Van normenkader naar aantoonbare verbetering: zo organiseert u de opvolging

Een normenkader geeft richting aan wat uw organisatie moet organiseren. De opvolging maakt zichtbaar welke verbetering daadwerkelijk is uitgevoerd, waarop de beoordeling berust en wat nog aandacht vraagt. Daarvoor moeten bevindingen, besluiten en onderbouwing bij elkaar blijven.

Inducem adviseert om met één gezamenlijk verbeteroverzicht te werken. Daarin volgt u onderwerpen vanaf de eerste constatering tot de beoordeling en het onderhoud. Dat helpt wanneer meerdere afdelingen, leveranciers of normenkaders bij hetzelfde onderwerp betrokken zijn.

Bepaal vanuit welk kader u beoordeelt

Noteer welk normenkader u gebruikt, welke versie van toepassing is en op welk organisatieonderdeel de beoordeling betrekking heeft. Leg ook vast welk resultaat of niveau u nastreeft en wie die keuze heeft gemaakt. Zo is duidelijk waartegen een bevinding wordt beoordeeld.

De BIC van CorpoNet richt zich op informatiebeveiliging bij woningcorporaties. Het Normenkader IBP is ingericht voor informatiebeveiliging en privacy in het funderend onderwijs. Deze kaders hebben raakvlakken, maar een beoordeling binnen het ene kader is geen automatische beoordeling binnen het andere.

Laat de verantwoordelijke deskundige bepalen welke eisen bij uw organisatie passen. Leg een onderbouwde toelichting vast wanneer een onderdeel niet van toepassing is of door een leverancier wordt uitgevoerd.

Breng bevindingen samen en behoud hun herkomst

Neem bevindingen uit zelfevaluaties, onderzoeken en leveranciersgesprekken op in hetzelfde overzicht. Geef ieder onderwerp een herkenbaar nummer en bewaar de verwijzing naar de oorspronkelijke vraag, norm en beoordeling. Beschrijf wat is vastgesteld en welke informatie nog ontbreekt.

Maak daarbij onderscheid tussen een tekortkoming en een ontbrekende onderbouwing. Een niet aangeleverd controleverslag kan aanleiding zijn om informatie op te vragen. Een verslag dat laat zien dat afgesproken controles zijn overgeslagen, vraagt om herstel van de werkwijze.

Gaan meerdere bevindingen over dezelfde verbetering? Bundel de uitvoering waar dat helpt, maar behoud per norm de eigen beoordeling. Eén actie kan verschillende onderwerpen ondersteunen; laat een deskundige beoordelen welk deel van iedere norm daarmee wordt afgedekt.

Laat gevolgen en afhankelijkheden de volgorde bepalen

Bespreek wat een bevinding betekent voor uw dienstverlening, medewerkers en gevoelige informatie. Kijk naar de ernst van het mogelijke gevolg, de bestaande bescherming en de urgentie. Neem geldende termijnen mee en bepaal of een andere verbetering eerst nodig is.

Ons advies is om de prioriteit kort toe te lichten, zodat de afweging later te volgen is. Geef bijvoorbeeld aan dat een controle pas uitvoerbaar is zodra het overzicht van betrokken systemen compleet is. Plan die voorbereiding dan mee.

Kan een belangrijk punt niet direct worden opgelost? Maak zichtbaar welke tijdelijke maatregel mogelijk is, welk risico resteert en wie daarover beslist. Verbind uitstel aan een nieuw beoordelingsmoment en een verantwoordelijke.

Maak van de bevinding een afgebakend resultaat

Omschrijf wat er na de actie aantoonbaar geregeld moet zijn. ‘Beleid verbeteren’ is daarvoor te ruim. Een bruikbaar resultaat benoemt welke werkwijze wordt aangepast, wie die gaat gebruiken en hoe u vaststelt dat de aanpassing wordt toegepast.

Leg voor iedere verbetering vast:

• Het verwachte resultaat en de onderdelen waarop het betrekking heeft.

• De interne verantwoordelijke en de bijdrage van medewerkers en leveranciers.

• De benodigde tijd, middelen en voorafgaande besluiten.

• De oplevering, de beoordelaar en het moment van hercontrole.

Bespreek met leveranciers wat binnen hun bestaande opdracht valt en welke aanvullende afspraak nodig is. Houd intern iemand verantwoordelijk voor het geheel, ook wanneer de leverancier het uitvoerende werk doet.

Spreek vooraf af welke onderbouwing nodig is

Bepaal vóór uitvoering wat u wilt kunnen vaststellen. Is een afspraak beschreven, wordt die uitgevoerd en levert die het beoogde resultaat op? Deze vragen vragen om verschillende soorten informatie.

Een vastgesteld document kan onderbouwen hoe de organisatie wil werken. Een ingevuld controledossier laat zien welke controle is uitgevoerd. Een beoordeling van de uitkomst helpt vaststellen of de maatregel werkt en waar nog een afwijking zit. Kies onderbouwing die past bij de betreffende eis en het risico.

Noteer bij bewijsstukken de periode, betrokken onderdelen, versie en beoordelaar. Bewaar bij voorkeur een verwijzing naar de beheerde bron, zodat verouderde kopieën niet als actuele onderbouwing worden gebruikt. Spreek af wie gevoelige stukken mag bekijken en welke samenvatting het management nodig heeft.

Rond af na een herkenbare beoordeling

Laat de aangeleverde onderbouwing beoordelen door iemand met passende kennis en, waar nodig, voldoende afstand tot de uitvoering. Maak duidelijk wat is bekeken, wat de conclusie is en welke beperking daarbij geldt. Een beperkte steekproef geeft bijvoorbeeld alleen inzicht binnen de onderzochte selectie.

Gebruik enkele duidelijke statussen, zoals ‘in uitvoering’, ‘ter beoordeling’ en ‘afgerond’. Bij ‘afgerond’ horen een conclusie en de vindplaats van de onderbouwing. Blijft een deel open, leg dat afzonderlijk vast met een vervolgstap.

Het NCSC beschrijft bij doorlopende monitoring dat zowel de uitvoering als de prestaties en effectiviteit van maatregelen moeten worden gevolgd. Gebruik dat onderscheid om een afgeronde activiteit en een beoordeeld resultaat herkenbaar te houden.

Plan het onderhoud van de verbetering

Bepaal wie de werkwijze na afronding onderhoudt en wanneer u opnieuw beoordeelt of deze werkt. Een leverancierswissel, nieuw systeem of gewijzigde taakverdeling kan aanleiding zijn om eerder te controleren.

Laat het management periodiek zien welke belangrijke verbeteringen zijn beoordeeld, welke acties vertragen en welke besluiten nodig zijn. Gebruik voor sectorspecifieke verdieping onze artikelen over BIC en leveranciersregie en het IBP-plan van aanpak.

Met Regie as a Service helpt Inducem om afspraken, leveranciersbijdragen en opvolging samen te brengen. Bespreek hoe u uw verbeteroverzicht uitvoerbaar maakt.

Bronnen

CorpoNet: BIC en het domein security; Normenkader IBP: opzet en inhoud; NCSC: doorlopende monitoring. Geraadpleegd in oktober 2026. De voorgestelde werkwijze voor opvolging is het praktische advies van Inducem.