De nieuwe topman van Heineken, Rafael Oliveira, wil een sterkere prestatiecultuur en wil daarvoor ook de organisatiestructuur vereenvoudigen (FD, 29/10/26). Bij haar aantreden gaf Heather Polinsky, de CEO van Arcadis, aan dat zij technische expertise nadrukkelijker wil combineren met commerciële slagkracht (FD, 16/03/26). Zij staan niet alleen. Ook bij het Zwitserse Nestlé, het Amerikaanse Boeing en het Japanse Nissan spreken bestuurders openlijk over cultuurverandering. Het zijn zichtbare voorbeelden van een vraagstuk dat ontegenzeglijk in veel meer ondernemingen speelt. De ambities verschillen, maar de gedachte erachter is vergelijkbaar: een nieuwe koers vraagt niet alleen om andere plannen en processen, maar ook om ander gedrag.
Nieuw is die gedachte niet. Voor risico- en assurance-professionals roept dit echter een fundamentele vraag op: hebben we voldoende zicht op de gedragingen die bepalend zijn voor het realiseren van de strategie, én op de nieuwe risico’s die ontstaan wanneer bestuurders de organisatiecultuur willen veranderen?
Cultuur als strategische factor
Strategie, governance, risicomanagement en cultuur zijn onlosmakelijk verbonden. De strategie geeft richting, governance bepaalt kaders en verantwoordelijkheden en risicomanagement ondersteunt afwegingen. Maar cultuur beïnvloedt hoe mensen daadwerkelijk beslissen, samenwerken, risico’s nemen en met tegenspraak omgaan. Cultuur kan de realisatie van strategische ambities versterken of juist ondermijnen. Ook goed ontworpen beheersmaatregelen verliezen betekenis als het gedrag er niet bij aansluit.
De keerzijde van cultuurverandering
Cultuurverandering betekent niet vanzelfsprekend verbetering. Meer resultaatgerichtheid kan prestaties bevorderen, maar ook kortetermijndenken, ongewenste druk, fraude en onethisch gedrag uitlokken. Bij een Ecuadoriaanse dochter van het Nederlandse Nutreco werden omzetcijfers gemanipuleerd. Volgens berichtgeving in 2025 over een forensisch onderzoek speelden omzetdoelen, bonussen en een hiërarchische cultuur met weinig ruimte voor tegenspraak daarbij een rol. De casus illustreert hoe prestatiedoelen, beloningsprikkels en bestaande cultuurkenmerken elkaar zodanig kunnen versterken dat ernstige gedragsrisico’s ontstaan.
De opgave is dus dubbel: begrijpen of de bestaande cultuur de belangrijkste ambities ondersteunt én onderkennen welke nieuwe risico’s ontstaan door de ingrepen waarmee het management die cultuur wil veranderen. Juist wanneer een nieuwe koers breed wordt omarmd, is het van belang dat risico- en assurance-professionals kritisch blijven op de mogelijke ongewenste effecten ervan.
Van vaktechniek naar bestuurlijke relevantie
De vaktechnische basis ontbreekt niet. ISO 31000 (2018) onderkent het belang van menselijke en culturele factoren. COSO ERM (2017) verbindt cultuur met strategie, governance en prestaties. Nieuwe COSO-guidance (2026) benadrukt bovendien dat risicomanagement moet doorwerken in de besluitvorming, niet slechts in documentatie. Voor internal audit biedt de IIA-practice guide Auditing Culture (2024) praktische handvatten. De Organizational Behavior Topical Requirement (Organisatiegedrag), die op 15 december 2026 van kracht wordt, stelt aanvullende vereisten bij toepasselijke assuranceopdrachten. Organisatiegedrag vormt daarbij een onderdeel van het bredere begrip organisatiecultuur.
