Samenvatting
Aanleiding
MijnGemeenteDichtbij wilde zowel het Information Security Management Systeem (ISMS) als de Verbijzonderde Interne Controle (VIC) verder professionaliseren. Daarnaast was ook het Privacy Management Systeem (PMS) aan vernieuwing toe, omdat het bestaande verwerkingsregister verouderd was. Nieuwe wetgeving, waaronder NIS2, vereist een betere beheersing van risico's en compliance. Tot slot: de organisatie werkte nog met losse Excel-bestanden, Word-documenten en verschillende werkwijzen. De ambitie was duidelijk: één geïntegreerd platform waarin informatiebeveiliging, interne controle en risicomanagement elkaar versterken en waarin processen aantoonbaar beheerst kunnen worden.”
Oplossing
Samen met TrustBound werd gekozen voor een gefaseerde implementatie van zowel het ISMS/PMS als Audit Management voor de VIC. Het traject werd opgesplitst in twee parallelle sporen. Voor het ISMS werd een eigen projectteam ingericht, terwijl William Lagendijk de implementatie van Audit Management voor de VIC begeleidde. Karin Vissers bracht haar jarenlange ervaring in risicomanagement in, Gerjo Verhoeven bewaakte de dagelijkse uitvoering en Henk de Boer zorgde voor de strategische koers. Door eerst enkele processen volledig uit te werken en daarna gecontroleerd op te schalen, bleef de implementatie overzichtelijk en goed beheersbaar.
Impact
- Succesvolle implementatie van zowel ISMS/PMS als Audit Management binnen één GRC-platform.
- Eén centrale werkwijze voor informatiebeveiliging, interne controle en risicomanagement.
- Betere traceerbaarheid, professionelere dossiervorming en meer overzicht.
- Gefaseerde implementatie waardoor medewerkers konden meegroeien zonder de dagelijkse werkzaamheden te verstoren.
- Actieve samenwerking met TrustBound leidde direct tot verbeteringen in het platform.
- Een stevig fundament voor NIS2, BIO en verdere professionalisering van governance en compliance.
Hoe voorkom je dat een TrustBound-implementatie de organisatie overbelast?
MijnGemeenteDichtbij koos bewust voor een gefaseerde invoering van ISMS, PMS en Audit Management
Nieuwe wetgeving, informatiebeveiliging, interne controle en risicomanagement ontwikkelen zich razendsnel. Ondertussen draait de dagelijkse dienstverlening binnen gemeenten gewoon door. Dat maakt de implementatie van een nieuw GRC-platform al snel een project dat groter lijkt dan het in werkelijkheid hoeft te zijn.
Bij MijnGemeenteDichtbij (de werkorganisatie achter de gemeenten Boxtel en Sint-Michielsgestel) kozen ze daarom bewust voor een andere aanpak. Geen groot implementatieproject waarin alles tegelijk moest gebeuren, maar stap voor stap bouwen aan een fundament waarop de organisatie de komende jaren verder kan groeien.
"Wij wilden collega's niet overladen met alles wat het systeem kan," vertelt Gerjo Verhoeven, die als medewerker Verbijzonderde Interne Controle (VIC) bij MijnGemeenteDichtbij en kartrekker van de dagelijkse implementatie van TrustBound Audit Management is betrokken. "Eerst zorgen dat de basis staat. Daarna kun je uitbreiden."
Twee projecten, één gezamenlijke ambitie
De aanleiding voor het project was breder dan alleen de Verbijzonderde Interne Controle (VIC). Binnen MijnGemeenteDichtbij leefde al langer de wens om informatiebeveiliging, risicomanagement en governance professioneler in te richten. De komst van NIS2 maakte die ambitie alleen maar urgenter.
"Een Information Security Management System is een randvoorwaarde om aantoonbaar aan NIS2 te kunnen voldoen," vertelt Henk de Boer, opdrachtgever van het implementatietraject en verantwoordelijk voor het strategisch risicomanagement binnen MijnGemeenteDichtbij. "We wilden daarom niet losse oplossingen naast elkaar gebruiken, maar juist toewerken naar één geïntegreerd platform."
Dat betekende ook dat het implementatietraject bewust werd opgesplitst. Enerzijds werd gewerkt aan het ISMS. Anderzijds werd Audit Management ingericht voor de Verbijzonderde Interne Controle. Beide trajecten liepen parallel, maar hadden ieder zijn eigen werkgroep en expertise.
Eerst begrijpen, daarna versnellen
Voor de implementatie van Audit Management werd William Lagendijk, implementatieconsultant voor TrustBound Audit Management, betrokken. Samen met Karin Vissers, adviseur op het gebied van Verbijzonderde Interne Controle (VIC) en risicomanagement, en Gerjo Verhoeven werd niet simpelweg bestaande documentatie overgezet, maar eerst kritisch gekeken naar de bestaande werkwijze. "We hebben het oorspronkelijke plan onderweg zelfs aangepast," vertelt Gerjo. "Je kunt vooraf van alles bedenken, maar tijdens de implementatie ontdek je ook wat beter werkt. Dan moet je niet bang zijn om bij te sturen."
