Onderwerp 6.4 — Bestuur en borging

Bestuur bestaat om u te helpen goede, snelle, veilige beslissingen te nemen en om — aan uzelf, uw bestuur en het publiek — te bewijzen dat een digitale dienst verantwoord wordt gerund; behandel het dus als een mogelijk-maker van levering en niet als een belasting erop.

Waarom dit ertoe doet in gezondheid en zorg#

In de meeste sectoren kost zwak bestuur geld en reputatie. In gezondheid en zorg kan het levens kosten, ongelijkheid verankeren en het publieke vertrouwen uithollen waarop het hele stelsel steunt. Een slecht bestuurde wijziging in een klinisch systeem kan een doseringsfout voortplanten naar duizenden patiënten voordat iemand het merkt; een onbestuurde datastroom kan de vertrouwelijkheid schenden van de meest kwetsbare mensen die u bedient; een niet-geborgde go-live kan een dienst vastleggen die stilletjes degenen uitsluit die de zorg het hardst nodig hebben. De inzet is de reden waarom “hoe u werkt” een kwestie van klinische veiligheid, billijkheid en vertrouwen is, niet louter van efficiëntie.

Tegelijkertijd heeft bestuur in gezondheid en zorg een welverdiende reputatie van traagheid, ritualisme en losstaan van de levering. Teams zitten door vergaderingen van het bestuur die beslissingen afstempelen die al zijn genomen, vullen sjablonen in die niemand leest en zien oranje risico’s de week vóór een toetsing groen worden om daarna spectaculair te falen. Dit is de paradox die u moet oplossen. Het antwoord is niet minder bestuur of meer; het is evenredig bestuur dat meegroeit met risico en waarde, duidelijke mensen duidelijke verantwoording geeft en eerlijke informatie produceert die snel genoeg is om op te handelen. Dit onderwerp toont hoe u dat bouwt, en hoe u onafhankelijke borging erbovenop legt zodat de verantwoordelijken — en het publiek — erop kunnen vertrouwen dat de beheersmaatregelen werkelijk werken. Het sluit nauw aan bij Onderwerp 1.6 — Klinische veiligheid en risicobeheer, Onderwerp 1.7 — Informatiebeheer, gegevensbescherming en cyberbeveiliging, Onderwerp 5.3 — Enterprise-projectportfoliomanagement (EPPM) en Onderwerp 10.4 — Zichtbaarheid voor de CEO en senior leiders.

Kernbegrippen#

Bestuur (governance) is het systeem van beslissingsrechten, verantwoording en toezicht waarmee een organisatie stuurt en beheerst wat zij doet. In digitale gezondheid en zorg beheert u eigenlijk drie elkaar overlappende domeinen van bestuur tegelijk. Ondernemingsbestuur (corporate governance) omvat het rentmeesterschap van het bestuur over de organisatie als geheel — financiën, strategie, risico en wettelijke plichten. Klinisch bestuur (clinical governance) is het kader waarmee gezondheidsorganisaties verantwoordelijk zijn voor het voortdurend verbeteren van de kwaliteit en veiligheid van zorg. Informatiebestuur (information governance) omvat hoe de organisatie data rechtmatig, veilig en ethisch behandelt. Een digitale dienst raakt alle drie; als u er maar één bestuurt, wordt u verrast door de andere.

Verantwoording op één punt is de ruggengraat van goed bestuur. De Senior Responsible Owner (SRO) is de ene benoemde persoon die persoonlijk verantwoordelijk is voor een programma of groot project dat zijn doelstellingen haalt en zijn baten realiseert — een rol gepopulariseerd door de Britse overheid maar universeel nuttig. Beslissingsrechten onder de SRO worden expliciet gemaakt via een verantwoordelijkhedenmatrix, gewoonlijk de RACI-vorm (responsible, accountable, consulted, informed), die de twee klassieke mislukkingen voorkomt van “iedereen dacht dat iemand anders het bezat” en “iedereen probeerde het te bezitten”.

