Ik begin bij uw vraag en breng het bewijs daarnaar terug.
Een vaste onderzoekslijn, een begrensde belasting en een oordeel op papier waarop u beslist.
Uw vraag
De vraag bepaalt de scope
Ik begin bij wat bedrijfskritisch is, niet bij een norm of een lijst. Een Reality Check is alleen waardevol wanneer duidelijk is waarop u als directie, bestuur of ondernemer een antwoord nodig heeft.
Soms gaat het om cyber, soms om IT, soms om AI, en vaak om de combinatie: AI op klantdata, security bij een MSP, een cloudafhankelijkheid of een digitale keten. De scope volgt uw vraag en niet andersom.
De onderzoekslijn
Zes vragen, bij elke opdracht dezelfde
De zes vragen kennen geen norm en geen checklist. Zij volgen de keten van wat u niet mag verliezen naar het bewijs dat het beschermd is.
Wat mag niet stilvallen?
Het kritieke proces, de dienst, klantbelofte of informatie die direct geraakt wordt bij verstoring.
Waarvan is dat afhankelijk?
De systemen, leveranciers, data, toegangsrechten, processen of AI-toepassingen onder dat kritieke proces.
Wie is aanspreekbaar?
De persoon of rol die aanspreekbaar is op besluit, opvolging, werking en verantwoording.
Wat kan misgaan?
De verstoring, fout, aanval, besluitfout of afhankelijkheid die zakelijk relevant wordt.
Wat is er geregeld?
De afspraken, voorzieningen en maatregelen die deze blootstelling moeten opvangen, en wat zij precies moeten doen.
Waar is het bewijs?
Het bewijs dat afspraken, maatregelen en besluiten bestaan, worden uitgevoerd en werken zoals bedoeld.
Achter elke maatregel zit een besluit, en een besluit is pas af als aantoonbaar is dat het werkt. Een plan dat nooit is getest, is een plan waarvan niemand weet of het werkt.
Beantwoord de zes vragen over uw eigen bedrijf →Het oordeel
Het bewijs terug naar uw vraag
Bewijs verzamelen kan iedereen. Wat een Reality Check toevoegt is de weg terug: elke bevinding wordt naast de andere gelegd en samen beoordeeld tegen uw vraag. Wat niet is onderzocht, staat er ook. Zo weet u wat vaststaat, wat op aannames rust en wat open ligt.
Hoe diep ik naar bewijs zoek, bepaalt u met de trede.
Wat u aanneemt
Ik loop de zes vragen met u door en zet op één pagina wat u aanneemt, wat u stelt en waar het bewijs zou moeten liggen. Ik controleer daarin niets.
Wat uw documentatie bewijst
Daarnaast lees ik de documenten die er al zijn: contracten, rapportages, testverslagen. Wat zij bewijzen krijgt de status onderbouwd; wat zij niet dekken staat als gat.
Wat werkelijk standhoudt
Ik toets het bewijs zelf en de samenhang: draagt de combinatie van maatregelen de conclusie, waar breekt één afhankelijkheid de keten, wie is aanspreekbaar.
Enkele gesprekken, en niets dat u niet al heeft
Elke trede begint met een gesprek van een uur waarin we de zes vragen doorlopen, en een tweede van een half uur waarin ik teruggeef wat ik heb gevonden. Vanaf Core lees ik daarnaast de documenten die er al zijn. Bij Complete spreek ik waar de vraag het vereist ook de eigenaar van de afhankelijkheid of uw leverancier.
U hoeft niets te maken en niets te verzamelen wat er niet al ligt. De doorlooptijd is een week voor Outline, twee tot drie weken voor Core en twee tot vier weken voor Complete, afhankelijk van de beschikbaarheid van mensen en gegevens.
- Twee gesprekken met mij, 60 en 30 minuten.
- Uw bestaande documenten, vanaf Core.
- Geen voorbereiding en geen vragenlijst vooraf.
Een compact totaalbeeld
Scherp zicht op wat onderbouwd is, wat op aannames rust, waar eigenaarschap ontbreekt en welke besluiten nodig zijn.
