De Aikido van regeldruk: stop met vechten tegen regelgeving en begin met winnen

Dit kan tegenintuïtief aanvoelen. Regelgeving is van nature belastend, en er systemen omheen bouwen kan van buitenaf op overgave lijken. In de praktijk is het echter de enige manier om regeldruk om te zetten in iets productiefs.

De verliezende strategie van de vechter en de hoge prijs van “het vinkje zetten”

De omvang van de uitdagingen om compliant te blijven is enorm. Alleen de AI Act al legt boetes op tot 35 miljoen euro of 7 procent van de wereldwijde omzet. NIS2 introduceert directe aansprakelijkheid voor bestuurders. DORA werd in januari 2025 afdwingbaar zonder overgangsperiode. CSRD is op weg om enkele van de strengste duurzaamheidsrapportagestandaarden ter wereld op te leggen.

Toch ziet de meest voorkomende reactie van bedrijven er als volgt uit:

Verkokerde paniek: De juridische afdeling interpreteert de AI Act, IT probeert in allerijl aan DORA te voldoen en duurzaamheidsverantwoordelijken jagen bij leveranciers achter Scope 3-emissies aan. Elk team handelt op eigen houtje, verbrandt budget en produceert een lappendeken van losstaande oplossingen.

De illusie van compliance uit een doosje: Leveranciers beloven snelle oplossingen. Bedrijven kopen de ene tool voor AI, de andere voor ESG en weer een andere voor weerbaarheidstesten. Niets integreert. De technische schuld groeit, de wendbaarheid krimpt.

Een defensieve mindset: Het enige doel is boetes vermijden. Uitgaven aan compliance worden geboekt onder “kosten van zakendoen”. Het rendement is bij voorbaat nul.

Het resultaat is pijnlijk en ineffectief. Veel bedrijven hebben alleen al aan DORA meer dan 1 miljoen euro uitgegeven zonder systemen te bouwen die noemenswaardig weerbaarder zijn. Twee derde van de organisaties die onder NIS2 vallen, haalde de deadline van oktober 2024 niet. In de financiële sector gaf meer dan de helft toe dat zij hun kritieke ICT-functies maanden na de inwerkingtreding van DORA nog niet eens in kaart hadden gebracht.

Bij Eli5 hebben we dit keer op keer zien gebeuren. Als RegTech-bouwer waren wij het team dat ING hielp om van onder regulatoir toezicht te staan uit te groeien tot een van de koplopers in regulatory technology. We worden vaak pas ingeschakeld wanneer de schade al is aangericht. Bedrijven hebben een stapel losstaande tools aangeschaft, consultants ingehuurd om rapporten op te leveren, en staan nog steeds onvoorbereid. Compliance is pure overhead geworden, die budgetten leegtrekt zonder waarde te creëren.

Maar regelgeving hoeft niet zo uit te pakken.

De pivot van de aikidomeester: het compliancebudget als wapen inzetten

De gewone vechter treedt regelgeving met weerstand tegemoet. De aikidomeester accepteert haar als gegeven en gebruikt de energie ervan om momentum te creëren. Voor bestuurders is de pivot om compliance niet langer als een rekening te zien, maar als een gegarandeerd investeringsbudget. Natuurlijk zijn er inspirerender manieren om te innoveren dan regeldruk als katalysator te laten fungeren. Maar opereren op de Europese markt betekent dat dit de realiteit is. Beter om het ongemak om te buigen naar een productief perspectief.

Laten we dus naar de positieve kant kijken. Regelgeving brengt twee dingen met zich mee die normaal gesproken lastig te bemachtigen zijn: urgentie op bestuursniveau en gegarandeerd kapitaal. Dat kapitaal kan worden weggesluisd naar een lappendeken van tools en diensten om louter een vinkje te kunnen zetten, of het kan worden geïnvesteerd in platformen en operationele verbeteringen die compliance omzetten in een motor voor een sterkere onderneming.

