Klantwerk gaat voor, dat is bij een klein bedrijf niet anders. Als je niets afspreekt, schuift het verbeteren van je eigen werkwijze daardoor steeds een maand door. Daarom hebben we een vast ritme: wekelijks korte momenten om het werk bij te sturen, en eens per maand een hele dag die alleen over kwaliteit en beveiliging gaat.
Het weekritme eromheen
Een week begint met een korte weekstart: wat staat er te gebeuren, wat is de status van het bedrijf en welke acties hebben hoge prioriteit. Per project is er een sprintoverleg waarin we bespreken wat er is gedaan, wat geblokkeerd is en wat nog verder uitgewerkt moet worden. Ook de wekelijkse codereview hoort hierbij: één collega laat een paar recente pull requests zien, we bespreken inhoud én stijl, en wat we leren passen we op alle codebases toe.
Bij elke meeting noteert iemand wat er is besproken. Wie dat doet, spreken we vooraf af. Onze afspraak is dat halve zinnen met de juiste inhoud beter zijn dan mooie zinnen waarmee je de helft mist. Uitwerken kan altijd nog, ontbrekende informatie niet.
De Quality and Security Day
Elke laatste vrijdag van de maand nemen we een dag voor kwaliteit en beveiliging. Het vaste programma:
- terugkijken op beveiligingsincidenten en hoe we daarop reageerden;
- logging en monitoring nalopen;
- de actiepunten uit eerdere notities doorlopen;
- het register met afwijkingen bekijken;
- de roadmap doornemen en kiezen waar we deze maand aan werken.
Daarnaast hebben sommige onderwerpen een eigen frequentie:
| Frequentie | Onderwerpen |
|---|---|
| Elke drie maanden | Toegangsmatrices en de gap-analyse |
| Elke zes maanden | Risicobeoordeling, assetregister, continuïteitsplan en doelstellingen bijwerken; daarbij plannen we ook de interne audit en de directiebeoordeling |
Verbeterpunten met een eigenaar
Verbeteringen komen overal vandaan: een incident, een opmerking van een klant, een nieuw risico, een nieuwe wettelijke eis of iets wat een collega opviel. Ze komen op de roadmap, krijgen een eigenaar en worden elke maand opnieuw bekeken. We prioriteren op effect op het bedrijf, haalbaarheid en risico.
Twee termen komen hier vaak voor:
- Een non-conformiteit is iets wat niet gaat zoals afgesproken, omdat we het niet goed deden of omdat de afspraak niet meer bij onze manier van werken past.
- Een corrigerende maatregel is wat je doet om de oorzaak weg te nemen, niet alleen om het gevolg te herstellen.
Interne audits
Minstens één keer per jaar doorlopen we al onze werkwijzen in een interne audit. Voor informatiebeveiliging gebruiken we een toetsingskader waarin elk onderdeel een volwassenheidsniveau krijgt. Voor kwaliteit werken we met een checklist, en bij projecten waar persoonsgegevens een grote rol spelen kan ook een privacytoets nodig zijn.
Je loopt de checklist stap voor stap langs, beoordeelt of wat er staat ook echt zo gebeurt en legt vast waarop je dat baseert. Als een onderdeel een bepaald niveau haalt, schrijven we ook op wat er nodig is voor het niveau erboven en of dat makkelijk of moeilijk is. Dat geeft direct input voor de roadmap.
Het ingevulde resultaat laten we valideren door iemand die onafhankelijk is van de directie. Je eigen werk beoordeel je zelden helemaal eerlijk: je weet wat je bedoelde en vult gaten vanzelf op.
In de praktijk: haalt een onderdeel een bepaald niveau, dan schrijven we ook op wat nodig is voor het niveau erboven. Dat levert direct input voor de roadmap. Na een grote wijziging of incident doen we soms ook een kleinere audit op dat ene thema. Daarbij kijken we ook of de leveranciers van onze softwarediensten nog aan de beveiligingsnormen voldoen en of we ze willen houden.
Directiebeoordeling
Minstens eenmaal per jaar volgt een formele directiebeoordeling, waarin de directie de kwaliteit en beveiliging van het bedrijf als geheel beoordeelt. De agenda is vast: status van eerdere acties, veranderingen in de omgeving en in wat belanghebbenden verwachten, trends in afwijkingen, metingen en auditresultaten, feedback van klanten, de stand van de risico's en kansen om te verbeteren. Daaruit komen besluiten, acties en afspraken over tijd en middelen.
Opvolgen en vastleggen
Bij een afwijking bedenken we een corrigerende maatregel met een deadline, leggen we vast wat we deden en controleren we later of het werkt. Notities, roadmap, auditrapporten en maatregelen bewaren we met versiebeheer, zodat je kunt terugzien wat we besloten en of het effect had. Meer papier dan dat willen we niet.