Borging (assurance) verschilt van bestuur. Bestuur is het sturen en beslissen; borging is onafhankelijke, objectieve bevestiging dat het bestuur en de beheersmaatregelen werkelijk werken zoals bedoeld. Het overheersende mentale model is de “drie verdedigingslinies”: de eerste linie is operationeel management dat het risico dagelijks bezit en beheert; de tweede linie zijn toezichtfuncties (risico, naleving, klinische veiligheid, informatiebestuur) die beleid vaststellen en uitdagen; en de derde linie is de interne audit, onafhankelijk van beide en rapporterend aan het bestuur. Externe toezichthouders en accountants vormen een feitelijke vierde linie.

Twee verdere begrippen houden het systeem bijeen. Risicobereidheid (risk appetite) is de hoeveelheid en het type risico dat de organisatie bereid is te aanvaarden bij het nastreven van haar doelstellingen; zonder haar is escalatie willekeurig. En het risicologboek — vaak uitgebreid tot een RAID-logboek (risico’s, aannames, issues, afhankelijkheden) gebouwd op dezelfde discipline als een risicoregister — is het werkdossier dat een levering eerlijk houdt. Toetsmomenten worden geboden door gefaseerde borging zoals een faseringsproces met poorten en, in de Britse overheid, gatewayreviews in de stijl van de Infrastructure and Projects Authority (IPA). Boven het niveau van elk afzonderlijk project staat enterprise risk management, de discipline voor de hele organisatie om de risico’s te identificeren en te beheren die de hele onderneming kunnen verhinderen haar doelstellingen te halen, in plaats van digitaal, klinisch, financieel, cyber- en operationeel risico als afzonderlijke silo’s te behandelen.

Beste praktijken#

1. Benoem één verantwoordelijke SRO en meen het. Stel één voldoende senior persoon aan die persoonlijk verantwoordelijk is voor de uitkomst, het gezag heeft om beslissingen te nemen en lang genoeg bij het programma blijft om ter verantwoording te worden geroepen. Schrijf hun verantwoording in de opdrachtomschrijving en hun doelstellingen. Weersta de verleiding verantwoording over een commissie te spreiden — commissies adviseren en beslissen collectief, maar ze kunnen niet verantwoordelijk zijn, want gedeelde verantwoording is afwezige verantwoording.

2. Ontwerp bestuur naar risico en waarde, niet naar de kalender. Een klein, laagrisico intern instrument heeft niet hetzelfde bestuur, dezelfde poorten en hetzelfde papierwerk nodig als een regiobreed elektronisch patiëntendossier. Stel niveaus in zodat laagrisico, laagwaardig werk door licht bestuur op teamniveau stroomt, terwijl hoogrisico of hoogwaardig werk formele besturen en onafhankelijke toetsing aantrekt. Publiceer de drempels zodat teams weten in welk niveau zij zitten en zichzelf kunnen bedienen. Evenredigheid houdt bestuur ervan een knelpunt te worden waar teams omheen gaan.

3. Schrijf opdrachtomschrijvingen die beslissingsrechten verduidelijken. Elk bestuur moet een korte opdrachtomschrijving hebben die zijn doel, samenstelling, quorum, welke beslissingen het kan nemen, wat het alleen kan aanbevelen en wat naar boven moet escaleren vermeldt. Combineer dit met een RACI zodat terugkerende soorten beslissingen — architectuurkeuzes, klinische goedkeuring, vrijgave van budget, goedkeuring van go-live — een benoemde verantwoordelijke eigenaar hebben. Dubbelzinnige beslissingsrechten zijn de meest voorkomende oorzaak van drift in bestuur, waar vergaderingen zich vermenigvuldigen omdat niemand zeker weet wie werkelijk ja kan zeggen.

4. Scheid borging van bestuur en gebruik de drie linies. Laat de mensen die een programma leveren niet de enigen zijn die borgen dat het veilig is. Zorg dat de tweede linie — klinischeveiligheidsfunctionarissen, leiders informatiebestuur, cyberbeveiliging — een onafhankelijke stem heeft en over het hoofd van de SRO kan escaleren wanneer nodig, en dat interne audit periodiek het hele systeem toetst. Deze scheiding zet optimistische zelfrapportage om in geloofwaardige borging, en het is in de meeste gezondheidsstelsels een regelgevende verwachting en geen beleefdheid.

