Veel organisaties zijn inmiddels volledig afhankelijk van een beperkt aantal systemen, leveranciers, koppelingen, platforms en mensen. Dat is op zichzelf geen probleem. Afhankelijkheid hoort bij moderne bedrijfsvoering.
Het risico ontstaat wanneer die afhankelijkheid sneller groeit dan het inzicht erin. Dan wordt IT niet alleen ondersteunend, maar bedrijfskritisch zonder dat eigenaarschap, alternatieven, herstelbaarheid en bewijs scherp genoeg zijn geregeld.
Waarom dit bestuurlijk relevant is
Bestuurders en ondernemers hoeven niet elk systeem, contract of technisch detail te kennen. Wel moeten zij weten waarvan de organisatie werkelijk afhankelijk is.
De kernvraag is niet of IT “draait”. De kernvraag is wat er gebeurt wanneer een kritisch systeem, een leverancier, een koppeling of een sleutelpersoon tijdelijk niet beschikbaar is.
Die vraag raakt direct aan continuïteit. Kunnen klanten nog worden bediend? Kan productie doorgaan? Kunnen medewerkers werken? Kunnen dossiers, orders, betalingen, planningen of rapportages nog worden verwerkt? En wie beslist wanneer het antwoord onzeker is?
IT-afhankelijkheid wordt gevaarlijk wanneer zij impliciet blijft. Dan lijkt de organisatie operationeel stabiel, terwijl de feitelijke weerbaarheid rust op aannames, leveranciersbeloftes of individuele kennis.
Wat we typisch zien
In organisaties waar IT-afhankelijkheid kritiek wordt, is meestal niet sprake van één duidelijk probleem. Het gaat vaker om een opeenstapeling van afhankelijkheden die afzonderlijk logisch lijken, maar samen een kwetsbaar geheel vormen.
Typische signalen zijn:
- één of enkele kernsystemen dragen een groot deel van de bedrijfsvoering
- leveranciers zijn kritisch, maar hun feitelijke rol in continuïteit is onvoldoende scherp
- SLA’s bestaan, maar zeggen weinig over herstelbaarheid in de praktijk
- technische schuld wordt herkend, maar niet bestuurlijk gewogen
- legacy-systemen blijven langer in gebruik dan verantwoord is
- koppelingen tussen systemen zijn kritisch, maar slecht gedocumenteerd
- rechten, beheerrollen en uitzonderingen zijn historisch gegroeid
- kennis zit bij enkele interne medewerkers of externe specialisten
- cloud- of SaaS-afhankelijkheid wordt gezien als uitbesteding, niet als bestuurlijke afhankelijkheid
- continuïteitsplannen bestaan, maar zijn beperkt getest of niet verbonden met echte bedrijfsprocessen.
Het gevolg is dat de organisatie wel weet dát IT belangrijk is, maar onvoldoende scherp weet welke afhankelijkheden werkelijk bedrijfskritisch zijn.
Welke vragen dit oproept
IT-afhankelijkheid vraagt om bestuurlijke helderheid. Niet omdat het bestuur de techniek moet overnemen, maar omdat de consequenties van afhankelijkheid bestuurlijk zijn.
Relevante vragen zijn:
- Welke diensten, processen of klantverplichtingen mogen niet stilvallen?
- Welke systemen, leveranciers, koppelingen en mensen zijn daarvoor kritiek?
- Wat gebeurt er als één van die afhankelijkheden uitvalt?
- Hoe snel moet herstel plaatsvinden om zakelijke schade te beperken?
- Waaruit blijkt dat herstel ook werkelijk mogelijk is?
- Wie is eigenaar van de afhankelijkheid, niet alleen van het systeem?
- Welke risico’s zijn geaccepteerd, bewust of onbewust?
- Welke afhankelijkheden zijn zo groot geworden dat een expliciet besluit nodig is?
Deze vragen maken IT bespreekbaar als bedrijfsrisico. Niet als technisch beheerprobleem, maar als vraag over continuïteit, afhankelijkheid en bestuurlijke verantwoordelijkheid.
Wat een Reality Check hier oplevert
Een Reality Check onderzoekt niet de volledige IT-omgeving. De Reality Check vertrekt vanuit één concrete bestuurlijke vraag en kijkt welke IT-afhankelijkheden daaronder liggen.
Bij dit onderwerp levert dat bijvoorbeeld op:
- scherp beeld van de processen of diensten die centraal staan
- overzicht van de belangrijkste systemen, leveranciers, koppelingen en beheerafhankelijkheden
- onderscheid tussen gewone IT-afhankelijkheid en bedrijfskritische afhankelijkheid
- zicht op herstelbaarheid, eigenaarschap en besluitpunten
- signalering van technische schuld die bestuurlijke relevantie heeft
- overzicht van aannames over leveranciers, SLA’s, back-ups, herstel en beschikbaarheid
- expliciete vragen die directie, bestuur of ondernemer moeten beantwoorden
- concrete prioriteiten voor vervolgactie.
De waarde zit niet in een volledige IT-inventarisatie. De waarde zit in het zichtbaar maken van afhankelijkheden die bestuurlijk relevant zijn geworden.
Kern
IT-afhankelijkheid is niet riskant omdat zij bestaat. Zij wordt riskant wanneer de organisatie niet scherp weet welke afhankelijkheden kritiek zijn, wie ervoor aanspreekbaar is en wat er gebeurt wanneer ze falen.
Uitbesteden verplaatst uitvoering, niet verantwoordelijkheid.