{"id":1963,"date":"2016-10-04T23:02:57","date_gmt":"2016-10-04T21:02:57","guid":{"rendered":"http:\/\/vanmouche.eu\/blog\/?p=1963"},"modified":"2025-01-09T17:15:26","modified_gmt":"2025-01-09T16:15:26","slug":"waarom-volgen-it-ers-audit-aanbevelingen-zo-slecht-op","status":"publish","type":"post","link":"https:\/\/vanmouche.eu\/?p=1963","title":{"rendered":"Waarom volgen IT-ers audit-aanbevelingen zo slecht op?"},"content":{"rendered":"

\"it-audit\"<\/p>\n

Recent werd ik door een collega management\u00a0consultant ge\u00efnterviewd over het niet of niet-voldoende opvolgen van aanbevelingen die worden gedaan tijdens IT-audits in de farmaceutische industrie. Hier een verkorte weergave van dit interview.<\/p>\n

<\/p>\n

Vraag<\/span>
\nIT-audits worden afgesloten met een rapportage bevindingen, risico\u2019s en aanbevelingen tot verbeteringen. De lijn is verantwoordelijk voor het opvolgen van deze aanbevelingen. In de praktijk worden de aanbevelingen vaak niet of onvoldoende opgepakt, waardoor tijdens de audit geconstateerde risico\u2019s blijven bestaan of onvolledig worden gemitigeerd. Dit is een onwenselijke situatie. Wat zijn \u2013 bezien vanuit menselijk gedrag \u2013 de achterliggende redenen waarom auditaanbevelingen niet of onvoldoende worden opgevolgd?<\/p>\n

Antwoord<\/span>
\nIk denk dat het antwoord niet alleen betrekking heeft op het niet opvolgen van de aanbevelingen in het geval van IT-audits, maar op het niet opvolgen van aanbevelingen van audits in het algemeen.<\/p>\n

Vanuit de psychologie is het antwoord relatief eenvoudig: Mensen handelen omdat ze (1) worden gedwongen of (2) omdat ze er persoonlijk voordeel in zien. Dwang is voor zich sprekend, maar persoonlijk voordeel is een wat complexer verhaal. Hoe directer de relatie tussen handelen en persoonlijk voordeel, hoe gemotiveerder de persoon in kwestie zal zijn te handelen. Voordeel op de langere termijn is in beginsel minder motiverend, maar als het bijvoorbeeld de gezondheid van het eigen kind betreft, kan de motivatie toch vrij sterk zijn. Kijk je daarentegen bijvoorbeeld naar rokers, dan stel je vast dat de eigen gezondheid voor hen nauwelijks of niet motiverend werkt; ze roken gewoon door (\u2026)<\/p>\n

Audits hebben een controlerend karakter: \u2018doe je wat je moet doen volgens de procedures\/afspraken\/regels\/wetten\/werkinstructies\/veiligheidsvoorschriften enz.?\u2019 Gecontroleerd worden roept bij veel mensen het gevoel van \u2018niet vertrouwd worden\u2019 op en heeft daardoor vaak een negatief effect. Het is bovendien sterk gekoppeld aan het feit dat de eigen vrijheid van handelen wordt ingeperkt en ook dat wordt doorgaans niet als positief ervaren. Als de auditor nu ook nog vaststelt dat interventies nodig zijn, dan worden die gevoelens onderstreept.<\/p>\n