5. Gebruik geïntegreerde borging en gefaseerde toetsmomenten. In plaats van ongecoördineerde toetsingen in opdracht te geven, plant u een geïntegreerd schema van borging en goedkeuring dat klinische veiligheid, informatiebestuur, technische en commerciële toetsingen op dezelfde beslismomenten afstemt. Neem gatewayreviews over op de overgangen die ertoe doen — vóór het vastleggen van geld, vóór de bouw, vóór go-live — naar het model van IPA-gatewayreviews en, voor digitale diensten voor het publiek, de serviceassessments die de Government Digital Service (GDS) pionierde en de NHS aanpaste. Een goede poort is een ondersteunende uitdaging die de volgende fase minder riskant maakt, geen examen om te bespelen.

6. Maak risicobereidheid expliciet en laat haar escalatie sturen. Spreek op bestuursniveau af hoeveel risico u bereid bent te dragen in elk domein — patiëntveiligheid, data, levering, financiën, reputatie — en druk het concreet genoeg uit dat een team kan zien of een bepaald risico binnen of buiten de bereidheid valt. Koppel escalatie dan aan de bereidheid: alles wat buiten valt gaat automatisch omhoog, met een benoemde eigenaar en een deadline voor beslissing. Dit voorkomt de twee faalwijzen van trivialiteiten die het bestuur verstoppen en ernstige risico’s die stilletjes in een spreadsheet zitten.

7. Draai een levend RAID-logboek en een Board Assurance Framework. Houd een RAID-logboek bij dat elke leveringscyclus wordt getoetst, waarbij elke post een eigenaar heeft, gedateerd, gescoord en actief bewerkt is — geen kerkhof van verouderde oranje posten. Houd op organisatieniveau een Board Assurance Framework (BAF) bij dat uw voornaamste strategische risico’s koppelt aan de beheersmaatregelen die er zijn en de borging dat die beheersmaatregelen werken, en gaten blootlegt waar u op hoop leunt. De BAF laat een bestuur op één pagina zien of zijn belangrijkste doelstellingen werkelijk worden beschermd.

8. Rapporteer eerlijk en maak een einde aan toneel van bestuur. Sta erop dat de status openhartig wordt gerapporteerd, slecht nieuws vroeg boven water brengt en bescherm de mensen die het melden. Let op “watermeloenrapportage” — groen aan de buitenkant, rood aan de binnenkant — waar dashboards groen blijven tot het moment van falen; ga het tegen door functies voor borging en leiders van levering over dezelfde feiten te laten rapporteren. Schrap elke vergadering, elk sjabloon of rapport dat geen beslissing verandert. Bestuur dat documenten produceert waar niemand naar handelt is geen voorzichtigheid, het is verspilling vermomd als zorgvuldigheid.

9. Beheer risico op ondernemingsniveau, niet alleen op projectniveau. Houd een risicoregister van de onderneming op bestuursniveau en een schriftelijke verklaring van risicobereidheid die digitaal, klinisch, financieel, cyber- en operationeel risico verbindt in plaats van elk in een eigen silo te behandelen. Veel van de risico’s die digitale gezondheidsdiensten werkelijk laten zinken — een verouderd landschap van legacysystemen, een cyberaanval, te grote afhankelijkheid van één leverancier — doorkruisen elk project en worden door geen ervan bezeten, dus geef elk overkoepelend risico een benoemde executive eigenaar en een plek in het register. Dit is het verschil tussen weten dat uw programma’s elk grofweg op koers liggen en weten of de organisatie als geheel binnen haar bereidheid blijft.

