Belangrijkste punten
- Legacy governance overleeft een systeemvervanging zelden ongeschonden: goedkeuringsworkflows, toegangsmodellen en escalatiepaden lopen vaak stuk en nemen inefficiënties mee.
- Niet alle controls moeten behouden blijven: sommige configuraties bestaan door beperkingen van het platform. Breng de verschillen vóór de overgang in kaart zodat u weet wat u opnieuw ontwerpt of laat vallen.
- Uitkomstgerichte governance blijft overeind als systemen veranderen: beschrijf wat er moet gebeuren, niet hoe een platform dat afhandelt. Zo blijven controls overdraagbaar en eenvoudiger te onderhouden bij elke vervanging.
- Compliance kan tijdens een overgang ongemerkt wegvallen: levert het nieuwe systeem vóór de vervanging van het legacy platform geen gelijkwaardig auditbewijs, dan komt het gat pas aan het licht wanneer een audit het vindt.
Wanneer IT-organisaties legacy IT-managementsystemen vervangen, staat governance zelden bovenaan de lijst. Toch zijn goedkeuringsprocessen, rapportagestructuren, toegangscontroles en compliancemodellen opgebouwd rond de werking van de oude platforms en systemen. Na verloop van tijd zijn die systemen niet langer alleen hulpmiddelen, maar maken ze governance afhankelijk van hun eigen werking.
Transformatie van IT-governance moet gelijk opgaan met de systeemvervanging, niet erna komen. Wordt governance tijdens de overgang niet herzien, dan bouwen teams dezelfde controlestructuren opnieuw op in de nieuwe omgeving. Daarmee verhuizen oude inefficiënties en hogere kosten mee naar het nieuwe platform dat ze juist zou moeten oplossen.
Zo pakt u de transformatie van IT-governance aan bij het vervangen van legacy IT-managementsystemen
Een kader voor change management governance geeft IT-leiders een concrete manier om controls en verantwoordelijkheden opnieuw in te richten terwijl legacy systemen worden vervangen.
Hoe legacy systemen governance in de loop der tijd vormgeven
Begrijpen hoe legacy systemen de bestaande governance hebben gevormd is een noodzakelijke eerste stap voordat een herontwerp kan beginnen. Zonder dat inzicht neemt u dezelfde afhankelijkheden vrij eenvoudig ongemerkt mee naar de nieuwe omgeving.
Enkele manieren waarop legacy platforms governance in de loop der tijd vormgeven:
- Goedkeuringsworkflows die door systeemlogica worden afgedwongen: goedkeuringsprocessen worden opgebouwd rond wat het legacy systeem aankan, niet rond wat de organisatie nodig heeft. Als systemen veranderen, sluiten die workflows mogelijk niet naadloos aan op de nieuwe workflow.
- Rapportageformats die vastzitten aan legacy-output: teams raken gewend aan de rapporten die het legacy platform genereert. Die formats worden de norm, ook wanneer ze niet langer weergeven wat nuttig of vereist is.
- Toegangsbeheer op basis van platformbeperkingen: rechtenmodellen worden vaak bepaald door wat het legacy systeem ondersteunde in plaats van door beveiligings- of operationele eisen. Die modellen gaan mee naar de nieuwe omgeving tenzij ze actief worden herzien of vervangen.
- Auditbewijs dat uit specifieke tools komt: complianceprocessen worden opgebouwd rond de output van één specifieke tool. Wordt die tool vervangen, dan kan het auditspoor breken als met die output tijdens de overstap geen rekening wordt gehouden.
- Escalatiepaden die door systeembeperkingen zijn bepaald: de escalatielogica zit vastgeklonken in de manier waarop het legacy platform problemen doorzet. Teams volgen die paden zonder zich af te vragen of ze nog zinvol zijn.
Wanneer governance is opgebouwd rond een platform in plaats van rond wat het bedrijf nodig heeft, overleeft die governance een systeemvervanging zelden ongeschonden.
Breng in kaart welke governance-elementen aan legacy systemen vastzitten
Voordat er iets opnieuw wordt ontworpen, moeten IT-teams vaststellen welke onderdelen van het bestaande IT-governancekader essentieel zijn en welke alleen bestaan omdat het legacy platform nu eenmaal op een bepaalde manier werkte.
