Onderwerp 6.6 — Leveranciers- en service-integratiemanagement (SIAM)

In een zorglandschap dat uit tientallen leveranciers aan elkaar is genaaid, is de dienst die uw patiënten en clinici werkelijk ervaren slechts zo goed als de naden tussen leveranciers — dus iemand moet het geheel van begin tot eind bezitten dat geen enkel contract beschrijft.

Waarom dit ertoe doet in gezondheid en zorg#

Geen enkel modern NHS-ziekenhuis of integrated care system (ICS) draait op één leverancier. Eén klinische werkstroom — een verwijzing van de huisarts die een poliklinische afspraak, een brief, een testuitslag en een recept wordt — kan een elektronisch patiëntendossier van de ene leverancier doorkruisen, een integratie-engine van een andere, een hostingplatform van een derde, een netwerkaanbieder, een nationale spinedienst en een beheerde servicedesk gerund door een vierde partij die u nooit hebt ontmoet. Het contract voor elk onderdeel kan deugdelijk zijn. De dienst die de patiënt ontvangt leeft in de gaten ertussen.

Dit is de kant van draaien en exploiteren van de commerciële relatie, en het is waar waarde wordt gerealiseerd of stilletjes verloren gaat. Teams voor inkoop en commercie (zie Onderwerp 6.3 — Inkoop en commercie) kopen goed, gunnen het contract en dragen een getekende overeenkomst over; wat er in de jaren daarna gebeurt — of leveranciers samenwerken of elkaar de schuld geven, of een storing in een uur wordt hersteld of een week etterend voortduurt, of u ooit kunt weggaan — is het werk van leveranciers- en service-integratiemanagement. Als dat misgaat is het falen niet abstract. Een pathologie-koppelvlak dat stilletjes uitslagen laat vallen, een gedeeld zorgdossier dat een verouderde allergie toont, een authenticatiedienst die clinici bij de overdracht buitensluit: dit zijn gebeurtenissen voor patiëntveiligheid die als integratieproblemen beginnen (zie Onderwerp 1.6 — Klinische veiligheid en risicobeheer).

De inzet wordt aangescherpt door drie kenmerken van de sector. Publiek geld eist dat de uitkomsten die zijn gekocht ook de uitkomsten zijn die worden geleverd, en dat servicecredits en waarde actief worden nagejaagd en niet blijven liggen. Wettelijke plichten voor gegevensbescherming, klinische veiligheid en cyberbeveiliging moeten door een hele toeleveringsketen stromen, inclusief onderaannemers die u niet koos (zie Onderwerp 1.7 — Informatiebeheer, gegevensbescherming en cyberbeveiliging). En de concentratie van kritieke diensten bij een handvol grote leveranciers betekent dat het ransomware-incident, de insolventie of het capaciteitsfalen van één leverancier een hele regio offline kan halen. Leveranciers beheren als portfolio — niet één contract per keer — is nu een plicht van weerbaarheid, geen administratieve.

Kernbegrippen#

Service integratie en management (service integration and management, SIAM) is een managementaanpak om meerdere dienstverleners te coördineren en te integreren om één enkele dienst van begin tot eind aan de organisatie te leveren. Zij ontstond als discipline juist omdat organisaties van één hoofdaannemer wegbewogen naar een meerleverancierenmodel (multi-sourced operating model) en toen ontdekten dat iemand de onderdelen nog steeds als geheel moest laten gedragen. SIAM is geen product dat u koopt; het is een operatiemodel met gedefinieerde rollen, processen en bestuur. De gezaghebbende referentie is de SIAM Body of Knowledge van Scopism, die naast ITIL en de bredere praktijk van IT-servicemanagement (ITSM) staat en ze niet vervangt.

Een SIAM-model heeft drie lagen. De klant, of behouden organisatie (retained organization), houdt de verantwoordelijkheden die nooit kunnen worden uitbesteed: strategie, vraag, architectuur, commercieel eigenaarschap en de uiteindelijke zorgplicht jegens patiënten. De service-integrator is de laag — een intern team, een externe leverancier of een hybride — die de aanbieders coördineert, overkoepelende processen als beheer van grote incidenten bezit en het zicht van begin tot eind houdt. De dienstverleners, vaak georganiseerd in servicetorens (hosting, werkplekken, klinische applicaties, netwerken), leveren elk een gedefinieerd deel. Dit zijn vaktermen van SIAM en geen lemma’s uit een encyclopedie, dus ze worden hier in gewone taal benoemd en gegrond in de body of knowledge van SIAM.