Het praktische verschil blijkt uit de manier waarop bedrijven de nieuwe regels benaderen.

Neem de AI Act, die bedrijven dwingt hun AI-modellen met een hoog risico te beheersen onder strikte eisen rond bias, transparantie en documentatie. De vechter koopt een losstaande tool om modellen vóór ingebruikname op bias te scannen. De meester gebruikt hetzelfde budget om een centraal MLOps- en governanceplatform te bouwen. Compliance wordt onderdeel van de manier waarop modellen worden ontwikkeld en gemonitord. In plaats van teams af te remmen, versnelt het de veilige uitrol van AI in de hele organisatie.

Of kijk naar de CSRD, de nieuwe EU-richtlijn voor duurzaamheidsrapportage door bedrijven. Die verplicht ondernemingen om gedetailleerde, gecontroleerde data aan te leveren, niet alleen over de eigen bedrijfsvoering maar over de gehele toeleveringsketen. Daaronder vallen de zogenoemde “scope 3-emissies”, die alles omvatten van de CO2-voetafdruk van leveranciers tot de manier waarop klanten het product gebruiken en afdanken. De vechter reageert door consultants in te huren die bij leveranciers spreadsheets opvragen en schattingen aan elkaar knopen. De meester investeert in een supply chain intelligence-platform dat realtime data verzamelt, een digital twin van de operatie bouwt en inefficiënties blootlegt. Aan de rapportageverplichting wordt nog steeds voldaan, maar hetzelfde systeem helpt nu ook om kosten te drukken, verspilling te verminderen en de hele waardeketen weerbaarder te maken.

Regelgeving roept allerlei meningen op. Als de meeste EU-regels als onzin overkomen, kan ik dat alleen maar beamen. De AI Act is geschreven door mensen die niet begrijpen hoe AI daadwerkelijk werkt. Antiwitwasregels verslinden honderden miljarden terwijl ze slechts een fractie van de illegale transacties onderscheppen. ESG-rapportage zit vol politieke ballast die wrijving toevoegt zonder echte vooruitgang te brengen.

Maar klagen laat de regels niet verdwijnen. Wat telt, is hoe het kapitaal dat nu vastligt wordt besteed. Sommige bedrijven zullen het verspillen aan kortetermijnoplossingen en het absolute minimum doen om hun frustratie over toezichthouders niet verder te voeden. Andere zullen het investeren in systemen die veel meer opleveren dan alleen compliance. Die laatste groep zal regelgeving omzetten in ROI en systemen bouwen die veel meer teruggeven dan enkel dat vinkje.

Van vinkjes zetten naar antifragiele systemen

Toen DORA op 17 januari 2025 in werking trad, werd van financiële instellingen verwacht dat zij konden aantonen hun kritieke digitale processen ook onder druk draaiende te houden. Dat betekende het in kaart brengen van de meest kritieke IT-systemen, precies weten hoe een storing op één plek door de hele organisatie kan doorwerken, en cyber- en operationele risico's in harde financiële termen kunnen meten.

Toch lieten enquêtes in de maanden erna zien dat de meeste bedrijven er nog lang niet klaar voor waren. PwC constateerde dat meer dan de helft van de financiële instellingen nog bezig was te bepalen welke systemen volgens de wet überhaupt als “kritiek” golden. Slechts 39 procent had een manier ontwikkeld om ICT-risico's zo te kwantificeren dat besturen erop konden handelen. Uit een peiling van Deloitte bleek dat meer dan een kwart van de bedrijven helemaal geen voortgang had geboekt.

Zo ziet de aanpak van de vechter er in de praktijk uit. Complianceprojecten werden als brandoefeningen uitgevoerd. Consultancybureaus werden ingehuurd, rapporten werden opgeleverd en penetratietests werden afgevinkt. Maar het resultaat bleef grotendeels aan de oppervlakte. Budgetten werden opgebrand zonder dat er systemen ontstonden die schokken in de echte wereld konden doorstaan.

