Compliance trainen begint niet bij de regels, maar bij de werkelijkheid van de medewerker

Organisaties investeren steeds meer in compliance-trainingen. Medewerkers volgen trainingen over privacy, informatiebeveiliging, phishing, cybersecurity, AI en integriteit. Ze beantwoorden kennisvragen, ontvangen een certificaat en worden regelmatig opnieuw gewezen op beleid en procedures.

Toch blijven incidenten ontstaan.

Een medewerker klikt op een overtuigende phishingmail. Een Excel-bestand met persoonsgegevens wordt naar de verkeerde persoon gestuurd. Vertrouwelijke informatie belandt in een AI-tool. Iemand geeft telefonisch informatie aan een persoon die zich voordoet als een collega van IT.

De eerste reactie is dan gemakkelijk:

Maar medewerkers hebben hier toch training over gehad?

Misschien moeten we daarom niet alleen kijken naar wat medewerkers hebben geleerd. We moeten ook kijken naar de manier waarop we compliance proberen aan te leren.

Want weten wat de regel is, is iets anders dan die regel herkennen op het moment dat het ertoe doet.

De regelgeving en de medewerker leven in twee verschillende werelden

Voor organisaties begint compliance vaak bij wet- en regelgeving, normen en intern beleid.

De AVG stelt eisen aan de verwerking en bescherming van persoonsgegevens. In organisaties met een functionaris voor gegevensbescherming behoort het informeren en adviseren van medewerkers over hun verplichtingen tot diens taken en noemt de AVG ook bewustmaking en opleiding van personeel dat bij verwerkingen betrokken is.

De AI Act bevat eveneens expliciete aandacht voor AI-geletterdheid. Organisaties die AI-systemen aanbieden of gebruiken moeten maatregelen nemen om de ontwikkeling van AI-geletterdheid te ondersteunen bij medewerkers en andere personen die namens hen met deze systemen werken. Daarbij moet rekening worden gehouden met onder meer kennis, ervaring, opleiding en vooral de context waarin AI wordt gebruikt.

Bij cybersecurity en informatiebeveiliging spelen weer andere wettelijke, organisatorische en technische verplichtingen.

Dat zijn belangrijke kaders.

Maar een medewerker begint zijn werkdag meestal niet met de vraag:

Welke complianceverplichtingen zijn vandaag op mij van toepassing?

Die ziet iets heel anders.

• Een e-mail van een leverancier met een gewijzigde bankrekening.
• Een Teams-bericht van iemand die zich voordoet als de directeur.
• Een collega die vraagt om snel een bestand met klantgegevens door te sturen.
• Een lange tekst die met ChatGPT veel sneller kan worden samengevat.
• Een telefoontje van iemand die zegt van de IT-afdeling te zijn en dringend een verificatiecode nodig heeft.

Daar ontstaat compliance in de praktijk.

Niet op het moment dat iemand de regel leert, maar op het moment dat iemand moet herkennen dat een ogenschijnlijk normale handeling een compliance- of veiligheidsrisico bevat.

Een phishingmail noemt zichzelf geen phishingmail

Dat klinkt vanzelfsprekend, maar het heeft grote gevolgen voor de manier waarop we medewerkers trainen.

Neem phishing.

We kunnen medewerkers uitleggen dat ze niet op verdachte links moeten klikken. We kunnen vertellen dat ze het afzenderadres moeten controleren en voorzichtig moeten zijn met onverwachte bijlagen.

Maar moderne phishing en social engineering zijn juist bedoeld om die voorzichtigheid te omzeilen.

De e-mail kan eruitzien alsof hij van Microsoft komt. De naam van een echte bestuurder kan worden gebruikt. De aanvaller kan informatie over de organisatie hebben verzameld en daarmee een geloofwaardige aanleiding creëren.

Voor de medewerker verschijnt dus niet de vraag:

Dit is phishing. Wat moet ik volgens onze securitytraining doen?

De werkelijke vraag is:

Mijn directeur vraagt mij om dit vandaag nog te regelen. Kan ik deze link vertrouwen?

Dat lijkt een klein verschil.

Voor een effectieve training is het een fundamenteel verschil.

Hetzelfde geldt voor privacy

Ook privacy wordt gemakkelijk vanuit regelgeving en begrippen uitgelegd.