Daaronder zitten de commerciële mechanismen. Uitbesteding en haar variant voor data en processen, business process outsourcing, beschrijven werk delegeren aan een externe aanbieder; beheerde diensten (managed services) beschrijven de doorlopende, op abonnement gelijkende exploitatie van systemen namens u. Prestaties worden bestuurd door een service level agreement (SLA) — een meetbare, doorgaans contractuele toezegging — steeds vaker aangevuld met een experience level agreement (XLA), die de uitkomst meet die een gebruiker werkelijk ervaart en niet de maat van een onderdeel die een leverancier handig vindt te halen. XLA heeft geen vast lemma in de encyclopedie; behandel het als opkomende praktijk, niet als norm.

Twee risicobegrippen kaderen het onderwerp. Beheer van derden (third-party management) is de discipline van toezicht op externe aanbieders en, cruciaal, hun eigen onderaannemers — de vierde partijen diep in de toeleveringsketen. Risicobeheer van de toeleveringsketen richt zich op de mislukkingen die zich door die keten voortplanten, en concentratierisico — een term ontleend aan het bankwezen — vat het gevaar samen van te zwaar afhankelijk zijn van één leverancier, platform of regio. Die beheren is wat een handige sourcingbeslissing ervan weerhoudt een systemische kwetsbaarheid te worden. Ten slotte zijn het vermijden van vendor lock-in en het aandrijven van voortdurende verbetering de twee vooruitkijkende plichten die een live dienst ervan weerhouden te verstenen.

Beste praktijken#

1. Noem de verantwoordelijke eigenaar voor de dienst van begin tot eind, niet alleen voor elk contract. Het bepalende falen van meerdere leveranciers is dat iedereen een doos bezit en niemand de pijlen ertussen. Richt een rol in de behouden organisatie in — vaak een leider service-integratie of een bureau voor leveranciersmanagement — die verantwoordelijk is voor de hele klinische of bedrijfsdienst zoals de gebruiker haar ervaart, met het gezag om leveranciers bijeen te roepen en te arbitreren. Deze eigenaar houdt de SLA van begin tot eind, ook waar geen enkele leverancier dat kan, en is de persoon aan wie een bestuur kan vragen “waarom lag het verwijssysteem zes uur plat?” en een antwoord krijgt in plaats van een ronde van met de vinger wijzen.

2. Kies en ontwerp het SIAM-model bewust en schrijf het daarna in de contracten. Besluit vroeg of de service-integrator intern, extern of hybride is en wees eerlijk over de afweging: een interne integrator houdt controle en kennis maar vraagt schaars vermogen; een externe koopt volwassenheid maar voegt een laag toe om te besturen en een mogelijk belangenconflict als hij ook een toren runt. Definieer de torens, de overkoepelende processen die de integrator bezit en de verplichtingen tot samenwerking van elke aanbieder. Cruciaal is dat deze verplichtingen in het contract van elke aanbieder moeten staan — een plicht tot samenwerking, om deel te nemen aan de bridge voor grote incidenten van de integrator, om data te delen — want een leverancier zal bij het draaien alleen doen waarvoor hij bij de gunning was gekocht (zie Onderwerp 6.3 — Inkoop en commercie).

3. Segmenteer uw leveranciers en besteed uw aandacht waar die telt. Niet elke leverancier verdient hetzelfde bestuur; een wederverkoper van gangbare licenties behandelen als een strategische partner voor het EPD verspilt inspanning en laat de relaties die ertoe doen verhongeren. Gebruik een segmentatiemodel als de Kraljic-matrix om leveranciers te ordenen naar kritiek belang voor het bedrijf en moeilijkheid van de markt in de categorieën strategisch, hefboom, knelpunt en gangbaar, en stem het bestuursritme af op het segment — driemaandelijkse zakelijke toetsingen op directieniveau voor strategische partners, lichte monitoring van prestaties voor gangbare. Zo richt u ook borging, investering in relaties en planning van uitstap op de weinige leveranciers wier falen echt pijn zou doen.

4. Beheer uitkomsten en ervaring, niet alleen maten van onderdelen. Een landschap van leveranciers kan elke afzonderlijke SLA halen — 99,9% uptime van servers, tickets binnen het doel gesloten — terwijl de werkelijke dag van de clinicus ellendig is en het traject van begin tot eind kapot. Vul SLA’s voor onderdelen aan met experience level agreements en maten van begin tot eind die weerspiegelen wat patiënten en personeel ervaren en pas op voor “watermeloen”-rapportage: groen aan de buitenkant, rood aan de binnenkant. Waar een maat kan worden gehaald door te spelen (tickets sluiten en heropenen, ernst herclassificeren), ontwerp haar opnieuw zodat de prikkel van de leverancier aansluit bij de uitkomst die u werkelijk wilt.

