Waarom dit past
Een compliance-platform verkopen is niet ingewikkeld. Een certificeringstraject laten slagen wel, en daar valt het bij de meeste doorverkopers stil: de tool wordt opgeleverd, de organisatie krijgt een inlogaccount en vervolgens blijkt dat er nog steeds iemand het beleid moet schrijven, de beheersmaatregelen moet beleggen en de koppelingen moet inrichten.
Dat is precies het werk dat ik in mijn interim-opdrachten al deed. Bij Independer heb ik een ISO 27001-certificering behaald en de surveillance-audit het jaar erna doorlopen, en een DORA-programma opgezet. Het verschil tussen een norm die in documenten staat en een norm die de organisatie daadwerkelijk uitvoert, ken ik van dichtbij.
Wat het platform doet
Tidal Control is een Nederlands GRC-platform dat compliance automatiseert. Het ondersteunt meer dan dertig raamwerken, waaronder ISO 27001, ISO 9001, SOC 2, NIS2, DORA en ISO 42001, met risicobeoordeling, een policy center, beheersmaatregelen, leveranciersbeheer en continue monitoring. Het koppelt met de systemen die een organisatie al gebruikt, van cloudomgevingen tot ontwikkel- en ticketsystemen, zodat bewijsvoering grotendeels automatisch wordt verzameld in plaats van vlak voor de audit bij elkaar gezocht.
De audits zelf worden gedaan door Nederlandse geaccrediteerde auditors, wat het verschil maakt tussen een stempel en een certificaat dat een opdrachtgever serieus neemt.
Wat ik erbij doe
Omdat ik integratiekennis, compliancekennis en implementatiekennis combineer, kan ik een traject voor een groot deel zelf voorbereiden in plaats van het bij de organisatie neer te leggen. Dat betekent concreet: beleidsvoorstellen opstellen die aansluiten op hoe er werkelijk gewerkt wordt, geautomatiseerde tests inrichten zodat maatregelen doorlopend worden gecontroleerd, de koppelingen met bestaande systemen leggen, en de rolverdeling beleggen zodat er na certificering iemand eigenaar is.
Uitkomst
Wat het opleverde
Voor een organisatie betekent dit dat certificering geen los project naast het werk wordt. Het platform verzamelt het bewijs, de tests draaien vanzelf, en het gesprek gaat over de maatregelen zelf in plaats van over het bij elkaar zoeken van documenten.
Wat ik meeneem
Een tool lost geen compliance op, een tool maakt het houdbaar. Wat het verschil maakt is of iemand de vertaalslag maakt tussen de norm, de techniek en de manier waarop de organisatie daadwerkelijk werkt. Dat is dezelfde vertaalslag die ik in implementatietrajecten maak, alleen is het onderwerp hier een norm in plaats van een systeem.
