Compliance en risico zijn geen apart bedrijfsonderdeel dat op afstand meekijkt. Ze zitten in elk proces waar een beslissing wordt genomen, een controle wordt uitgevoerd of een rapportage wordt opgesteld. Op het moment dat AI een deel van dat werk overneemt, verandert er iets fundamenteels: niet de regels, maar de vraag wie of wat de regel toepast, en wie daarvoor verantwoording draagt.
Drie soorten werk lopen door elke compliance- en risicofunctie heen. Een deel kan door AI worden overgenomen omdat het gaat om herkenbare patronen en vaste toetsingskaders: signalering van afwijkingen, eerste screening van dossiers, samenvatten van regelgeving. Een deel blijft deels mensenwerk met AI als ondersteuning: een systeem doet een voorstel, een persoon keurt goed of af en legt vast waarom. En een deel blijft mensenwerk, met name waar oordeel, belangenafweging of juridische aansprakelijkheid in het spel is. Welke taak in welke categorie valt, verschilt per bedrijf en per proces, en dat is precies waar de gereedheid zich laat zien.
Twee bedrijven met dezelfde compliance-verplichting kunnen op dit moment volledig verschillend georganiseerd zijn. Het ene bedrijf heeft de controlepunten in het proces zo beschreven dat helder is welke stap een AI-systeem mag uitvoeren en welke stap een mens moet bevestigen. Het andere bedrijf heeft die scheiding nooit gemaakt, omdat het werk altijd door dezelfde persoon in dezelfde volgorde werd gedaan en niemand de noodzaak zag om dat te ontleden.
Dat verschil zit niet in de regelgeving, die is voor beide gelijk. Het zit in de vraag of de organisatie haar eigen processen kent op het niveau van de afzonderlijke taak. Een directie die op strategisch niveau spreekt over "risicobeheer versnellen met AI" zonder te weten welke deeltaken daaronder vallen, spreekt over een ambitie zonder dat de onderliggende gereedheid is vastgesteld. Dat is het onderscheid dat elders wordt uitgelegd bij het verschil tussen een doel en een ambitie: een ambitie die AI-werk veronderstelt, vraagt een andere onderbouwing dan een doel dat alleen een uitkomst benoemt.
Het merkbare verschil zit niet in dashboards of technologie, maar in het antwoord op een aantal directe vragen. Kan de organisatie aanwijzen welke controlestap nu al met AI-ondersteuning wordt uitgevoerd, en wie de uitkomst daarvan beoordeelt? Is vastgelegd wie bevoegd is om een AI-voorstel af te keuren, en op welke gronden? Wordt bijgehouden hoe vaak een AI-signaal wordt overruled, en wat daar de reden voor was?
Een organisatie die deze vragen met een concreet antwoord beantwoordt, heeft de gereedheid op deze dimensie al voor een deel ingevuld. Een organisatie waar het antwoord uitkomt op "dat doen we per geval" heeft nog geen structuur die AI-werk in compliance en risico kan dragen, ongeacht hoe geavanceerd de gebruikte software is.
Het werk achter deze gereedheid speelt zich af op drie niveaus. Op procesniveau gaat het om het ontleden van compliance- en risicowerk in taken die daadwerkelijk overdraagbaar zijn en taken die dat niet zijn — dat sluit aan bij de vraag die elders wordt behandeld over wat het kost om processen en operatie gereed te maken voor AI. Op governance-niveau gaat het om besluitrechten: wie mag een AI-uitkomst in een compliance-proces bekrachtigen, en is die bevoegdheid vastgelegd of impliciet gebleven — een vraag die raakt aan wat het kost om strategie en governance gereed te maken voor AI. Op capaciteitsniveau gaat het om de vraag welke uren in de compliance- en risicofunctie vrijkomen wanneer een deel van het werk verschuift, en of die vrijgespeelde capaciteit ergens anders binnen risicobeheer wordt ingezet of niet.
Hier geldt een grens die niet vervaagt: als vrijgespeelde capaciteit raakt aan personeelsbeslissingen, gelden daarvoor eigen wettelijke vereisten, los van wat deze toets in kaart brengt.
Als een deel van het compliance- en risicowerk daadwerkelijk naar AI verschuift, verandert de rol van de mens in dat proces van uitvoerder naar beoordelaar. Dat is een andere vaardigheid, met een andere verantwoordelijkheid en vaak een ander besluitrecht dan de rol die er nu is ingericht. Een directieteam dat dit niet expliciet maakt, loopt het risico dat de AI-uitkomst wel wordt geproduceerd, maar door niemand met het juiste mandaat wordt beoordeeld — met risico op verkeerde interpretatie in de rapportage aan toezichthouders, aandeelhouders of de markt, iets wat ook doorwerkt in hoe merk en markttoegang zich verhouden tot werk dat AI overneemt en in de financiële rapportagelijnen die daarop steunen, zoals te lezen bij financiële veerkracht als AI werk overneemt.
De onderliggende vraag — welk werk in dit bedrijf werkelijk door AI over te nemen is — wordt per taak beantwoord met de werkscan van FTE TO AI.
De eerste stap is niet een technisch project, maar een eerlijk beeld van waar de organisatie staat. De gratis gereedheidscheck bestaat uit acht korte vragen, één per dimensie, en geeft een beeld van waar u het verst gevorderd bent en waar nog vrijwel niets is vastgelegd. De volledige ambitietoets, die ambities in vier lagen vastlegt en toetst op alle acht dimensies, is in aanbouw.
Vertel wat u wilt bereiken, dan kijken we samen wat daarvoor moet staan.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.