Richtlijnen als ICH Q9, GAMP5 en ISO-gebaseerde risicobenaderingen zijn ooit geïntroduceerd met een helder doel: focus op wat er écht toe doet voor patiëntveiligheid, productkwaliteit en data-integriteit. Niet alles hoeft even zwaar te worden gecontroleerd; inspanning moet in verhouding staan tot risico.
In theorie zou risicogestuurd werken tot slankere processen moeten leiden, minder documentatie en snellere besluitvorming. In de praktijk gebeurt vaak het tegenovergestelde: risicogestuurd werken wordt een extra laag bovenop bestaande procedures, in plaats van een vervanging ervan. Het resultaat is dan niet minder, maar méér papier, méér formulieren en méér goedkeuringen.
Risicoanalyse als verplicht nummer
In veel organisaties is risicoanalyse verworden tot een standaarddeliverable: een template dat moet worden ingevuld omdat het nu eenmaal in de procedure staat. De inhoud is ondergeschikt aan het feit dát het document bestaat. Risicoscores worden ingevuld op basis van algemene aannames, zonder echte inhoudelijke discussie. De analyse wordt afgerond, goedgekeurd en gearchiveerd — waarna het project exact hetzelfde vervolgtraject doorloopt als ieder ander project. De risicoanalyse verandert niets aan scope, diepgang of aanpak. Ze legitimeert bestaande werkwijzen, in plaats van ze te sturen.
Angst voor inspecties stuurt het systeem
Een belangrijke oorzaak is inspectiedruk. Organisaties willen aantoonbaar “compliant” zijn. Dat leidt tot defensieve inrichting van processen: liever te veel doen dan te weinig, want te veel wordt zelden afgestraft. Daarmee wordt risicogestuurd werken paradoxaal genoeg gebruikt om maximale zekerheid te rechtvaardigen. Elk mogelijk risico wordt vastgelegd, elk scenario beschreven, elk proces volledig gevalideerd, ongeacht de feitelijke impact. Niet omdat het inhoudelijk nodig is, maar omdat niemand bij een inspectie wil uitleggen waarom iets níet is gedaan.
Uniforme templates voor niet-uniforme risico’s
Risico’s verschillen per proces, per systeem en per wijziging. Toch worden vaak dezelfde formats, classificaties en beslisbomen gebruikt voor volledig verschillende situaties. Daardoor vervlakt het onderscheid tussen hoog en laag risico. Als alles volgens hetzelfde stramien wordt beoordeeld, ontstaat automatisch dezelfde zwaarte in beheersmaatregelen. Risicogestuurd werken wordt zo een cosmetisch label op een feitelijk uniform controlesysteem. De organisatie voldoet formeel aan de richtlijn, maar mist de kern: differentiëren waar dat zinvol is.
Governance die risicomijdend gedrag beloont
Besluitvormingsstructuren versterken dit effect. Wie een conservatieve aanpak kiest, loopt zelden risico. Wie pleit voor een lichtere aanpak op basis van inhoudelijke argumenten, moet dat uitgebreid verdedigen en documenteren. De rationele keuze voor veel professionals is dan eenvoudig: volg het zwaarste pad, want dat is bestuurlijk veilig. Zo ontstaat een cultuur waarin risicoreductie wordt verward met besluitrisicoloosheid. Niet de beste oplossing wint, maar de minst verdedigbare.
De verborgen kosten
Deze aanpak heeft structurele gevolgen:
- projecten duren langer;
- wijzigingen worden duurder;
- innovatie vertraagt;
- en medewerkers besteden steeds meer tijd aan documentatie in plaats van aan verbetering van processen en producten.
Daarnaast ontstaat mentale vermoeidheid. Wanneer alles kritisch is, is uiteindelijk niets meer echt kritisch. Mensen verliezen het onderscheidingsvermogen dat risicogestuurd werken juist had moeten versterken.
Wat risicogestuurd werken eigenlijk vraagt
Echt risicogestuurd werken vereist iets wat moeilijker is dan het volgen van procedures: professioneel oordeel dat ook bestuurlijk wordt gedragen. Dat betekent dat:
- risicoklassen daadwerkelijk gevolgen moeten hebben voor de aanpak;
- procedures ruimte moeten laten voor schaalbaarheid;
- en management expliciet accepteert dat niet elke keuze maximaal dichtgetimmerd is.
Dat vraagt volwassenheid van de organisatie. En vooral: consistentie. Want één incident waarbij alsnog wordt afgerekend op een goed onderbouwde risicokeuze is genoeg om het systeem weer volledig dicht te trekken.
Van schijnzekerheid naar echte beheersing
Richtlijnen als ICH Q9 en GAMP5 bieden juist ruimte om keuzes te maken. Ze schrijven niet voor dát alles zwaar moet worden aangepakt, maar dat de aanpak proportioneel moet zijn. Zolang organisaties die ruimte niet durven te benutten, blijven ze gevangen in een paradox: steeds meer beheersmaatregelen met steeds minder grip op wat er werkelijk toe doet. Risicogestuurd werken is geen documentatiemethode. Het is een bestuursfilosofie. Zolang die niet verandert, verandert de praktijk ook niet.