— CrowdStrike en Cloudflare

Erik maakte het concreet met twee incidenten: CrowdStrike in 2024 en Cloudflare in 2025. In beide gevallen leidde één wijziging tot impact die niemand zag aankomen, met miljoenen geraakte gebruikers en schade aan operatie, klanten en reputatie. Het officiële verhaal luidde telkens “human error”.

Die verklaring vond Erik te simpel. De werkelijke oorzaak lag in vijf teams met vijf versies van de werkelijkheid, zonder berekende kaart van hoe de wijziging zich door de infrastructuur zou verspreiden. De financiële schade is te herleiden tot het ontbreken van één gedeelde werkelijkheid.

— Van monitoren naar navigeren

Voor de oplossing greep Erik terug op de komst van GPS. Wat veranderde, was de kwaliteit van de informatie om op te navigeren. Een netwerk werd live, continu bijgewerkt en accuraat zichtbaar. Daarop ontstonden mogelijkheden die eerder niet bestonden: realtime routeplanning en blootstelling vooraf inzichtelijk maken in plaats van achteraf. Enterprise governance en security staan op zo’n kantelpunt.

— AI verandert de spelregels

Een derde beweging neemt in urgentie toe. Scanners, pentests en tooling vinden steeds sneller en goedkoper kwetsbaarheden, dus discovery is het probleem niet meer. Het probleem is wat erna komt. Bij 14.000 gevonden kwetsbaarheden volgt de vraag wat je eerst aanpakt, welke een kritieke keten raakt en welke zich vertaalt naar operationele, financiële of bestuurlijke schade.

— Drie urgente bewegingen

​

— Interludium: Michel Bernsen, EY

Erik gaf het woord aan Michel Bernsen, partner Risk Management bij EY. EY gelooft minder in traditioneel risicomanagement dat naar binnen en naar het verleden kijkt met een driejarenplan. De wereld beweegt te snel om achteraf te reageren, dus de risk-functie hoort zich te verbinden met de strategie.

Bernsen illustreerde de pijn van de afgelopen jaren met dubbele facturen, een schip dat in het Suezkanaal de supply chain verstoorde, een staking en haperende productie bij Volkswagen. Om vooruit te sturen zijn signalen nodig, extern en intern, en hoort governance aan de voorkant te staan in plaats van pas in actie te komen als het probleem er al is. Dat is precies wat Methodino biedt, en dat maakte hem enthousiast over de samenwerking.

​

EY op de Summit. Naast de keynotes belichtte EY het belang van een geïntegreerd IT-Control Framework.

— Afsluiting

Erik sloot de cirkel terug naar de student die hij ooit op Nyenrode was. De vraag van vandaag is hoe je ervoor zorgt dat de werkelijkheid in de systemen klopt met de werkelijkheid in de infrastructuur, berekend op basis van verifieerbare feiten in plaats van aangenomen op basis van historische momentopnames.

Keynote 02     FRANCIEN BEGASS · LUMEN RISK ADVISORY

Hidden Fragments in Today’s Controlled Landscape

Over de control trap, en hoe scenarioanalyse leiderschap bevrijdt van puur reactief gedrag.

— Achtergrond

Francien begon haar loopbaan in consulting en werkte daarna zeventien jaar bij ING, waar zij samen met de Europese Commissie en het ministerie van Financiën aan de bankenregelgeving werkte. Op enig moment koos zij ervoor de regelgeving niet langer te bestrijden maar zo efficiënt mogelijk door te voeren. Daarna bouwde zij vier jaar bij Accenture een team op en begon voor zichzelf. Naast haar adviespraktijk Lumen Risk Advisory heeft zij een start-up met AI-tooling voor portfoliomanagement.

— Te veel tijd kwijt aan controles

Francien richtte haar verhaal op overcontrolling. Veel mensen besteden een groot deel van hun werk aan controles en processen, met een vinkje of een mail voor elke aanvraag. De vraag is of er dan nog tijd overblijft voor de toekomstige risico’s. Zij onderbouwde dat met cijfers uit een recent PwC-onderzoek.

​

— De control trap

Francien benoemde externe en interne druk, met daarbovenop een mentale druk. Niemand wil verantwoordelijk zijn voor een verlies door een gemiste controle. Op leiderschapsniveau zit het probleem in risicoaversie, in reactieve controles die alleen reageren op wat in het verleden gebeurde, en in een gebrek aan visie op GRC.

Het optimaliseren van controles helpt niet vanzelf. Een siloed manier van werken en controles die niet aansluiten op de processen, kunnen een zwaardere last opleveren. Dat is de control trap: de controles zijn geoptimaliseerd, maar de cultuur is niet veranderd en de organisatie blijft reactief.

​— Scenario's bouwen bij complexere situaties

​Voor complexere vraagstukken adviseerde Francien eerst de scope te bepalen, bijvoorbeeld welke aandelen gevoelig zijn voor de ​ ​olieprijs. Op basis daarvan ontwikkel je scenario’s, zoals een afgesloten zeestraat of oplopende inflatie, en bereken je de impact op de ​portefeuille. Daarbij hoort breakthrough-denken: ga bewust naar het extreme om te toetsen of alles is meegenomen. Met de uitkomst ​van stress testen en modelleren is duidelijk of een gebeurtenis een werkelijk risico vormt.