Criminologie is een wetenschap die gebruikmaakt van inzichten uit diverse disciplines, zoals de genetica, biologie, psychologie, psychiatrie, sociologie, antropologie en economie, om crimineel of afwijkend gedrag te verklaren (Van Ruller 2001). Wat criminologie onafhankelijk maakt, is dat het zich heeft ontwikkeld als een interdisciplinair vakgebied met een eigen theoretisch kader, methodologieën en onderzoeksperspectieven. Inzichten vanuit de criminologie kunnen bijdragen aan het voorkomen of bestrijden van crimineel of afwijkend gedrag. Hoewel het strafrecht ook deze doelen heeft, staat in de criminologie het ‘waarom’ achter bepaalde gedragspatronen centraal. Criminaliteit is een ‘sociaal construct’: het beschrijft het gedrag dat op een bepaald moment en op een bepaalde plaats als crimineel wordt benoemd (Van Ruller 2001). Criminologie beperkt zich niet alleen tot de delicten zoals opgenomen in het Wetboek van Strafrecht, maar betreft ook ‘afwijkende gedragingen’ of overtredingen van een geldende norm. Denk aan het pesten op werk. Alhoewel dit vaak (nog) niet strafrechtelijk strafbaar is, is het wel een overtreding van een norm, die onderhavig is aan verandering door de tijd heen.

Van Twist and De Korte (2022) beschrijven dat auditors soms een te beperkte focus op regels hebben, die geen recht doet aan de complexe realiteit van de organisatie. Zij pleiten daarom voor het toepassen van inzichten uit diverse disciplines in het auditvakgebied. Een alternatieve manier van onderzoek die zij aandragen is ‘perspectivisch onderzoeken’, waarin een situatie vanuit verschillende kanten wordt bekeken. De kern van dit type onderzoek is dat er aandacht is voor meerdere betekenissen van situaties door meerdere perspectieven (‘referentiekaders’) te gebruiken om een situatie te beschrijven. Dit sluit nauw aan bij de multidisciplinaire benadering die de criminologie hanteert. In de navolgende paragrafen beschrijven we hoe inzichten vanuit de Routine Activities Theory, Guardianship in Action (GIA) en de differentiële-asso­ciatietheorie het internal auditvakgebied kunnen verrijken.

Wij hebben deze theorieën gekozen omdat ze ingaan op de omstandigheden die tot ongewenst gedrag leiden. Het gaat om het perspectief van de omgeving in tegenstelling tot, bijvoorbeeld, het individu. De differentiële-associatietheorie gaat nog verder in op het leren binnen organisaties, waardoor kan worden onderzocht waarom bepaalde normen en waarden binnen een organisatie dominant zijn. Juist in de context van organisaties zijn de omgeving en het leren belangrijk, omdat deze bepalen hoe bepaald gedrag tot stand is gekomen. Wat maakt dat er niet, of niet adequaat, wordt ingegrepen? Een intuïtieve ‘oplossing’ voor geconstateerde bevindingen is vaak het toevoegen van meer toezichtslagen (méér guardians, méér beheersmaatregelen). Dat is echter niet altijd de beste oplossing. Wij pleiten voor een bredere blik door – als onderdeel van de internal audit – te analyseren welke ‘criminologische’ factoren tot de bevindingen hebben geleid, zodat aan duurzame oplossingen kan worden gewerkt voor geconstateerde tekortkomingen.