10. Aggregeer dezelfde risico’s naar het bestuur zonder ze te zuiveren. Zet uw drie verdedigingslinies zo op dat een risico dat een leveringsteam ziet herkenbaar naar het risicoregister van de onderneming reist en niet bij elke laag in geruststellende taal wordt herverpakt. De BAF en het register van de onderneming zijn slechts zo eerlijk als de rapportage eronder, dus waak tegen het watermeloeneffect waarbij oranje groen wordt op weg naar boven, en maak het routine overkoepelende risico’s — legacy, cyber, concentratie bij leveranciers — te escaleren die geen enkel project bezit. Een bestuur dat alleen geaggregeerde, afgezwakte getallen ziet kan de risico’s die het meest tellen niet besturen.

Vragen om met uw team te bespreken#

1. Waar is verantwoording op één punt bij ons belangrijkste digitale werk werkelijk duidelijk, en waar is zij een comfortabele fictie? Loop uw drie belangrijkste initiatieven door en vraag voor elk wie persoonlijk tegenover het bestuur zou antwoorden als het mislukte. Als het eerlijke antwoord “het bestuur”, “het programma” of een voortdurend wisselende naam is, hebt u een gat. Toets of de benoemde SRO werkelijk het gezag en de tijd heeft die de rol vraagt, of een boegbeeld is terwijl echte beslissingen elders vallen. Overweeg of verantwoording wordt ondermijnd door een matrix waarin de SRO de mensen die leveren niet kan aansturen. Bespreek hoe continuïteit wordt beschermd wanneer SRO’s vertrekken, want verantwoording die bij elke reorganisatie herstart is geen verantwoording. Het doel is niet individuen de schuld te geven maar te zorgen dat wanneer er iets misgaat één bevoegd persoon bezit dat het wordt hersteld.

2. Is ons bestuur evenredig, of passen wij zwaar proces toe op laagrisicowerk en omgekeerd? Breng uw huidige besturen, poorten en goedkeuringsstappen in kaart tegen het werkelijke risico en de waarde van wat erdoorheen gaat. Zoek de laagrisicowijziging die zes weken wachtte op een bestuur dat maandelijks vergadert, en de hoogrisico klinische wijziging die op eigen gezag van een team doorglipte. Vraag of teams om bestuur heen gaan omdat het te traag is, wat zelf een ernstig risicosignaal is. Overweeg of u duidelijke niveaus en drempels hebt gepubliceerd, of dat alles uit voorzichtigheid terugvalt op maximale ceremonie. Debatteer waar u beslissingen veilig kunt delegeren om sneller te gaan en waar u gevaarlijk licht bent geweest. Het doel is een systeem waarin het gewicht van het bestuur zichtbaar het gewicht van het risico volgt.

3. Hoe zouden wij weten of onze rapportage ons de waarheid vertelt? Bespreek concrete recente voorbeelden waarin een status met weinig waarschuwing van groen naar rood ging en vraag wat de vroege signalen waren en waarom ze niet boven kwamen. Onderzoek of leiders van levering en functies van borging rapporteren vanuit dezelfde feiten of vanuit afzonderlijke, handig uiteenlopende versies. Overweeg wat er sociaal en professioneel gebeurt met iemand die hier een rode status meldt — wordt hij bedankt of gestraft? Vraag of uw bestuur onafhankelijke borging naast het eigen verslag van het management ziet, of alleen het laatste. Onderzoek of uw dashboards dingen meten die problemen voorspellen of alleen dingen die gemakkelijk groen te maken zijn. Het doel is een cultuur te bouwen waarin eerlijk slecht nieuws snel reist, want een bestuurssysteem dat geen slecht nieuws kan horen kan niet besturen.