Maar normen en methoden vertellen ons niet vanzelf waar we moeten kijken. Begrijpen we welke belangen voor bestuur en toezicht het zwaarst wegen en waar cultuur die belangen kan ondersteunen of bedreigen? Of beperken vertrouwde auditonderwerpen, risicoregisters en rapportagecycli ons blikveld? Dat inzicht wordt ons niet vanzelf aangereikt. Het vraagt blijvend onderzoek: doorvragen in de lijn, verschillende perspectieven opzoeken, besluiten en gedrag observeren en tegenstrijdige signalen serieus nemen.
Voor internal audit betekent dit dat cultuur en gedrag niet uitsluitend als zelfstandig auditonderwerp moeten worden beschouwd. Juist ook binnen reguliere audits is het van belang te onderzoeken in hoeverre leiderschap, prikkels en feitelijk gedrag bijdragen aan het ontstaan of onvoldoende beheersen van risico’s. Zo kunnen commerciële doelstellingen ongewenst gedrag stimuleren of kan een gebrek aan tegenspraak de kwaliteit van besluitvorming ondermijnen. Daarmee krijgt cultuur een plaats in de beoordeling van de effectiviteit van risicobeheersing, zonder dat iedere audit een cultuuraudit hoeft te worden.
Het management blijft verantwoordelijk voor cultuur en risicobeheersing. Risicomanagement helpt vooruitkijkend aannames, prikkels en neveneffecten te onderzoeken; internal audit kan onafhankelijk beoordelen of relevante risico’s worden onderkend en beheerst. Hun rollen verschillen; hun relevantie blijkt uit de bijdrage aan bestuurlijke afwegingen.
Vijf aanbevelingen voor de praktijk
- Begin bij wat het zwaarst weegt. Bepaal welke strategische doelstellingen én andere wezenlijke belangen prioriteit verdienen. Onderzoek welke waarden en gedragingen daarvoor onmisbaar zijn. Herijk die prioriteiten wanneer de omstandigheden veranderen.
- Zoek waar de samenhang schuurt. Sluiten waarden aan op ambities? Ondersteunen structuur, leiderschap en beloning het gewenste gedrag? En blijkt dat ook uit de praktijk? Let nadrukkelijk op nieuwe spanningen door verandermaatregelen.
- Laat kwetsbaarheid de aandacht bepalen. Vraag welke schade culturele tekortkomingen aan zwaarwegende belangen kunnen toebrengen. Onderzoek relevante risicofactoren, zonder schijnprecisie van kansscores leidend te maken.
- Toets of we genoeg weten. Leg managementinformatie naast observaties en bevindingen uit verschillende disciplines. Hoe kwetsbaarder de onderneming voor cultuur-gerelateerde risico’s, hoe hoger de eisen aan de kwaliteit, diversiteit en onafhankelijkheid van het inzicht.
- Breng de afweging terug naar bestuur en toezicht. Welke risico’s zijn aanvaardbaar, welke onzekerheden niet? Maak zichtbaar waar bijsturing, monitoring of aanvullende onafhankelijke beoordeling nodig is.
Tot slot
Ook zonder eigen risicomanagement- of internal-auditfunctie moeten organisaties met deze problematiek omgaan. Gerichte externe ondersteuning kan voorzien in ontbrekend inzicht of onafhankelijke beoordeling, maar net zo goed bestaande functies versterken waar specifieke deskundigheid of ervaring ontbreekt.
De vraag is uiteindelijk niet alleen of cultuur een plaats heeft in ons auditplan of risicoregister, maar of we werkelijk doorgronden waar cultuur en gedrag de ambities van de onderneming kunnen maken of breken. Dat inzicht ontstaat niet vanzelf. Het vraagt dat we verder kijken dan de gebruikelijke informatie en zelf onderzoeken welke vraagstukken mogelijk buiten het blikveld van bestuur en toezicht blijven. Soms begint onze toegevoegde waarde juist bij het agenderen en onderzoeken van vragen die nog niemand heeft gesteld, ook wanneer dat op weerstand of onbegrip stuit.