5. Draai één geïntegreerd proces voor incidenten en problemen over alle leveranciers. Wanneer een incident meerdere leveranciers beslaat, is het “draaistoel”-probleem (swivel-chair) — elke leverancier die volhoudt dat de fout elders ligt terwijl de dienst plat blijft — het schadelijkste patroon bij meerdere leveranciers. Geef de service-integrator het gezag een groot incident uit te roepen, elke relevante aanbieder op één bridge te halen en de oplossing aan te sturen, wiens onderdeel ook de fout bevat, met een regel zonder schuldvraag “eerst herstellen, later verdelen”. Dit weerspiegelt de interne ITIL-disciplines die uw servicemanagementfunctie al draait (zie Onderwerp 3.8 — Servicemanagement en live-operatie), uitgebreid over de contractuele grens zodat een toeleveringsketen tijdens een crisis zich als één operationeel team gedraagt.

6. Maak contract- en prestatiemanagement een actieve, onderbouwde discipline. Een contract dat na ondertekening in een la ligt is geld en hefboom die zijn opgegeven. Houd gestructureerde toetsingen van prestaties tegen de SLA’s, volg servicecredits en claim ze werkelijk waar zij verschuldigd zijn, onderhoud een gedeeld register van risico’s en issues en houd een controleerbaar dossier van prestaties bij dat bij verlenging of geschil zal tellen. Servicecredits zijn niet het punt — zij zijn een signaal en een hefboom; een volwassen relatie gebruikt aanhoudend onderpresteren om verbeterplannen en uiteindelijk uitstap te triggeren en niet louter om een kleine korting binnen te halen (zie Onderwerp 6.4 — Bestuur en borging).

7. Laat verplichtingen voor klinische veiligheid, gegevensbescherming en cyber helemaal naar beneden door de keten stromen. Uw wettelijke plichten stoppen niet bij uw hoofdleverancier; ze moeten de onderaannemer bereiken die de data host en de open-sourcebibliotheek in het product. Eis doorstroming (flow-down) van verplichtingen voor klinische veiligheid onder de relevante normen, voorwaarden voor gegevensverwerking en cyberbeheersmaatregelen in lijn met de richtlijnen voor de toeleveringsketen van de NCSC en eis zicht op vierde partijen zodat u weet wie werkelijk in de keten zit. Beoordeel concentratierisico expliciet — als drie van uw kritieke diensten op één hyperscaler-regio of één aanbieder van beheerde diensten zitten, is één falen een regionale storing, en de mitigatie is een besluit dat het bestuur bewust moet nemen (zie Onderwerp 3.9 — Bedrijfscontinuïteit en herstel na rampen).

8. Plan de uitstap voordat u wanhopig bent om haar te nemen. Het goedkoopste moment om uw vermogen te vertrekken zeker te stellen is vóór u tekent; op het moment dat u het het meest nodig hebt, is al uw hefboom weg. Houd voor elke kritieke leverancier een levend plan voor uitstap bij dat extractie van data in open, gedocumenteerde formaten, kennisoverdracht, verplichtingen voor ondersteuning bij de overgang en de assets en licenties omvat die u elders opnieuw zou moeten inrichten. Echte portabiliteit wordt bewezen, niet beloofd — test dat u uw data kunt exporteren en elders kunt opzetten, want een contractueel recht op uw data in een eigen dump is niet hetzelfde als ze kunnen gebruiken (zie Onderwerp 4.0 — Technische architectuur, cloud en legacy, over het vermijden van vendor lock-in in de praktijk).

Vragen om met uw team te bespreken#

1. Wanneer een incident om 2 uur ’s nachts drie leveranciers overspant, wie heeft het gezag om ze allemaal als één team te laten handelen — en verplicht elk contract hen de oproep te beantwoorden? Dit doet ertoe omdat het falen van de draaistoel geen technisch gat is maar een gat in gezag: leveranciers gedragen zich rationeel wanneer zij hun eigen SLA verdedigen en schuld afschuiven, en alleen een aangewezen integrator met contractuele steun kan dat doorbreken. Debatteer eerlijk of zo’n rol vandaag in uw organisatie bestaat, of zij echt gezag heeft of slechts bijeenroept en smeekt, en of uw contracten met aanbieders samenwerking op een gedeelde bridge voor grote incidenten werkelijk verplichten of slechts aanmoedigen. Overweeg de moeilijkste gevallen — een fout die een nationale dienst, een hostingaanbieder en een applicatieleverancier overspant, waar de grondoorzaak het eerste uur werkelijk dubbelzinnig is. Kijk of u een regel “eerst herstellen, later verdelen” zonder schuldvraag hanteert, of dat de oplossing stokt terwijl commerciële teams over aansprakelijkheid redetwisten. Een goed antwoord noemt de verantwoordelijke integrator, wijst op de contractbepalingen die samenwerking afdwingen en kan een recent incident over leveranciers heen beschrijven waarin het model standhield — of geeft openhartig toe dat het de vorige keer niet gebeurde.

