Heb jij een managementsysteem ingericht met als doel het behalen en behouden van een certificering? Of pluk je daadwerkelijk de vruchten van een goed ingericht, en daarmee dus duurzaam, managementsysteem? Wanneer je oprecht aandacht besteedt aan (het bewustzijn van) mensen binnen je organisatie kun je met recht zeggen dat risico’s geborgd zijn. Om dat te bewerkstelligen is het zaak om mensen in beweging te krijgen. Maar hoe doe je dat in de praktijk?
Wanneer je aan de slag gaat met de implementatie van een norm – en eventueel de daarbij behorende certificering – uit één van de thema’s Kwaliteit, Informatiebeveiliging, Arbo & Milieu en/of Voedselveiligheid (KAMVI), dan zijn er grofweg drie elementen waar je aandacht aan moet besteden:
- Ondernemen: Iedere organisatie heeft doelen en een bijpassende strategie. Wat is de stip op de horizon? Waar ligt je kracht en wat kan beter? Op welke trends moet je inspelen?
- Organisatie: Wanneer je kijkt naar de organisatie dan kijk je bijvoorbeeld naar de organisatiestructuur, procedures, overlegstructuur, een auditprogramma, een monitoringsprogramma, taken-bevoegdheden-verantwoordelijkheden, een risicoanalyse et cetera.
- Mensen: Mensen binnen de organisatie moeten gecommitteerd zijn aan het doel, maar ook passen bij je organisatie(structuur). Het draait om bewustwording, gedrag en betrokkenheid.
Het is zaak dat deze drie elementen zo optimaal mogelijk met elkaar in balans zijn. Je kunt je voorstellen dat wanneer een organisatie de cultuur en structuur niet op orde heeft, dat effect heeft op de mensen die voor de organisatie werken. Als de mensen niet gecommitteerd zijn aan de organisatie, dan ga je de stip op de horizon ook niet makkelijk bereiken.
De driehoek optimaal in balans
Vrijwel iedere organisatie is met elementen uit bovenstaande driehoek bezig. Het zal je niet verbazen dat het element ‘organisatie’ bij de meeste organisaties het best vertegenwoordigd is. Voor veel KAM-managers zijn zaken als organisatiestructuur, het herkennen en optimaliseren van processen, het implementeren van normeisen en bijvoorbeeld het periodiek auditen immers gesneden koek. Ook het element ‘ondernemen’ is voor de gemiddelde organisatie bekend terrein: doorgaans zijn er doelen opgesteld, is er een richting bepaald en zijn sterke punten, verbeterpunten, kansen en risico’s aardig in kaart gebracht.
Dat alles is vaak netjes ondergebracht en geborgd in een managementsysteem dat jaarlijks geëvalueerd en geaudit wordt. Het managementsysteem is dan ingericht met het doel om een certificering te behalen en te behouden. Voor veel organisaties stopt het daar vervolgens. Uiteraard stopt het managementsysteem zelf niet, want door o.a. (interne) audits komt de organisatie vanzelf in een proces van continue verbetering wat ervoor zorgt dat het managementsysteem vanzelf beter wordt. Waar we op doelen met ‘daar stopt het’ is dat het managementsysteem vaak de aangelegenheid van een KAM-manager is en blijft. Zonde! Wanneer we de driehoek er weer bijnemen, zie je namelijk dat er één element onderbelicht blijft. Want hoe zit het met (het bewustzijn van) mensen binnen de organisatie? Zijn medewerkers zich bewust van de relevante issues, de bijbehorende beheersmaatregelen en hetgeen dat geborgd is in het managementsysteem?
Duurzaam managementsysteem
Het gaat erom dat je als organisatie de vruchten gaat plukken van je goed ingerichte managementsysteem. Dat gaat verder dan alleen gecertificeerd zijn en blijven. Certificeren en een goed ingericht systeem zijn namelijk niet het eindpunt, maar juist het startpunt voor het zetten van de volgende (groei)stap met je organisatie. Wanneer je jezelf een spiegel voorhoudt en gaat bekijken wat nu daadwerkelijk de risico’s en pijnpunten van je organisatie zijn, ga je zien dat dit in veel gevallen hand in hand gaat met menselijk handelen.