Over de auteurs
Steven Brassem werkte ruim dertig jaar op het gebied van governance, risicomanagement en assurance bij internationale concerns, onder meer als eindverantwoordelijke voor risk & audit. Hij ondersteunde boards en executives bij het doorgronden van complexe vraagstukken en het nemen van beslissingen onder onzekerheid. Die praktijkervaring brengt hij nu samen in advieswerk en publicaties gericht op zorgvuldige bestuurlijke besluitvorming.
Robert Bogtstra is partner bij ONE Risk Advisory en medeoprichter van ONE Risk Advisory (2012), registeraccountant (RA) en Certified Internal Auditor (CIA), en door The IIA geaccrediteerd voor External Quality Assessments. Sinds 2015 is hij kerndocent Corporate Governance aan Nyenrode Business Universiteit.
Over ONE Risk Advisory
ONE Risk Advisory is een gespecialiseerde dienstverlener in Risk Management en Internal Audit, die uitsluitend ervaren specialisten inzet. Wij ondersteunen bestuur en management bij het versterken van governance en risicobeheersing, met als doel betere en goed onderbouwde besluitvorming.
- Risk Management: Risk Insight, Governance & Control Design, Embedding & Transformation en Optimisation & Assurance Readiness.
- Internal Audit: externe kwaliteitstoetsing (EQA), Quality Improvement en Internal Audit Support.
Wij gaan graag met u in gesprek over de mogelijkheden voor uw organisatie. Plan een gesprek.
Veelgestelde vragen
Wat is de Topical Requirement Organisatiegedrag van The IIA?
De Organizational Behavior Topical Requirement (Organisatiegedrag) van The IIA stelt aanvullende vereisten aan internal audit bij toepasselijke assuranceopdrachten. Zij is uitgegeven op 15 december 2025 en wordt op 15 december 2026 van kracht. The IIA omschrijft organisatiegedrag als de waarneembare keuzes die medewerkers maken in hun werk en in de samenwerking met anderen, en ziet het als onderdeel van het bredere begrip organisatiecultuur.
Waarom is cultuur van belang voor risicobeheersing?
Cultuur beïnvloedt hoe mensen daadwerkelijk beslissen, samenwerken, risico’s nemen en met tegenspraak omgaan. Zij kan de realisatie van strategische ambities versterken of juist ondermijnen. Ook goed ontworpen beheersmaatregelen verliezen betekenis als het gedrag er niet bij aansluit.
Welke risico’s brengt een cultuurverandering met zich mee?
Cultuurverandering betekent niet vanzelfsprekend verbetering. Meer resultaatgerichtheid kan prestaties bevorderen, maar ook kortetermijndenken, ongewenste druk, fraude en onethisch gedrag uitlokken. Daarom is het van belang te begrijpen of de bestaande cultuur de belangrijkste ambities ondersteunt, en te onderkennen welke nieuwe risico’s ontstaan door de ingrepen waarmee het management die cultuur wil veranderen.
Moet internal audit cultuur als apart onderwerp auditen?
Niet uitsluitend. Juist ook binnen reguliere audits kan internal audit onderzoeken in hoeverre leiderschap, prikkels en feitelijk gedrag bijdragen aan het ontstaan of onvoldoende beheersen van risico’s. Zo krijgt cultuur een plaats in de beoordeling van de effectiviteit van risicobeheersing, zonder dat iedere audit een cultuuraudit hoeft te worden.
Welke kaders gaan over cultuur in risicomanagement en internal audit?
ISO 31000:2018 onderkent het belang van menselijke en culturele factoren, en COSO ERM 2017 verbindt cultuur met strategie, governance en prestaties. Voor internal audit biedt de Global Practice Guide Auditing Culture van The IIA (tweede editie, juli 2024) praktische handvatten, en vanaf 15 december 2026 geldt de Topical Requirement Organisatiegedrag.