Hoeveel poort mag er zijn onder toezicht

De vraag die onder toezicht anders klinkt

In een sector met streng toezicht komt vroeg of laat de vraag of er een besluit van de stuurgroep moet blijven staan voordat iets naar productie gaat. De opdrachtgever stelt hem meestal praktisch, en erachter zitten twee belangen die niet vanzelf samenvallen: een toezichthouder die moet kunnen vaststellen dat er beheerst is gewerkt, en een team dat elke paar weken wil kunnen leveren.

Het lesmateriaal beschrijft eerst de vorm waar die vraag uit voortkomt. Traditionele governance werkt met periodieke audits en goedkeuringspoorten: bewijs verzamelen, laten controleren door auditors, bevindingen herstellen. Dat levert lange feedbackcycli op, en de compliance-inspanning concentreert zich rond de auditmomenten. Problemen komen daardoor vaak pas aan het licht wanneer herstel duur is geworden. Aan die governance hangen in dat deel zes toezichtgebieden: uitgaven, audit, beveiliging, compliance, besteding, en meten en rapporteren.

De poort verhuist naar binnen

Continuous Compliance keert die volgorde om. De controle wordt ingebouwd in het ontwikkelproces zelf. Geautomatiseerde controles verifiëren beveiligingsmaatregelen, doorlopende integratie valideert regelgevingseisen, en een overtreding is zichtbaar op het moment dat hij ontstaat.

Het materiaal noemt vier bouwstenen die dat mogelijk maken, en het zijn alle vier dingen die om een andere reden al bestaan. Compliance-enablers zijn een eigen werktype, met dezelfde prioritering en capaciteitstoedeling als ander werk. Deploy en release zijn ontkoppeld, zodat nieuwe functionaliteit stil in productie kan draaien achter een feature flag en technisch kan worden geverifieerd voordat gebruikers er iets van merken. De Solution Intent legt vast wat er is gebouwd en waarom, en dat tweede is wat bij een toezichtvraag nodig blijkt. Elke wijziging aan een systeem dat gereguleerde processen raakt wordt automatisch gelogd, als bijproduct van het dagelijkse werk.

De toetsing verdwijnt daarmee niet. De beoordeling die vroeger in één vergadering zat, zit nu op tientallen plaatsen in de keten, en op elk van die plaatsen kan het werk blijven staan: een geautomatiseerde controle die faalt houdt een oplevering net zo goed tegen als een gremium dat nee zegt.

Waar de grens tussen die twee ligt, is in deze kennisbank al beantwoord in het artikel over het exitcriterium: de vraag gaat over de plaats van de tolerantiegrens en niet over het aantal poorten. Binnen die grens beslissen de mensen die het werk hebben gedaan en de mensen die ermee moeten werken; daarbuiten gaat het besluit naar boven.

Onder toezicht komt daar één ding bij. Een deel van het risico ligt dan buiten de organisatie, en dat geeft een partij van buiten een aanspraak op waar die grens loopt. Die grens hoort dan zelf aantoonbaar te zijn: waar hij ligt en wie hem heeft verlegd.

Hoe dat er in een casus uitziet

De cursus werkt het uit op een pensioenuitvoerder onder toezicht van DNB en AFM. Elke mutatie die een pensioenregeling raakt wordt automatisch gelogd. Een nieuwe validatieregel wordt eerst stil geverifieerd achter een feature flag, voordat werkgevers haar zien. En de onderbouwing van een architecturale keuze, bijvoorbeeld waarom een bepaalde risicoclassificatie is gekozen bij het gedeelde authenticatieplatform, ligt vast in de Solution Intent, zodat een toezichthouder achteraf kan reconstrueren waarom een beslissing is genomen.

Het woord dat daar het werk doet is reconstrueren. De toezichthouder komt in die opzet achteraf en stelt vast of de redenering deugt. Dat legt een zwaardere eis op de vastlegging dan de goedkeuringspoort deed, want wat op het moment zelf niet is opgeschreven valt achteraf niet meer te reconstrueren.