Gebieden om op legacy-afhankelijkheden te onderzoeken:
- Goedkeuringshiërarchieën en beslispunten: breng in kaart hoe goedkeuringen nu verlopen en bepaal welke stappen voortkomen uit systeemlogica in plaats van uit beleid. Juist die stappen worden in de nieuwe omgeving het vaakst onnodig opnieuw opgebouwd en moeten worden vervangen.
- Rechten- en toegangsmodellen: bekijk hoe toegang nu wordt verleend en beperkt. Weerspiegelen de rechtenmodellen bijvoorbeeld vooral platformbeperkingen en nauwelijks beveiligingseisen, dan moeten ze opnieuw worden ontworpen in plaats van gemigreerd.
- Compliance- en auditvereisten: stel vast welke compliancecontrols afhankelijk zijn van output uit het legacy systeem. Daarvoor moet in het nieuwe platform gelijkwaardige dekking bestaan voordat het oude systeem uit gebruik gaat.
- Rapportageverwachtingen en -output: leg vast welke rapporten worden gemaakt en wie ze gebruikt en bepaal meteen of ze daadwerkelijk vereist zijn.
- Afhandeling van uitzonderingen: bekijk hoe uitzonderingen nu worden beheerd en goedgekeurd. Processen die leunen op workflows van het legacy systeem gaan mogelijk niet soepel mee en moeten bewust opnieuw worden opgebouwd.
Door vereiste controls te scheiden van platformspecifieke implementaties, krijgen IT-teams een scherper beeld van wat er echt mee moet en wat vereenvoudigd of geschrapt kan worden.
Van tool-gebaseerde controle naar uitkomstgerichte governance
Tool-gebaseerde governance breekt bij elke platformwissel. Uitkomstgerichte governance beschrijft wat er moet gebeuren en blijft consistent, ongeacht welk systeem daarvoor wordt ingezet.
Voorbeelden van hoe dat er in de praktijk uitziet:
- Zorgen dat goedkeuringen plaatsvinden, ongeacht het platform: de eis is dat goedkeuringen gebeuren en worden vastgelegd. Welk systeem dat proces afhandelt is bijzaak, zolang de uitkomst consistent en controleerbaar is.
- Compliance-uitkomsten valideren in plaats van systeemactiviteit: compliancechecks moeten bevestigen dat de vereiste controls werken. Zo wordt compliance overdraagbaar en consistent over platforms heen.
- Dienstverlening meten in plaats van toolgebruik: prestatiecijfers moeten laten zien hoe goed diensten worden geleverd en zich niet richten op het gebruik van tools.
- Verantwoordelijkheid afdwingen in alle workflows: verantwoordelijkheid hoort bij rollen en taken, niet bij de manier waarop een legacy systeem werk doorzette.
Governance die rond uitkomsten in plaats van rond tools is gedefinieerd is eenvoudiger te onderhouden, eenvoudiger te auditen en veel minder gevoelig voor storingen wanneer de onderliggende systemen veranderen.
Leg eigenaarschap en verantwoordelijkheden vast tijdens de modernisering van technologie
Governance kan stukgaan wanneer eigenaarschap tijdens de modernisering van technologie niet is vastgelegd. Worden verantwoordelijkheden niet expliciet opnieuw toegewezen, dan wordt werk op sommige plekken dubbel gedaan en op andere helemaal vergeten.
Beste praktijken voor het vastleggen van eigenaarschap en verantwoordelijkheid tijdens de transformatie van IT-governance:
- Wijs eigenaarschap toe per dienst of domein: elk dienstgebied heeft een met naam benoemde eigenaar die verantwoordelijk is voor de governance-uitkomsten.
- Baseer verantwoordelijkheid op uitkomsten: verantwoordelijkheid hoort bij op te leveren resultaten, niet bij de manier waarop het legacy systeem taken toewees. Zo blijft duidelijk wie waarvoor verantwoordelijk is, ook als de workflows eromheen veranderen.
