Managen van bedrijfsspecifieke baselines

Waar kunnen wij van uitgaan?

Wij moeten weten waar wij zijn om te kunnen bepalen waar wij naar toe willen gaan. Een baseline helpt ons te bepalen waar wij staan (het volwassenheidsniveau) én waar wij naartoe wensen te gaan (het ambitieniveau). Je zou kunnen zeggen dat een baseline kwalitatieve posities en doelen objectiveert.

Er zijn een heel scala van baselines. Soms zijn de baselines zo ingeburgerd dat wij de baselines beschouwen als standaarden (bijvoorbeeld nummerreeksen, eenheden, of praktisch, containerafmetingen of de breedte van een spoor). De wetgever verplicht steeds vaker bedrijven zich te verantwoorden over het organiseren van compliance met wettelijke eisen voor bijvoorbeeld het treffen van passende en effectieve beheersmaatregelen gericht op het beschermen van gegevens. Dergelijke eisen stelt een bedrijf ook contractueel aan haar leveranciers van informatiediensten.

Wat zijn nu passende en effectieve beheersmaatregelen die opgenomen zijn in bedrijfsprocessen en door IT-systemen worden ondersteund? Met behulp van baselines objectiveert een bedrijf de eisen aan de bedrijfsprocessen.

Hoe kunnen wij u helpen?

Heeft u vragen over het organiseren, implementeren of uitbouwen van uw bedrijfs(compliance) functie? Onze service-eigenaar, Caroline Willemse AA RE RFG of haar collega’s, bespreken graag uw specifieke casus.

Baselines ontstaan binnen allerlei verschillende gremia. Soms zijn het standaardisatie instituten (bijvoorbeeld de ISO, W3C, OASIS, NEN of vele andere organisaties) die generieke standaarden en baselines ontwikkelen en onderhouden. Het omarmen van standaarden en baselines maakt het gemakkelijker de bedrijfsactiviteiten te organiseren en met andere bedrijven samen te werken en gegevens betekenisvol uit te wisselen. Het is voor de bedrijfsleiding verstandig jaarlijks stil te staan bij de vraag welke standaarden en baselines door het bedrijf gebruikt mogen worden voor het organiseren van de bedrijfsactiviteiten.

Het toepassen van de standaarden, en met name baselines, is een groepsproces met als doel het volwassenheids- en ambitieniveau te bepalen. Met behulp van deze informatie bouwen de medewerkers stap voor stap met behulp van een “plan – do – check – act”-cyclus aan het realiseren van het ambitieniveau.

Het beheren en managen van de standaarden en baselines zou een activiteit van de bedrijfscompliance functie kunnen zijn.

Opstellen en beheren van bedrijfsspecifieke baselines

Afhankelijk van de bedrijfsactiviteiten kiest de bedrijfsleiding de standaarden en baselines. De wetgever kan het bedrijf vragen standaarden toe te passen, klanten kunnen het gebruik van standaarden en baselines vereisen van hun leverancier(s) en het organiseren van de bedrijfsactiviteiten kan effectiever en kostenefficiënter met standaarden en baselines plaatsvinden.

Bij het organiseren van bedrijfsactiviteiten kunnen wij baselines onderkennen. Enkele voorbeelden.

Organiseren van de informatie-infrastructuur

De informatie-infrastructuur bestaat veelal uit een netwerk, databases en systemen waarmee de medewerkers van een bedrijf onderling en met de buitenwereld communiceren. Bedrijven maken voor het organiseren van hun informatie-infrastructuur meer en meer gebruik van cloud-leveranciers. Het neemt niet weg dat het bedrijf deze infrastructuren moet (laten) beheren. Om het aankopen en beheren van deze infrastructuren gemakkelijker te maken zijn er baselines beschikbaar. Denk aan modellen van ISO, NEN of NOREA.

