Een informatiesysteem evolueert mee met het bedrijf. Er worden nieuwe softwareoplossingen geïnstalleerd, servers worden vervangen, diensten migreren naar de cloud en verschillende dienstverleners werken aan de infrastructuur. Zonder een globale visie kan deze evolutie leiden tot een opeenstapeling van slecht geïntegreerde oplossingen, stijgende kosten en een geleidelijk verlies van controle.
Een IT-audit maakt het mogelijk om de situatie te beoordelen. De audit biedt een momentopname van het informatiesysteem en brengt beveiligingsproblemen, verouderde technologieën, knelpunten en verschillen tussen de beschikbare tools en de werkelijke behoeften van de onderneming aan het licht. Deze eenmalige diagnose garandeert echter niet dat de vastgestelde problemen duurzaam worden opgelost.
De echte uitdaging bestaat er daarom in om audit en prestatiebeheer met elkaar te combineren. Deze aanpak zet de eerste vaststellingen om in een meetbaar actieplan dat aan de hand van nauwkeurige indicatoren in de tijd wordt opgevolgd. Zo beschikken de directie en de IT-afdeling over een duidelijk beeld van de toestand van het informatiesysteem, kunnen zij beter op risico’s anticiperen en technologische beslissingen nemen die aansluiten bij de doelstellingen van de onderneming.
Audit en prestatiebeheer: wat houdt dit in voor IT?
Audit en prestatiebeheer omvatten twee verschillende, maar complementaire benaderingen. De eerste bestaat uit het analyseren van het informatiesysteem. De tweede maakt het mogelijk om de werking en evolutie ervan op lange termijn op te volgen.
IT-audit: een eenmalige diagnose van het informatiesysteem
Een IT-audit is een gestructureerde analyse van de IT-omgeving van een onderneming. Het doel is om een objectieve stand van zaken op te maken van de infrastructuur, applicaties, processen, beveiliging en governance.
Afhankelijk van de vastgelegde scope kan de audit onder andere betrekking hebben op:
- servers en netwerkapparatuur;
- werkstations en mobiele apparaten;
- bedrijfsapplicaties en databases;
- cloudomgevingen en datacenters;
- back-ups en continuïteitsplannen;
- toegangen, rechten en beveiligingsmechanismen;
- de organisatie van de IT-afdeling;
- contracten, licenties en kosten die met het informatiesysteem verbonden zijn.
Een IT-audit voor kmo’s kan al deze elementen omvatten of zich concentreren op een specifieke problematiek, zoals beveiliging, infrastructuur, kosten of de voorbereiding van een migratie naar de cloud.
Prestatiebeheer: een continue aanpak
De sturing van het informatiesysteem binnen een onderneming begint doorgaans na de audit. Ze bestaat uit het regelmatig meten van de prestaties van het informatiesysteem en het vergelijken van de behaalde resultaten met de vastgelegde doelstellingen.
Deze aanpak is gebaseerd op IT-prestatie-indicatoren, dashboards, periodieke rapporten en stuurgroepen. Hierdoor kan een achteruitgang worden vastgesteld voordat deze kritiek wordt, kunnen de effecten van ondernomen acties worden gemeten en kan de IT-strategie geleidelijk worden aangepast.
Prestatiebeheer heeft dus niet alleen tot doel om systemen operationeel te houden. Ze moet ook bepalen of het informatiesysteem de activiteiten van de onderneming doeltreffend ondersteunt, of het de verwachte servicekwaliteit levert en of de investeringen daadwerkelijk waarde creëren.
Twee onlosmakelijk verbonden benaderingen
Zonder audit loopt de onderneming het risico haar informatiesysteem aan te sturen op basis van onvolledige informatie of slecht gekozen indicatoren. Zonder prestatiebeheer kunnen de aanbevelingen die aan het einde van de audit worden geformuleerd zonder gevolg blijven of na verloop van tijd hun relevantie verliezen.
De audit vormt dus het uitgangspunt: ze brengt verschillen aan het licht en bepaalt de prioriteiten. Prestatiebeheer zet deze aanpak voort door te controleren of de aanbevelingen worden toegepast en of ze de verwachte resultaten opleveren. Samen vormen ze een echte cyclus van continue verbetering.