Wat zijn persoonsgegevens? Wat zijn bijzondere persoonsgegevens? Wanneer mogen gegevens worden verwerkt? Wat is een datalek?

Die kennis is belangrijk.

Maar tijdens het werk ziet een medewerker geen waarschuwingsvenster verschijnen met:

Let op: u staat op het punt een AVG-gerelateerde beslissing te nemen.

Een collega vraagt gewoon:

Kun je mij even die lijst sturen?

Daar staan namen, e-mailadressen, telefoonnummers en misschien andere persoonsgegevens in.

De medewerker kent de collega. De vraag klinkt logisch. Het bestand ligt klaar. Outlook staat open.

Op dat moment moet kennis worden omgezet in een beslissing.

Mag deze collega deze informatie ontvangen? Heeft diegene alle gegevens uit het bestand nodig? Gebruik ik het juiste kanaal? Stuur ik het naar de juiste ontvanger? Moet het bestand worden beveiligd? Wat doe ik als ik het per ongeluk verkeerd verstuur?

Dat is een heel andere manier van leren dan alleen kunnen aangeven wat de definitie van een persoonsgegeven is.

En dan komt AI erbij

AI maakt deze kloof nog duidelijker.

Een medewerker krijgt een lange klacht van een klant binnen en denkt:

Als ik deze even door ChatGPT laat samenvatten, ben ik in twee minuten klaar.

Dat is vanuit het perspectief van de medewerker geen compliancevraagstuk. Het is een efficiëntievraagstuk.

Maar in de tekst kunnen namen, contactgegevens, financiële informatie, gezondheidsgegevens, bedrijfsinformatie of andere vertrouwelijke gegevens staan.

De medewerker moet dus niet alleen weten dat er regels bestaan voor het gebruik van AI. Diegene moet op het juiste moment herkennen dat het kopiëren van informatie naar een AI-systeem gevolgen kan hebben voor privacy, vertrouwelijkheid, informatiebeveiliging en het interne AI-beleid.

Juist de AI Act laat zien dat context hierbij belangrijk is. Bij maatregelen rond AI-geletterdheid moet onder meer rekening worden gehouden met de technische kennis, ervaring en opleiding van mensen én met de context waarin AI-systemen worden gebruikt.

Een algemene uitleg over generatieve AI is daarom iets anders dan medewerkers leren verantwoord met AI om te gaan binnen hun eigen werkzaamheden.

We trainen vaak vanuit wat de organisatie wil vertellen

Daar zit een belangrijk probleem.

Bij het ontwikkelen van een compliance-training beginnen we gemakkelijk met de inhoud die de organisatie moet overbrengen.

• Welke regelgeving is van toepassing?
• Welke onderwerpen moeten worden behandeld?
• Welke beleidsregels moeten medewerkers kennen?
• Welke informatie moeten we aantoonbaar hebben aangeboden?

Dat is begrijpelijk. Compliance vraagt immers ook om aantoonbaarheid en beheersing.

Maar daarmee kijken we nog steeds vanuit de organisatie.

Draai het eens om.

Begin niet met:

Wat moeten wij vertellen?

Begin met:

In welke situaties moet deze medewerker straks een andere of betere beslissing nemen?

Dan verandert de opbouw van een training.

Niet eerst twintig minuten theorie over phishing, maar een geloofwaardige e-mail en de vraag:

Wat zou jij doen?

Niet eerst alle privacybegrippen, maar:

Je collega vraagt om dit bestand. Stuur je het door?

Niet eerst uitleg over veilig AI-gebruik, maar:

Je wilt deze klantmail door AI laten samenvatten. Welke informatie kun je wel en niet invoeren?

De regelgeving verdwijnt daarmee niet uit de training.

Integendeel.

De regel krijgt betekenis omdat de medewerker eerst begrijpt wanneer die regel relevant wordt.

Het juiste antwoord is niet voldoende

Ook hier kunnen we iets leren van de manier waarop we tegenwoordig met AI werken.

Wie regelmatig met generatieve AI werkt, weet dat een inhoudelijk correct antwoord toch volledig onbruikbaar kan zijn.

De context kan ontbreken. De vraag kan verkeerd zijn geïnterpreteerd. Er kunnen aannames zijn gedaan die niet kloppen.

Als dat gebeurt, kijken we naar onze prompt.