Onderzoek van Reynald (2011) naar guardianship in de residentiële context toont aan dat guardians eerder geneigd zijn om in te grijpen wanneer zij zich verantwoordelijk voelen voor de gemeenschap. In gemeenschappen met sterke sociale banden en gedeelde normen wordt eerder ingegrepen bij (mogelijke) misdrijven dan in gemeenschappen waar minder sociale cohesie is. Sociale cohesie heeft invloed op de bereidheid om in te grijpen ten behoeve van het algemeen belang. Daarnaast speelt de perceptie van de omgeving eveneens een rol. In een goed onderhouden en als veilig ervaren omgeving wordt eerder ingegrepen. Door actieve guardians worden andere guardians ook geactiveerd. Omgekeerd wordt echter niet ingegrepen in situaties van verval of als andere guardians zichtbaar niet ingrepen. Training en fysieke fitheid zijn ook van invloed op het al dan niet ingrijpen door guardians. Guardians die getraind waren in (bijvoorbeeld) zelfverdediging, veiligheid of het verlenen van eerste hulp, waren eerder geneigd om in te grijpen (Reynald 2011). Ingrijpen bij woninginbraken vraagt uiteraard om een ander type ‘training’ dan in de context van organisaties – waar wij in het navolgende verder op ingaan. Maar het principe dat de juiste training kan bijdragen aan het tegenhouden van ongewenst gedrag kan wel een onderdeel zijn van de evaluatie door de interne auditor.

Ook de perceptie van de guardian speelt een rol: het risico voor de eigen veiligheid van de guardian had invloed op het al dan niet ingrijpen door de guardian en de manier van ingrijpen (zelf ingrijpen versus het bellen van de politie of – naar analogie van de organisatie – in hoeverre kunnen leidinggevenden worden aangesproken zonder angst voor represailles?). De beschikbaarheid van middelen om veiligheid te waarborgen, zoals camera’s en alarmsystemen, leidde tot een verhoogd gevoel van veiligheid en daarmee tot een grotere kans op ingrijpen door guardians. Sociale en psychologische mechanismen spelen eveneens een rol. Zo leidt het omstander-effect ertoe dat minder snel wordt ingegrepen als anderen dat ook niet doen (zie ook Felson (2006); Huston et al. (1981)). Ten slotte grijpen guardians eerder in als ze het slachtoffer kennen, vanwege een verhoogd gevoel van verantwoordelijkheid ten aanzien van het slachtoffer (Reynald 2011).

Het GIA-onderzoek is – na de toepassing op woning­inbraken – verder uitgebreid naar de rol van guardians in het voorkomen van internetcriminaliteit (Vakhitova et al. (2023); Bossler and Holt (2009)) en seksueel geweld tegen vrouwen (Cook 2018). Ook uit deze onderzoeken blijkt dat de bereidheid om toezicht te houden (‘willingness to supervise’), de capaciteit of de mogelijkheid om daders te detecteren (‘ability to detect’) en de bereidheid om in te grijpen (‘willingness to intervene’) sleuteldimensies van GIA zijn. Deze drie elementen leiden tot vervolgvragen: Wat maakt dat guardians in organisaties bereid zijn om toezicht te houden, in staat zijn om in te grijpen én daar ook toe bereid zijn? Wie zijn de guardians binnen de organisatie en waarop houden zij toezicht?

De guardians binnen organisaties zijn individuen – of teams – die een rol en verantwoordelijkheid hebben ten aanzien van het overzien en beschermen van verscheidene onderdelen van het bedrijf. De primaire guardians zijn het management (de eerste lijn). Ook de compliancefunctie als guardian springt direct in het oog, gezien haar bijdrage aan het voldoen aan wet- en regelgeving door het bedrijf. De compliance-officer adviseert over – en monitort de naleving van – wet- en regelgeving en interne procedures. De Raad van Bestuur (RvB) is verantwoordelijk voor de onderneming als geheel. De RvB wordt weer gecontroleerd door een Raad van Commissarissen (RvC), toezichthouders en externe accountants. Binnen teams zijn ook guardians te vinden: variërend van teammanagers en quality reviewers tot directe collega’s (‘peers’) of klokkenluiders die de guardian-rol oppakken. De internal auditor beoordeelt als onderdeel van zijn of haar werkzaamheden de rol van guardians in de organisatie. Zo is de auditor verantwoordelijk voor het toetsen van de effectiviteit van de compliancefunctie en beoordeelt hij of zij in hoeverre beheersmaatregelen in de eerste lijn adequaat in opzet zijn en effectief functioneren. Ook binnen de internal auditfunctie zelf zijn er guardians, zoals auditmanagers en -directors, die toezicht houden op werkzaamheden van hun ondergeschikten. Kortom, binnen een organisatie heeft iedereen een rol en verantwoordelijkheid ten aanzien van het overzien en beschermen van de organisatie.