4. Hebben wij onze risicobereidheid concreet genoeg opgeschreven dat een team erop kan handelen, of is zij een slogan? Neem een live risico van een van uw programma’s en vraag of de mensen die er het dichtst bij staan uit uw verklaarde bereidheid kunnen opmaken of het binnen of buiten de lijn valt. De meeste organisaties hebben een verklaring van risicobereidheid die goed leest en niets beslist — “wij hanteren een evenwichtige aanpak van risico” vertelt geen clinicus of een niet-opgespoord gebrek in de weergave van allergieën aanvaardbaar is. Bespreek of bereidheid per domein wordt uitgedrukt — patiëntveiligheid, data, levering, financiën, reputatie — want een enkel globaal getal verbergt dat u mogelijk nul bereidheid hebt voor gebreken in klinische veiligheid en echte bereidheid voor verschuiving van de planning. Onderzoek of escalatie werkelijk aan bereidheid is gekoppeld, zodat alles daarbuiten automatisch omhoog gaat met een benoemde eigenaar en een deadline, in plaats van af te hangen van iemand die kiest het te melden. Overweeg wie de bereidheid bezit en hoe vaak zij wordt herzien, want een bereidheid die eenmaal is vastgesteld en nooit herzien drijft uit de pas met de echte wereld. Een eerlijk antwoord noemt een recente beslissing die de verklaring van bereidheid werkelijk vormde, en geeft toe waar de verklaring nu te vaag is om te bijten.

5. Hebben onze poorten en toetsingen van borging werkelijk tanden, of glippen falende programma’s er doorheen? Kijk terug op uw laatste paar gatewayreviews of serviceassessments en vraag of een ervan het werk stopte, pauzeerde of wezenlijk herschikte — als elk programma elke poort heeft gepasseerd, zijn uw poorten vrijwel zeker toneel. Bespreek of toetsingen worden behandeld als ondersteunende uitdaging die de volgende fase minder riskant maakt of als examen om te bespelen, waarbij het bewijspakket is gekuratoreerd om een voldoende veilig te stellen. Overweeg of borging van klinische veiligheid, informatiebestuur, techniek en commercie op dezelfde beslismomenten aankomen of als een verstrooiing van ongecoördineerde toetsingen die teams uitputten zonder vertrouwen toe te voegen. Onderzoek welk gezag een beoordelaar bij een poort werkelijk heeft: kan hij een go-live tegenhouden, en wordt hij gesteund als hij dat doet, of gaat commerciële druk voor? Verken of de mensen die leveren in feite ook de mensen zijn die borgen — want een poort die door de optimisten wordt gerund is geen borging. Het doel is een toetsing die een ernstig probleem niet kan overleven, want een poort waar nooit iets op faalt is een kostenpost met geen beheersmaatregel erachter.

6. Welke van de risico’s die ons werkelijk kunnen laten zinken worden door geen enkel project bezeten, en wie bezit ze? Som de mislukkingen op die uw digitale diensten het meest waarschijnlijk stoppen — een verouderd landschap van legacysystemen, een cyberaanval, te grote afhankelijkheid van één leverancier, personeel dat de nieuwe instrumenten niet kan bedienen — en vraag voor elk op wiens register het staat. Deze overkoepelende risico’s zijn juist gevaarlijk omdat ze van iedereen zijn en daarom van niemand, en tussen de kieren van bestuur op projectniveau vallen. Bespreek of u een risicoregister van de onderneming op bestuursniveau hebt dat digitaal, klinisch, financieel, cyber- en operationeel risico verbindt, of dat elk in een eigen silo wordt beheerd, blind voor de andere. Overweeg of een risico dat een leveringsteam ziet herkenbaar naar het bestuur reist, of bij elke laag wordt afgezwakt van rood naar oranje naar groen tot het bestuur alleen nog geruststelling ziet. Onderzoek of elk overkoepelend risico een benoemde executive eigenaar heeft met het gezag om over programma’s heen te handelen. Een eerlijk antwoord confronteert de kloof tussen weten dat elk programma grofweg op koers ligt en weten of de organisatie als geheel binnen haar bereidheid blijft.

In de praktijk: een voorbeeld uit gezondheid en zorg#

Een integrated care system (ICS) rolt een gedeeld zorgdossier uit waarmee clinici in ziekenhuizen, huisartsenzorg en sociale zorg één samenhangend beeld van elke patiënt zien. Het is hoogwaardig en hoogrisico: het raakt klinische beslissingen, koppelt gevoelige data over organisaties heen en bedient een populatie met grote verschillen in digitale toegang.

