We dachten dat de leverancier dat deed
De vraag kwam tijdens een overleg over een wijziging bij een leverancier. Er moest iets worden aangepast, maar voordat dat kon gebeuren, wilde iemand weten wie eigenlijk verantwoordelijk was voor de controle daarna.
“Dat doet de leverancier toch?”
Aan de andere kant van de tafel werd even getwijfeld.
“Ik dacht dat wij dat zelf deden.”
Er werd gezocht in de overeenkomst. Daarna in een oude mailwisseling. Iemand herinnerde zich een gesprek tijdens de implementatie, maar wist niet meer precies wat daar was afgesproken. De leverancier had in ieder geval toegang tot het systeem. De organisatie kreeg regelmatig rapportages. Er was ook een periodiek overleg.
Alleen gaf geen van die dingen antwoord op de vraag.
Iedereen had een beeld van de samenwerking. Alleen bleken die beelden niet hetzelfde.
De samenwerking leek duidelijk genoeg
Dit soort situaties ontstaan vaak niet doordat er helemaal geen afspraken zijn. Er is meestal een contract, een dienstverleningsovereenkomst, een beschrijving van de geleverde dienst en een overlegstructuur.
Op papier lijkt de samenwerking daarmee behoorlijk duidelijk.
In de dagelijkse praktijk ontstaan alleen veel meer vragen dan in zo’n overeenkomst zijn beschreven. Wie controleert of gebruikersrechten nog kloppen? Wie beoordeelt afwijkingen? Wie merkt op dat een bepaalde rapportage al maanden niet meer wordt bekeken? Wie bepaalt wanneer een incident moet worden opgeschaald? Wie controleert of een afgesproken maatregel daadwerkelijk werkt?
Zolang er niets gebeurt, worden die vragen zelden gesteld. De leverancier levert zijn dienst. De organisatie ontvangt rapportages. Periodiek wordt besproken hoe het gaat.
Daardoor ontstaat gemakkelijk het gevoel dat het geregeld is.
Dat gevoel kan lang blijven bestaan. Totdat er iets verandert, misgaat of onderzocht moet worden. Dan blijkt dat beide partijen vanuit een andere aanname hebben gewerkt.
De organisatie dacht dat de leverancier controleerde.
De leverancier dacht dat de organisatie beoordeelde.
Beide partijen kunnen hun eigen werk ondertussen gewoon volgens afspraak hebben gedaan.
Een aanname vult de lege ruimte
Een afhankelijkheid van een leverancier is op zichzelf niet het probleem. Organisaties zijn voor hun dienstverlening voortdurend afhankelijk van andere partijen. Dat hoort bij de manier waarop veel organisaties werken.
Het wordt kwetsbaar wanneer niet duidelijk is waar de verantwoordelijkheid van de ene partij eindigt en die van de andere begint.
Juist daar ontstaan aannames.
Dat gebeurt meestal niet in één keer. Tijdens een implementatie zijn veel mensen betrokken en worden voortdurend praktische keuzes gemaakt. Sommige afspraken worden vastgelegd. Andere worden mondeling besproken. Een deel lijkt op dat moment vanzelfsprekend.
Daarna verandert de situatie. Medewerkers vertrekken. Rollen verschuiven. De leverancier past zijn dienstverlening aan. Het systeem wordt uitgebreid. Een oorspronkelijke afspraak blijft bestaan in de herinnering van één persoon, terwijl anderen nooit hebben geweten dat die afspraak er was.
Langzaam verandert een samenwerking die ooit misschien duidelijk begon in een verzameling verwachtingen.
De leverancier verwacht dat de klant iets controleert.
De klant verwacht dat de leverancier waarschuwt als er iets niet klopt.
Niemand merkt het verschil, omdat beide verwachtingen pas zichtbaar worden wanneer er iets tussen de partijen in valt.
Het risico zit vaak tussen twee verantwoordelijkheden
Vanuit Risk wordt vaak gekeken naar maatregelen, controles en beheersing. De vraag is dan bijvoorbeeld of een controle bestaat, hoe vaak die wordt uitgevoerd en of afwijkingen worden opgevolgd.
Bij een afhankelijkheid van een leverancier is nog een andere vraag belangrijk: hebben beide partijen hetzelfde beeld van die controle?
Een organisatie kan denken dat een risico wordt beheerst omdat een leverancier een rapportage opstelt. De leverancier kan die rapportage uitsluitend zien als informatievoorziening. Wie de inhoud beoordeelt en actie onderneemt, valt volgens hem onder de verantwoordelijkheid van de klant.