2. Het plotselinge verlies van welke leveranciers zouden wij werkelijk niet overleven — en wat zouden wij de ochtend dat zij faalden werkelijk doen? Dit dwingt het gesprek over concentratierisico af dat het gemak van sourcing de neiging heeft te begraven: het landschap verzamelt afhankelijkheden van een paar strategische partners en een handvol platforms, en de totale blootstelling wordt zelden in kaart gebracht tot een incident haar onthult. Bespreek welke leveranciers single points of failure zijn voor een klinische dienst, of de afhankelijkheid contractueel, technisch of kennisgebaseerd is en hoe diep in de keten van vierde partijen het echte risico zit — de subverwerker, het ondersteuningsteam in het buitenland, de ene hyperscaler-regio. Weeg de afweging eerlijk: consolidatie koopt efficiëntie, integratie en betere prijzen, terwijl diversificatie weerbaarheid koopt tegen een prijs, en het juiste antwoord is een bewuste keuze van het bestuur en geen toevalligheid van eerdere aanbestedingen. Overweeg of uw plannen voor uitstap en continuïteit voor deze leveranciers zijn getest of slechts geschreven, en of u uw data zou kunnen extraheren en opnieuw hosten als een leverancier volgende week insolvent raakte. Een eerlijk antwoord onderscheidt de leveranciers die u beheert van de paar wier falen een existentiële gebeurtenis is, en toont dat het resterende risico bij de laatste bewust is aanvaard op het juiste niveau.

3. Meten wij wat onze clinici en patiënten ervaren, of alleen wat onze leveranciers gemakkelijk groen kunnen rapporteren? Deze vraag brengt de kloof aan het licht tussen SLA’s voor onderdelen en echte uitkomsten, waar diensten met meerdere leveranciers stilletjes teleurstellen terwijl elk dashboard groen is. Onderzoek waar “watermeloen”-rapportage zich in uw landschap verbergt — de afzonderlijk gehaalde maten die optellen tot een kapot traject, de tickets gesloten door de gebruiker te vragen het opnieuw te proberen, de uptime gemeten op een server die geen clinicus aanraakt. Debatteer of u echte maten van begin tot eind of van ervaring hebt, wie ze bezit en of leveranciers worden geprikkeld op de uitkomst die u wilt of op een proxy die zij kunnen bespelen. Overweeg de spanning dat rijkere, op ervaring gebaseerde meting geld en inspanning kost en kan worden betwist door leveranciers van wie de credits van de oude maat afhangen. Een sterk antwoord kan wijzen op minstens één maat van begin tot eind die de werkelijkheid van de gebruiker weerspiegelt, legt uit hoe zij over leveranciers wordt bestuurd en is openhartig over waar huidige SLA’s het verkeerde gedrag belonen en bij het volgende breekpunt heronderhandeld moeten worden.

4. Wie moet onze integratielaag runnen — een intern team, een externe leverancier of een hybride — en zijn wij eerlijk geweest over het belangenconflict dat die keuze schept? De beslissing tussen bouwen en kopen voor de service-integrator zelf wordt vaak standaard genomen in plaats van bewust, en zij vormt elke relatie die volgt. Debatteer de echte afweging: een interne integrator houdt kennis en controle binnen de behouden organisatie maar vraagt schaars, duur vermogen dat een ziekenhuis mogelijk niet kan vasthouden; een externe integrator koopt snel volwassenheid en instrumenten maar voegt een laag toe om te besturen en wordt acuut problematisch als dezelfde leverancier ook een servicetoren runt en feitelijk zijn eigen huiswerk nakijkt. Overweeg de tussenvormen — een hybride waarin de behouden organisatie verantwoording en arbitrage bezit terwijl een partner de operationele machinerie levert — en of uw organisatie de commerciële en technische senioriteit heeft om een integrator aan te sturen in plaats van door hem te worden geleid. Kijk eerlijk waar de integratiekennis vandaag werkelijk leeft en wat er met uw zicht van begin tot eind gebeurt als het contract van die integrator eindigt. Een eerlijk antwoord noemt wie integreert, legt uit waarom dat model voor uw context is gekozen en niet geërfd en kan wijzen op de waarborgen die een integrator die ook diensten levert ervan weerhouden zijn eigen prestaties te beoordelen.