Voorbeeld: mkb-organisaties krijgen steeds vaker te maken met phishingmails van kwaadwillenden. Als je het risico dat daaraan vasthangt wilt mitigeren, dan kun je een managementsysteem opzetten en daar maatregelen op implementeren, maar daar ga je het probleem niet mee oplossen. Het risico gaat namelijk gepaard met het dagelijks handelen van mensen in de organisatie: zijn ze in staat om de phishingmail te herkennen of niet? Dat dagelijks handelen ga en kun je niet elke dag auditen of evalueren, maar het dient wel geborgd te worden.
Het is dus niet voldoende om dat enkel te borgen in een managementsysteem. Borging dient ook plaats te vinden via de mensen in je organisatie. Je managementsysteem vormt als het ware de structuur waar je dagelijks mee bezig bent in de praktijk; het handelen daarin ligt bij mensen.
Het is dus van belang om bewustzijn bij die mensen te creëren. Theoretisch weten ze mogelijk wel wat de risico’s zijn, maar zijn ze zich daar ook bewust van in het dagelijks handelen? Om dat te achterhalen moet je weten hoe hoog het kennisniveau van mensen daadwerkelijk is, bijvoorbeeld door te toetsen.
Het resultaat van aandacht besteden aan het element ‘mensen’ is een duurzaam managementsysteem waarbij mensen in de organisatie:
- weten waarom ze dingen op een bepaalde manier doen;
- zich verantwoordelijk voelen;
- in staat zijn om zaken te herkennen, te voorkomen en daarop te acteren en;
- zelf bedenken wat nodig is om het de volgende keer beter te doen.
Het is dus belangrijk om mensen in beweging te krijgen om zo met recht te kunnen zeggen dat risico’s geborgd zijn.
Mensen in beweging krijgen
De vraag die dan overblijft is: hoe krijg je mensen in beweging? Hoe neem je ze mee in jouw bewustwordingsmissie? Om die vraag te beantwoorden kijken we eerst naar een stukje theorie: naar de vergeetcurve van Ebbinghaus. Uit zijn onderzoek blijkt dat wanneer je informatie één keer zendt, je per dag het percentage dat mensen onthouden ziet afnemen. Nieuw geleerde dingen worden in eerste instantie dus goed onthouden, maar na verloop van tijd gaan mensen dingen vergeten. Naast dat het uitmaakt wat voor informatie wordt aangeboden en op welke manier informatie wordt aangeboden, maakt het ook uit wanneer informatie wordt aangeboden. Uit het onderzoek van Ebbinghaus komt ook naar voren dat je informatie bij herhalen steeds beter onthoudt. Daarmee maakt hij het belang duidelijk van gespreid leren (spaced practice).
Het is dus zaak dat:
- je informatie niet enkel zendt, maar mensen er ook op een (inter)actieve manier mee bezig laat zijn;
- je informatie in verschillende vormen aanbiedt en continu blijft herhalen;
- je informatie waar mogelijk opknipt in korte stukken; en
- dat informatie beschikbaar is op moment dat mensen er open voor staan (on demand).
Tot zover de theorie, maar hoe doe je zoiets dan in de praktijk? Dat laten we zien aan de hand van drie voorbeelden uit verschillende KAMVI-thema’s:
Informatiebeveiliging
Voor veel organisaties is het informatiebeveiligingsbewustzijn verhogen een grote uitdaging en dat komt met name door de invloed van de mens in dit verhaal. De mens is, wanneer je kijkt naar procedures-systemen-mensen, doorgaans de zwakste schakel. Om hen bewust te maken van hun handelen is het daarom belangrijk medewerkers de hedendaagse risico’s en gevaren aan te leren op het menselijk vlak van informatiebeveiliging en privacy. Om die reden dienen medewerkers continu getraind te worden, zodat hun kennis wordt vergroot en zij eerder kunnen ingrijpen bij een mogelijke dreiging.
