Het vastleggen van de opzet, het bestaan en de werking van beheersmaatregelen is essentieel om aantoonbaar in control te zijn.
- Opzet beschrijft hoe een maatregel is ontworpen. Hierbij wordt beoordeeld of de maatregel, wanneer deze correct wordt uitgevoerd, voldoende is om een risico te beheersen.
- Bestaan toont aan dat de maatregel daadwerkelijk aanwezig en ingericht is binnen de organisatie. Denk hierbij aan procedures, beleid, configuraties of technische voorzieningen.
- Werking laat zien dat de maatregel in de praktijk consequent en effectief wordt uitgevoerd en het beoogde resultaat bereikt.
Door deze drie aspecten vast te leggen ontstaat niet alleen inzicht in welke maatregelen zijn bedacht, maar ook of deze daadwerkelijk aanwezig zijn en functioneren zoals bedoeld. Dit is belangrijk voor interne beheersing, audits, certificeringen en het aantonen van compliance met wet- en regelgeving.
Een maatregel die goed is ontworpen maar niet bestaat, biedt geen bescherming. Een maatregel die wel bestaat maar niet werkt, biedt schijnzekerheid. Pas wanneer de opzet, het bestaan én de werking aantoonbaar zijn vastgelegd, kan met vertrouwen worden vastgesteld dat een risico daadwerkelijk wordt beheerst.