Het is cruciaal dat guardians snel in actie komen. Bij non-compliance binnen organisaties is doorgaans sprake van een glijdende schaal; medewerkers die eenmaal onethisch hebben gehandeld, zijn eerder geneigd om dit vaker te doen. Vooral wanneer het onethische gedrag niet is gecorrigeerd of zelfs beloond (zie Rose et al. (2021); Kaptein (2011); Gino and Bazerman (2009)). Organisaties moeten zich bewust zijn van situaties waarin sprake is van een glijdende schaal, in ieder geval voordat een punt van geen terugkeer is bereikt (bijvoorbeeld het punt waarop guardians niet meer in actie komen). Het leren van mislukkingen en het zo snel mogelijk identificeren en herstellen van glijdende schalen is daarbij van belang (De Cremer and Lemmich 2015).

Compliancemanagement staat voor de inrichting van de organisatie en de processen die zorgen voor het waarborgen van de naleving van wet- en regelgeving (Huisman 2023). Een reactie op geconstateerde non-compliance is doorgaans een roep om méér compliancemanagement, méér KPI’s, méér rapporteren, méér guardians. Het is echter onbekend in hoeverre compliancemanagement daadwerkelijk bijdraagt aan naleving van wet- en regelgeving (Huisman 2023; Nelson 2021). Dit terwijl er wel enorme investeringen worden gedaan in compliance én te veel compliance ook een schaduwzijde heeft (zie onder anderen Huisman (2023); Kaptein (2023); Nelson (2021)). Zo kunnen te veel of conflicterende regels leiden tot regelovertreding door medewerkers vanuit frustratie of om complexiteit te omzeilen (Kaptein 2011). In het compliancedomein worden de verboden (het daadwerkelijk criminele gedrag) (ofwel het doel) vaak uit het oog verloren in het woud van alle geboden (de wet- en regelgeving). De focus op de regels kan het zicht op het doel belemmeren en ertoe leiden dat medewerkers niet meer zelf nadenken, maar in ‘aanvinken’ verzeilen. Ook wordt door alleen op de regels te focussen niet – of te laat – geacteerd op (nieuwe) vormen van criminaliteit of ongewenst gedrag die nog niet in wetten en regels zijn gevat.

De internal auditor beoordeelt de beheersing, waarbij wordt onderzocht of wordt geborgd dat doelen worden gerealiseerd met inachtneming van de van toepassing zijnde regels. In lijn daarmee wordt in een reguliere internal audit zozeer of niet alleen vastgesteld of er sprake is van compliance met de regels, maar wordt er ook op zoek gegaan naar dieperliggende oorzaken.

Het soft controls-model van Kaptein (1998) heeft zijn weg inmiddels gevonden in de auditpraktijk. Het is vrij breed bekend dat gedragsbeïnvloedende factoren als helderheid, voorbeeldgedrag, betrokkenheid, uitvoerbaarheid, bespreekbaarheid, transparantie, aanspreekbaarheid en handhaving (en beloning) het realiseren van organisatiedoelstellingen kunnen stimuleren of belemmeren. Het model draagt bij aan het onderzoek naar grondoorzaken van bevindingen. Na een geconstateerde overtreding van de regel wordt bijvoorbeeld onderzocht hoe medewerkers de norm percipiëren als het gaat om de uitvoerbaarheid of helderheid daarvan. Vragen die een auditor kan stellen vanuit de toegelichte criminologische GIA-theorie zijn:

