Een GRC-analist helpt organisaties governance, risico en compliance samen te brengen nu Europese regelgeving, strengere verwachtingen rond cyberweerbaarheid en een Belgische arbeidsmarkt risico’s steeds minder als louter juridisch of IT-probleem laten behandelen.
Een GRC-analist werkt op het snijvlak van governance, risk en compliance: de rol vertaalt wetgeving, interne regels en risicobeslissingen naar werkbare controles, rapportages en verbeteracties. In België betekent dat vaak werken met Europese kaders zoals de GDPR, NIS2 en DORA, maar ook met sectorale verwachtingen van bijvoorbeeld de Nationale Bank van België, de FSMA, de Gegevensbeschermingsautoriteit en Europese richtsnoeren van ENISA.
Wat een GRC-analist in België werkelijk doet
De functie wordt soms te smal gezien als “beleid schrijven” of “audits voorbereiden”. In praktijk is het werk breder en veel operationeler. Een GRC-analist helpt bepalen welke risico’s relevant zijn, wie eigenaar is van een controle, welk bewijs nodig is en hoe management kan zien of een verplichting daadwerkelijk wordt nageleefd.
Een Belgische scale-up die voor grotere klanten werkt, kan bijvoorbeeld vragen krijgen over ISO/IEC 27001, verwerkersovereenkomsten, incidentrapportage en toegangsbeheer. De GRC-analist brengt dan niet alleen documenten op orde, maar stemt met IT af welke logging bestaat, met Legal welke contractuele verplichtingen gelden en met operations wie herstelacties opvolgt. De waarde zit in het verbinden van regels met uitvoerbare afspraken.
De rol bevindt zich meestal in de tweede lijn van verdediging. De eerste lijn bestaat uit proces- en risico-eigenaars, zoals IT, operations, HR of productteams. De tweede lijn, waar GRC, compliance, privacy en risk vaak zitten, stelt kaders, adviseert, challengeert en monitort. De derde lijn, internal audit, beoordeelt onafhankelijk of het geheel werkt. Die positie bepaalt de dagindeling: een GRC-analist moet helpen zonder eigenaar te worden van elk risico, en tegelijk kritisch genoeg blijven om zwakke controle-evidence of onduidelijke verantwoordelijkheden te benoemen.
Hoe regelgeving het dagelijkse werk verandert
De GDPR blijft in België een basislaag voor privacy, gegevensbescherming en incidentbeoordeling. Voor GRC-analisten betekent dat niet alleen kennis van rechten van betrokkenen of verwerkingsregisters, maar ook het vermogen om privacy-afspraken te koppelen aan toegangsbeheer, bewaartermijnen, leverancierscontracten en beveiligingsmaatregelen. De Belgische Gegevensbeschermingsautoriteit publiceert richtsnoeren en beslissingen die organisaties helpen begrijpen waar toezicht in de praktijk op let.
NIS2 legt meer nadruk op cybersecurity-risicobeheer, governance, toeleveranciers en melding van significante incidenten. De exacte nationale toepassing hangt af van Belgische omzetting en sectorcontext, maar de richting is duidelijk: organisaties moeten aantoonbaarder kunnen laten zien hoe zij risico’s identificeren, maatregelen kiezen, incidenten beheren en leveranciers beoordelen. Daardoor verschuift het werk van de GRC-analist van losse compliancevragen naar structurele ritmes, zoals periodieke risicoreviews, control testing en managementrapportage.
DORA is vooral relevant voor financiële entiteiten en bepaalde ICT-dienstverleners in de financiële sector. De verordening is van toepassing vanaf 17 januari 2025 en legt de nadruk op digitale operationele weerbaarheid, ICT-risicobeheer, incidentrapportage, testen en risico’s bij derde partijen. In een bank-, verzekerings- of fintechcontext zal een GRC-analist daarom vaker samenwerken met procurement, vendor management, security operations en business continuity-teams. NBB- en FSMA-verwachtingen spelen daarbij een belangrijke rol in hoe formeel documentatie, governance en rapportering moeten zijn.
Vaardigheden die werkgevers meestal zoeken
Een GRC-analist heeft geen eenduidige startopleiding nodig. Achtergronden in rechten, criminologie, business, audit, finance, informatiemanagement, IT of cybersecurity kunnen allemaal passen. Wat telt, is het vermogen om een abstracte verplichting om te zetten in een concrete controle en daarna te beoordelen of die controle aantoonbaar werkt.
Analytisch denken is belangrijk, maar stakeholdervaardigheid weegt in België vaak even zwaar. Veel organisaties werken meertalig, zeker in Brussel en nationale functies. Nederlands, Frans en Engels komen regelmatig samen in beleidsteksten, auditgesprekken en managementrapportages. Kandidaten kunnen die vaardigheid aantoonbaar maken met voorbeelden: een korte risk memo, een policy draft, notulen van een control review of een oefencasus waarin een incident naar managementtaal wordt vertaald.
