Onze klant, een Nederlandse verzekeraar, vroeg ons hen te helpen met hun Systematische Integriteitsrisicoanalyse (SIRA). We brachten de integriteitsrisico's voor de organisatie in kaart, faciliteerden workshops om aanbevelingen te formuleren, valideerden deze met het management en maakten de cirkel rond door beslissingen op managementniveau terug te koppelen naar de workshopdeelnemers. Het resultaat: een grotere bereidheid tot verandering binnen de organisatie, een lijst met uitvoerbare verbeterpunten en een verhoogde efficiëntie.
Draagvlak begint aan de top
Onze klant, een Nederlandse verzekeraar, schakelde ons in om te ondersteunen bij de Systematische Integriteit Risico Analyse (SIRA). Niet alleen voor de uitvoering van de analyse zelf, maar ook om ervoor te zorgen dat de uitkomsten daadwerkelijk werden gedragen door het senior management.
"De SIRA is bedoeld om inzicht te geven in de integriteitsrisico’s waarmee een organisatie wordt geconfronteerd," legt Johan Septer, een expert op dit gebied, uit. "Daarvoor identificeer je risico’s en werk je scenario’s uit waarin de integriteit van de organisatie onder druk kan komen te staan. Dat kunnen interne risico’s zijn, zoals ongewenst gedrag, discriminatie of pesten, maar ook externe risico’s zoals witwassen of terrorismefinanciering."
In de praktijk blijkt het echter vaak lastig om de SIRA dicht bij de business te houden. Door toenemende verwachtingen van toezichthouders is de methodiek in veel organisaties uitgegroeid tot een complex en technisch proces. Hierdoor verschuift het eigenaarschap regelmatig van de eerste lijn naar risk- en compliancefuncties.
Het gevolg is dat de SIRA soms vooral wordt gezien als een verplichte exercitie voor de toezichthouder, in plaats van als een instrument om risico’s beter te begrijpen en gerichte verbeteringen door te voeren. Tegelijkertijd neemt de behoefte aan externe ondersteuning toe, omdat het voor organisaties steeds uitdagender wordt om de vereiste analyses volledig zelfstandig uit te voeren.
“Om echt te begrijpen wat er binnen een organisatie speelt en welke scenario’s tot integriteitsrisico’s kunnen leiden, heb je de input van de business nodig”
Houd het beheersbaar
De inhoud van de SIRA is in de eerste plaats een verantwoordelijkheid van de business. Tegelijkertijd moet het management voldoende betrokken zijn om risico’s te herkennen, te beoordelen en hierop te kunnen sturen. De uitdaging is dan ook om de SIRA toegankelijk en praktisch te maken.
Een thematische aanpak helpt daarbij. Door risico’s te groeperen rond specifieke onderwerpen wordt de SIRA concreter, tastbaarder en beter hanteerbaar. Hoewel periodieke validatie belangrijk blijft, kiezen steeds meer organisaties voor continue risicosturing. Daarbij wordt niet elk risico jaarlijks met dezelfde diepgang geanalyseerd. In plaats daarvan krijgen thema’s die onderhevig zijn aan relevante ontwikkelingen gedurende een bepaalde periode extra aandacht.
Bij het actualiseren van de SIRA is het daarom belangrijk om niet alleen naar bestaande risico’s te kijken, maar vooral naar veranderingen die invloed kunnen hebben op het risicoprofiel. Denk aan nieuwe producten of diensten, wijzigingen in de klantportefeuille, uitbesteding van activiteiten, digitalisering van processen, incidenten, klachten of veranderingen in wet- en regelgeving. Dergelijke ontwikkelingen vormen vaak een goede aanleiding om risico’s of scenario’s opnieuw te beoordelen.
Daarnaast kan veel waardevolle informatie al beschikbaar zijn binnen de organisatie. Uitkomsten van medewerkerstevredenheidsonderzoeken kunnen bijvoorbeeld inzicht geven in integriteitscultuur, meldbereidheid of ongewenst gedrag. Ook interne audits, compliance monitoring, incidentrapportages en managementinformatie kunnen belangrijke signalen bevatten over veranderingen in integriteitsrisico’s. Zo wordt de SIRA een doorlopend proces in plaats van een jaarlijkse exercitie.
"Uiteindelijk is een SIRA niets meer dan een verzameling individuele risicobeoordelingen. Je hoeft niet elk jaar elk aspect grondig te analyseren. Je kunt een paar onderwerpen kiezen om aan te werken en die vervolgens jaar na jaar laten rouleren," zegt Johan Septer.
"Juist door aandacht, capaciteit en beheersmaatregelen af te stemmen op de aard, omvang en complexiteit van de organisatie blijft de SIRA zowel beheersbaar als relevant. Zo krijgen risico’s met een potentieel materiële impact meer aandacht, terwijl minder risicovolle onderwerpen proportioneel kunnen worden beoordeeld."