De rapportage bestaat dan gewoon. De informatie wordt ook geleverd. Toch wordt het risico niet werkelijk bewaakt.
Hetzelfde kan gebeuren bij toegangsbeheer. Een leverancier voert wijzigingen uit wanneer daarvoor een verzoek binnenkomt. De organisatie denkt ondertussen dat de leverancier ook periodiek controleert of bestaande rechten nog passend zijn. De leverancier heeft die verantwoordelijkheid nooit op zich genomen.
Iedereen doet iets.
Alleen doet niemand het geheel.
Daarom zijn afhankelijkheden niet alleen een contractueel of technisch vraagstuk. Ze vragen ook om duidelijkheid over verwachtingen, rollen en overdrachtsmomenten. Vooral de punten waarop werk, informatie of verantwoordelijkheid van de ene partij naar de andere gaat, verdienen aandacht.
Juist daar is een aanname snel gemaakt en moeilijk zichtbaar.
Pas bij een probleem worden de verschillen zichtbaar
De gevolgen van onduidelijke afspraken zijn vaak lange tijd klein en verspreid. Een controle wordt niet uitgevoerd. Een signaal blijft liggen. Een rapportage wordt ontvangen, maar niet beoordeeld. Een wijziging wordt technisch afgerond zonder dat iemand controleert wat het effect daarvan is.
Er lijkt weinig aan de hand.
Bij een incident verandert dat. Dan wordt teruggekeken naar wie wat had moeten doen. Oude mails worden opgezocht. Contracten worden opnieuw gelezen. Mensen proberen gesprekken van maanden of jaren geleden te reconstrueren.
De vraag verschuift van “Wat is er gebeurd?” naar “Wie was hier eigenlijk verantwoordelijk voor?”
Dat is meestal geen prettige vraag om pas op dat moment te stellen.
Niet omdat één partij per definitie nalatig is geweest, maar omdat de samenwerking blijkbaar ruimte liet voor verschillende interpretaties. Waar de ene partij dacht dat iets onderdeel was van de dienstverlening, zag de andere partij het als verantwoordelijkheid van de opdrachtgever.
Het risico zat daardoor niet alleen in wat er misging.
Het zat al eerder in het verschil tussen wat beide partijen dachten dat was afgesproken.
Afhankelijkheden worden gevaarlijk zodra aannames ervoor in de plaats komen.
De interessante vraag is daarom niet alleen: Wat doet onze leverancier voor ons?
Een scherpere vraag is: Waar vertrouwen wij op dat de leverancier doet, zonder dat we zeker weten dat hij dat ook zo ziet?
Hoe ik help
Ik help organisaties om afhankelijkheden van leveranciers concreet te maken. Niet alleen door te kijken naar contracten en formele afspraken, maar juist ook naar de dagelijkse praktijk eromheen.
Wat verwacht de organisatie van de leverancier? Wat verwacht de leverancier van de organisatie? Waar liggen controles, wie beoordeelt informatie en wie komt in actie wanneer iets afwijkt?
Door die verwachtingen naast elkaar te leggen, worden verschillen zichtbaar voordat ze tijdens een incident voor verrassingen zorgen. Afspraken kunnen vervolgens worden verduidelijkt, verantwoordelijkheden kunnen worden vastgelegd en controles kunnen beter aansluiten op de manier waarop het werk werkelijk wordt uitgevoerd.
Het doel is niet om iedere samenwerking dicht te regelen. Het doel is om te weten waarop je vertrouwt en of dat vertrouwen ook gebaseerd is op een gedeeld beeld.
Herken je dat dit binnen jouw team of organisatie speelt?
In een Boutique Session kijken we samen naar de afhankelijkheid die onduidelijkheid veroorzaakt. We brengen in beeld welke aannames er zijn, waar verwachtingen uiteenlopen en welke afspraken verduidelijking nodig hebben.
De Boutique Session is een praktische eerste stap wanneer je vermoedt dat iets geregeld is, maar niet zeker weet of alle betrokken partijen daar hetzelfde onder verstaan.
Samen zorgen we dat het klopt.
BOUTIQUE SESSION
Helder krijgen waar het vastloopt.
Merk je dat iets in je organisatie niet goed loopt, maar is nog niet duidelijk waardoor? In 60 minuten brengen we in kaart wat er gebeurt en waar mensen, afspraken, informatie of systemen niet goed op elkaar aansluiten. Daarna weet je wat eerst aandacht nodig heeft en welke stap je kunt zetten.