• Welke informatie ontbrak?
• Wat hadden we duidelijker moeten maken?
• Welke context hebben we niet gegeven?

Bij medewerkers doen we soms iets anders.

Wanneer iemand na een training toch op een phishinglink klikt, vertrouwelijke informatie verkeerd deelt of AI onveilig gebruikt, kijken we vooral naar het gedrag van de medewerker.

• Zij had beter moeten opletten.
• Dit is in de training behandeld.
• Iedereen heeft het beleid ontvangen.

Maar misschien moeten we ook onze eigen input onderzoeken.

• Hebben we de medewerker geleerd wat phishing is, of geleerd phishing te herkennen?
• Hebben we uitgelegd wat een datalek betekent, of geoefend wat iemand moet doen wanneer een bestand naar de verkeerde ontvanger is gestuurd?
• Hebben we verteld dat AI risico's heeft, of geleerd hoe iemand tijdens het werk bepaalt welke informatie wel en niet in een AI-systeem thuishoort?

Dat verschil is essentieel.

Kennis is niet hetzelfde als gedrag

Een medewerker kan een compliancevraag in een training correct beantwoorden en enkele weken later in de praktijk toch een verkeerde beslissing nemen.

Dat is niet noodzakelijk tegenstrijdig.

In een training weet de deelnemer namelijk dat hij wordt getest.

De context vertelt al dat er ergens een risico zit.

Bijvoorbeeld:

"Je ontvangt een verdachte e-mail waarin wordt gevraagd je wachtwoord opnieuw in te stellen. Wat doe je?"

De woorden verdachte e-mail geven een belangrijk deel van het antwoord al weg.

De werkelijkheid is moeilijker.

Daar staat bijvoorbeeld:

"Uw Microsoft 365-wachtwoord verloopt vandaag. Voorkom dat u geen toegang meer heeft tot uw e-mail en bevestig uw account vóór 17.00 uur."

Nu moet de medewerker het risico zelf herkennen.

Dat is precies wat we uiteindelijk van medewerkers verwachten.

Een compliance-training zou daarom niet alleen kennis moeten toetsen, maar medewerkers moeten laten oefenen met herkennen, afwegen en handelen.

De vraag achter het gedrag

Wanneer medewerkers compliancebeleid niet goed volgen, spreken we soms over gebrek aan bewustzijn of zelfs weerstand.

Ook daar is voorzichtigheid nodig.

• Iemand die vertrouwelijke bestanden naar zijn privé-mailadres stuurt, weet misschien dat dit niet is toegestaan. Maar misschien kan hij vanuit huis niet goed bij de benodigde systemen.
• Iemand die een niet-goedgekeurde AI-tool gebruikt, probeert misschien onder hoge werkdruk sneller een klantvraag af te handelen.
• Iemand die steeds opnieuw op links in e-mails klikt, heeft misschien nooit geleerd hoe geraffineerd social engineering inmiddels kan zijn.

Dat maakt het gedrag niet automatisch acceptabel.

Maar het helpt wel om het probleem beter te begrijpen.

• Soms is training de oplossing.
• Soms ontbreekt een duidelijke procedure.
• Soms is het goedgekeurde alternatief te ingewikkeld.
• Soms spreken leidinggevenden het beleid tegen door snelheid belangrijker te maken dan zorgvuldigheid.

En soms ligt er daadwerkelijk een kennis- of gedragsprobleem bij de medewerker.

Een goede compliance-aanpak probeert dat onderscheid te maken.

Niet iedere medewerker heeft dezelfde training nodig

Daarmee komen we bij een tweede belangrijk punt.

• Een medewerker van HR loopt andere privacyrisico's dan iemand in de logistiek.
• Een systeembeheerder heeft andere mogelijkheden en verantwoordelijkheden op het gebied van cybersecurity dan een administratief medewerker.
• Een recruiter die AI gebruikt voor werkzaamheden rond kandidaten heeft een andere context dan een marketingmedewerker die AI gebruikt om een tekst te herschrijven.

Dat betekent niet dat voor iedere functie een volledig aparte training moet worden gebouwd.

Wel betekent het dat een organisatie moet nadenken over risico, rol en context.

Een goede basis kan organisatiebreed hetzelfde zijn. Vervolgens kunnen voorbeelden, scenario's en aanvullende modules worden afgestemd op groepen die met specifieke risico's, gegevens of systemen werken.