"Ik zou zeggen dat je ieder onderwerp minimaal eens per drie jaar diepgaand moet bekijken. Verandert er tussentijds iets binnen de organisatie dat invloed heeft op de integriteitsrisico’s, dan moet je daar uiteraard eerder naar kijken. Door de analyse op te delen in kleinere onderdelen blijft het proces beheersbaar."
“Juist door aandacht, capaciteit en beheersmaatregelen af te stemmen op de aard, omvang en complexiteit van de organisatie blijft de SIRA zowel beheersbaar als relevant.”
Vraag het de experts: SIRA-workshops
We organiseerden workshops met eerstelijnsmanagers en andere medewerkers buiten risk en compliance. Hun kennis van de dagelijkse werkzaamheden, processen en klantinteracties helpt om integriteitsrisico’s concreter te maken en risico-inschattingen beter te onderbouwen. In combinatie met de expertise van risk- en complianceprofessionals ontstaat zo een completer en evenwichtiger risicobeeld.
"We hebben de scenario’s uit de vorige SIRA besproken. Zijn dit nog steeds de belangrijkste risico’s, of zien medewerkers andere risico’s die aandacht verdienen?" vertelt Johan Septer. "Voor het thema externe fraude hebben we medewerkers van verschillende afdelingen samengebracht. Het is interessant om te zien dat mensen soms al jaren samenwerken zonder precies te weten wat elkaars rol inhoudt. Iedereen ziet een deel van het proces, maar niet het geheel. Door al die kennis en ervaring samen te brengen, ontstaat een veel beter inzicht dan wanneer je alles overlaat aan de risk- en complianceafdeling."
Tijdens de workshops lag de nadruk niet op het toekennen van risicoscores
"De toezichthouder verwacht dat risico’s worden gekwantificeerd, maar in plaats van lange discussies te voeren over de vraag of een risico een 4 of een 5 moet krijgen, hebben wij ons gericht op de vragen die er echt toe doen," legt Septer uit. "Welke risico’s lopen we? Zijn er nieuwe risico’s bijgekomen of verdwenen? Hebben we deze voldoende onder controle? Zijn de beheersmaatregelen effectief? En waarop baseren we die conclusie?"
Dit zijn ook de vragen die voor het management het meest relevant zijn. Door de focus te leggen op de inhoud in plaats van op de score, leidt de SIRA tot concrete verbeteracties en beter onderbouwde besluitvorming. Zo wordt de SIRA meer dan een verplichte risicoanalyse en levert zij daadwerkelijk waarde op voor de organisatie.
Data en geopolitieke ontwikkelingen
Workshops en expert judgement blijven essentieel voor een goede SIRA. Tegelijkertijd zien wij dat steeds meer organisaties gebruikmaken van data-analyse om risico's beter te onderbouwen. Ook toezichthouders leggen meer nadruk op een datagedreven benadering, zoals onder meer blijkt uit de Good Practices SIRA (2025) van De Nederlandsche Bank.
Door bijvoorbeeld klachten, incidenten, transacties, klantkenmerken of meldingen te analyseren, kunnen patronen zichtbaar worden die anders onopgemerkt blijven. Daarnaast hebben geopolitieke ontwikkelingen laten zien hoe snel het risicolandschap kan veranderen. Sanctieregimes, internationale conflicten, ketenafhankelijkheden en maatschappelijke ontwikkelingen kunnen leiden tot nieuwe integriteitsrisico's die enkele jaren geleden nog nauwelijks aandacht kregen.
Organisaties doen er daarom goed aan om hun SIRA niet uitsluitend te baseren op historische risico's en workshops, maar deze ook te voeden met data, interne signalen en externe ontwikkelingen. De combinatie van kwalitatieve inzichten en kwantitatieve analyses leidt vaak tot een sterker, actueler en beter onderbouwd risicobeeld.
“De sterkste SIRA ontstaat door de combinatie van praktijkkennis en ervaring met datagedreven inzichten. Dit levert vaak een beter inzicht dan wanneer je de hele analyse overlaat aan Risk & Compliance.”
To the point rapportage
Nadat we het management actief bij de SIRA hadden betrokken, kozen we er ook voor om de resultaten op een andere manier te presenteren. Niet via de gebruikelijke mega-spreadsheet: complex, vol kleuren en nauwelijks leesbaar. Want als een rapport te ingewikkeld wordt, verliest het zijn waarde.
"We hielden de rapportage bewust beknopt en boden alleen verdieping waar dat nodig was: bij de materiële risico’s, de belangrijkste scenario’s, afwijkende risico-inschattingen en voorgestelde maatregelen," vertelt Johan Septer. "Vragen als ‘Wat is ons risicoprofiel?’ leiden vaak tot interessante discussies. Waar de één een risico als beperkt ziet, beschouwt een ander hetzelfde risico juist als een van de grootste bedreigingen voor de continuïteit of reputatie van de organisatie."
