We vertrouwen erop dat de leverancier het geregeld heeft
De leverancier presenteert de nieuwe oplossing. Tijdens de implementatie worden vragen gesteld over beveiliging, toegangsbeheer, logging en continuïteit. De antwoorden klinken geruststellend. Er zijn certificeringen, procedures en technische maatregelen. De leverancier werkt voor meerdere grote organisaties en heeft een gespecialiseerd securityteam.
Na de implementatie draait de dienst zoals verwacht. Er zijn weinig incidenten en de leverancier stuurt periodiek rapportages. Wanneer iemand intern vraagt hoe de beveiliging precies is geregeld, volgt al snel een bekend antwoord: “Dat doet de leverancier.”
Dat antwoord klinkt logisch. De organisatie heeft de dienst tenslotte juist uitbesteed omdat de leverancier de specialist is.
Totdat er iets verandert.
Een medewerker vertrekt, maar houdt nog toegang tot de omgeving. Een nieuwe koppeling wordt toegevoegd zonder dat duidelijk is welke gegevens daardoor beschikbaar komen. Een leverancier schakelt zelf een onderaannemer in. Bij een incident blijkt dat de rapportage van de leverancier iets anders laat zien dan de informatie die de organisatie nodig heeft.
Op dat moment wordt zichtbaar dat een leverancier veel kan regelen, maar niet kan bepalen wat voor jouw organisatie acceptabel is.
De leverancier doet zijn werk
Uitbesteden is niet vreemd. Organisaties gebruiken externe partijen voor cloudomgevingen, software, beheer, monitoring, gegevensverwerking en specialistische beveiligingsdiensten. Dat is vaak praktisch en soms noodzakelijk. Niet iedere organisatie kan of wil alle kennis en capaciteit zelf organiseren.
Het probleem ontstaat daarom niet bij het uitbesteden zelf. Het ontstaat wanneer de aanwezigheid van een contract en een professionele leverancier langzaam wordt vertaald naar de gedachte dat het onderwerp daarmee intern is afgehandeld.
De leverancier beheert het systeem. De leverancier bewaakt de technische omgeving. De leverancier voert updates uit. De leverancier levert rapportages. Daardoor kan ongemerkt het beeld ontstaan dat de leverancier ook eigenaar is van het risico.
Daar zit een verschil.
Een leverancier kan verantwoordelijk zijn voor afgesproken werkzaamheden. De organisatie blijft zelf degene die moet begrijpen wat afhankelijkheid van die leverancier betekent. Welke informatie wordt verwerkt? Wie heeft toegang? Wat gebeurt er als de dienstverlening uitvalt? Welke wijzigingen mogen worden doorgevoerd? Welke informatie is nodig om te kunnen beoordelen of afspraken worden nagekomen?
De leverancier kan daar informatie over geven en maatregelen voor uitvoeren. De afweging wat nodig, passend en acceptabel is, hoort bij de organisatie die van de dienstverlening afhankelijk is.
Vertrouwen vervangt langzaam de vraag
In de praktijk ontstaat deze situatie vaak geleidelijk. Bij de selectie van een leverancier wordt uitgebreid gekeken naar functionaliteit, kosten en implementatie. Security komt ook aan bod, bijvoorbeeld in een vragenlijst, een risicoanalyse of een beoordeling door security en privacy.
Na de implementatie verschuift de aandacht. Het project wordt afgerond, betrokken medewerkers gaan verder met andere werkzaamheden en het contract komt in beheer. De operationele relatie met de leverancier loopt door, maar intern is niet altijd duidelijk wie verantwoordelijk is voor het blijven volgen van de risico’s.
Security kijkt misschien naar technische bevindingen. Contractmanagement kijkt naar afspraken en prestaties. De business kijkt vooral of de dienst werkt. Functioneel beheer houdt zich bezig met gebruikers en wijzigingen. Privacy kijkt naar persoonsgegevens. Iedereen ziet een deel, terwijl niemand vanzelfsprekend het volledige beeld bewaakt.
Zolang er niets opvallends gebeurt, lijkt dat geen probleem. Rapportages worden ontvangen, overleggen vinden plaats en incidenten worden opgelost. De leverancier doet zichtbaar wat is afgesproken.
De lastige vragen ontstaan juist tussen die activiteiten in. Wie beoordeelt bijvoorbeeld of een wijziging bij de leverancier invloed heeft op het risicoprofiel? Wie controleert of de toegangsafspraken nog passen bij de huidige organisatie? Wie verbindt technische bevindingen aan de processen die van de dienst afhankelijk zijn? Wie bepaalt of een hersteltermijn op papier in de praktijk snel genoeg is?
Wanneer het antwoord op zulke vragen steeds terugwijst naar de leverancier, is eigenaarschap buiten de organisatie komen te liggen.
Niet formeel misschien. Wel in de dagelijkse praktijk.
Het verschil wordt zichtbaar als er iets gebeurt
Een organisatie merkt deze afhankelijkheid vaak pas wanneer een vraag niet direct door de leverancier kan worden beantwoord.