5. Bereiken onze wettelijke plichten voor klinische veiligheid, gegevensbescherming en cyberbeveiliging werkelijk de vierde partijen diep in de keten — of stoppen ze bij de hoofdleverancier bij wie wij tekenden? Dit doet ertoe omdat verantwoording voor een gebeurtenis rond patiëntveiligheid of een datalek het contract niet volgt; zij blijft bij de behouden organisatie, ook wanneer het falen drie lagen lager optrad, bij een subverwerker of een ondersteuningsteam in het buitenland dat u nooit koos. Onderzoek of uw bepalingen voor doorstroming echt en getest zijn — of verplichtingen voor klinische veiligheid onder de relevante normen, voorwaarden voor gegevensverwerking en cyberbeheersmaatregelen werkelijk contractueel aan onderaannemers worden opgelegd en of u enig zicht hebt op wie die onderaannemers zijn. Bespreek de spanning dat hoofdleveranciers zich ertegen verzetten hun toeleveringsketen bloot te geven als commercieel gevoelig, terwijl u een risico dat u niet kunt zien niet kunt beoordelen, en dat transparantie van vierde partijen eisen de aanbesteding kan vertragen en de markt kan verkleinen. Overweeg het concrete falen — de open-sourcebibliotheek in een product, de onderaannemer voor hosting, het analyse-instrument van een derde — en of een incident daar uw verplichtingen afdwingbaar zou vinden of louter aspiratief. Een sterk antwoord toont dat doorstroming is geschreven, onderbouwd en af en toe geaudit en niet aangenomen, en kan noemen waar in de keten het zicht nu ophoudt.

6. Zodra het contract is getekend, wie beheert het actief — credits claimen, verbetering aandrijven en leveranciers houden aan de waarde die wij kochten — in plaats van het in een la op te bergen? De bepalende lekkage bij meerdere leveranciers gebeurt na gunning, wanneer de aandacht van inkoop verder gaat en niemand de jaren van draaien en exploiteren bezit waarin waarde wordt gerealiseerd of stilletjes verloren gaat. Debatteer of u gestructureerde toetsingen van prestaties tegen de SLA’s houdt, of u de servicecredits die u verschuldigd bent werkelijk volgt en claimt en of aanhoudend onderpresteren een verbeterplan triggert of simpelweg wordt opgevangen. Overweeg de spanning dat het najagen van credits een relatie kan verzuren waarvan u afhangt, en dat een volwassen aanpak credits behandelt als signaal en hefboom voor verbetering en niet als korting om binnen te halen — maar dat leveranciers snel leren welke klanten nooit controleren. Kijk of u een controleerbaar dossier van prestaties bijhoudt dat bij verlenging of geschil zal tellen en of voortdurende verbetering een contractuele verwachting is of een incidentele gunst. Een eerlijk antwoord beschrijft wie elke strategische relatie bezit, wijst op een recent geval waarin onderbouwd prestatiemanagement het gedrag van een leverancier veranderde en geeft openhartig toe waar contracten onbeheerd draaien en waarde jaar na jaar lekt.

In de praktijk: een voorbeeld uit gezondheid en zorg#

Northmoor Integrated Care System draait een digitaal landschap dat typisch is voor zijn schaal: een gehost elektronisch patiëntendossier van één grote leverancier, een platform voor een gedeeld zorgdossier van een andere, een integratie-engine en koppellaag van een specialist, nationale diensten van NHS England, connectiviteit van een netwerkaanbieder en een beheerde servicedesk die wordt gerund door een systeemintegrator wier eerstelijnsondersteuning zelf in het buitenland is uitbesteed. Elk contract werd in een decennium afzonderlijk aanbesteed, elk heeft een eigen SLA en — tot voor kort — werd elk bestuurd door een andere manager in een ander directoraat.

Het probleem kondigt zich op een maandag aan. Clinici melden dat verwijzingen van huisartsen in het ziekenhuis aankomen met ontbrekende bijlagen, soms uren te laat. De EPD-leverancier meldt 100% uptime en sluit het ticket. De integratieleverancier zegt dat zijn engine elk bericht doorgeeft dat hij ontvangt. De leverancier van het gedeelde zorgdossier zegt hetzelfde. De netwerkaanbieder toont geen fouten. Elke leverancier is groen; het verwijstraject is oranje-gaat-naar-rood; en niemand bezit de pijl tussen de dozen. Negen dagen wachten patiënten terwijl de tickets heen en weer stuiteren.

