Risk-/governanceproject
Risk & SecurityDORA & IT-beheersing
Voldoen aan regels is meer dan kunnen aanwijzen dat een control bestaat. Ik onderzocht hoe wetgeving, toezicht, governance, effectiviteit en volwassenheid samenkomen in IT- en cyberbeheersing en vertaalde gevonden gaps naar een gerichte verbeterroadmap.
- Besluitvorming & Governance
- Business Continuity
- Risk & Security
Praktijkgericht Risk & Security-onderzoek binnen de financiële dienstverlening. De case toont uitsluitend de methodische beweging; interne security-informatie blijft buiten beeld.
Een control kan bestaan zonder aantoonbaar beheerst te zijn
De centrale vraag was hoe je bepaalt of IT- en cyberrisico’s aantoonbaar worden beheerst wanneer wetgeving, toezicht, controls, governance en operationele uitvoering ieder een ander deel van het beeld laten zien.
- Niveau 1De control bestaat
- Niveau 2De control werkt
- Niveau 3De control is aantoonbaar beheerst
- De echte vraagIs de beheersing structureel én werkbaar?
‘Het werkt’ en ‘we beheersen het aantoonbaar’ zijn twee verschillende uitspraken.
Meerdere kaders, één beheersingsvraag
Het onderzoek bracht DNB-toezicht, COBIT, DORA, NIS2, governance, risicomanagement, bestaande controls, self-assessment, maturity, Internal Audit en externe assurance bij elkaar. Daardoor werd niet alleen zichtbaar óf maatregelen werkten, maar ook in hoeverre zij structureel waren ingericht en aantoonbaar konden worden gemaakt.
- 01KadersWetgeving, toezicht en good practice.
- 02ControlsBestaande beheersing onderzoeken.
- 03MaturityBorging en aantoonbaarheid beoordelen.
- 04RisicoGaps naar impact prioriteren.
- 05RoadmapGerichte opvolging organiseren.
De oplossing was niet: meer controls
De analyse leidde tot een geprioriteerde verbeterroadmap. De kern was een stabiele basis, heldere processen, aantoonbare naleving en risicogestuurde opvolging. Verdere maturity mocht geen administratief doel op zichzelf worden: maatregelen moesten uitvoerbaar blijven in de dagelijkse praktijk.
Extra maatregelen zonder samenhang of prioriteit.
Gerichte verbetering vanuit risico én uitvoerbaarheid.
Resultaat binnen een lopende verandering
Het onderzoek leverde een GAP-analyse en concrete verbeterroadmap op. De bredere DORA-implementatie liep op dat moment nog. De case bewijst daarom de analyse, prioritering en vertaling naar werkbare beheersing — niet een zelfstandig afgeronde implementatie.
Beheersing moet aantoonbaar zijn én werkbaar blijven.
Methoden en vaardigheden
Risk assessment · GAP-analyse · maturity assessment · DORA · NIS2 · COBIT · DNB Good Practice · IT-governance · controls · Security Capability Model · Three Lines · Internal Audit · externe assurance · risicoprioritering · roadmap · compliance-analyse