Vroeg is verantwoording troebel. Drie chief information officers voelen zich elk deels verantwoordelijk, een leverancier drijft de planning en het programmabestuur van achttien mensen besteedt zijn vergaderingen aan het ontvangen van updates in plaats van beslissen. De rapportage is groen. Dan komt een bijna-ongeval boven: een medicatieallergie die in het ene systeem is vastgelegd wordt in een ander niet weergegeven, en een clinicus schrijft bijna een geneesmiddel voor waarvoor de patiënt allergisch is.

De bestuursvoorzitters gebruiken dit als keerpunt en herbouwen het bestuur. Zij benoemen één SRO — een medisch directeur met de senioriteit om het programma aan te sturen en het aanzien om de leverancier uit te dagen. Zij herschrijven de opdrachtomschrijving van het bestuur, snoeien het terug tot de besluitvormers en voegen een RACI toe zodat klinische goedkeuring, goedkeuring van informatiebestuur en toestemming voor go-live elk een benoemde verantwoordelijke eigenaar hebben. Risicobereidheid wordt expliciet gemaakt: nul bereidheid voor niet-opgespoorde gebreken in klinische veiligheid, beperkte bereidheid voor verschuiving van de planning. Die ene verklaring herordent alles.

Borging wordt van levering gescheiden. De klinischeveiligheidsfunctionaris en de leider informatiebestuur rapporteren onafhankelijk en kunnen over de SRO heen naar de bestuursvoorzitters escaleren; het werk aan het gedeelde dossier wordt toegevoegd aan de Board Assurance Framework van elke partner. Een geïntegreerd schema van borging stelt drie poorten vast — vóór verdere bouw, vóór de pilot, vóór volledige uitrol — elk met een combinatie van toetsingen van klinische veiligheid, informatiebestuur, techniek en toegankelijkheid, in de geest van IPA-gatewayreviews en NHS-serviceassessments. Het RAID-logboek wordt tweewekelijks getoetst, met het gebrek in de weergave van allergieën vastgelegd als een rood issue met een eigenaar bij naam en een vaste datum voor oplossing.

De eerste poort is ongemakkelijk: het toetsingsteam vindt dat het klinisch veiligheidsdossier dunner is dan de groene rapporten impliceerden, en de uitrol wordt vier weken gepauzeerd. Het is precies de watermeloen die de oude rapportage had verborgen. Omdat de pauze vóór de pilot plaatsvindt en niet na go-live, wordt geen patiënt geschaad, herstelt de leverancier de mapping van data en is de uiteindelijke uitrol trager bij de start maar veel veiliger en meer vertrouwd. Bestuur vertraagde de levering niet; het voorkwam een falen dat haar helemaal zou hebben gestopt.

Sectorperspectieven#

Startup#

Een startup in health-tech heeft zelden besturen en gatewayreviews nodig, maar wel de essentie vroeg, omdat toezichthouders, kopers en investeerders erom zullen vragen. Benoem één verantwoordelijke oprichter of executive voor klinische veiligheid en één voor gegevensbescherming, houd een licht RAID-logboek bij en schrijf uw risicobereidheid op, al is het één pagina. De valkuil is bestuur te behandelen als iets om later aan te brengen; bewijs van veilige, rechtmatige beslissingen achteraf aanbrengen over een snel bewegend product is pijnlijk en soms onmogelijk. Bouw het minimaal levensvatbare bestuur dat een serieuze NHS-koper zou herkennen en laat het met u meegroeien in plaats van van niets naar bureaucratie te springen over een nacht.