De reactie van Northmoor is binnen de behouden organisatie een functie voor service-integratie op te zetten, geleid door een hoofd leveranciers- en servicemanagement met een klein team en, cruciaal, mandaat van het bestuur. Eerst segmenteren zij het landschap — het EPD, het gedeelde zorgdossier en de integratieleverancier worden als strategisch aangewezen, de netwerkaanbieder als knelpuntleverancier, de wederverkopers van licenties als gangbaar — en stellen zij een bestuursritme in dat daarbij past. Daarna herschrijven zij het operationele schema bij elk strategisch contract bij de volgende breekbepaling met een plicht om binnen dertig minuten deel te nemen aan de bridge voor grote incidenten van de integrator en op verzoek diagnostische data te delen. Een maat van begin tot eind “verwijzing compleet en op tijd afgeleverd” wordt gedefinieerd en gerapporteerd naast de SLA’s voor onderdelen, bezeten door de integrator en niet door één enkele leverancier.

De test komt zes maanden later, wanneer uitslagberichten stilletjes beginnen te falen. Ditmaal roept de integrator binnen het uur een groot incident uit, brengt alle drie strategische leveranciers plus de netwerkaanbieder op één bridge onder een regel zonder schuldvraag en drijft hen om het bericht van begin tot eind te traceren. De grondoorzaak blijkt een wijziging in tekencodering die de integratieleverancier had uitgerold en die het EPD niet kon lezen — een fout die precies leefde in de naad die geen enkele leverancier kon zien. Zij wordt in vier uur hersteld, een gezamenlijk probleemdossier legt de oplossing vast en een servicecredit wordt geclaimd en herinvesteerd in een gedeelde suite voor regressietests. Ondertussen merkt het ICS stilletjes op dat alle drie strategische leveranciers in dezelfde cloudregio hosten, legt het concentratierisico vast in de board assurance framework en geeft het opdracht tot een geteste oefening voor extractie van data zodat, mocht het ooit moeten verhuizen, portabiliteit is bewezen en niet beloofd.

Sectorperspectieven#

Startup#

Een startup in digitale gezondheid zit gewoonlijk aan de andere kant van dit onderwerp — zij is de leverancier die wordt geïntegreerd, en haar commerciële toekomst hangt af van een goede burger zijn in het SIAM-model van een ander. NHS-werk winnen betekent steeds meer bewijzen dat u deelneemt aan een bridge voor grote incidenten, uw subverwerkers blootlegt, verplichtingen voor klinische veiligheid en gegevensbescherming doorgeeft en data schoon teruggeeft bij uitstap, dus die vermogens tot samenwerking vroeg opbouwen is een concurrentievoordeel en geen overhead. Intern is een startup ook afnemer van kritieke derden — haar eigen clouddienst, betalingsverwerker en authenticatieaanbieder — en draagt zij echt concentratierisico met vrijwel geen hefboom over leveranciers die veel groter zijn dan zijzelf. De discipline die schaalt is de kaart van afhankelijkheden actueel te houden, architectonische lock-in te vermijden waar een lage overstapkost beschikbaar is en eerlijk te zijn tegenover klanten over de vierde partijen in uw eigen keten.

Klein bedrijf#

Een gevestigde kleine aanbieder — een huisartsenpraktijk, een gemeenschapsapotheek, een verzorgingshuis of thuiszorgorganisatie, een kliniek met één vestiging — draagt dezelfde wettelijke plichten voor klinische veiligheid, gegevensbescherming en cyberbeveiliging als een groot ziekenhuis, maar beheert een stapel leveranciers zonder toegewijde IT-functie en met weinig contractuele hefboom. In de praktijk stort de hele discipline van SIAM in op een of twee mensen die ook ander werk doen, dus de realistische zet is de twee of drie leveranciers te identificeren waarvan een klinische dag werkelijk afhangt — het klinische systeem, de connectiviteit, de koppeling met het gedeelde dossier — en die relaties bewust te beheren terwijl u bij de rest een lichtere hand aanvaardt. Concentratierisico is acuut en onvermijdelijk: één praktijkbeheersysteem of één breedbandlijn kan een volledig single point of failure zijn, en de mitigatie is vaak operationeel (een procedure bij uitval, een tweede verbinding) en niet een tweede leverancier. Uitstap en portabiliteit doen hier even sterk ertoe, omdat een kleine aanbieder vastgezet in een eigen dossier nog minder macht heeft om te verhuizen, dus de vragen om bij een leverancier op aan te dringen zijn export van data in een open formaat en wat er gebeurt als het contract eindigt. Een kleine leverancier van health-tech voorbij de startupfase staat voor het spiegelbeeld: hij moet voldoen aan de verplichtingen tot samenwerking, doorstroming en uitstap die zijn NHS-klanten nu eisen, zonder het compliance-team dat een grotere leverancier zou hebben.

