Ik schreef die zin een tijdje geleden, en hij duikt op in elk gesprek dat ik heb met security professionals, GRC- en governance-professionals in Europa. Niet omdat het slim klinkt, maar omdat het iets benoemt wat ze elke dag voelen en niet goed kunnen verwoorden.

Hun teams zijn slim en ze kennen hun vendor landscape door en door. Bovendien begrijpen ze de regeldruk en hebben ze al geïnvesteerd in AI-tools om hun Third Party Risk Management te moderniseren. En toch blijft de uitputting.

Dus de vraag die ik mezelf blijf stellen is: waarom?

Iedereen heeft AI uitgerold. Waarom zitten we dan nog tot onze oren in handmatig werk?

Veel van de enterprise risk teams waarmee ik spreek zijn al begonnen aan hun AI-journey in TPRM. Het platform is live, de vendor is betaald en de implementatie is getekend.

Dan slaat de realiteit toe.

De cirkel is niet compleet. Hoewel 70% automatisering een grote stap vooruit is, voelt het meer HD-ready dan echte 4K. De resterende 30% vraagt nog steeds handmatige inspanning, menselijke tussenkomst en constante follow-up.

AI-assisted vs autonomous — en waarom het verschil ertoe doet

70% automatisering klinkt indrukwekkend — totdat je nadenkt over wat die resterende 30% vereist. De headline metric van een nieuwe agentic TPRM-tool die deze week werd gelanceerd zegt alles: de AI-agent automatiseert "meer dan 70% van het assessment work, terwijl de risk analyst controle houdt over de uiteindelijke beslissingen." Dat is AI-assisted TPRM. Niet autonomous.

Als gevolg daarvan eindigen teams met een nieuwe workflow bovenop de oude: meer dashboards om te checken, meer alerts om te triagen en meer false positives om uit te leggen aan een sceptisch leadership team.

Kortom, dit is geen technologisch falen — het is een ontwerpfout. De meeste TPRM-tools zijn namelijk gebouwd om menselijke workflows te ondersteunen, niet om ze te vervangen. En dat maakt een wezenlijk verschil.

Het verschil tussen uitputting ondersteunen en beëindigen

Als ik zeg dat AI onze uitputting vervangt, bedoel ik iets specifieks. Heb je jezelf ooit afgevraagd: hoeveel tijd verspilt jouw team aan administratief werk in plaats van aan security?

Denk er zo over na: een vendor achtervolgen voor een questionnaire response is geen risk-beslissing. Dat is pure administratie — het kost analisten tijd, creëert wrijving met suppliers en levert geen enkele inzicht op.

Op dezelfde manier is het triagen van 200 alerts om de drie te vinden die er echt toe doen, geen risk management. Dat is noise filtering. En noise filtering is precies het soort werk dat getalenteerde mensen uitput en uiteindelijk doet vertrekken.

De organisaties die dit goed doen, zijn niet de organisaties met de grootste risk teams. Het zijn de organisaties die zijn gestopt met het vragen van hun mensen om te doen wat machines zouden moeten doen — en hen hebben vrijgemaakt om te doen wat alleen mensen kunnen.

Wat fully autonomous en compliant er in de praktijk uitziet

Fully autonomous TPRM betekent niet geen mensen. Het betekent veeleer geen mensen die repetitief, laagwaardig werk doen. In de praktijk wordt jouw team 's ochtends wakker met een systeem dat 's nachts al nieuwe vendors heeft beoordeeld en remediation-items heeft afgesloten — zonder dat iemand een vinger heeft uitgestoken.

Bovendien markeert het systeem automatisch materiële wijzigingen bij bestaande vendors, zodat jouw team zich kan richten op de risico's die er echt toe doen.

Daarnaast betekent het dat wanneer DORA of NIS2 bewijs vraagt van continue third-party oversight, je dat in minuten kunt leveren in plaats van weken. Jouw board krijgt een real-time overzicht van de third-party risk exposure in plaats van een kwartaalslide die al verouderd was op het moment dat hij werd gemaakt.

En cruciaal — dit alles vereist geen extra headcount. Want het AI-team slaapt nooit, raakt nooit afgeleid en heeft nooit vakantie nodig.

Wat dit nu betekent voor jouw team

Als jouw risk team nog steeds significant tijd besteedt aan vendor chasing, questionnaire management of alert triage — dan is dat geen people-probleem. Het is daarentegen een tooling-probleem. En gelukkig is het oplosbaar.

De organisaties waarmee ik werk die deze stap hebben gezet, rapporteren consequent hetzelfde resultaat: risk teams stoppen met firefighting en beginnen met daadwerkelijk risk management. Bovendien groeien analisten uit tot adviseurs, terwijl CISOs stoppen met het verdedigen van hun headcount en in plaats daarvan echte strategische waarde beginnen te demonstreren.

Dat is wat er gebeurt als je uitputting vervangt in plaats van intelligentie.