Wanneer je dat eenmalig doet in de vorm van een ellenlange presentatie waarbij eenzijdig wordt gecommuniceerd door een zender, heeft dat doorgaans lage impact. Maak van security awareness daarom iets leuks voor je medewerkers: kies voor inspirerende, interactieve werkvormen. Denk aan:
- een maandelijkse online vragenlijst over allerlei informatiebeveiligingszaken om het kennisniveau te testen op relevante thema’s;
- een phishing-simulatie: hoeveel mensen weten dit op de juiste manier te herkennen? Aansluitend daarop kun je de resultaten bespreken in een bewustwordingssessie;
- een security awareness game waarbij je medewerkers door middel van een spelvorm laat zien wat de juiste manier van handelen is.
Wat aanslaat verschilt per organisatie, maar je ontdekt vanzelf welke vormen goed ontvangen worden. Zo kun je periodiek een bewustwordingsprogramma samenstellen met daarin allerlei verschillende vormvarianten.
Arbo en veiligheid
Wanneer we kijken naar veilig werken met betrekking tot het gebruik van bescherming, gereedschappen, machines en risicovolle taken, dan kun je kiezen voor het organiseren van een toolboxmeeting. In de praktijk is een toolboxmeeting vooral gericht op het zenden van informatie. Maar met enkel informatie zenden creëer je niet voldoende bewustwording; je zult dus een niveau dieper moeten gaan. Door bijvoorbeeld (periodiek) te toetsen hoe mensen er in de praktijk mee omgaan. Dat kan bijvoorbeeld door medewerkers vragenlijsten te laten invullen via een app op hun telefoon, of periodiek een (inter)actieve sessie binnen teams te organiseren. Om hierin bewustwording te creëren, is het zaak dat je de juiste vragen stelt die medewerkers aanzetten tot nadenken:
- Wat zijn ongevallen die meldingsplichtig zijn, zowel intern en extern? Wat zijn bijna-ongevallen die gemeld moeten worden?
- Hoe wordt er omgegaan met ongevallen; bij wie moet je melden?
- Diverse vragen over risico’s van werken op hoogte (ladder/steiger);
- Diverse vragen over risico’s van werken met machines;
- Wat is het belang van machinekeuringen?
- Hoe voer je een LRMA uit?
Milieu
Tot slot een praktijkvoorbeeld uit het thema milieu. Ook rondom milieuaspecten is het gedrag van mensen cruciaal. Denk bijvoorbeeld aan een bedrijf dat gevaarlijke stoffen opslaat of gebruikt. Daarbij dien je de belangrijkste risico’s in je managementsysteem te borgen en is het belangrijk dat de beheersmaatregelen vanuit de wetgeving (bijvoorbeeld PSG 15) goed zijn geborgd binnen de organisatie. Als organisatie moet je hierbij verder denken dan alleen de procedure of werkinstructie. Je werknemers moeten goed op de hoogte zijn van de risico’s en hun rol en handelen daarin. Naast bewustwordingssessies kun je mensen periodiek e-learnings laten doorlopen, waarin iedere keer op een stukje informatie wordt ingezoomd. Dat kan gecombineerd worden met online-toetsen. Dit soort methoden zorgen ervoor dat medewerkers van bewust bekwaam naar onbewust bekwaam gaan. Dat komt omdat risico’s niet enkel geborgd zijn op papier, maar verankerd zijn in het bewustzijn van de medewerker.
Gedrag van en bewustwording bij mensen is niet enkel een speerpunt in deze driehoek, maar staan ook steeds centraler in allerlei normen. Het is dus essentieel dat je mensen meekrijgt met jouw (organisatie)missie. Hoe krijg jij mensen in beweging binnen jouw organisatie?
Over de auteurs
Martijn Jonkers is Adviseur Managementsystemen bij CertificeringsAdvies Nederland.
Steven Zwarts is Adviseur Managementsystemen bij CertificeringsAdvies Nederland.
Nelis van de Pol is Directeur bij CertificeringsAdvies Nederland.