dit in uw organisatie speelt, pak dan één maatregel en stel de vraag: wie hoort dit te doen, en weet die persoon dat? Verwijst het antwoord naar IT Risk of “zo doen we dat altijd”, dan wordt er gecompenseerd. Het werk terugleggen kost een paar ongemakkelijke gesprekken, en het levert een organisatie op waarin het werk ligt bij wie het hoort te doen, en een IT-riskafdeling die niet elk jaar om extra mensen hoeft te vragen.

Bijgewerkt: augustus 2026.