Governance, Risk & Compliance (GRC) is een steeds belangrijker wordend onderwerp voor instellingen in het hoger onderwijs. Maar wat houdt GRC precies in? Waarom is het zo belangrijk voor hogescholen en universiteiten? En welke hulpmiddelen zijn er voor onderwijsinstellingen om een goed GRC-beleid op te zetten? In dit artikel gaan we dieper op deze vragen in.
GRC staat voor Governance, Risk en Compliance. Het is een geïntegreerde aanpak om een organisatie op een effectieve en efficiënte manier te besturen, risico’s te beheersen en te voldoen aan wet- en regelgeving. De drie componenten van GRC zijn nauw met elkaar verbonden:
Een effectief GRC-programma integreert deze drie gebieden in een samenhangend raamwerk. Het stelt organisaties in staat om op een gestructureerde manier te sturen, risico’s te managen en compliant te zijn.
Hoger onderwijsinstellingen staan voor unieke uitdagingen als het gaat om governance, risicomanagement en compliance. Enkele belangrijke redenen waarom GRC zo belangrijk is in deze sector zijn:
Universiteiten en hogescholen hebben te maken met een grote hoeveelheid aan specifieke wet- en regelgeving, zoals regels rondom accreditatie, privacy van studenten, financiële verantwoording, etc. Non-compliance kan leiden tot boetes, rechtszaken en reputatieschade.
Hoger onderwijsinstellingen worden grotendeels gefinancierd met publiek geld en liggen daardoor onder het vergrootglas van de samenleving. Goed bestuur, transparantie en verantwoording zijn essentieel voor het behoud van het vertrouwen.
Onderwijsinstellingen worden geconfronteerd met een breed scala aan risico’s, zoals cyberdreigingen, fraude en bijvoorbeeld belangenverstrengeling van bestuurders. Een proactieve risicomanagement aanpak is nodig om deze bedreigingen het hoofd te bieden.
Het hoger onderwijs is continu in beweging door onder andere technologische ontwikkelingen, veranderende verwachtingen van studenten en internationalisering. Wendbaarheid en weerbaarheid zijn cruciaal om hiermee om te gaan. Een GRC-beleid helpt hierbij.
Gezien deze uitdagingen is een gedegen GRC-beleid voor hoger onderwijsinstellingen geen overbodige luxe, maar pure noodzaak. Het helpt om grip te houden op de complexe omgeving, risico’s te beheersen en duurzaam te presteren.
De implementatie van een GRC-raamwerk biedt hoger onderwijsinstellingen een aantal interessante voordelen:
Met duidelijke governance-structuren, rollen en verantwoordelijkheden nemen bestuurders beter gefundeerde en transparante beslissingen die in lijn zijn met de strategie en doelstellingen van de instelling.
Door risico’s systematisch in kaart te brengen, te prioriteren en te beheersen, spelen onderwijsinstellingen proactief in op bedreigingen en kansen. Dit verhoogt de weerbaarheid en reduceert de kans op incidenten.
Een GRC-aanpak helpt om wet- en regelgeving structureel na te leven door het inbedden van compliance in de processen en cultuur van de onderwijsinstelling. Dit minimaliseert boetes en andere compliance-risico’s.
GRC stroomlijnt processen, voorkomt dubbel werk en verbetert de samenwerking en informatiedeling tussen afdelingen. Dit leidt tot meer efficiëntie, lagere kosten en een productievere organisatie.
Onderwijsinstellingen die aantoonbaar in control zijn en op een integere en verantwoorde manier werken, versterken het vertrouwen van studenten, medewerkers, toezichthouders en andere stakeholders. Een goede reputatie is essentieel voor het aantrekken van talent en middelen.
Voor bestuurders van hoger onderwijsinstellingen die werk willen maken van GRC, zijn dit enkele belangrijke stappen om mee te beginnen:
Identificeer de belangrijkste aandachtsgebieden en prioriteiten voor GRC binnen jouw instelling. Wat zijn de strategische doelstellingen? Waar liggen de grootste risico’s en compliance-uitdagingen?
Zorg voor commitment en betrokkenheid van de top van de organisatie en communiceer het belang van GRC naar alle lagen van de instelling. GRC is een zaak van iedereen.
Voer een nulmeting uit om vast te stellen waar de instelling nu staat op het gebied van governance, risicomanagement en compliance. Identificeer sterke punten en verbeterkansen.
Op basis van de ambities en de nulmeting, stel een stappenplan op voor de implementatie van het GRC-raamwerk. Bepaal concrete acties, verantwoordelijkheden en mijlpalen.
Een effectief GRC-beleid begint bij de top van de organisatie. Als College van Bestuur en Raad van Toezicht is het essentieel dat je volledig achter het beleid staat en dit ook uitdraagt. Laat in woord en daad zien dat integer handelen en zorgvuldig risicomanagement prioriteit hebben. Zo creëer je draagvlak en betrokkenheid door de hele organisatie heen.