De zin die niet is nagerekend

Op één plaats gaat dat deel verder dan beschrijven:

Dit is geen vrijblijvende keuze voor gereguleerde sectoren: Continuous Compliance is in de praktijk vaak grondiger dan periodieke audits, omdat het afwijkingen voorkomt in plaats van ze pas achteraf te ontdekken.

Dat is een vergelijkend oordeel over twee manieren van werken, en er staat geen meting onder. Wat er wel onder staat is een redenering: voorkomen komt eerder dan ontdekken, dus er blijft minder liggen. Die redenering is te volgen. Hoe vaak het in een echte organisatie ook zo uitpakt, staat er niet bij.

Voor de tweede uitspraak in hetzelfde deel geldt hetzelfde. Daar staat dat zware, traditionele goedkeuringsstappen negatief correleren met softwarekwaliteit, met de change approval board als voorbeeld. Het materiaal verwijst daarbij naar onderzoek naar softwarekwaliteit zonder dat onderzoek aan te wijzen.

Beide staan hier daarom als bewering van het lesmateriaal en niet als vaststelling. Dit artikel voert daarom ook geen percentage op over toezicht of compliance.

Waar het inbouwen ophoudt

De feature flag is het instrument waar dit deel het meeste van verwacht: stil in productie verifiëren, en pas zichtbaar maken wanneer het klopt. De cursus over testen legt daar een grens naast die uit een andere hoek komt. Shift-right, het gebruiken van wat je ná livegang ziet, is daar geen excuus om vooraf minder te testen, en bij een systeem dat aanspraken vastlegt geldt "we zien het wel in productie" niet als aanvaardbare testaanpak voor de kernberekening.

Die twee liggen niet in elkaars verlengde. Een validatieregel die stil achter een flag draait, draait op echte gegevens in een gereguleerd systeem; alleen de gebruiker merkt er niets van. De verificatie die daarmee mogelijk wordt gaat over de vraag of het ding doet wat er bedoeld is, en de vraag wat er vóór die verificatie bewezen moest zijn blijft daarnaast staan.

Deze twee cursussen zetten dat zelf niet naast elkaar; die combinatie komt van deze kennisbank. In het materiaal verwijzen de delen niet naar elkaar.

Twee lezingen die het materiaal niet draagt

Wie leest dat goedkeuringsstappen negatief correleren met kwaliteit, kan daaruit opmaken dat toezicht zelf een restant is van een oudere manier van werken. Het deel waarin die zin staat gaat een andere kant op. Het beschrijft juist wie het toezicht uitoefent: naast de portfolioleiding een value management office, een centrum voor de agile transformatie, de business owners en de enterprise-architecten. Die functies hebben in dat model een doorlopende rol.

De andere lezing komt van de kant waar beheersing samenvalt met het moment waarop een besluit formeel wordt vastgelegd. Voor wie zo leest is het verslag van de vergadering het bewijs dat er beheerst is gewerkt. Een audit-log dat als bijproduct van het werk ontstaat levert een ander soort bewijs, dat fijnmaziger is en niet afhangt van wie er die dag aanwezig was. Of dat bewijs voldoet aan wat een toezichthouder verlangt, staat in het lesmateriaal nergens.

Wat hier open blijft

Wat het minimum is dat een toezichthouder mag eisen, beantwoordt dit artikel niet.

Dat openblijven is een keuze. Het lesmateriaal beschrijft wat een organisatie kan inrichten, en niet wat een toezichthouder hoort te accepteren. Een positie op die tweede vraag zou hier dus alleen rusten op wat aannemelijk klinkt, en op deze site zijn al uitspraken teruggedraaid die stelliger waren dan hun bron.

Deze vraag leent zich bovendien beter voor het forum dan voor een artikel. Het antwoord hangt af van de sector en van wat een toezichthouder daar eerder heeft opgemerkt, en dat is iets wat iemand meebrengt; een lezing van lesmateriaal levert het niet op. Wie hem beantwoordt, kan erbij zetten waar het antwoord op rust: een aanwijsbare norm, of een geval dat navertelbaar is. Het onderwerp bij dit artikel staat daarvoor open.