Hoe zorgen we voor een managementsysteem dat passend is voor onze organisatie

Vroeger was het moeilijk de match te maken tussen een ISO managementsysteem en het karakter van een kleinere dienstverlener. De ISO norm was rule based. Allerlei zaken moesten volgens de regels van de norm verlopen. Afwijken mocht eventueel wel, maar ook dat was weer een strak aan regels gebonden proces. Kleine dienstverleners danken hun bestaansrecht echter vaak aan hun flexibiliteit en hun vermogen om snel in te spelen op veranderende klanteisen en problemen snel op te lossen. Op dit punt is een ISO-managementsysteem veelal een knelpunt en voor de kleinere dienstverlener zelfs een direct risico. In de praktijk zien we dan ook vaak dat het managementsysteem wel bestaat, maar niet echt wordt gebruikt. En dan is er dus sprake van een papieren tijger.

Omgaan met behoeften van de klant

De belangrijkste eisen die klanten stellen aan hun dienstverleners, zijn flexibiliteit, snelheid en oplossingsgericht denken en handelen en daarnaast efficiency en pragmatisme om de kosten van de dienstverlening acceptabel te houden. Dat de aangedragen oplossingen daarnaast ook moeten voldoen aan eisen van zorgvuldigheid, duurzaamheid enzovoort wordt vaak minder urgent gevonden. En juist dat laatste is ingebakken in het managementsysteem. Helaas wordt dat nog al eens vergeten door dienstverleners. In het artikel ‘Het verschil tussen een oplossing en een managementsysteem’ gaan we in op de denkwijze die nodig is voor dit tweede stuk. In dat artikel geven we echter ook aan, dat in de meeste gevallen het oplossingsgerichte denken prevaleert. Daarmee wordt immers voldaan aan de primaire behoefte van klanten.
Juist het oplossingsgerichte stuk ontbreekt doorgaans in de norm. Het is namelijk moeilijk in regeltjes te vangen. Als het bijvoorbeeld gaat om het omgaan met afwijkingen, dan zegt de norm, dat de afwijking, het incident of de klacht geregistreerd en vervolgens geanalyseerd moet worden en dat indien nodig maatregelen getroffen moeten worden, waarmee voorkomen wordt dat de afwijking zich herhaalt of waarmee de afwijking gecorrigeerd wordt. Als je echter als dienstverlener zo handelt, dan heb je een zeer ontevreden klant. Stap 1 is en blijft altijd ervoor zorgen dat er snel een fix komt en dat de klant verder kan. Bij de implementatie van een managementsysteem moet daarom deze oplossingsgerichte stap ook meegenomen worden. De norm heeft vervolgens waarde als toevoeging op het behandelen van afwijkingen.
Kortom, het strikt volgen van de norm is voor een kleinere dienstverlener een grotere bedreiging dan de risico’s die met behulp van de norm afgedekt worden.

Rule based versus risk based en principle based

Gelukkig zijn de nieuwe ISO-normen opgezet vanuit een risk-based aanpak. Ze zeggen dat het managementsysteem passend moet zijn voor de organisatie. In de ISO 27001 staat in hoofdstuk 0 zelfs letterlijk: “

Het vaststellen en implementeren van een managementsysteem voor informatiebeveiliging wordt beïnvloed door de behoeften en doelstellingen van de organisatie, de beveiligingseisen, de procedures die de organisatie toepast en de omvang en structuur van de organisatie.”

en in hoofdstuk 5:

“De directie moet een informatiebeveiligingsbeleid vaststellen dat passend is voor het doel van de organisatie”.

Hiermee wordt de ruimte gecreëerd om uit te gaan van de eigen organisatie. De regeltjes in de norm zijn niet meer het uitgangspunt. Probleem is echter, dat sommige auditors nog steeds uitgaan van de rule-based benadering.  En zo’n benadering past totaal niet bij een kleinere dienstverlener.
Zo’n dienstverlener werkt meestal ‘principle based’. Er gelden binnen de organisatie principes, waarop medewerkers beoordeeld en aangesproken worden. Die principes zijn bijvoorbeeld: ‘Klant is koning’; ‘Contact is belangrijker dan contract’ of ‘Een dag niet geleerd is een dag niet geleefd’.
Voor informatiebeveiliging zijn er dan bijvoorbeeld de volgende principes:

• Informatie die je niet hebt, hoef je ook niet te beveiligen;
• Data die eigendom zijn van de klant worden gescheiden gehouden van de overige data en opgeslagen in een veilige omgeving;
• Er word niet gesleept met data.

Met een op principes gebaseerde aanpak wordt voorkomen, dat iemand die geen regeltjes overtreedt, beter wordt beoordeeld dan iemand die veel toegevoegde waarde heeft voor de dienstverlening aan klanten en daarbij zo nodig bewust wel eens een regeltje overtreedt, wanneer dat in het belang is van de klant. Het komt erop neer, dat het van veel groter belang is, dat aan een medewerker uitgelegd wordt hoe en waarom hij dingen anders moet doen, dan dat erop gelet wordt of hij regeltjes overtreedt. Dit zorgt voor leren op de werkvloer en het leereffect hiervan is vele malen effectiever dan het volgen van een formele cursus.