Organiseren van IT-systemen voor het ondersteunen van bedrijfsprocessen

Aan IT-systemen, waarmee bedrijfsprocessen met daarin opgenomen beheersmaatregelen, stelt de bedrijfsleiding functionele en non-functionele eisen. Als de IT-systemen ontwikkeld worden dan spiegelen de eisen zich in user stories en anders spiegelen de eisen zich in een baseline die gebruikt wordt bij een pakketselectie.

Maken van afspraken

Voor het maken van afspraken zijn baselines praktisch en effectief. Bij een verzoek om informatie groeien de baselines en bij een verzoek om een offerte vormen de baselines een praktisch toetsingskader. Tijdens het contractmanagement helpen de baselines de verwachtingen over en weer te managen.

De baselines geven een gevoel dat er geen essentiële functionaliteiten vergeten zijn. Er wordt ook vermeden dat er dubbele functionaliteiten afgesproken worden. De baselines zijn niet statisch omdat wet- en regelgeving, de contractuele afspraken en beleid de baselines kunnen veranderen.

Bedrijven gebruiken de baselines bij het managen van veranderingen in de organisatie van bedrijfsactiviteiten.

Voordat wij kunnen starten hebben wij overzicht nodig in het verantwoordelijkheids- en aansprakelijkheidsdomein, en inzicht in de bedrijfsactiviteiten van organisatieonderdelen.

  • Samenstellen en bedrijfsspecifiek maken en desgewenst beheren van baselines: Op basis van het actuele beeld geldende wet- en regelgeving, contractuele afspraken en beleid stellen wij in samenwerking met medewerkers de bedrijfsspecifieke baselines samen. Hierbij maken wij zoveel als mogelijk gebruik van beschikbare en beproefde sector- en segmentspecifieke baselines. De baseline kunnen betrekking hebben op technische informatie infrastructuur of functionele en non-functionele eisen aan IT-systemen. Het is ook mogelijk dat een baseline betrekking heeft op een thema, bijvoorbeeld het verwerken van persoonsgegevens.
  • Toepassen van baselines: Bij veranderings- en selectieprocessen maken wij gebruik van baselines. Met behulp van een baseline “meten” wij waar wij zijn (het volwassenheidsniveau) en waar de organisatie naar toe wil (het ambitieniveau). De kans op een succesvol veranderingsproces stijgt als de verandercapaciteit van de medewerkers spoort met de veranderingsstappen naar volwassenheid. De te selecteren IT-systemen die de bedrijfsprocessen ondersteunen moeten passend zijn voor het af te leggen veranderingsproces.
  • Het onderhoud van de baselines: Veranderende bedrijfsactiviteiten, wetgeving en IT-systemen vragen om onderhoud van de baselines. Door zoveel mogelijk te werken met algemene baselines kan het onderhoud beperkt worden.

Het ligt voor de hand dat de bedrijfscompliance functie de afgesproken gestandaarden en baselines beheert en de functionele afdelingen helpen de standaarden en baselines effectief toe te passen.

Het komt voor dat een bedrijf externe professionals aantrekt voor het op onderdelen beheren van de standaarden en toepassen van de standaarden en baselines. Een voorbeeld is de TTP-policy van MYOBI waarin de gedragscode is opgenomen gericht op het beschermen van persoonsgegevens en informatieveiligheid. De volwassenheidsniveaus spiegelen zich in de Accountability Seal.

De betrokkenheid bestaat uit:

  • Op basis van het onderzoek wordt nagegaan welke stappen gezet moeten worden om (aantoonbaar) compliant met de baselines te zijn; en
  • De onderbouwing van een uitkomst moet gedocumenteerd worden om de compliance aan te tonen.

Wij hanteren een methodiek voor compliance met baselines. De uitkomsten van een dergelijke methodiek zijn een verslag van bevindingen en andere rapportages. Op basis hiervan kunnen operationele verbeteringen in gang gezet worden.

Heeft u vragen of behoefte aan een afspraak?

Heeft u vragen over het organiseren, implementeren of uitbouwen van uw (bedrijfs) compliance functie? Onze service-eigenaar, Caroline Willemse of haar collega’s, bespreken graag uw specifieke casus.