- Kernvraag en scope
- Kernbeeld van de kritieke afhankelijkheden
- Belangrijkste blootstelling en onzekerheden
- Besluiten die expliciet nodig zijn
- Eigenaarschap en uitvoering
- Beschikbaar en ontbrekend bewijs
- Waar passend: 30/60/90-dagen advies
De vorm volgt de trede.
Bij Outline een bewijskaart van één pagina. Bij Core een compact memo met de statussen, de gaten, de tegenstrijdigheden en de besluiten die dat voor u neerlegt. Bij Complete het volledige bestuurlijke memo, met advies voor 30, 60 en 90 dagen en een toelichting aan directie of raad van commissarissen.
Het memo is onderbouwde input voor uw eigen besluit en communicatie, intern of richting uw leverancier.
Wat u ermee doet
Een memo is pas iets waard als er iets mee gebeurt. Dit zijn de gesprekken waarin een Reality Check zijn werk doet.
Het directieoverleg
De besluiten die genomen moeten worden staan benoemd, met een eigenaar erbij. Daarmee verschuift het gesprek van "we moeten iets met cyber" naar een wie, wat en wanneer besluit.
Het gesprek met uw leverancier
U vraagt niet langer óf het geregeld is, maar wat er precies geregeld is en waaruit blijkt dat het werkt. Het overzicht van ontbrekende onderbouwing is de agenda van dat gesprek.
Het investeringsbesluit
Een offerte voor een tool, een migratie of een certificeringstraject beoordeelt u tegen het risico dat er werkelijk is, niet tegen het risico dat de verkopende partij benoemt.
De vraag van buiten
Een klant, verzekeraar of accountant die wil weten hoe u digitaal risico beheerst, krijgt een onderbouwd antwoord, met de grenzen ervan erbij, in plaats van een aanname.
Wat er daarna moet gebeuren, belegt u waar het thuishoort. De Reality Check zorgt dat u weet wat u belegt.
Hoe bevindingen op elkaar ingrijpen
Fictief voorbeeld, bedoeld om vorm en samenhang te tonen. Dit is geen klantcasus.
Productiebedrijf, 60 medewerkers. De productielijn draait op een netwerk en systemen die door één externe IT-partij worden beheerd. Kernvraag: kunnen wij aantoonbaar sturen op die leverancier?
De waarneming
Het IT-beheer is jaren geleden uitbesteed en sindsdien niet herzien. Wat de leverancier moet doen aan updates, toegangsbeheer en herstel na uitval staat in een offerte uit 2019, niet in een actueel contract.
Waarom dit telt
Zonder actueel contract is er geen norm om de leverancier aan te houden. Wat er feitelijk gebeurt kan prima in orde zijn; u kunt het alleen niet vaststellen, en dus ook niet bijsturen.
Deze bevinding staat niet op zichzelf. Andere waarnemingen uit dezelfde casus grijpen erop in:
Eigenaarschap
Niemand is formeel aanspreekbaar op de prestaties van deze leverancier. In de praktijk pakt de manager bedrijfsvoering het op. Zolang de norm ontbreekt, is er ook niets om iemand op aan te spreken, de twee houden elkaar in stand.
Rapportage
Er is maandrapportage, maar die is nooit tegen het contract gelegd. Een rapportage zonder norm bevestigt vooral dat er iets gemeten wordt, niet dat het klopt.
Herstel na uitval
Hoeveel stilstand de productie kan opvangen is nergens vastgelegd, en de leverancier heeft daar dus ook nooit op hoeven leveren. Dezelfde lacune, één laag dieper.
Elk van deze punten is los op te lossen, en levert dan weinig op. Samen wijzen ze op één ding: er is geen vastgelegde norm waaraan de leverancier gehouden wordt. Dat is waar het besluit over gaat. Dat verband zichtbaar maken is het werk; een losse checklist levert het niet op.
Bespreek uw vraag
In een kort gesprek bepalen we of een Reality Check passend is, welke scope logisch is en welke beslissing moet worden voorbereid.
- Wat is de aanleiding?
- Wat mag niet stilvallen?
- Wat moet u kunnen besluiten?