In het geval van IT-audits komt hier nog iets bij: IT-ers kiezen veelal voor een beroep in de informatietechnologie omdat die laatste voor hen zeer aantrekkelijk is: ze bouwen, ontwikkelen, cre\u00ebren dingen die complex, ingenieus en functioneel zijn. Ze zijn trots op het resultaat en \u2018raken opgewonden\u2019 van de technische hoogstandjes die zij anno 2016 weten te realiseren. Ze hebben veelal het gevoel daar ook ontzag mee af te dwingen: de wereld om hen heen begrijpt hun techniek veelal niet en dat geeft nog meer voldoening. Wordt een IT-audit uitgevoerd door een niet-IT deskundige, dan wordt deze als onwetend en irritant ervaren. Stelt deze persoon veel \u2018domme\u2019 vragen en geeft hij kritiek om het werk van de IT-er, dan wordt diens weerstand alleen nog maar groter. De IT-auditor en de IT-er staan dan al snel lijnrecht tegenover elkaar. En dat resulteert er vaak in dat hij zich n\u00f3g minder geroepen zal voelen de aanbevelingen van de auditor serieus te nemen.<\/p>\n

Vraag<\/span>
\nWelke interventies kunnen worden gepleegd om die opvolging wel gestalte te geven?<\/p>\n

Antwoord<\/span>
\nLukt het de organisatie niet de IT-er ervan te doordringen dat het noodzakelijk is volgens de vastgestelde voorschriften en procedures te werken, dan zal hij zijn eigen aanpak blijven hanteren. Dat is vaak het geval wanneer een organisatie gaande de tijd (meer) standaardiseert en de voorschriften en procedures verandert. Voor de IT-er kan dit betekenen dat de job en het bedrijf waar hij in het verleden voor heeft gekozen veranderen op een manier die hij niet prettig vindt. Langzaam ontstaat een kloof tussen wat hij wil en wat de organisatie van hem wil. In het begin van zijn dienstverband werd hij gewaardeerd voor zijn resultaten; inmiddels lijkt het er voor hem op dat zijn resultaten er niet meer toe doen en dat het alleen maar \u2018om de regeltjes en de papierkraam eromheen draait\u2019.<\/p>\n

Op zo\u2019n moment ben je aangekomen wanneer de audit-aanbevelingen niet of onvoldoende worden opgevolgd. Je zult dan met de IT-er in gesprek moeten en duidelijk maken dat \u2018de tijd is veranderd\u2019; zijn werkresultaat is waardevol vermits het op een bepaalde manier tot stand is gekomen. Is dat laatste niet het geval, dan is het niet (meer) voldoende. Als (IT-)voorbeeld zou je kunnen aangeven dat we in het jaar 2000 heel tevreden waren met een 64 Kbps ISDN-verbinding met toegang tot het internet. Die gebruikten we een uurtje per dag (anders werd de telefoonrekening te hoog) en we accepteerden dat die verbinding met enige regelmaat ongewenst verbroken werd en we opnieuw moesten inbellen. Anno 2016 vinden we 256 Mbps (4000 x zo snel) nog net acceptabel en klagen we bij de kabelexploitant (Ziggo, UPC) als de verbinding twee keer per week traag is. Valt de verbinding ook nog \u00e9\u00e9n keer per week even weg, dan eisen we compensatie. En dat vindt ook die IT-er heel normaal.<\/p>\n

Begrijpt de IT-er de parallel dan is het de vraag of hij bereid is zijn werk zodanig vorm te geven dat het voldoet aan de eisen\/wensen van de organisatie – m.a.w. of hij bereid is de audit-aanbevelingen volledig te omarmen. Is hij daartoe bereid, dan is het moment aangebroken om een stuk training aan te bieden. Begin met een awareness sessie en vervolg met praktijkgerichte training. Daarnaast is het van groot belang dat de IT-er ook serieus wordt betrokken bij het kwaliteitsmonitoring, bij de implementatie van controls en de uitvoering van audits zodat hij \u2018aware\u2019 blijft en zijn bijdrage kan leveren.<\/p>\n

Is hij niet bereid tot aanpassing en\/of begrijpt hij niet wat van hem wordt gevraagd, dan is een exit-traject waarschijnlijk de enige optie. Zo\u2019n medewerker komt wellicht beter in een andere omgeving tot zijn recht; een omgeving die zich wellicht buiten de pharma of food bevindt. Kanttekening daarbij is dat de veranderingen op enig moment ook d\u00e1\u00e1r zullen plaats vinden. Als het een jonge IT-er betreft, zal hij\/zij hoe-dan-ook in de toekomst met dezelfde situatie worden geconfronteerd. Tja, \u2026 dat heeft alles te maken met het kwaliteitsdenken dat het heden \u00e9n de toekomst kenmerkt.<\/p>\n