Klein bedrijf#

Een gevestigde kleine aanbieder — een huisartsenpraktijk, een gemeenschapsapotheek, een verzorgingshuis of een kliniek met één vestiging — draagt dezelfde wettelijke plichten voor klinische veiligheid en gegevensbescherming als een groot ziekenhuis, maar zonder auditcommissie, zonder interne audit en vaak zonder eigen IT-personeel om ze uit te voeren. De discipline van bestuur is hier radicale evenredigheid: één benoemde persoon verantwoordelijk voor klinische veiligheid en één voor informatiebestuur (wat in een zeer kleine organisatie dezelfde senior clinicus of partner kan zijn), een risicobereidheid van één pagina en een kort RAID-logboek dat werkelijk wordt getoetst en niet opgeborgen. Leun op de kaders die uw toezichthouders al verwachten — de Data Security and Protection Toolkit, eisen van de CQC en alle verplichtingen voor klinische veiligheid waaraan uw leveranciers moeten voldoen — en laat de borging van uw softwareleveranciers (hun veiligheidsdossiers onder DCB0129, hun certificeringen) werk doen dat u zelf niet kunt doen. De realistische valkuil is niet toneel van bestuur maar verwaarlozing van bestuur: veilige, rechtmatige beslissingen informeel genomen en nooit vastgelegd, zodat u bij een incident of inspectie niet kunt tonen wat u besliste of waarom. Houd het bewijsspoor licht maar echt, want voor een klein bedrijf is het doel verdedigbare beslissingen met weinig middelen, geen bestuursmachine die u niet kunt bemensen.

Grote onderneming#

Een grote aanbieder of leverancier heeft al besturen, auditcommissies en interne audit, dus het risico voor de grote onderneming is het tegendeel van dat van de startup: te veel bestuur, slecht geïntegreerd, dat toneel voortbrengt. Consolideer overlappende besturen, publiceer niveaus van evenredigheid en integreer klinische, informatie-, technische en commerciële borging in één schema zodat teams één samenhangende set poorten tegenkomen in plaats van een dozijn ongecoördineerde toetsingen. Zorg dat de drie verdedigingslinies werkelijk onafhankelijk zijn en dat interne audit periodiek digitale levering toetst, niet alleen financiën. De winst is een bestaande, dure bestuursmachine om te zetten in een die veilige beslissingen werkelijk versnelt.

Overheid#

Nationale en regionale organen — NHS England, ICB’s, organen op afstand van de overheid — werken onder wettelijke verantwoording, publieke uitgavebeheersing en formele regimes van borging zoals IPA-gatewayreviews en de processen van uitgavebeheersing en serviceassessment van de overheid. Hier is de rol van de SRO gecodificeerd en persoonlijk verantwoordelijk aan het Parlement of zijn equivalent, en transparantie is een plicht, geen keuze. De discipline is dit verplichte bestuur evenredig te maken en de vele externe eisen van borging op elkaar af te stemmen zodat ze de levering informeren en haar niet louter achteraf auditen. Goed gedaan is bestuur in de publieke sector een model van verantwoording; slecht gedaan is het de oorsprong van het “toneel van bestuur” waarvoor de hele sector beducht is.

Veelvoorkomende faalpatronen#

• Verantwoording door commissie. Geen enkele SRO, zodat wanneer het misgaat iedereen opzij wijst en niets wordt bezeten.
• Toneel van bestuur. Besturen die ontvangen in plaats van beslissen, sjablonen die niemand leest en poorten die examens zijn om te halen in plaats van werkelijk risico te verminderen.
• Watermeloenrapportage. De status blijft groen tot het moment van falen omdat slecht nieuws onwelkom is en rapporten van levering door borging onbetwist blijven.
• Eén proces voor alles. Zwaar bestuur toegepast op triviaal werk, waardoor teams er omheen gaan, terwijl werkelijk riskant werk er licht doorglipt.
• Borging gevangen door levering. De mensen die de dienst bouwen zijn de enigen die bevestigen dat zij veilig is, zodat optimisme onbetwist blijft.
• Verouderde RAID-logboeken. Risico’s eenmaal gelogd en nooit bewerkt; oranje posten die stilletjes groen worden vóór een toetsing zonder dat eronder iets verandert.
• Blindheid voor domeinen. De levering goed besturen maar de dimensie van klinische veiligheid, informatiebestuur of billijkheid missen tot zij een crisis wordt.
• Toneel van poorten zonder tanden. Toetsmomenten die werk nooit werkelijk stoppen of herschikken, zodat falende programma’s door elke poort glippen.

