Van nulmeting tot iets wat blijft draaien
Ik begin niet met een dik rapport. Eerst kijken we waar je staat, daarna bouwen we stap voor stap verder, zodat je collega's onderweg aanhaken. Vier stappen, en de laatste is de belangrijkste.
De vier stappen
Nulmeting
We brengen samen in kaart waar je staat: wat al goed loopt en waar de echte risico's zitten. Ik lees wat er ligt, praat met de mensen die het werk doen en kijk naar hoe het in de praktijk gaat. Dat laatste levert bijna altijd het meeste op, want papier en praktijk lopen zelden gelijk.
Je krijgt een beeld van de gaten, een risico-inschatting en een eerste idee van wat het werk gaat vragen. Geen lijst met honderden bevindingen, wel een scherpe volgorde.
Plan
Je krijgt een stappenplan met prioriteiten: wat eerst moet en wat kan wachten. We bepalen de scope, wegen de risico's en leggen vast welke maatregelen daarbij horen en waarom. Ook wat je bewust niet doet, want dat is net zo goed een besluit.
Hier spreken we ook af wie wat doet. Ik kan veel schrijven en inrichten, maar een maatregel die niemand in de organisatie draagt, houdt geen stand.
Uitvoeren
We voeren het samen uit. Ik schrijf mee aan beleid, richt processen in en train de mensen die ermee werken. Beleid dat niemand herkent, verdwijnt in een map, dus ik schrijf het zo dat het lijkt op hoe jullie al werken.
In deze fase zit het meeste werk, en ook de meeste weerstand. Dat hoort erbij. Mijn taak is om het behapbaar te houden en te blijven uitleggen waarom iets nodig is.
Borgen
Daarna houden we het draaiend: interne audits, bijsturen waar nodig en klaar voor de externe toets. Het ritme van beoordelen en bijstellen moet blijven lopen als ik weg ben, dus dat dragen we over aan iemand bij jullie.
Dit is waar trajecten stukgaan die alleen op het certificaat gericht waren. Een ISMS dat na de audit stilvalt, is een jaar later opnieuw een project.
Hoe de samenwerking eruitziet
Ik werk naast je team en niet erbovenop. In de praktijk betekent dat een vast overlegritme, een contactpersoon bij jullie die de lijnen kort houdt, en directe toegang tot de mensen die het werk doen. Ik schuif aan bij IT, HR en de directie, want security raakt ze alle drie.
Wat ik niet doe, is een traject draaien waarin ik alles zelf oplever en jullie tekenen bij het kruisje. Dat levert een mooie map op en verandert niets. Reken er dus op dat ik werk bij je neerleg, en dat ik erop terugkom.
Benieuwd hoe dit bij jou zou lopen?
Vertel me waar je tegenaan loopt, dan kijken we in een kort gesprek of ik je verder kan helpen.