Gebruik de risk-based benadering van een managementsysteem

De praktijk is dus, dat een managementsysteem vaak haaks staat op de wijze waarop vooral kleinere dienstverleners werken. Een papieren tijger naast de werkelijkheid is uiteraard een ongewenste oplossing. Dat kost jaar in jaar uit alleen maar tijd en geld, zonder dat het iets oplevert. Daarom moet gestreefd worden naar een match tussen de werkwijze van een kleine dienstverlener en het managementsysteem. De basis daarvoor is uiteraard de risk-based benadering die tegenwoordig het uitgangspunt vormt voor iedere ISO norm (en binnenkort zelfs voor de NEN 7510).

De twee belangrijkste risico’s voor dienstverleners zijn:

• Klanten zijn ontevreden en lopen weg of worden niet meer binnengehaald;
• De organisatie verdient niet voldoende geld met haar dienstverlening.

Het eerste risico is uit te splitsen naar:

• ontbreken van snelheid, flexibiliteit en adequaatheid van de dienstverlening, vooral bij afwijkingen en veranderingen;
• informatie van de klant die op straat ligt (privacy/datalek);
• reputatieschade voor zowel de klant als voor de eigen organisatie;
• het niet hebben van een certificaat.

Het tweede risico is uit te splitsen naar:

• hoge overheadkosten (verkoop, management, management systemen enzovoort);
• te veel onbetaald werk uitvoeren;
• niet leren van fouten.

In principe zijn alle andere risico’s terug te voeren tot deze risico’s. Bij het opzetten van het managementsysteem moet ieder punt uit de norm afgezet worden tegen de bijdrage die de norm levert aan de beheersing van deze risico’s en de wijze waarop de organisatie nu die risico’s al beheerst. Immers zal de organisatie de meeste van deze risico’s nu ook al beheersen, anders zou ze waarschijnlijk al niet meer bestaan. Maar vaak kan dat niet worden aangetoond, en dat is nu juist nodig voor certificatie.

Passend maken van een managementsysteem

Het opzetten van een managementsysteem voor kleinere dienstverleners kent een aantal specifieke aandachtspunten. De kern van de risicobeheersing bestaat uit de beheersing van het dagelijkse proces en vooral de veranderingen en afwijkingen (incidenten) die plaatsvinden. (Zie ook ‘Toepassing drie cycli van risicobeheersing in de praktijk’.) Want de klant verwacht primair snelheid en flexibiliteit en wil niet wachten op tijdrovende procedures. Voor kleinere veranderingen zonder veel impact en voor kleinere afwijkingen zal dit geen probleem zijn. De procedures voor wijzigingsbeheer en incidentafhandeling moeten echter borgen, dat de snelheid ook bij grotere veranderingen en afwijkingen hoog kan blijven. Maar ook, dat als een verandering of afwijking impact heeft, hiermee wat wordt gedaan, zodat voorkomen wordt dat dezelfde fouten opnieuw gemaakt worden of dat wijzigingen te duur worden in het onderhoud.
Hetzelfde geldt voor de beoordeling van medewerkers. Als die iets doen wat ongewenst is of wat beter kan, dan moet niet gewacht worden tot de formele beoordelingscyclus, maar moeten ze direct worden aangesproken op hun werkwijze en worden geholpen om die vandaag nog te verbeteren. Op deze wijze leren en verbeteren medewerkers als onderdeel van en toegepast op hun werk. Dat is effectiever en efficiënter dan formeel leren.

Ook de jaarlijkse directiebeoordeling past niet bij een kleinere dienstverlener. Bij een kleinere dienstverlener is de directie van dag tot dag betrokken bij de operatie en bij grotere incidenten en wijzigingen. Een beoordeling per kwartaal met de (key-)medewerkers, waarbij even niet oplossingsgericht maar meer systeemgericht wordt gekeken naar de gang van zaken, waarbij ook andere zaken meegenomen worden is veel effectiever. Want het is juist belangrijk voor de organisatie om van tijd tot tijd even bewust haar activiteiten in de context van het managementsysteem te evalueren.
Waarschijnlijk zijn er meer zaken die passend gemaakt moeten worden voor het managementsysteem. Bedenk dat een managementsysteem alleen maar werkt, als het aangepast is aan de werkelijkheid van jouw organisatie, waarvan je weet dat deze effectief is. Als je probeert de dagelijkse praktijk aan te passen aan het managementsysteem, dan creëert je ofwel een papieren tijger of je brengt de continuïteit van jouw dienstverlening in gevaar.
Natuurlijk zijn niet alle auditors blij met deze aanpak. Een rule based managementsysteem is veel gemakkelijker te auditen. Maar als je jouw risk-based aanpak kunt uitleggen aan een auditor, dan zal deze hiermee doorgaans akkoord gaan.