De Aikido-aanpak zag er heel anders uit. Sommige instellingen beschouwden DORA als een opdracht om veerkracht volledig opnieuw in te richten. Ze investeerden in chaos engineering, een discipline die is ontstaan bij bedrijven als Netflix. Het idee is eenvoudig maar krachtig: kleine storingen worden bewust veroorzaakt in live systemen om te zien hoe die reageren. Dat kan betekenen dat een server wordt uitgeschakeld, dat een netwerkverbinding wordt vertraagd of dat een API opzettelijk wordt stukgemaakt. Door dit op een gecontroleerde manier te doen, leggen engineers verborgen zwakke plekken bloot voordat die zwakke plekken tot echte uitval leiden.

In casestudy's uit de financiële sector leidde de invoering van chaos engineering tot indrukwekkende verbeteringen. Het aantal kritieke systeemstoringen daalde met 94 procent. De gemiddelde hersteltijd na een incident zakte van meer dan vier uur naar minder dan twintig minuten.

De opbrengst is evident in het licht van de kosten van falen. IBM schat de wereldwijde gemiddelde kosten van een datalek op 4,88 miljoen dollar. Alleen al supply chain-aanvallen zullen dit jaar naar verwachting wereldwijd 60 miljard dollar kosten. Voor de banken die onder DORA voluit voor resilience engineering kozen, werden die kosten veel minder waarschijnlijk. Ze maakten van een regulatoire last een operationeel voordeel, met hogere beschikbaarheid, sneller herstel en een sterker vertrouwen van klanten.

Concurrenten die DORA als een papieren exercitie behandelden, blijven ondertussen kwetsbaar. Hun compliance-uitgaven zijn verzonken kosten. Hun operatie is niet veerkrachtiger dan voorheen. En wanneer de volgende grote storing of cyberaanval toeslaat, wordt het verschil tussen beide benaderingen alleen maar groter.

De eindpartij: de keuze voor 2028

Tegen de tijd dat de volgende golf aan regelgeving aanbreekt, zal het verschil tussen de vechter en de Aikido-meester duidelijk zijn. De vechter zal bedolven liggen onder lagen technische schuld, met een stapel losstaande compliancetools om te beheren terwijl de volgende reeks regels zich aandient. Elke nieuwe eis betekent opnieuw improviseren, meer consultants en meer verzonken kosten.

De Aikido-meester opereert op een ander niveau. Diens compliancesystemen staan niet aan de zijlijn van het bedrijf, maar in de kern ervan. Governance van AI-modellen, veerkracht van de IT-infrastructuur en transparantie van de toeleveringsketen zitten dan al ingebouwd in de dagelijkse bedrijfsvoering. Nieuwe regelgeving voelt dan als een feature-update, niet als een existentiële bedreiging.

Bij Eli5 hebben we beide kanten van deze partij zien uitpakken. We hebben eraan bijgedragen dat ING zich ontwikkelde van een organisatie onder toezichtsdruk tot een van de koplopers in RegTech, en we worden nog altijd gevraagd bij organisaties waar compliance is verworden tot stapels losstaande tools. Belangrijker nog: we bouwen ook RegTech-producten die bedrijven voor de troepen uit laten lopen, van horizon scanning-platformen die veranderingen in regelgeving vroegtijdig signaleren tot AI-ondersteunde compliancesystemen die rapportage en monitoring automatiseren. Die ervaringen bevestigen telkens dezelfde les. Regelgeving verdwijnt niet, maar de manier waarop een organisatie ermee omgaat bepaalt of het een kostenpost wordt of een slotgracht.

De regels zijn voor iedereen gelijk. De uitkomsten niet. Regelgeving kan een budget leegtrekken, of juist precies die platformen financieren die een voorsprong opleveren. De keuze ligt bij elke organisatie zelf.