In plaats van alle processen direct in te richten, begon het team met een beperkt aantal controles.
"We hebben eerst drie processen helemaal van A tot Z ingericht," zegt Gerjo. "Daardoor leer je de applicatie echt kennen. Daarna gaat de rest veel sneller."
William ziet dat vaker terug. "Als je meteen alles wilt migreren, neem je ook oude werkwijzen mee. Door eerst een paar processen goed uit te werken, maak je automatisch een kwaliteitsslag."
De juiste mensen aan tafel
Volgens alle betrokkenen lag de kracht vooral in de samenwerking. Karin bracht jarenlange ervaring mee op het gebied van risicomanagement en interne beheersing. William kende de applicatie én de gemeentelijke praktijk. Gerjo bewaakte de dagelijkse voortgang en Henk hield het strategische doel voor ogen.
"William wist niet alleen hoe TrustBound werkte," vertelt Gerjo. "Hij sprak ook dezelfde taal als wij. Daardoor konden we direct de inhoud in." William ziet dat als een belangrijke succesfactor:
"Karin kende de processen door en door. Wij, TrustBound en ik, weten hoe je dat het beste in de applicatie inricht. Juist die combinatie zorgt ervoor dat je geen standaardimplementatie krijgt, maar een omgeving die echt bij de organisatie past."
"We hebben veel meer overzicht. We weten precies welke controles lopen, welke acties nog openstaan en waar we aandacht aan moeten besteden."
Niet alles tegelijk willen
Een belangrijke les uit het project is dat implementeren niet betekent dat alles meteen af hoeft te zijn. "We wilden mensen niet overdonderen," vertelt Gerjo. "Je kunt alle functionaliteiten wel tegelijk beschikbaar maken, maar daar wordt niemand beter van."
Daarom werd gekozen voor een gefaseerde invoering. Eerst de basis, daarna uitbreiden met aanvullende processen, autorisaties en rapportages. "Je merkt dat collega's daardoor veel makkelijker aanhaken. Het systeem groeit eigenlijk mee met de organisatie."
Samen verder ontwikkelen
Tijdens de implementatie werd ook duidelijk dat de samenwerking met TrustBound verder gaat dan alleen software leveren. "Als wij ergens tegenaan lopen, krijgen we geen ticketnummer of een standaardantwoord," zegt Henk. "We pakken gewoon de telefoon of plannen een Teams-overleg."
Gerjo ervaart hetzelfde. "TrustBound staat open voor feedback. We zitten ook in verschillende gebruikersgroepen waarin we meedenken over nieuwe functionaliteiten. Dat maakt het echt een samenwerking."
Volgens William zorgt dat ervoor dat het platform voortdurend blijft verbeteren. "Je merkt dat ideeën uit de praktijk daadwerkelijk terugkomen in nieuwe releases. Dat maakt het product steeds sterker."
Een fundament waarop je verder kunt bouwen
Sinds de livegang werkt MijnGemeenteDichtbij vanuit één centrale omgeving voor Audit Management. Het ISMS wordt ondertussen verder uitgebreid. De eerste resultaten zijn volgens Gerjo vooral zichtbaar in de manier van werken. "We hebben veel meer overzicht. We weten precies welke controles lopen, welke acties nog openstaan en waar we aandacht aan moeten besteden."
Henk kijkt vooral naar de langere termijn. "Voor mij draait dit project uiteindelijk om beheersing. Als je je processen aantoonbaar op orde hebt, creëer je een veel sterkere basis voor de rest van de organisatie."
Volgens de betrokkenen is ook het werk van Karin Vissers een belangrijk resultaat van het project. Zij wist haar eigen risicomodel te vertalen naar de TrustBound Compliance Monitor. Daarmee kan MijnGemeenteDichtbij de volwassenheid van processen en afdelingen inzichtelijk maken, ontwikkelingen volgen en deze desgewenst als KPI gebruiken. Zo levert het platform niet alleen inzicht op in de huidige situatie, maar ondersteunt het ook de verdere groei van de organisatie.
De belangrijkste les wil Gerjo graag met andere gemeenten delen. "Maak er bewust tijd voor vrij. Je hoeft niet alles in één keer perfect neer te zetten. Zodra je de eerste processen goed hebt ingericht, valt het kwartje vanzelf. Daarna ga je steeds sneller."
Daarmee is de implementatie voor MijnGemeenteDichtbij geen eindpunt, maar juist het begin van een organisatie waarin informatiebeveiliging, risicomanagement en interne controle steeds beter op elkaar aansluiten. Een fundament waarmee de organisatie klaar is voor NIS2 én voor de uitdagingen die daarna volgen.
"Je hoeft niet alles in één keer perfect neer te zetten. Zodra je de eerste processen goed hebt ingericht, valt het kwartje vanzelf. Daarna ga je steeds sneller."