- Stem rollen af op vernieuwde workflows: naarmate processen opnieuw worden ontworpen moeten rollen worden herzien en bijgewerkt, zodat ze weergeven hoe werk daadwerkelijk door de nieuwe omgeving loopt. Rollen die aansluiten op legacy workflows passen niet zuiver in een gemoderniseerd systeem.
- Leg vast wie escalaties bezit: bepaal vóór het einde van de overgang wie in de nieuwe omgeving verantwoordelijk is voor escalaties. Escalatiepaden die leunden op de routering van het legacy systeem moeten doelbewust opnieuw worden opgebouwd, niet stilzwijgend worden overgenomen.
Duidelijk eigenaarschap tijdens de overgang houdt governance werkbaar wanneer de omgeving te maken krijgt met problemen of instabiliteit.
Standaardiseer governanceprincipes over systemen heen
Inconsistente governance creëert gaten die moeilijk te zien en nog moeilijker te dichten zijn. Daarom is het cruciaal om governanceprincipes over alle systemen heen te standaardiseren. Zo houdt u het controlemodel intact terwijl de omgeving eromheen verandert.
Belangrijke gebieden om te standaardiseren:
- Beleidsdefinities en handhavingscriteria: beleid moet overal hetzelfde betekenen en op dezelfde manier worden gehandhaafd, ongeacht door welk systeem een workflow loopt.
- Toegangsbeheermodellen: hanteer dezelfde standaarden voor toegangsbeheer in alle systemen die bij de overgang betrokken zijn. Verschillende rechtenmodellen die naast elkaar draaien zorgen voor verwarring en vergroten het risico op gaten in de dekking.
- Rapportagecijfers en -formats: bepaal één consistente set cijfers en rapportageformats die in alle systemen werkt. Dat voorkomt dat verschillende platforms andere getallen produceren voor dezelfde meting.
- Methoden voor compliancevalidatie: compliancechecks moeten gelijkwaardige resultaten opleveren, ongeacht welk systeem wordt beoordeeld. Verschillen de validatiemethoden per platform, dan wordt auditbewijs lastig te vergelijken en te verdedigen.
Standaardisatie tijdens de overgang voorkomt dat het governancemodel uit elkaar valt naarmate systemen worden toegevoegd, vervangen of uitgefaseerd.
Stem compliance- en auditmodellen af op de nieuwe systemen
Modernisering van technologie brengt een specifiek compliancerisico met zich mee dat teams gemakkelijk over het hoofd zien. Een nieuw systeem levert auditbewijs mogelijk niet op dezelfde manier aan als het oude. Wordt dat gat niet gevonden en gedicht voordat het legacy systeem uit gebruik gaat, dan valt de compliancedekking weg zonder dat iemand het merkt, totdat een audit het later ontdekt.
Stappen om compliance- en auditmodellen af te stemmen op de nieuwe systemen:
- Benoem welk auditbewijs vereist is: leg vast welk bewijs elke compliance-eis nodig heeft en waar dat nu vandaan komt. Dat levert een duidelijke lijst op met output die het nieuwe systeem moet evenaren of vervangen.
- Controleer of de nieuwe systemen gelijkwaardige output genereren: stel vast dat het nieuwe platform dezelfde soorten auditbewijs kan leveren voordat het legacy systeem wordt uitgeschakeld. Kan het dat niet, dan moet er een plan klaarliggen om dat gat te vullen.
- Werk documentatie en controlebeschrijvingen bij: compliancedocumentatie die verwijst naar processen in het legacy systeem moet worden bijgewerkt, zodat ze weergeeft hoe de controls in de nieuwe omgeving werken. Verouderde documentatie is een veelvoorkomende auditbevinding bij systeemovergangen.
- Valideer de nauwkeurigheid van de rapportage: controleer of de rapporten uit het nieuwe systeem juist en volledig zijn voordat ze voor compliancedoeleinden worden gebruikt. Fouten in vroege rapportage zijn gemakkelijker te vinden en te corrigeren voordat ze deel uitmaken van het auditdossier.
Compliance op orde brengen is veel lastiger wanneer de overgang eenmaal is afgerond. Dit werk moet parallel aan de systeemvervanging gebeuren om gaten te voorkomen die achteraf moeilijk te dichten zijn.