Volwassenheidsmodel#

Checklist#

• Elk groot initiatief heeft één benoemde, voldoende senior, bevoegde SRO.
• Elk bestuur heeft een actuele opdrachtomschrijving met zijn beslissingsrechten, quorum en escalatie.
• Een RACI wijst aan elk terugkerend soort beslissing een benoemde verantwoordelijke eigenaar toe.
• Niveaus van bestuur schalen met risico en waarde, en de drempels zijn gepubliceerd.
• De drie verdedigingslinies zijn aanwezig, met een onafhankelijke stem van de tweede linie die kan escaleren.
• Een geïntegreerd schema van borging stemt toetsingen van klinische veiligheid, informatiebestuur, techniek en commercie af op gefaseerde poorten.
• Risicobereidheid is per domein opgeschreven en escalatie is eraan gekoppeld.
• Een levend RAID-logboek wordt elke leveringscyclus getoetst, met elke post voorzien van eigenaar en datum.
• Een Board Assurance Framework koppelt voornaamste risico’s aan beheersmaatregelen en aan de borging dat die werken.
• Levering en borging rapporteren over dezelfde feiten, en slecht nieuws melden is veilig.
• Elke vergadering, elk sjabloon en elk rapport dat u behoudt verandert een echte beslissing.

Belangrijkste bronnen#

• Infrastructure and Projects Authority (IPA), Principles for Project Success en de richtlijnen voor gatewayreviews en borging — UK Cabinet Office / HM Treasury.
• NHS England, Clinical Risk Management Standards (DCB0129 en DCB0160) — voor klinisch bestuur van IT in de gezondheidszorg (zie ook Onderwerp 1.6).
• Institute of Internal Auditors (IIA), The IIA’s Three Lines Model (update uit 2020) — de gezaghebbende uiteenzetting van de aanpak met drie linies.
• HM Treasury, The Orange Book: Management of Risk — Principles and Concepts — risicobereidheid, beheersmaatregelen en borging in Britse publieke organen.
• NHS England / voormalige Government Digital Service, Service Standard en richtlijnen voor serviceassessments — borging van digitale diensten voor het publiek.
• UK Corporate Governance Code — Financial Reporting Council — verantwoording van het bestuur en interne beheersing.

Referenties#

1. Governance — Wikipedia — https://en.wikipedia.org/wiki/Governance
2. Corporate governance — Wikipedia — https://en.wikipedia.org/wiki/Corporate_governance
3. Clinical governance — Wikipedia — https://en.wikipedia.org/wiki/Clinical_governance
4. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
5. Senior responsible owner (Executive sponsor) — Wikipedia — https://en.wikipedia.org/wiki/Senior_responsible_owner
6. Responsibility assignment matrix (RACI) — Wikipedia — https://en.wikipedia.org/wiki/Responsibility_assignment_matrix
7. Assurance services — Wikipedia — https://en.wikipedia.org/wiki/Assurance_services
8. Internal audit (Three Lines model) — Wikipedia — https://en.wikipedia.org/wiki/Internal_audit
9. Risk appetite — Wikipedia — https://en.wikipedia.org/wiki/Risk_appetite
10. Risk register — Wikipedia — https://en.wikipedia.org/wiki/Risk_register
11. Phase-gate process — Wikipedia — https://en.wikipedia.org/wiki/Phase-gate_process
12. Infrastructure and Projects Authority — Wikipedia — https://en.wikipedia.org/wiki/Infrastructure_and_Projects_Authority
13. The IIA's Three Lines Model — Institute of Internal Auditors — https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/
14. The Orange Book: Management of Risk — Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
15. Clinical Risk Management: its Application in the Deployment and Use of Health IT Systems (DCB0160) — NHS England — https://digital.nhs.uk/services/clinical-safety
16. Service Standard — Government Digital Service / GOV.UK — https://www.gov.uk/service-manual/service-standard
17. The UK Corporate Governance Code — Financial Reporting Council — https://www.frc.org.uk/library/standards-codes-policy/corporate-governance/uk-corporate-governance-code/
18. Enterprise risk management — Wikipedia — https://en.wikipedia.org/wiki/Enterprise_risk_management