Stel een commissie in die verantwoordelijk is voor het ontwikkelen, implementeren en bewaken van het GRC-beleid. Zorg dat hier deskundigen in zitten op het gebied van governance, risicomanagement, compliance, auditing en relevante domeinen zoals onderwijs, onderzoek en bedrijfsvoering. Geef de commissie een duidelijk mandaat en de benodigde bevoegdheden en middelen.
Een gedegen GRC-beleid is gebaseerd op een grondige analyse van de risico’s waar uw instelling mee te maken heeft. Breng deze risico’s systematisch in kaart, zowel op strategisch, tactisch als operationeel niveau. Kijk hierbij onder andere naar financiële, operationele en compliance risico’s. Bepaal vervolgens welke risico’s acceptabel zijn en voor welke beheersmaatregelen nodig zijn.
Een gedragscode is de basis voor integer handelen binnen jouw organisatie. Stel duidelijke normen en waarden op en vertaal deze naar concrete gedragsregels voor bestuurders, medewerkers en studenten. Communiceer de gedragscode actief en zorg dat iedereen deze kent en ernaar handelt. Geef ook het goede voorbeeld en spreek mensen aan op ongewenst gedrag.
Om geïdentificeerde risico’s te beheersen zijn passende maatregelen nodig. Denk aan het opstellen van beleid en procedures, het inrichten van controlemechanismen en audits en het trainen van medewerkers. Wijs ook eigenaren aan die verantwoordelijk zijn voor specifieke risicogebieden. Evalueer de effectiviteit van de beheersmaatregelen periodiek en stuur waar nodig bij.
GRC moet geen losstaand proces zijn, maar een integraal onderdeel van de besturing van je organisatie. Verwerk GRC daarom in de reguliere planning- en controlcyclus. Neem GRC mee in het opstellen van de begroting, jaarplannen en rapportages. Zo borg je dat er structureel aandacht is voor governance, risicomanagement en compliance.
Voor een effectief GRC-beleid zijn deskundige medewerkers nodig. Investeer daarom in opleidingen, trainingen en andere vormen van deskundigheidsbevordering. Zorg dat de GRC-commissie en andere sleutelfunctionarissen beschikken over actuele kennis en vaardigheden. Stimuleer ook het delen en borgen van kennis binnen de organisatie, bijvoorbeeld via intervisie of een intern kennisplatform.
Een open cultuur waarin mensen elkaar durven aanspreken is cruciaal voor GRC. Stimuleer daarom openheid, aanspreekbaarheid en tegenspraak binnen je onderwijsinstelling. Geef het goede voorbeeld door transparant te zijn over besluitvorming, risico’s en incidenten. Beloon gewenst gedrag en treed op tegen ongewenst gedrag en integriteitsschendingen. Biedt ook een veilige omgeving voor klokkenluiders.
GRC is geen eenmalige exercitie, maar een continu proces. Monitor daarom structureel de naleving van intern beleid en externe wet- en regelgeving. Voer periodiek audits, interne controles en risicoanalyses uit. Registreer en onderzoek incidenten, misstanden en klachten grondig. Trek lering uit bevindingen en verbeter processen en beheersmaatregelen waar nodig.
Als publieke instelling heb je een verantwoordingsplicht aan diverse stakeholders, zoals studenten, medewerkers, toezichthouders en de maatschappij. Wees daarom transparant over je GRC-beleid en de werking daarvan. Neem relevante informatie op in het bestuursverslag en andere externe publicaties. Ga ook proactief het gesprek aan met stakeholders en gebruik hun feedback voor verdere verbetering.
Er zijn verschillende GRC-softwareoplossingen op de markt die hoger onderwijsinstellingen ondersteunen bij het stroomlijnen en automatiseren van hun GRC-processen. Hieronder een overzicht van enkele belangrijke spelers:
Naast bovenstaande GRC-oplossingen zijn er ook diverse meer specialistische tools beschikbaar. Denk aan specifieke software voor informatiebeveiliging (bijvoorbeeld ISOPlanner), kwaliteitsmanagement (bijv. Zenya) of fraudepreventie.
Het selecteren van de juiste GRC-tooling is maatwerk. Elke onderwijsinstelling heeft zijn eigen specifieke eisen en wensen op basis van de organisatiestructuur, processen en IT-landschap. Toch zijn er enkele algemene tips te geven:
GRC implementeren vraagt om een gestructureerde aanpak en volharding. Maar de voordelen zijn de investering meer dan waard. Met een toekomstbestendig GRC-raamwerk zijn hoger onderwijsinstellingen beter voorbereid op de uitdagingen van vandaag en morgen.
Wil je weten welke security uitdagingen je hebt en hoe wij je van dienst kunnen zijn? Neem gerust contact met ons op, we denken graag met je mee!