Voer governancewijzigingen gefaseerd door
Een kader voor change management governance werkt het beste wanneer governancewijzigingen geleidelijk worden ingevoerd in plaats van allemaal tegelijk. Tegelijk met een nieuw systeem overstappen op een nieuw governancemodel vergroot het risico dat beide samen stuklopen.
Effectieve strategieën voor een gefaseerde governance-overgang:
- Legacy en nieuw governancemodel parallel laten draaien: houd de bestaande controls actief terwijl nieuwe worden ingevoerd en gevalideerd. Dat voorkomt dat er tijdens de overgang gaten ontstaan en geeft teams tijd om te wennen voordat het legacy model wordt uitgefaseerd.
- Goedkeurings- en rapportagestructuren stap voor stap bijwerken: pas goedkeuringsworkflows en rapportageformats stapsgewijs aan in plaats van ze in één keer te vervangen. Elke wijziging hoort te zijn gevalideerd voordat de volgende wordt ingevoerd.
- De effectiviteit van controls in elke fase valideren: bevestig dat controls doen wat ze moeten doen voordat u naar de volgende fase gaat. Problemen die vroeg in een gefaseerde uitrol worden opgemerkt blijven beperkt en zijn eenvoudiger op te lossen dan problemen die na een volledige overstap aan het licht komen.
- Bijsturen op basis van feedback uit de praktijk: verzamel feedback van de teams die met het nieuwe governancemodel werken en verfijn de aanpak daarmee voordat u verder opschaalt. Governance die in theorie werkt maar in de praktijk wrijving veroorzaakt moet worden bijgesteld voordat het de norm wordt.
Gefaseerde governancewijziging geeft organisaties een manier om te moderniseren zonder de continuïteit van de dienstverlening tijdens de overgang in gevaar te brengen.
Voorkom dat legacy governancepatronen opnieuw ontstaan
Legacy governancepatronen in een nieuw systeem nabouwen gebeurt gemakkelijk zonder dat iemand het doorheeft. Staan teams tijdens een overgang onder druk, dan is de reflex om op te bouwen wat ze al kennen in plaats van zich af te vragen of het nog klopt.
Signalen dat legacy patronen opnieuw ontstaan:
- Complexe goedkeuringsketens opnieuw opbouwen: krijgt het nieuwe systeem evenveel goedkeuringsstappen als het oude, dan is het de moeite waard om te vragen of elke stap echt nodig is of alleen uit gewoonte is overgenomen.
- Onnodige controlelagen in stand houden: controls die ooit zijn toegevoegd om beperkingen van het legacy systeem te omzeilen hoeven in een moderne omgeving niet te bestaan. Is een control niet te koppelen aan een actuele eis, dan hoort ze te worden beoordeeld op verwijdering.
- Verouderde rapportageformats kopiëren: rapporten die rond legacy-output zijn gebouwd geven mogelijk niet langer weer wat nuttig is. Ze zonder doelcheck opnieuw opbouwen in het nieuwe systeem bewaart oude inefficiënties in een nieuw jasje.
- Inefficiënte escalatiepaden behouden: escalatiepaden die door de routering van het legacy systeem zijn gevormd voegen vaak stappen toe die de oplossing vertragen. De overgang is het juiste moment om ze te vereenvoudigen, niet om ze te kopiëren.
Het doel van governancemodernisering is niet om bestaande controls naar een nieuw systeem te verplaatsen. Het doel is controls te ontwerpen die weergeven wat de organisatie nú werkelijk nodig heeft.
Zorg dat uw transformatie van IT-governance niets overslaat
Een legacy systeem vervangen zonder governance bij te werken laat organisaties achter met moderne platforms onder verouderde controls. Die afhankelijkheid verdwijnt niet vanzelf. Ze moet als onderdeel van de overgang worden gevonden, opnieuw ontworpen en gevalideerd.
Daarom moeten organisaties overstappen op uitkomstgerichte governance. Daarnaast helpen duidelijk eigenaarschap en gestandaardiseerde controls tijdens de modernisering van technologie om uit het traject te komen met een beter, bijgewerkt model dat past bij de eisen van de IT-omgevingen van vandaag.
Gerelateerde onderwerpen:
