Is het beleid… of is er werkelijk over nagedacht?
Vrijwel iedere organisatie heeft beleid.
- Beleid voor privacy.
- Beleid voor informatiebeveiliging.
- Beleid voor kwaliteit.
- Beleid voor risico’s.
- Beleid voor integriteit.
- Beleid voor continuïteit.
- Personeelsbeleid.
- Enz.
De documenten zijn vaak netjes opgesteld. Er zijn normen, kaders en procedures. Soms zijn er zelfs certificaten, audits en rapportages.
Maar de belangrijkste vraag wordt vaak onvoldoende gesteld:
“Is het beleid daadwerkelijk een vertaling van bewust nadenken over risico’s en verantwoordelijkheid?”
Of is er vooral een verzameling documenten gemaakt om aan te tonen dat we iets geregeld hebben?
Beleid is geen bewijs van beheersing
Een volwassen organisatie begrijpt dat beleid slechts het beginpunt is.
Een beleidsdocument beschermt geen persoonsgegevens.
Een procedure voorkomt geen cyberincident.
Een risicoregister maakt risico’s niet kleiner.
Een certificaat zorgt niet automatisch voor veilig gedrag.
De echte waarde ontstaat pas wanneer beleid wordt vertaald naar:
- Duidelijke verantwoordelijkheden die onderdeel zijn van de dagelijkse bedrijfsvoering.
- Bewuste keuzes, die zichtbaar aan aantoonbaar zijn.
- Aantoonbare en geborgde maatregelen.
- Gewenst gedrag; al de betrokkenen houden zich er aan.
- Continue verbetering als onderdeel van de PDCA cyclus.
De vraag is dus niet alleen:
“Hebben we beleid?”
Maar:
“Kunnen wij aantonen dat wij onze verantwoordelijkheid nemen?”
De volwassen organisatie kijkt verder
Een volwassen organisatie stelt zichzelf voortdurend kritische vragen.
1. Eigenaarschap: wie is werkelijk verantwoordelijk?
Een valkuil is dat verantwoordelijkheid wordt doorgeschoven; Privacy is van de privacy officer. Security is van de IT-afdeling. Risico’s zijn van de riskmanager. Compliance is van de jurist.
Maar uiteindelijk ligt verantwoordelijkheid niet bij een functie of afdeling.
De bestuurder, directie en lijnmanagement moeten weten:
- Welke risico’s de organisatie loopt.
- Welke keuzes zijn gemaakt.
- Welke risico’s bewust worden geaccepteerd.
- Welke maatregelen noodzakelijk zijn.
Een volwassen organisatie zegt niet:
“Daar gaat die afdeling over.”
Maar:
“Wij zijn verantwoordelijk en hebben onze rollen goed georganiseerd.”
2. Van regels volgen naar risico’s begrijpen
Een onvolwassen benadering begint vaak met de vraag:
“Aan welke regels moeten we voldoen?”
Een volwassen organisatie begint met:
“Wat kan er misgaan en wat betekent dat voor onze mensen, klanten, medewerkers en samenleving?”
Wet- en regelgeving zoals de AVG, NIS2, BIO of ISO-normen zijn geen doel op zich.
Ze zijn hulpmiddelen om risico’s beheersbaar te maken.
De vraag is niet:
“Hebben we alle vinkjes gezet?”
De vraag is:
“Hebben we de juiste dingen gedaan en kunnen wij dat aantonen en dat het werkt?”
3. Privacy en security zitten niet achteraf aan tafel
Een veelvoorkomend patroon:
- Een nieuw systeem wordt aangeschaft.
- Een proces wordt ingericht.
- Een leverancier wordt gekozen.
En pas daarna komt de vraag:
“Hebben we eigenlijk rekening gehouden met privacy en beveiliging?”
Een volwassen organisatie draait dit om.
Privacy en security horen aan de voorkant:
- Bij strategie, jaarplannen en budgetten
- Bij ontwerpen en onderhoud (lifecyclemanagement).
- Bij inkoop.
- Bij leveranciersmanagement.
- bij verandertrajecten.
Niet als controle achteraf, maar als onderdeel van goed organiseren en de dagelijkse operatie..
4. Restrisico’s worden niet verstopt, maar besproken
Geen enkele organisatie kan alle risico’s volledig uitsluiten. De volwassen organisatie begrijpt dat.
Het gaat niet om de vraag:
“Hebben wij nul risico?”
Dat bestaat niet.
Het gaat om:
- Welke risico’s kennen wij?
- Welke maatregelen hebben wij getroffen?
- Welk restrisico blijft bestaan?
- Wie accepteert dit risico bewust?
Een niet-besproken restrisico is geen beheerst risico.
5. Incidenten worden gebruikt om beter te worden
Een volwassen organisatie vraagt na een incident niet alleen:
“Wie heeft dit veroorzaakt?”
Maar vooral:
“Wat moeten wij verbeteren?”
Een datalek, beveiligingsincident of fout in een proces is geen eindpunt.
Het is een moment om te leren:
- Was de oorzaak technisch?
- Was het proces onvoldoende ingericht?
- Waren verantwoordelijkheden onduidelijk?
- Was er onvoldoende bewustzijn?
Een lerende organisatie wordt sterker door fouten.
6. Cultuur bepaalt uiteindelijk het resultaat
Beleid kan nog zo goed zijn opgesteld. Maar de dagelijkse praktijk wordt bepaald door mensen. Een volwassen organisatie werkt daarom aan:
- Training, training, training …. Wat leidt tot kennis en ervaring de echte basis voor Bewustzijn.
- Aanspreekbaarheid.
- Professioneel gedrag.
- Ruimte om risico’s te melden.
- Verantwoordelijkheid nemen.
Want de zwakste schakel is vaak niet de techniek of het document. Het is het moment waarop iemand denkt: “Dat regelen we later wel.”
De volwassen organisatie heeft geen dikke map nodig om vertrouwen uit te stralen
Een volwassen organisatie kan uitleggen:
- Waarom bepaalde keuzes zijn gemaakt.
- Welke risico’s worden beheerst.
- Wie waarvoor verantwoordelijk is.
- Hoe wordt gecontroleerd of maatregelen werken.
- Hoe wordt verbeterd.
Dat is de essentie van aantoonbaar in control zijn.
Niet meer regels.
Niet meer documenten.
Maar meer bewustzijn, eigenaarschap en verantwoordelijkheid.
Van papieren organisatie naar volwassen organisatie”
De kernvraag voor iedere bestuurder en manager: “Hebben wij beleid omdat het moet? Of hebben wij beleid omdat wij begrijpen waarvoor wij verantwoordelijk zijn?”.
Een volwassen organisatie wordt niet herkend aan de hoeveelheid documenten. Je herkent haar aan de kwaliteit van de keuzes die achter die documenten zitten.
Daarom mijn devies en advies: “Zorg dat je weet wat je niet weet. Weeg de risico’s af. Neem passende maatregelen. En zorg dat je kunt verantwoorden waarom je deze keuzes hebt gemaakt.”
Een publicatie in de serie “De luis in de pels”