Excel-loten is geen loten

Bijna iedere overheidsloting van het afgelopen decennium was strikt genomen niet controleerbaar. Toch werden er miljarden euro's, studieplaatsen en woningen mee verdeeld.

Dat is geen verwijt. Het is wel een probleem. Want zodra een ouder, een student, een aanvrager of een advocaat vraagt waarom dít huis aan díe persoon ging, moet een organisatie het antwoord met droge ogen kunnen geven. Een Excel-bestand met een RAND-functie of een scriptje van een ICT-collega gaat dat niet doen.

Een loting moet je kunnen overdoen, anders is het geen loting

Wat een loting tot loting maakt, is niet dat de uitkomst willekeurig voelt. Het is dat de uitkomst, op basis van dezelfde invoer, opnieuw te produceren is. Reproduceerbaar. En niet alleen door de organisatie zelf, maar ook door een onafhankelijke derde die de boel komt narekenen.

Een Excel-loting voldoet daar niet aan. De RAND-functie levert iedere keer een andere reeks. Wie achteraf wil weten waarom kandidaat A boven kandidaat B kwam, krijgt een vriendelijk schouderophalen. Een zelfgebouwd script gaat een eindje verder, maar valt of staat met de vraag of niemand het bestand achteraf heeft aangepast en of de gebruikte random-functie wel echt onvoorspelbaar was.

Dat is precies het soort vraag dat advocaten stellen.

Cryptografische randomisatie maakt vertrouwen wiskundig

Hier komt onze aanpak in beeld. LMS.nl gebruikt cryptografische randomisatie. Voor wie geen wiskundige is: dat betekent dat de loting wordt opgezet met een zogeheten seed waarvan vooraf publiek vastligt wat hij zal zijn, bijvoorbeeld de slotkoers van de AEX op een bepaalde dag, en dat de loting-volgorde uit die seed met een wiskundig vastgelegde procedure wordt afgeleid.

Het effect: de uitkomst is voor niemand vooraf bekend, maar ná de loting kan iedereen, een ouder, een rechter, een Rekenkamer-medewerker, dezelfde berekening uitvoeren en exact dezelfde uitkomst krijgen. Manipulatie tijdens of na de loting is wiskundig zichtbaar. Dat is een hardere vorm van vertrouwen dan "wij beloven dat het eerlijk is gegaan".

En het maakt iets mogelijk dat met Excel niet kan: bezwaarafwikkeling op feiten in plaats van op proces. Een advocaat die om de loting-data vraagt, krijgt geen excuses, maar een audit-pakket dat zichzelf verklaart.

AVG en transparantie versterken elkaar, ze bijten niet

Veel teams die we spreken denken dat privacy en controleerbaarheid een dilemma zijn. Of je bent open over wie er heeft meegelot, of je houdt persoonsgegevens binnen.

In de praktijk is dat een vals dilemma. Een goed opgezet loting-platform werkt met geanonimiseerde of gepseudonimiseerde inschrijvingen. De kandidaten zijn herleidbaar voor de organisatie zelf, maar de loting-procedure draait op identifiers, niet op namen. De audit-trail bewijst dat de procedure correct verliep, zonder dat een externe partij ooit een persoonsgegeven hoeft te zien.

Dat is precies wat de AVG vraagt: dataminimalisatie en doelbinding. En het is wat een controlerend orgaan vraagt: reproduceerbaarheid. Twee vinkjes met dezelfde architectuur.

Wat dit voor jouw organisatie betekent

Werk je bij een rijksdienst, provincie, gemeente, universiteit of fonds en moet je iets schaars eerlijk verdelen, plaatsen, subsidies, woningen, vergunningen, dan loont het de moeite om je huidige loting-procedure even tegen het licht te houden. Niet omdat het nu fout gaat. Wel omdat de eerste keer dat het ter discussie komt, meestal vlak voor of in een rechtszaal is. En dan wil je niet ontdekken dat je RAND-functie geen audit-trail heeft.

Eerlijk delen is meer dan goede bedoelingen. Het is een infrastructuur. Wie die op orde heeft, hoeft zich nooit meer te verdedigen tegen het verwijt van willekeur.

Lees verder over de aanpak op onze loting-en-matching-pagina. Daar staat ook welke instellingen ermee werken en wat de stappen zijn als je je eigen procedure wilt laten doorlichten.