Dat maakt training niet alleen relevanter.

Het voorkomt ook dat medewerkers worden overspoeld met regels en situaties die nauwelijks met hun eigen werk te maken hebben.

Van regelgeving naar herkenbaar gedrag

Een praktische manier om compliance-training te ontwerpen is daarom:

Regelgeving → risico → werksituatie → beslissing → gewenst gedrag → aantoonbaarheid

• De regelgeving bepaalt het kader.
• Het risico bepaalt wat je wilt voorkomen of beheersen.
• De werksituatie maakt het herkenbaar.
• De beslissing laat de medewerker actief nadenken.
• Het gewenste gedrag maakt duidelijk wat iemand daadwerkelijk moet doen.
• En aantoonbaarheid helpt de organisatie vast te leggen dat medewerkers zijn geïnformeerd, getraind en waar relevant getoetst.

Daarmee verschuift compliance-training van informatieoverdracht naar handelingsbekwaamheid.

Een certificaat vertelt niet het hele verhaal

Aantoonbaarheid blijft belangrijk.

Organisaties moeten kunnen vastleggen wie een training heeft gevolgd, wanneer dat is gebeurd, welke onderwerpen zijn behandeld en eventueel met welk resultaat een toets is afgerond.

Maar een certificaat of een score van 80 procent bewijst niet automatisch dat iemand in een onverwachte praktijksituatie correct handelt.

Daarom zou de vraag niet alleen moeten zijn:

Heeft iedereen de training afgerond?

Maar ook:

Wat moeten medewerkers na deze training daadwerkelijk kunnen herkennen en doen?

En vervolgens:

Hebben we de training zo ingericht dat ze dat ook echt hebben geoefend?

Dat is een veel sterkere maatstaf voor de kwaliteit van compliance-training.

Een korte check voor organisaties

Wie een bestaande compliance-training beoordeelt of een nieuwe training ontwikkelt, kan zichzelf daarom een aantal vragen stellen:

• Welke concrete risico's proberen we met deze training te verkleinen?
• In welke dagelijkse situaties komen medewerkers deze risico's tegen?
• Herkennen medewerkers op dat moment dat er een compliancevraagstuk speelt?
• Leren we vooral regels en begrippen, of laten we medewerkers ook beslissingen nemen?
• Zijn onze voorbeelden realistisch voor hun werkzaamheden?
• Weten medewerkers niet alleen wat niet mag, maar ook wat ze wél moeten doen?
• Is duidelijk waar iemand terechtkan bij twijfel?
• Houden we rekening met verschillen in functie, verantwoordelijkheid en risico?
• Toetsen we alleen kennis, of ook herkenning en toepassing?
• En als gedrag ondanks training niet verandert: ligt het probleem dan bij kennis, bij het proces, bij de systemen of misschien bij onze eigen aanpak?

Die laatste vraag is misschien wel de belangrijkste.

Compliance wordt uiteindelijk zichtbaar in gewone momenten

Compliance klinkt groot.

AVG. AI Act. Cybersecurity. Informatiebeveiliging. Governance. Beleid. Toezicht.

Maar voor een medewerker wordt compliance meestal zichtbaar in kleine momenten.

1. Nog één keer naar het e-mailadres kijken voordat op verzenden wordt geklikt.
2. Niet automatisch op de link in een overtuigende e-mail drukken.
3. Een collega bellen om een ongebruikelijk verzoek te verifiëren.
4. Geen klantgegevens in een niet-goedgekeurde AI-tool plakken.
5. Een mogelijk datalek direct melden in plaats van hopen dat niemand het merkt.
6. Twijfelen en vervolgens de juiste persoon om advies vragen.

Daar moet een goede compliance-training medewerkers op voorbereiden.

Niet door regelgeving minder belangrijk te maken, maar juist door de vertaalslag te maken van regelgeving naar de werkelijkheid waarin mensen iedere dag keuzes maken.

Want uiteindelijk is niet doorslaggevend hoeveel regels iemand kan reproduceren.

De echte waarde van compliance-training wordt zichtbaar op het moment dat er niemand naast de medewerker staat, er geen toetsvraag op het scherm verschijnt en diegene zelf moet herkennen: "hier moet ik even anders handelen".