Stel dat er een beveiligingsincident plaatsvindt. De leverancier onderzoekt de technische oorzaak en rapporteert welke systemen zijn geraakt. Dat kan uitstekend gebeuren. Intern moet vervolgens iemand kunnen beoordelen wat dit betekent voor de organisatie. Welke processen zijn afhankelijk van die systemen? Welke gegevens zijn betrokken? Wie moet worden geïnformeerd? Welke tijdelijke maatregelen zijn nodig? Wanneer is de situatie voldoende hersteld om weer verantwoord verder te werken?
Dat zijn niet alleen technische vragen.
Hetzelfde geldt voor toegangsbeheer. Een leverancier kan accounts aanmaken, rollen technisch inrichten en logbestanden bewaren. De organisatie moet nog steeds weten wie welke toegang nodig heeft, wie daarover beslist en wie controleert of toegang nog terecht is.
Ook continuïteit werkt zo. Een leverancier kan een herstelplan hebben en beschikbaarheidsafspraken nakomen. De organisatie moet zelf begrijpen wat een uitval van twee uur, acht uur of twee dagen betekent voor de eigen werkzaamheden.
Juist daar wordt het verschil tussen uitvoering en eigenaarschap zichtbaar. De leverancier kan een maatregel uitvoeren. De organisatie moet weten waarom die maatregel nodig is, welk risico ermee wordt beheerst en of de maatregel in de eigen context voldoende is.
Zonder dat inzicht wordt leveranciersmanagement al snel een controle op aanwezigheid. Is er een certificaat? Is er een rapportage? Is er een procedure? Staat het in het contract?
De belangrijkere vraag is of de organisatie zelf nog kan beoordelen wat die informatie betekent.
Het risico blijft aan jouw kant van de tafel
Een professionele leverancier kan risico’s aanzienlijk verkleinen. Goede expertise, volwassen processen en specialistische beveiliging kunnen juist redenen zijn om dienstverlening uit te besteden.
Dat verandert alleen niet waar de gevolgen terechtkomen.
Als een kritisch proces stilvalt, merkt jouw organisatie dat. Als gegevens niet beschikbaar zijn, moeten jouw medewerkers en klanten daarmee omgaan. Als toegang verkeerd is ingericht, moet jouw organisatie kunnen bepalen wie toegang had mogen hebben. Als een leverancier niet kan leveren wat nodig is, moet jouw organisatie beslissen wat er vervolgens gebeurt.
Daarom is de vraag niet alleen: heeft de leverancier het geregeld?
De vraag is ook: weten wij zelf wat geregeld moet zijn?
Dat is een andere manier van kijken naar uitbesteding. Niet vanuit wantrouwen, maar vanuit eigenaarschap. Vertrouwen in een leverancier en zelf verantwoordelijkheid houden kunnen prima naast elkaar bestaan. Sterker nog, een goede samenwerking wordt vaak duidelijker wanneer beide partijen weten waar hun verantwoordelijkheid begint en eindigt.
De kern zit daarom niet in meer controle op de leverancier. De kern zit in het behouden van voldoende kennis, overzicht en besluitvorming binnen de eigen organisatie.
Je kunt verantwoordelijkheid uitbesteden, maar niet het risico.
Hoe ik help
Ik help organisaties zichtbaar maken waar afhankelijkheden van leveranciers ontstaan en waar intern eigenaarschap onvoldoende is georganiseerd. Daarbij kijk ik niet alleen naar contracten of beleid, maar juist naar de dagelijkse praktijk eromheen.
Wie beoordeelt wijzigingen? Wie bepaalt welke toegang passend is? Wie begrijpt wat rapportages betekenen voor de eigen processen? Wie bewaakt openstaande risico’s? Wie kan handelen wanneer de leverancier niet beschikbaar is of wanneer een incident gevolgen heeft voor de organisatie?
Door verantwoordelijkheden, afhankelijkheden, toegang, besluitvorming en monitoring in samenhang te bekijken, wordt duidelijk waar afspraken ontbreken of waar iedereen ervan uitgaat dat iemand anders het bewaakt. Van daaruit kunnen rollen en verantwoordelijkheden concreter worden gemaakt, processen worden vastgelegd en controles zo worden ingericht dat ze ook in de praktijk uitvoerbaar zijn.
Het doel is niet om leveranciers minder te vertrouwen. Het doel is dat de organisatie zelf voldoende zicht en grip houdt om te weten waarop dat vertrouwen gebaseerd is.
Herken je dat binnen jouw organisatie veel bij leveranciers is ondergebracht, maar niet altijd duidelijk is wie intern het overzicht houdt?
In een Boutique Session kijken we samen naar waar afhankelijkheden zitten, welke verantwoordelijkheden intern geborgd moeten blijven en waar aannames de plaats van eigenaarschap hebben ingenomen.
Zo ontstaat een duidelijker beeld van wat de leverancier regelt en wat de organisatie zelf moet blijven bewaken.
Samen zorgen we dat het klopt.
BOUTIQUE SESSION
Helder krijgen waar het vastloopt.
Merk je dat iets in je organisatie niet goed loopt, maar is nog niet duidelijk waardoor? In 60 minuten brengen we in kaart wat er gebeurt en waar mensen, afspraken, informatie of systemen niet goed op elkaar aansluiten. Daarna weet je wat eerst aandacht nodig heeft en welke stap je kunt zetten.