Grote onderneming#

Een groot ziekenhuis, een samenwerkingsverband van aanbieders of een ICS is de archetypische SIAM-klant: tientallen leveranciers, een langlevend landschap samengesteld door opeenvolgende aanbestedingen en diensten waarvan niemand het gedrag van begin tot eind volledig bezit. Het realistische doel is een functionerende behouden organisatie met een echt vermogen tot service-integratie, segmentatie van leveranciers zodat aandacht naar de strategische weinigen stroomt en overkoepelend beheer van incidenten en problemen dat over contractuele grenzen heen werkt — geen fantasie van perfect op elkaar afgestemde SLA’s. Het moeilijkste werk is contractueel en cultureel: plichten tot samenwerking achteraf in oude overeenkomsten inbouwen zodra breekbepalingen dat toelaten en leveranciers verschuiven van hun doos verdedigen naar hun deel van het geheel bezitten. Op deze schaal komen de grootste winsten in weerbaarheid van het in kaart brengen van concentratierisico over het portfolio en het testen van uitstap voor de handvol leveranciers wier falen een regionale gebeurtenis zou zijn.

Overheid#

Een nationaal orgaan — NHS England, een gedecentraliseerd ministerie van gezondheid of een beheerder van raamwerken als de Crown Commercial Service — vormt de omgeving waarin elk ziekenhuis zijn leveranciers beheert. Zijn hefboom is verwachtingen vaststellen via de Sourcing Playbook en standaardvoorwaarden van de Government Commercial Function, en samenwerking, portabiliteit en zekerheid over de toeleveringsketen tot de standaard in de markt maken in plaats van iets wat elke koper alleen vanuit zwakte onderhandelt. De overheid draagt ook het systeemperspectief: zij kan zien, wat een afzonderlijk ziekenhuis niet kan, wanneer één leverancier of platform een kritieke derde is geworden voor het hele stelsel, en moet die concentratie beheren als kwestie van nationale weerbaarheid. Haar plicht is te zorgen dat het ontwerp van raamwerken, regimes van borging en nationale diensten lock-in en single points of failure verminderen in plaats van ze te verankeren (zie Onderwerp 9.1 — Werken met lokale en nationale overheden).

Veelvoorkomende faalpatronen#

• Het vacuüm van verantwoording. Elke leverancier bezit een onderdeel en niemand de dienst van begin tot eind, zodat problemen over grenzen heen geen thuis hebben. Noem een verantwoordelijke integrator met echt gezag.
• Het incident van de draaistoel. Leveranciers schuiven schuld af terwijl de dienst plat blijft en niemand heeft de macht om ze te laten samenwerken. Verplicht in elk contract één bridge voor grote incidenten en een regel zonder schuldvraag “eerst herstellen”.
• Watermeloen-SLA’s. Elke maat van een onderdeel is groen terwijl de werkelijke dienst rood is; leveranciers rapporteren naar de maat, niet naar de uitkomst. Voeg maten van begin tot eind en van ervaring toe die de integrator bezit.
• Uniform bestuur. Een wederverkoper van gangbare producten en een strategische EPD-partner gelijk behandelen verspilt inspanning en laat de relaties die ertoe doen verhongeren. Segmenteer leveranciers en stem het bestuursritme af op kritiek belang.
• Het contract in de la. Na ondertekening beheert niemand prestaties, claimt credits of drijft verbetering aan, zodat waarde jaar na jaar lekt. Voer actief, onderbouwd contractmanagement.
• Onzichtbare vierde partijen. Verplichtingen worden doorgegeven aan de hoofdleverancier maar stoppen daar, waardoor onbekende onderaannemers de data of het risico houden. Eis zicht op de toeleveringsketen en laat beheersmaatregelen tot onderaan doorstromen.
• Onbeheerste concentratie. Kritieke diensten consolideren stilletjes bij één leverancier, platform of regio tot één falen systemisch wordt. Breng concentratierisico in kaart en aanvaard het bewust op bestuursniveau.
• De theoretische uitstap. Een contractueel recht op uw data dat nooit is getest is geen portabiliteit. Bewijs extractie en opnieuw hosten van data voordat u het nodig hebt.

