Managementsysteem inrichten in 7 stappen

Wat is een managementsysteem?

Een managementsysteem is de vaste, gedocumenteerde manier waarop je organisatie een thema zoals informatiebeveiliging, kwaliteit of privacy bestuurt: je legt vast wat je wilt bereiken, wie wat doet en hoe je controleert of dat ook gebeurt. Je richt een managementsysteem in door zeven stappen te doorlopen: scope bepalen, context in kaart brengen, risico's analyseren, beleid vastleggen, registers inrichten, taken beleggen en ten slotte meten en verbeteren.

Een managementsysteem is dus geen map met documenten die je één keer opstelt en daarna vergeet. Een goed systeem leeft: risico's worden opnieuw beoordeeld, incidenten geregistreerd, maatregelen gecontroleerd en beleid bijgesteld. Gaat het specifiek om informatiebeveiliging, dan spreek je van een ISMS. In wat is een ISMS lees je daar meer over.

Stap 1: bepaal je scope en normenkader

De scope bepaalt op welk deel van je organisatie het managementsysteem van toepassing is: de hele organisatie, één vestiging of alleen de dienstverlening rond een specifiek product. Kies je scope bewust klein als je begint. Een beperkte scope betekent minder processen, minder risico's en een project dat behapbaar blijft. Uitbreiden kan later altijd.

Kies daarnaast je normenkader. Welk kader past hangt af van je sector en van wat klanten en wetgeving van je vragen:

• ISO 27001: de internationale norm voor informatiebeveiliging. Certificering is mogelijk en wordt vaak gevraagd door zakelijke klanten.
• NEN 7510: voor zorgorganisaties. Je moet aantoonbaar voldoen aan NEN 7510; een certificaat kan, maar is wettelijk niet verplicht.
• BIO: voor de overheid. Er bestaat geen BIO-certificaat, je legt verantwoording af over de naleving. Gemeenten doen dat bijvoorbeeld via ENSIA.
• AVG: geldt voor iedere organisatie die persoonsgegevens verwerkt. In de praktijk bestaat er geen AVG-certificaat voor organisaties.
• Overige kaders: ISO 9001 voor kwaliteit, en sectorwetgeving zoals NIS2 of DORA.

Werk je onder meerdere kaders tegelijk? Dat is heel normaal. Veel eisen overlappen, dus je bouwt één managementsysteem en toont daarmee aan meerdere normen tegelijk aan.

Resultaat van deze stap: een scopeverklaring van een paar zinnen en een keuze voor één of meer normenkaders.

Stap 2: breng context en belanghebbenden in kaart

Voordat je risico's kunt beoordelen, moet je weten waarin je organisatie opereert. De contextanalyse beantwoordt twee vragen: wat speelt er intern (mensen, systemen, processen, cultuur) en wat speelt er extern (wetgeving, klanteisen, dreigingen, markt)?

Breng daarna je belanghebbenden in kaart: klanten, medewerkers, leveranciers, toezichthouders en eigenaren. Noteer per belanghebbende welke eisen ze aan je stellen. Denk aan wettelijke eisen, contractuele afspraken (zoals verwerkersovereenkomsten of beveiligingseisen in klantcontracten) en je eigen ambities.

Houd dit compact: één of twee pagina's is genoeg. Het doel is niet een dik rapport, maar een lijst met eisen die als input dient voor je risicoanalyse en je beleid. Deze lijst herzie je daarna jaarlijks, of eerder als er iets groots verandert.

Stap 3: voer een risicoanalyse uit

De risicoanalyse is het hart van je managementsysteem: hier bepaal je waar jouw organisatie écht op moet sturen, in plaats van blind een standaardlijst maatregelen af te vinken. De aanpak in vier bewegingen:

1. Inventariseer wat je beschermt: informatie, systemen, processen en fysieke middelen. Dit worden je assets.
2. Bedenk wat er mis kan gaan: datalekken, uitval van systemen, fouten van medewerkers, uitval van een leverancier.
3. Schat per risico de kans en de impact in. Een simpele schaal met laag, midden en hoog werkt prima om te starten.
4. Prioriteer: de risico's met de hoogste score pak je het eerst aan.

Bepaal vervolgens per risico hoe je het behandelt. Er zijn vier smaken: verminderen (je neemt een maatregel), accepteren (het risico is klein genoeg), overdragen (bijvoorbeeld verzekeren of uitbesteden) of vermijden (je stopt met de activiteit). Geef elke behandelkeuze een eigenaar en een deadline, anders blijft het bij goede voornemens.

Resultaat van deze stap: een risicoregister met per risico een score, een behandelkeuze en een eigenaar.

Stap 4: leg beleid en procedures vast

Beleid beschrijft wat je wilt bereiken en waarom; procedures beschrijven hoe je dat in de praktijk doet. Het beleid is kort en stabiel (denk aan een informatiebeveiligingsbeleid van enkele pagina's), procedures zijn concreter en veranderen vaker. Denk aan een procedure voor het melden van incidenten, voor het in- en uitdiensttreden van medewerkers of voor het beoordelen van leveranciers.