1. Wie zijn de guardians?
2. Voelen de guardians zich verantwoordelijk voor het naleven van regels? Voor hun team (hoe zijn de onderlinge verhoudingen in het team, zijn er gedeelde normen)? Wat wordt er gedaan bij conflicterende belangen?
3. Wat zijn de guardianstructuren (hoe faciliteert de omgeving naleving van de regel(s))? Ervaren ondergeschikten dat er wordt opgetreden door guardians? Zijn er duidelijk belegde rollen en verantwoordelijkheden? Welke monitoringsmechanismen worden gehanteerd?
4. In hoeverre is de guardian in staat om in te grijpen? Welke kennis, training en ervaring heeft de guardian? Weet de guardian waar hij of zij naar moet kijken en welke escalatiemechanismen er zijn?
5. In hoeverre vindt de guardian zelf dat hij kan of moet ingrijpen? Zijn er factoren die maken dat een guardian niet ingrijpt (bijvoorbeeld een gebrek aan psychologische veiligheid binnen de organisatie)?
6. Welke middelen waren beschikbaar om de norm na te leven? Bijvoorbeeld: was er voldoende budget, tijd en tooling om de norm adequaat na te leven?
7. Welke sociale en psychologische mechanismen spelen mogelijk een rol? Is eerder niet opgetreden bij geconstateerde normovertredingen? Klinken er opvattingen in de trant van ‘…dat het geen zin heeft om in te grijpen of je nek uit te steken’?

Niet alleen vragen, maar ook signalen binnen een organisatie dragen bij aan het onderzoek naar de effectiviteit van guardians en guardianstructuren. Opmerkingen, zoals “it’s above my pay-grade” of “als jij het zegt, dan zal het wel zo zijn” geven letterlijk aan dat de bereidheid van de guardian om in te grijpen – om het bedrijf te beschermen – nagenoeg afwezig is. Het heeft geen zin om in te grijpen of verantwoordelijkheid te nemen, want een hogergeplaatste guardian zal de beslissing overrulen. In dat geval helpt het als de interne auditor deze situaties kan herkennen en benoemen, zodat de organisatie met gerichte oplossingen kan komen.

Een belangrijk concept in de theorie is dat de duur, intensiteit, prioriteit en frequentie van de interacties bepalend zijn voor de kans dat iemand crimineel gedrag ontwikkelt.

• Duur: naarmate een individu langer wordt blootgesteld aan een vorm van criminaliteit, neemt de kans toe dat hij of zij crimineel gedrag ontwikkelt.
• Intensiteit: hoe sterker de emotionele of professionele band met de bron van een norm of gedraging is, des te groter de kans is dat iemand dit gedrag overneemt.
• Prioriteit: vroege en betekenisvolle blootstelling aan een vorm van criminaliteit kan een grotere impact hebben dan latere, oppervlakkige contacten.
• Frequentie: hoe vaker een persoon wordt blootgesteld aan een vorm van criminaliteit, des te groter de kans dat de persoon crimineel gedrag kan ontwikkelen (Van Gelder et al. 2013).

Wanneer iemand bijvoorbeeld meer blootgesteld wordt aan attitudes die criminaliteit aanmoedigen dan aan attitudes die dit ontmoedigen, neemt de kans toe dat die persoon crimineel gedrag gaat vertonen (Sutherland 1947).

De RvB van een kleinschalige semi-private instelling heeft aan de internal auditor de opdracht gegeven om inzicht te geven in de organisatiebrede cultuur. Na een aantal incidenten in het kader van interne beheersing (denk aan het falen van beheersmaatregelen in een aantal financiële processen), vermoedde de RvB dat een informele cultuur van ‘resultaten boven regels’ de naleving van wet- en regelgeving en interne procedures in de weg stond. Met de huidige cultuur zou de organisatie mogelijk onvoldoende in staat zijn om de beoogde strategische doelen te behalen, die meer passen bij een cultuur waar compliance een belangrijk onderdeel van is. De RvB wilde inzicht krijgen in de ‘informele stromen’ binnen de organisatie, en weten aan welke knoppen ze zou moeten draaien om de nodige veranderingen op korte termijn door te voeren. Zij wilde ook graag dat er op een andere manier naar de organisatiecultuur zou worden gekeken; een criminologische kijk zou vernieuwende inzichten kunnen bieden voor de bedrijfsvoering.