Naast de risicoanalyse werden ook de aanbevelingen uit de workshops opgenomen in de rapportage. Daarbij stond één vraag centraal: wat ervaren de medewerkers die dagelijks met deze producten, processen en risico’s werken? Hun inzichten vormen vaak een waardevolle bron voor het identificeren van verbeteringen.
Het management beoordeelt vervolgens de voorgestelde maatregelen en besluit welke verbeteringen worden doorgevoerd. Minstens zo belangrijk is dat deze besluiten worden teruggekoppeld aan de medewerkers die hebben bijgedragen aan het proces. Zo blijft voor iedereen zichtbaar wat er met de input uit de workshops gebeurt.
"Mensen willen weten dat hun inspanningen effect hebben gehad. Bovendien zijn zij vaak veel ontvankelijker voor veranderingen wanneer zij zelf hebben meegedacht over de oplossingen," aldus Septer.
"Het gaat erom het risicobewustzijn binnen de organisatie te vergroten en tegelijkertijd de kennis en expertise van medewerkers te waarderen."
De kracht van interactie
Op basis van de resultaten van de workshops formuleerden we aanbevelingen die vervolgens werden gevalideerd door de medewerkers die aan de sessies hadden deelgenomen. Na deze validatie werden de aanbevelingen besproken met het management, dat besloot welke verbetermaatregelen zouden worden opgepakt.
"Op veel aanbevelingen reageerde het management positief," vertelt Johan Septer. "Soms bleek zelfs dat er al actie was ondernomen, terwijl medewerkers op de werkvloer daarvan niet op de hoogte waren. Dat was voor het management een belangrijk signaal om beslissingen beter te communiceren."
Juist deze wisselwerking tussen management en medewerkers maakt het proces waardevol. Door inzichten uit de organisatie op te halen, terug te koppelen wat ermee gebeurt en verbeteringen gezamenlijk op te pakken, ontstaat meer betrokkenheid, draagvlak en eigenaarschap. Deze interactie binnen de organisatie is bijzonder krachtig en draagt bij aan een beter functionerende organisatie als geheel.
Hoe verder?
Na afronding van de SIRA stopt het proces niet. Organisaties moeten de geïdentificeerde verbetermaatregelen immers ook daadwerkelijk implementeren en verankeren. Daarbij kan aanvullende ondersteuning waardevol zijn.
"Met deze klant hebben we afgesproken om hen gedurende de volledige driejarige SIRA-cyclus te begeleiden," vertelt Johan Septer. "Als je pas in het vierde kwartaal aan de SIRA denkt, wanneer de agenda’s al vol staan met andere prioriteiten, wordt het lastig om er voldoende aandacht aan te besteden. Plan de workshops daarom tijdig en houd het onderwerp gedurende het hele jaar op de agenda."
De benodigde ondersteuning verschilt per organisatie. Sommige organisaties hebben vooral behoefte aan een kritische sparringpartner, terwijl andere ondersteuning zoeken bij de verdere inrichting en uitvoering van hun SIRA-proces.
De grootste meerwaarde ontstaat wanneer de SIRA wordt geïntegreerd in bestaande processen. Denk aan projectgovernance, productontwikkeling, incidentmanagement, HR-initiatieven, outsourcingtrajecten en IT-risicoanalyses.
"Als IT een cyberrisicoanalyse uitvoert, waarom zouden we de gedrags- en integriteitscomponent dan niet direct meenemen?" aldus Septer.
Door integriteitsrisico’s gedurende het jaar mee te nemen in bestaande besluitvormingsprocessen ontstaat niet alleen een efficiëntere aanpak, maar ook een actueler en beter onderbouwd risicobeeld. De SIRA wordt daarmee geen jaarlijks project, maar een integraal onderdeel van de bedrijfsvoering.
Ook monitoring- en testactiviteiten kunnen waardevolle input leveren. Denk aan controles op klantdossiers, transactiemonitoring, sanctiescreening, compliance monitoring, control testing en de periodieke evaluatie van beheersmaatregelen. Organisaties die gebruikmaken van een GRC-tool kunnen deze informatie gedurende het jaar verzamelen en analyseren, waardoor veranderingen in het risicoprofiel tijdig worden gesignaleerd en de effectiviteit van beheersmaatregelen beter kan worden gevolgd.
"De meeste waarde ontstaat wanneer de SIRA geen jaarlijkse exercitie meer is, maar een integraal onderdeel van de dagelijkse bedrijfsvoering."
Over Projective Group
Projective Group is opgericht in 2006 en is een toonaangevende veranderspecialist voor de financiële sector. Met diepgaande expertise op practices in Data, Payments, Transformatie en Risk & Compliance.
We worden binnen de sector erkend als een provider van complete oplossingen, die samenwerkt met klanten in de financiële dienstverlening om oplossingen te bieden die zowel holistisch als pragmatisch zijn. We hebben ons ontwikkeld tot een betrouwbare partner voor bedrijven die willen gedijen en bloeien in een steeds veranderend landschap van financiële dienstverlening.