Drie praktische regels die veel ellende voorkomen:

• Schrijf op hoe je echt werkt, niet hoe het er in een ideale wereld uit zou zien. Een auditor prikt zo door een papieren werkelijkheid heen, en je collega's ook.
• Houd documenten kort. Een procedure van één pagina wordt gelezen, een handboek van veertig pagina's niet.
• Geef elk document een eigenaar en een reviewdatum, en werk met versiebeheer zodat altijd duidelijk is welke versie geldt.

Laat de directie het beleid formeel vaststellen. Dat is niet alleen een norm-eis: zonder zichtbare steun van de leiding krijg je de rest van de organisatie niet mee.

Stap 5: richt je registers in

Registers zijn de levende lijsten waarin je managementsysteem draait. Waar beleid beschrijft wat je van plan bent, laten registers zien wat er werkelijk gebeurt. De meest gebruikte:

• Risicoregister: alle risico's met score, behandeling en eigenaar (uit stap 3).
• Maatregelenregister: welke maatregelen je hebt getroffen, wie ervoor verantwoordelijk is en wat de status is.
• Incidentenregister: wat er misging, wat de impact was en welke opvolging er kwam.
• Documentenregister: welke documenten er zijn, welke versie geldt en wanneer de volgende review is.
• Leveranciersregister: met wie je werkt, welke afspraken er liggen en wanneer je ze beoordeelt.
• Assetregister: welke systemen en middelen je hebt en wie de eigenaar is.

Begin met risico's, maatregelen en incidenten; de andere registers groeien daarna vanzelf mee. In ManagementSysteem.nl richt je deze registers zelf in, met precies de velden die bij jouw organisatie passen, en hangen taken en rapportages er direct aan vast.

Stap 6: beleg taken en verantwoordelijkheden

Een managementsysteem zakt in zodra niemand zich er eigenaar van voelt. Beleg daarom elke actie bij een persoon, niet bij een afdeling. "IT pakt dit op" betekent in de praktijk dat niemand het oppakt.

Er zijn drie lagen van verantwoordelijkheid:

• De directie is eindverantwoordelijk, stelt het beleid vast en maakt middelen vrij.
• Een coördinator (vaak de CISO, kwaliteitsmanager of security officer) beheert het systeem, bewaakt de voortgang en rapporteert aan de directie.
• Medewerkers voeren de maatregelen en taken uit die bij hun rol horen.

Plan daarnaast de terugkerende taken in: het beleid jaarlijks herzien, leveranciers periodiek beoordelen, toegangsrechten controleren, back-ups testen. Geef elke taak een eigenaar en een deadline en zorg voor herinneringen, want juist deze routinetaken bepalen of je systeem over een jaar nog klopt.

Stap 7: meet, rapporteer en verbeter (PDCA)

Een managementsysteem draait op de PDCA-cyclus: Plan (bepaal wat je gaat doen), Do (voer het uit), Check (controleer of het werkt) en Act (stuur bij). De eerste zes stappen van dit stappenplan vormen Plan en Do; deze laatste stap maakt de cirkel rond.

Check betekent concreet: voer periodiek een interne audit uit waarin je toetst of de praktijk klopt met wat je hebt vastgelegd, en volg een paar simpele indicatoren zoals het aantal incidenten, openstaande acties en op tijd uitgevoerde taken. Minimaal één keer per jaar bespreekt de directie deze uitkomsten in een directiebeoordeling en besluit waar bijsturing nodig is.

Act betekent: elke afwijking die je vindt wordt een verbeteractie met een eigenaar en een deadline, en je controleert later of die actie het probleem echt heeft opgelost. Dit ritme, plus het bewijs dat je het volgt, is precies waar een certificerende auditor naar kijkt. Wil je weten of je klaar bent voor een audit? Lees dan onze gids over managementsysteem-certificatie.

In Excel of in software?

Eerlijk antwoord: voor een kleine organisatie met een beperkte scope kan Excel prima werken. Een risicoregister in een spreadsheet en beleid in een gedeelde map is genoeg om te starten, en het dwingt je om na te denken over de inhoud in plaats van over tooling.

Excel breekt op drie punten zodra je systeem groeit:

• Versiebeheer: er ontstaan kopieën van kopieën en niemand weet meer welke versie van het risicoregister of het beleid actueel is.
• Bewijs: een auditor wil zien wie wat wanneer heeft gedaan. Een spreadsheet houdt dat niet bij, dus reconstrueer je achteraf uit mails en agenda's.
• Samenwerking en opvolging: met meerdere eigenaren, deadlines en terugkerende taken heb je herinneringen en overzicht nodig, en dat is precies wat een spreadsheet niet biedt.

Software lost dit structureel op. In ManagementSysteem.nl bouw je dezelfde registers als hierboven, maar met versiegeschiedenis op documenten, een automatische audittrail van wie wat wanneer wijzigde, taken met eigenaren en deadlines, en dashboards die rechtstreeks uit je eigen registers komen. Bekijk het platform om te zien hoe dat eruitziet, of stel je vraag als je twijfelt wat bij jouw situatie past.