Met behulp van focusgroepen en een-op-een interviews is dit onderzoek vormgegeven. Hier zijn, op basis van de opgehaalde percepties, de gedragspatronen uitgefilterd en in de vorm van een rapportage besproken met de RvB.

In de cultuurscan is op basis van differentiële-associatietheorie specifiek aandacht besteed aan interacties tussen collega’s onderling en tussen collega’s en leidinggevenden. Op deze manier kon inzicht worden verkregen in het ontstaan – en voortbestaan – van bepaalde gedragspatronen (aangeleerd gedrag). Uit de cultuurscan – met criminologische invalshoek – bleek dat er op bepaalde afdelingen een sterke informele druk bestond om ambi­tieuze doelen te behalen, ongeacht de regels. Nieuwe medewerkers werden blootgesteld aan collega’s die ‘flexibiliteit’ met de regels normaliseerden. Daarnaast bleek dat de organisatie kenmerken vertoonde van een familiecultuur, waarin loyaliteit en vriendelijkheid centraal staan. Hoewel deze waarden een positieve invloed hebben op de verbinding tussen collega’s, kan té veel loyaliteit en vriendelijkheid er ook toe leiden dat collega’s niet worden aangesproken op gedrag dat in strijd is met de formele regels.

De frequentie, intensiteit en prioriteit van deze interacties versterkten deze norm. De factor ‘duur’ is in de opgehaalde kwalitatieve data niet expliciet naar voren gekomen.

• Frequentie: er waren diverse momenten waarop targets werden besproken en regels als belemmerend werden weggezet. Een voorbeeldcitaat dat dit onderschrijft: “Elke week tijdens onze teambespreking wordt benadrukt dat we soms wat vaker onze creativiteit mogen inzetten om de doelstellingen te halen. Het is inmiddels de norm geworden.”
• Intensiteit: collega’s en leidinggevenden, als rolmodellen, spraken met overtuiging over het belang van resultaten boven regels. Een voorbeeldcitaat dat het voorgaande onderschrijft: “De senior collega’s hier hebben de meeste ervaring en succes. Als zij met volle overtuiging zeggen dat het behalen van een succes soms belangrijker is dan het nauwlettend volgen van iedere letter van een regel, dan neem je dat serieus.”
• Prioriteit: medewerkers hadden de perceptie dat succes belangrijker was dan naleving van regels. Een voorbeeldcitaat dat dit onderschrijft: “Bij de koffieautomaat hoor je vaak dezelfde verhalen over hoe anderen soms wat creatiever met regels omgaan om sneller succes te boeken. Op een gegeven moment ga je het vanzelf normaal vinden. Overigens heb ik het hier niet over fraude.”

De internal auditor adviseerde, in het verlengde van het inzicht in deze informele stromen en de daarin aanwezig risico’s, om ethisch leiderschap te integreren in bestaande trainingsprogramma’s, met specifieke aandacht voor het versterken van een aanspreekcultuur. Zonder duidelijke grenzen en correcties kunnen onethische gedragingen door nieuwe medewerkers als acceptabel worden gezien.

Het onderzoek toonde aan dat het expliciet benoemen van afwijkend gedrag en het bieden van constructieve feedback hierbij cruciaal zijn. De aanbeveling richtte zich daarom op het stimuleren van een aanspreekcultuur.

De differentiële-associatietheorie hielp aldus inzichtelijk te maken hoe normafwijkend gedrag binnen de organisatie werd aangeleerd en verspreid via sociale interacties. Dit maakte het mogelijk om verdieping te zoeken in de onderliggende oorzaken, zoals groepsloyaliteit en de normalisering van flexibiliteit ten opzichte van regels. Hierdoor kon de internal auditor aanbevelingen doen die gericht waren op gedragsverandering, zoals het versterken van ethisch leiderschap en een aanspreekcultuur, waardoor de RvB interventies kon implementeren die zich richtten op sociale interacties.