Grip op BIO2: start bij je processen, niet bij je register

Met de vernieuwde Baseline Informatiebeveiliging Overheid (BIO2) veranderen de regels. Vaste beveiligingsniveaus verdwijnen; daarvoor in de plaats komt een aanpak die uitgaat van risico's. De BIO2 is afgestemd op NIS2 en krijgt een wettelijke grondslag in de Cyberbeveiligingswet. Daarnaast gelden de AVG en de rechtmatigheidseisen. Voor gemeenten betekent dit dat ze moeten kunnen aantonen dat ze hun risico's in beeld hebben en beheersen. Een risicoregister in een losse Excel-sheet schiet daarvoor tekort.

Procesgericht risicomanagement in het kort

Bij een procesgerichte aanpak hang je risico's en beheersmaatregelen rechtstreeks aan je processen op, en waar dat zinvol is aan de afzonderlijke processtappen. Procesmanagement beschrijft hoe dienstverlening en werk in de organisatie verlopen. Risicomanagement brengt in kaart wat daarbij fout kan gaan en de beheersmaatregelen.

De nadelen van een los register

Een apart register zorgt voor versnipperde documentatie en dubbel werk. Het laat niet zien op welk punt in het dagelijkse werk een risico ontstaat. En doordat processen steeds vaker veranderen, veroudert zo'n register snel en is het nauwelijks actueel te houden. Neem processen als inkoop, uitkeringen of vergunningverlening: daarin gaan persoonsgegevens en geld om, en ze worden regelmatig bijgesteld.

Vier redenen om te starten vanuit je processtructuur

1. Wendbaar zonder grip te verliezen
   Verandert een proces, dan zie je meteen de gevolgen voor risico's en compliance. Rapportages en inzichten passen zich mee aan en blijven actueel.
2. Zicht op de uitzonderingen
   Juist afwijkingen van de standaardwerkwijze bevatten vaak gevoelige gegevens of een hoger risico. Beschrijf je ze per processtap, dan raak je ze niet uit het oog.
3. Compliance als gezamenlijke taak
   Met de 6 W's (wie, wat, waar, waarmee, wanneer en waarom) en duidelijke rollen in de eerste, tweede en derde lijn ligt compliance niet langer alleen bij de controller of auditor.
4. Efficiëntere audits
   Auditors hebben één actueel overzicht met context, verantwoordelijkheden en onderbouwing. Dat scheelt tijd, beperkt fouten en maakt de verantwoording sneller en betrouwbaarder.

Uit de praktijk: Gemeente Maastricht

De Gemeente Maastricht heeft haar Control Framework volledig in Engage Process vastgelegd. Samen met de afdeling Control is een GRC-tabel opgezet, gebaseerd op COSO en SoX. Daarin staan per processtap onder meer de key risks, key controls, functiescheiding, line-of-defense en de negen control criteria uit de kadernota rechtmatigheid. Uit de rapportages blijkt direct welke beheersmaatregel welk risico afdekt. Met de sign-off van de proceseigenaar wordt de PDCA-cyclus afgerond.

Snel van start

Engage Process levert een standaardinrichting met tabellen voor AVG, risico's en beheersmaatregelen, KPI's en proceskaders. Daarbij horen standaardrapportages voor Modeler en Viewer en een Teamboard voor het opvolgen van bevindingen. Na een korte intake zetten we de gekozen tabellen en rapportages klaar in de Engage Process omgeving van de klant. Die inrichting is een beproefd vertrekpunt voor onder meer risicomanagement, informatiekaders en prestatie-indicatoren, en kan desgewenst verder worden uitgebreid.

Conclusie

Door de BIO2 wordt risicomanagement een continu proces in plaats van een jaarlijkse verplichting. Wie risico's, maatregelen en verantwoordelijkheden aan processtappen koppelt, houdt grip terwijl de organisatie verandert. En medewerkers zien zelf welke risico's in hun werk een rol spelen.