Vraag<\/span>
\nHoe denk je over de volgende stelling: ‘Het wel of niet slagen van verandering is mede afhankelijk van het gedrag van diverse stakeholders, zoals de opdrachtgever, de objectverantwoordelijke, de auditor en de uitvoerende organisatie.’<\/p>\n

Antwoord<\/span>
\nGrotendeels mee eens, maar het woord \u2018mede\u2019 is hier te interpreteren als \u2018overwegend\u2019. Het is aan de stakeholders om te zorgen dat de verandering succesvol vorm krijgt. En als dat betekent dat medewerkers de verandering niet accepteren, dan moeten beide partijen de consequenties daarvan accepteren. Voor de medewerker kan dat demotie of ontslag betekenen. Voor de opdrachtgever, de noodzaak om de medewerker te vervangen of te ontslaan. Maar daaraan vooraf gaat wel de \u2018verplichting\u2019 om de IT-er te helpen. Door hem\/haar te betrekken, te helpen, te faciliteren en te begeleiden.<\/p>\n

Vraag<\/span>
\nIn hoeverre zijn houding en gedragsaspecten van de auditor van invloed op het al dan doen opvolgen van de aanbevelingen?<\/p>\n

Antwoord<\/span>
\nVoor de auditor liggen er twee taken: hij moet de opdrachtgever \u2018leren\u2019 hoe de vork in de steel zit en dus duidelijk maken waarom de medewerkers de interventie niet omarmen. Hij kan daarbij hulp bieden in de zin van \u2018begrip bijbrengen\u2019 maar hij kan de verandering nooit zelf afdwingen of implementeren.<\/p>\n

Zijn tweede taak ligt in de goede communicatie richting de medewerkers. Het simpelweg vertellen dat het niet volgens de regels gebeurt of dat het niet goed is, helpt de medewerker niet en roept eerder weerstand op dan begrip. Hij dient zijn functie duidelijk te maken en de bevindingen subtiel te communiceren. Daarbij dient altijd duidelijk te zijn dat de auditor niet<\/u>\u00a0het werk van de medewerker als zodanig beoordeeld maar uitsluitend of het resultaat volgens de regels en procedures tot stand komt. Het resultaat van het werk van de medewerker kan immers van topkwaliteit zijn terwijl het vervolgens niet op de markt mag worden verkocht omdat het op de verkeerde wijze (of zonder de nodige bewijsstukken) tot stand is gekomen. Dat laatste is hetgeen de auditor moet vaststellen.<\/p>\n

Vraag<\/span>
\nIn hoeverre wordt de tijdige opvolging van auditaanbevelingen be\u00efnvloed door de houding en gedragsaspecten van de auditor<\/u>?<\/p>\n

Antwoord<\/span>
\nWanneer de auditor zich gedraagt zoals hierboven beschreven, heeft hij zijn best gedaan. M\u00e9\u00e9r k\u00e1n hij vanuit zijn positie als auditor niet. Omgekeerd betekent het dus dat een afwijkende houding alleen negatief effect zal hebben: probeert hij de medewerker te stimuleren zich aan de regels te houden, dan gaat hij om de stoel van diens chef zitten – dat is gedoemd te mislukken. En als hij niet in staat is zijn eigen positie helder te maken en te houden, dan zal de medewerker hem niet langer serieus nemen en is de kans n\u00f3g kleiner dat hij de aanbevelingen gaat opvolgen.<\/p>\n

Laatste vraag<\/span>
\nHeb je eigen ervaringen in dit vlak?<\/p>\n

Antwoord<\/span>
\nJa, Die heb ik opgedaan in verschillende rollen:<\/p>\n