Volwassenheidsmodel#

Checklist#

• Een benoemde rol in de behouden organisatie is verantwoordelijk voor de dienst van begin tot eind en houdt de SLA van begin tot eind.
• Het SIAM-model — integrator, torens, overkoepelende processen — is gedefinieerd en in de contracten met leveranciers geschreven.
• Leveranciers zijn gesegmenteerd naar kritiek belang, met een bestuursritme afgestemd op elk segment.
• Maten van begin tot eind en van ervaring vullen SLA’s voor onderdelen aan en worden door de integrator bezeten.
• Er bestaat één proces voor grote incidenten over leveranciers heen, met een regel zonder schuldvraag “eerst herstellen” contractueel verplicht.
• Contractprestaties worden actief getoetst, servicecredits worden gevolgd en geclaimd en verbeterplannen worden getriggerd.
• Verplichtingen voor klinische veiligheid, gegevensbescherming en cyber worden doorgegeven aan onderaannemers, met zicht op vierde partijen.
• Concentratierisico over leveranciers, platforms en regio’s is in kaart gebracht en bewust aanvaard op bestuursniveau.
• Er bestaat een levend plan voor uitstap voor elke kritieke leverancier, met data, kennis en ondersteuning bij de overgang.
• Extractie van data en opnieuw hosten zijn voor kritieke diensten getest, niet slechts contractueel beloofd.

Belangrijkste bronnen#

• Scopism — SIAM Body of Knowledge en SIAM Professional Body of Knowledge — de maatgevende open referentie voor rollen, structuren en processen van service-integratie en -management.
• AXELOS — ITIL 4 — praktijken van IT-servicemanagement voor incidenten, problemen, wijzigingen en leveranciersmanagement die SIAM over leveranciers heen uitbreidt.
• UK Government Commercial Function — The Sourcing Playbook en Outsourcing Playbook — richtlijnen voor de publieke sector over sourcing, contractmanagement en uitstap.
• Crown Commercial Service — raamovereenkomsten en standaardvoorwaarden voor inkoop van technologie en beheerde diensten in de publieke sector.
• National Cyber Security Centre (NCSC) — Supply chain security guidance — het beoordelen en beheren van cyberrisico over leveranciers en onderaannemers.
• HM Government / Cabinet Office — richtlijnen over het beheren van kritieke derden en concentratierisico in publieke diensten.
• NHS England — normen voor klinische veiligheid DCB0129/DCB0160 en eisen voor gegevensverwerking die aan leveranciers moeten worden doorgegeven.

Referenties#

1. Service integration and management — Wikipedia — https://en.wikipedia.org/wiki/Service_integration_and_management
2. ITIL — Wikipedia — https://en.wikipedia.org/wiki/ITIL
3. IT service management — Wikipedia — https://en.wikipedia.org/wiki/IT_service_management
4. Outsourcing — Wikipedia — https://en.wikipedia.org/wiki/Outsourcing
5. Business process outsourcing — Wikipedia — https://en.wikipedia.org/wiki/Business_process_outsourcing
6. Managed services — Wikipedia — https://en.wikipedia.org/wiki/Managed_services
7. Service-level agreement — Wikipedia — https://en.wikipedia.org/wiki/Service-level_agreement
8. Third-party management — Wikipedia — https://en.wikipedia.org/wiki/Third-party_management
9. Supply chain — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain
10. Supply chain risk management — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_risk_management
11. Concentration risk — Wikipedia — https://en.wikipedia.org/wiki/Concentration_risk
12. Vendor lock-in — Wikipedia — https://en.wikipedia.org/wiki/Vendor_lock-in
13. Continual improvement process — Wikipedia — https://en.wikipedia.org/wiki/Continual_improvement_process
14. Kraljic matrix — Wikipedia — https://en.wikipedia.org/wiki/Kraljic_matrix
15. Scopism — SIAM Body of Knowledge — https://www.scopism.com/
16. AXELOS — ITIL 4 — https://www.axelos.com/certifications/itil-service-management
17. UK Government Commercial Function — The Sourcing Playbook — GOV.UK — https://www.gov.uk/government/publications/the-sourcing-playbook
18. National Cyber Security Centre — Supply chain security guidance — NCSC — https://www.ncsc.gov.uk/collection/supply-chain-security
19. Crown Commercial Service — GOV.UK — https://www.gov.uk/government/organisations/crown-commercial-service