Technische diepgang is nuttig, maar een GRC-analist hoeft niet altijd een security engineer te zijn. De rol vraagt wel voldoende begrip van onderwerpen zoals identity and access management, logging, vulnerability management, back-ups, encryptie, cloud governance en incidentrespons. Zonder dat begrip wordt het lastig om IT-bewijs te beoordelen of realistische verbeteracties af te spreken.
GRC-analist, compliance officer of IT-auditor?
Rolnamen overlappen vaak, waardoor sollicitanten zich soms op de verkeerde functies richten. Een compliance officer focust doorgaans sterker op naleving van wet- en regelgeving, interne gedragscodes en beleidskaders. Een GRC-analist beweegt breder tussen risico’s, controles, beleid, evidence en rapportage. Een IT-auditor beoordeelt onafhankelijker of controles goed ontworpen zijn en effectief werken.
Een voorbeeld maakt het verschil duidelijk. Wanneer een organisatie een nieuwe cloudleverancier selecteert, zal compliance nagaan welke wettelijke en contractuele vereisten gelden. De GRC-analist helpt een risicoanalyse, control mapping en leveranciersbeoordeling opzetten. De IT-auditor kan later toetsen of de beoordeling volledig was, of uitzonderingen correct zijn goedgekeurd en of de afgesproken controles echt bestaan.
Voor kandidaten is dit onderscheid praktisch. Wie graag onderzoekt en onafhankelijk assurance levert, past vaak goed richting IT-audit. Wie graag risico’s prioriteert en management helpt beslissen, kan richting IT-risk of enterprise risk groeien. Wie beleid, controles en cross-functionele opvolging wil combineren, zit meestal dichter bij GRC.
Typische loopbaanpaden en doorgroei
Veel GRC-carrières beginnen in een ondersteunende functie: junior compliance analyst, risk analyst, privacy assistant, internal control officer, IT support met securitytaken, SOC-analist met governance-interesse of auditor in opleiding. De eerste stap is meestal leren hoe een organisatie risico’s documenteert, hoe bewijs wordt verzameld en hoe bevindingen worden opgevolgd zonder de business te blokkeren.
Na enkele jaren ontstaan verschillende routes. Sommige professionals groeien door naar GRC-consultant, waar zij meerdere organisaties helpen met frameworks zoals ISO/IEC 27001, NIST CSF of sectorale controls. Anderen bewegen naar IT-audit, third-party risk management, business continuity, privacy, cyber risk, operational resilience of tweede-lijns risicofuncties in financiële instellingen. In de publieke sector en zorg ligt de nadruk vaak sterker op gegevensbescherming, continuïteit en verantwoord beheer van gevoelige informatie.
Specialiseren is meestal pas zinvol wanneer de basis duidelijk is. Wie te vroeg alleen privacy, DORA, audit of cyber kiest, mist soms het bredere GRC-mechanisme: beleid, risico, controle, bewijs, rapportage en eigenaarschap. Een goed fundament maakt latere specialisatie geloofwaardiger.
Welke certificeringen zinvol zijn
Certificeringen vervangen geen praktijkervaring, maar ze helpen wel om taal, structuur en beoordelingskaders te leren. Voor starters zijn ISO/IEC 27001 Foundation, ISO/IEC 27001 Lead Implementer of een route rond governance, risk en compliance vaak nuttig, omdat zij laten zien hoe een managementsysteem, risicobeoordeling, controls en interne audits samenhangen. Readynez behandelt dit soort keuzes doorgaans als onderdeel van een breder leerpad, niet als een los examenmoment.
De keuze hangt af van de richting die iemand wil uitbouwen. Wie richting IT-audit wil, komt vaak uit bij CISA. Wie zich wil verdiepen in IT-risk en control design, kan CRISC overwegen. Voor security-governance, beleid en managementsystemen passen ISO/IEC 27001 Lead Implementer, Lead Auditor of CGRC goed. CISSP wordt relevanter wanneer iemand al stevig in informatiebeveiliging werkt en bredere securitydomeinen wil kunnen verbinden met governance en risicobeslissingen.
Een veelgemaakte fout is certificeringen verzamelen zonder rolverhaal. Een kandidaat met één gerichte certificering, een duidelijk portfolio van policy drafts, risicoanalyses en auditvoorbereiding, en sterke stakeholdercommunicatie is vaak overtuigender dan iemand met meerdere titels maar weinig bewijs van toepassing. Certificaten werken het best wanneer ze gekoppeld zijn aan concrete artefacten.
