In deze serie van blogs sta ik stil bij de nog steeds geldige informatiekundige constructieprincipes die garant staan voor betere “informatiebouwwerken”. Ze zijn soms, in de vaart van de voortschrijdende technologie, een beetje vergeten. Met als gevolg soms wankele of slecht onderhoudbare en uitbreidbare “informatiebouwwerken”. Deze keer over de noodzaak van een duidelijke verantwoordelijkheidsverdeling en functiescheiding in de organisatie. Dat het mis kan gaan werd onlangs bewezen bij de gemeente Den Haag waar een medewerkster paspoorten kon vervalsen voor criminelen omdat functiescheiding onvoldoende was geborgd in de werkprocessen.
De administratieve organisatie (AO) is een belangrijk aspect van een betrouwbare en beheerste informatiehuishouding. Functiescheiding en een goede taakverdeling zijn basisvoorwaarden voor een adequate besturing en beheersing van een organisatie. Tegenwoordig zouden we het “governance” noemen. In veel gevallen wordt het gezien als iets voor de controller of accountant en vaak wordt het aspect alleen in verband gebracht met financiële risico’s en fraude maar het is meer dan dat. Het hangt nauw samen met dataregistratie en gebruik. En omdat data steeds kritischer wordt als bedrijfsmiddel of omdat misbruik grote gevolgen kan hebben is het de moeite waard om hieraan als informatiekundige aandacht te schenken bij de opzet van de informatievoorziening als geheel en de inrichting van “checks&balances” om te voorkomen dat “de slager zijn eigen vlees keurt”. By design dus.
Verantwoordelijkheidsverdeling
In veel organisaties is de vraag “wie gaat hierover” niet eenvoudig te beantwoorden als het om de informatie als bedrijfsmiddel gaat. (Eind)verantwoordelijkheid (of eigenaarschap) voor processen, begrippen, gegevens en systemen is dan niet gedocumenteerd. Hier speelt ook de eeuwige verdeling tussen lijnverantwoordelijkheid en domeinverantwoordelijkheid (of portefeuillehouders in de matrixorganisatie). De CIO of CDO zal vanuit de kaderstellende rol eisen stellen aan de informatiehuishouding maar de inhoudelijke eindverantwoordelijkheid voor een proces of gegeven zal bij een persoon in de lijn moeten liggen.
Het organiseren en vastleggen van eigenaarschap (of beter accountability) en beheer (of responsibility) in een RACI matrix is een middel om dit expliciet te maken. Want bij iedere verandering zal iemand het nieuwe proces, product, begrip, gegeven of applicatiecomponent moeten beoordelen en vaststellen of goedkeuren.
Een informatiekundige zal de verantwoordelijkheidsverdeling moeten kennen om ontwerpen te laten vaststellen door de juiste beschikkende functionaris.
Functiescheiding
Functiescheiding is gebaseerd op het creëren van belangentegenstellingen en voorkomt dat een enkeling verantwoordelijk is voor meerdere opeenvolgende kritische handelingen in een bedrijfsproces, die mogelijkerwijs tot onregelmatigheden kunnen leiden die niet tijdig en gedurende de normale procesgang ontdekt worden. Het is een preventieve controlemaatregel (net zoals automatische systeemcontroles en anti-virus software) die in de dagelijkse registratieve taken helpt om twee dingen te voorkomen:
– Bewust fraude plegen wordt ontmoedigd omdat hiervoor samenwerking van twee of meer personen nodig is.
– De kans dat onbedoelde fouten optreden door het handelen van één enkele medewerker, is geringer.
Er is volgens de BIO sprake van adequate functiescheiding indien:
– in de organisatie een helder beeld bestaat van kwetsbare handelingen en functies;
– de verschillende kwetsbare deelhandelingen worden uitgevoerd door verschillende werknemers;
– kwetsbare handelingen die niet kunnen worden opgesplitst in deelhandelingen en niet separaat kunnen worden uitgevoerd, in teamverband worden verricht (4-ogen principe).
Denk in dit kader bijvoorbeeld aan de kritische processen en registratie van identiteitenbeheer en autorisatiemanagement. Autorisaties in het systeem zijn dé manier om functiescheiding strikt in te richten. Uiteraard zal er ook altijd functiescheiding buiten het systeem bestaan, maar de inrichting van autorisaties biedt de mogelijkheid om scheiding echt af te dwingen en is bovendien een efficiënte controle. Echter, het komen tot een goede inrichting waarbij een volledige scheiding bestaat tussen de handelingen, kijkrechten/rapportages en tussen de verschillende afdelingen van de organisatie is lastig te realiseren. Dit is dus typisch een ontwerpvraagstuk dat van te voren moet worden overdacht bij het begin van het bedrijfsproces!
Bedenk dat voor verantwoordelijkheidsverdeling en functiescheiding een bepaalde functierol (beschikkende functie, registrerende functie, bewarende functie, uitvoerende functie, controlerende functie) altijd door een persoon wordt ingevuld. Een afdeling kan dus niet een dergelijke functie hebben!
Bij digitale transformatie van de organisatie en aanpassen van processen en informatievoorziening zijn verantwoordelijkheidsverdeling en functiescheiding belangrijke aandachtspunten. Natuurlijk zijn de CISO en de FG hierbij een kwaliteitsbewaker maar de informatiekundige zal zelf de voorgestelde inrichting conceptueel moeten ontwerpen en aanbieden voor een toets!
Andere blogs uit deze serie:
De 1ste blog, over betekenisloze identiteitsaanduiding, lees je hier.
De 2de blog gaat over het principe van ontkoppelpunten in het ontwerp en lees je hier.
De 3de blog gaat over eenduidige en consistente taal: link.
De 5de blog gaat over dat de verantwoordelijkheid voor besluiten zo laag mogelijk in de organisatie moet liggen: link.
De 6de blog gaat over aantonen “wie je bent” loskoppelen van “wat je mag”: link.
De 7de blog gaat over enkelvoudige registratie van stamgegevens: link.
De 8de blog gaat over data en metadata scheiden in opslag en verwerking: link.