Governance klinkt snel groter dan het is. Voor ons betekent het vooral: duidelijk maken vanuit welke rol iemand handelt, wie een besluit mag nemen en wanneer iets naar een ander niveau moet. In een klein bedrijf is dat extra belangrijk, omdat dezelfde persoon op verschillende momenten verschillende petten kan dragen.
Daarom organiseren we governance op rollen en lagen, niet op namen. Een ontwikkelaar, project lead, top management en aandeelhoudersniveau hebben elk een ander mandaat. Als een onderwerp buiten het mandaat, de onafhankelijkheid of de capaciteit van een rol valt, escaleert het naar een passende laag.
Rollen scheiden, ook als mensen overlappen
Functiescheiding is het idee dat risicovolle handelingen niet door dezelfde rol van begin tot eind worden bedacht, uitgevoerd en goedgekeurd. In een kleine organisatie is volledige scheiding niet altijd haalbaar. Dan gebruiken we compenserende maatregelen: peer review, goedkeuring door een andere rol of expliciet vastgelegde uitzonderingen.
Het doel is niet wantrouwen, maar voorkomen dat snelheid, gewoonte of blinde vlekken de overhand nemen.
Dat geldt vooral bij beslissingen die informatiebeveiliging, continuïteit, klantafspraken of personele onderwerpen raken.
Ook bij disciplinaire of corrigerende stappen kijken we naar de rol waarin iemand handelde. Een operationeel probleem hoort niet alleen door dezelfde operationele rol te worden beoordeeld. Hoe gevoeliger het onderwerp, hoe belangrijker een onafhankelijke laag wordt.
Overleggen als besturingssysteem
Veel governance gebeurt niet in grote documenten, maar in terugkerende overleggen:
| Overleg | Waar het over gaat |
|---|---|
| Weekstart | Zicht op de plannen, projectstatus en belangrijke actiepunten |
| Sprintmeetings | Projectvoortgang, geblokkeerde issues, refinement en afronding van werk |
| Code reviews | Niet alleen één pull request, maar ook stijl, aanpak en lessen die breder toepasbaar zijn |
Daarnaast zijn er persoonlijke overleggen met flexibele teamleden. Daarin kijken we naar beschikbaarheid, eerdere taken, tijdsbesteding en de volgende batch werk. Dat is tegelijk capaciteitsmanagement: niet gokken hoeveel iemand kan doen, maar beschikbaarheid en werk bewust op elkaar leggen.
Maandelijks is er een kwaliteits- en beveiligingsmoment. Daar bespreken we incidenten, logging en monitoring, openstaande actiepunten, non-conformities, risico's, toegangsmatrices, interne reviews, assetregistratie en continuïteit. Niet elk onderwerp krijgt elke maand dezelfde diepte, maar het ritme zorgt dat ze niet verdwijnen zodra klantwerk druk wordt.
Management review: even uitzoomen
Naast operationele overleggen is er een formele management review van het ISMS. Daar kijkt top management naar de geschiktheid, werking en verbetering van het systeem als geheel.
Hoe uit zo'n review en uit de overleggen verbeteringen voortkomen, lees je in ons artikel over continu verbeteren: voor governance betekent dat dat een besluit over rollen, mandaat of capaciteit een eigenaar en een vaste plek op de roadmap krijgt. Zo komen losse signalen over incidenten, capaciteit en risico's samen op het niveau waar bestuur ze nodig heeft.
HR als onderdeel van governance
Governance gaat ook over mensen. De HR-procedure beschrijft de levenscyclus van werving tot vertrek. Bij onboarding horen onder meer contractafspraken, geheimhouding, toegang, training, het handboek en opname in het assetregister. Nieuwe collega's krijgen uitleg over hoe we veilig en zorgvuldig werken.
Tijdens de samenwerking voeren we HR-gesprekken over duidelijkheid van taken, feedback, competenties, verbeterpunten en werkplezier. Dat klinkt misschien zacht naast woorden als "segregation of duties", maar het is direct relevant. Mensen die weten wat er van hen verwacht wordt, stellen eerder vragen en signaleren sneller risico's.
Bij vertrek draait het proces om veilige en respectvolle afronding: toegang intrekken, kennis overdragen, apparatuur en gegevens afhandelen en het assetregister bijwerken.
Capaciteit is een beveiligingsmaatregel
Capaciteitsmanagement is niet alleen planning. Als mensen structureel te weinig tijd hebben, worden reviews oppervlakkiger, documentatie blijft liggen en uitzonderingen voelen aantrekkelijker. Daarom kijken we bewust naar wat essentieel is voor continuïteit, informatiebeveiliging en klantafspraken.
Goede governance maakt een klein team niet log. Het geeft juist rust: rollen zijn duidelijk, overleg heeft ritme en beslissingen landen op het niveau waar ze thuishoren.