Werkpraktijken en artefacten die de rol tastbaar maken
GRC-werk wordt zichtbaar in documenten, systemen en overlegmomenten. Een risicoregister bevat bijvoorbeeld niet alleen risico’s, maar ook eigenaars, oorzaken, gevolgen, bestaande maatregelen, geplande acties en reviewdata. Een control library beschrijft welke controles bestaan, aan welk risico of framework ze gekoppeld zijn en welk bewijs nodig is. Een auditplan bepaalt welke processen worden getoetst, wanneer, met welke scope en door wie.
De grootste implementatieproblemen zijn zelden puur technisch. Risicoregisters raken vervuild wanneer velden te vaag zijn of niemand eigenaar is van updates. Controls worden zwak wanneer “IT” als eigenaar staat in plaats van een concrete rol. Compliance theater ontstaat wanneer documenten bestaan, maar niemand kan aantonen dat controles periodiek worden uitgevoerd. Een praktische mitigatie is werken met minimale datavelden, vaste reviewmomenten en duidelijke escalatie wanneer acties blijven hangen.
Tooling kan helpen, maar lost governanceproblemen niet op. Sommige organisaties gebruiken gespecialiseerde GRC-platformen; andere starten met spreadsheets, ticketing en documentbeheer. De volwassenheid zit niet in het merk van de tool, maar in consistente definities, eigenaarschap, bewijsvoering en besluitvorming.
De Belgische arbeidsmarkt: waar op te letten
In België verschijnen functies onder uiteenlopende titels: GRC analyst, IT risk analyst, compliance analyst, internal control officer, information security governance analyst, third-party risk analyst of cyber risk consultant. De titel zegt daarom minder dan de vacaturetekst. Belangrijke signalen zijn de plaats in de organisatie, de betrokken frameworks, de mate van auditwerk, de sector en de verwachte talen.
Financiële instellingen vragen vaak meer formele rapportage, operationele weerbaarheid en aandacht voor NBB-, FSMA- en DORA-context. Technologiebedrijven leggen vaker nadruk op klantvragen, ISO/IEC 27001, SOC-rapportages, leveranciersbeoordelingen en cloud controls. Zorgorganisaties en publieke instellingen combineren compliance met gevoeligheid rond persoonsgegevens, continuïteit en publieke verantwoording.
Hybride werken heeft de rol niet minder relationeel gemaakt. GRC-analisten moeten workshops kunnen leiden, bewijs kritisch kunnen bespreken en weerstand kunnen omzetten in haalbare acties. Wie solliciteert, doet er goed aan voorbeelden voor te bereiden van moeilijke afstemming: een risico dat lager werd ingeschat door de business dan door security, een auditbevinding zonder duidelijke eigenaar, of een leverancier die onvoldoende informatie aanleverde.
Veelgestelde vragen
Moet een GRC-analist technisch zijn?
Niet op hetzelfde niveau als een security engineer, maar basiskennis van IT en cybersecurity is belangrijk. Een GRC-analist moet kunnen begrijpen waarom een controle bestaat, welk bewijs relevant is en wanneer een technische uitzondering een echt risico vormt.
Is juridische kennis noodzakelijk?
Juridische kennis helpt, vooral bij GDPR, contracten en sectorregels. Toch is de rol breder dan juridische interpretatie. De analist moet vooral kunnen samenwerken met Legal, IT, security, procurement en business owners om verplichtingen uitvoerbaar te maken.
Welke certificering past het best bij een starter?
Voor veel starters is een ISO/IEC 27001 Foundation- of implementatieroute een logische basis, omdat die laat zien hoe beleid, risico’s, controles en audits samenkomen. Wie al weet dat de richting IT-audit wordt, kan CISA als later doel nemen; voor IT-risk is CRISC relevanter wanneer er voldoende praktijkcontext is.
Hoe kan iemand zonder GRC-ervaring instromen?
Een realistische instap is via compliance support, risk support, privacy, internal control, IT support met securitytaken of audit. Een klein portfolio helpt: een voorbeeld-risicoregister, een korte policy draft, een control test template of een memo waarin een regelgevingseis wordt vertaald naar praktische acties.
Een carrièrepad dat met de praktijk meegroeit
Een sterke GRC-carrière ontstaat door regelgeving, risico en organisatiegedrag tegelijk te leren begrijpen. In België vraagt dat aandacht voor EU-regels, sectorale verwachtingen, meertalige communicatie en de realiteit dat controles pas waarde hebben wanneer iemand ze uitvoert, bewaakt en verbetert.
De meest effectieve volgende stap is een richting kiezen, vervolgens de bijbehorende artefacten en certificering daarop afstemmen. Readynez kan daarbij helpen met gerichte training rond security, risk en compliance-certificeringen, maar de kern blijft hetzelfde: toon dat kennis kan worden vertaald naar betere besluitvorming, duidelijk eigenaarschap en aantoonbare controlewerking.