De verschillende soorten IT-audits
Een audit van het informatiesysteem kan verschillende vormen aannemen, afhankelijk van de doelstellingen en de risico’s waarmee de onderneming wordt geconfronteerd.
De organisatorische audit van het informatiesysteem
De organisatorische audit van het informatiesysteem analyseert hoe de IT-verantwoordelijkheden zijn verdeeld. Ze onderzoekt de rollen van de directie, de IT-afdeling, de gebruikers en externe dienstverleners. Daarnaast wordt gecontroleerd of er duidelijk omschreven processen bestaan voor incidenten beheer, wijzigingsbeheer, projecten, toegang en investeringen.
Het doel is om te bepalen of de IT-governance de bedrijfsprioriteiten voldoende ondersteunt. Een performante infrastructuur volstaat niet wanneer beslissingen zonder coördinatie worden genomen, verantwoordelijkheden onduidelijk zijn of geen enkel proces de opvolging van acties garandeert.
De technische audit en audit van de IT-infrastructuur
De audit van de IT-infrastructuur richt zich op de onderdelen die de werking van het informatiesysteem garanderen: servers, opslag, netwerk, werkstations, beveiligingsapparatuur, back-upsystemen, cloud en gevirtualiseerde omgevingen.
Ze maakt het onder meer mogelijk om de beschikbare capaciteit, prestaties, beschikbaarheid, redundantie en algemene toestand van de apparatuur te beoordelen. Ook kritieke afhankelijkheden, verouderde apparatuur en configuraties die vertragingen of onderbrekingen kunnen veroorzaken, worden geïdentificeerd.
De beveiligingsaudit
De beveiligingsaudit analyseert in welke mate het informatiesysteem de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens kan beschermen. Ze kan een inventaris van IT-assets, een controle van toegangsrechten, kwetsbaarheidsscans, een analyse van configuraties en een controle van de back-ups omvatten.
Deze analyse kan gebaseerd worden op erkende referentiekaders, zoals de internationale norm ISO/IEC 27001, die betrekking heeft op managementsystemen voor informatiebeveiliging, of het Belgische CyberFundamentals Framework van het CCB, dat organisaties helpt om hun cybersecurityrisico’s gestructureerd te beheren.
De conformiteitsaudit
De conformiteitsaudit controleert of de werkwijzen van de onderneming overeenstemmen met de wettelijke en contractuele verplichtingen die op haar activiteiten van toepassing zijn. Dit kan onder meer betrekking hebben op de AVG, vereisten rond gezondheidsgegevens, sectorale voorschriften of afspraken die met klanten werden gemaakt.
Voor de verwerking van persoonsgegevens vormt de gids Wegwijs in de AVG voor kmo’s van de Belgische Gegevensbeschermingsautoriteit een nuttige referentie om de organisatorische en technische maatregelen te identificeren die moeten worden ingevoerd.
De waarschuwingssignalen waarop een onderneming moet letten
Een audit hoeft niet noodzakelijk te wachten op een grote storing of een beveiligingsincident. Verschillende signalen wijzen erop dat een onderneming geleidelijk de controle over haar informatiesysteem verliest.
Het eerste signaal is vaak de opeenstapeling van oplossingen. Elke nieuwe behoefte leidt tot de toevoeging van software, een server, een cloudabonnement of een specifieke integratie. Wanneer deze beslissingen zonder een globale architectuur worden genomen, wordt het informatiesysteem moeilijk te documenteren, te beveiligen en verder te ontwikkelen.
Terugkerende storingen, vertragingen of onverklaarbare onderbrekingen moeten eveneens als een waarschuwing worden beschouwd. Zelfs wanneer ze snel worden opgelost, kan hun herhaling wijzen op een capaciteitsprobleem, verouderde technologie of een kritieke afhankelijkheid die nog niet werd geïdentificeerd.
Een aanhoudende stijging van de IT-kosten zonder zichtbare verbetering van de servicekwaliteit is een andere belangrijke indicator. De onderneming betaalt bijvoorbeeld voor weinig gebruikte licenties, onderhoudt apparatuur die niet langer nodig is of besteedt te veel middelen aan corrigerende interventies.
Verouderde technologieën vormen eveneens een risico. Een oud systeem ontvangt mogelijk geen updates meer, wordt incompatibel met nieuwe applicaties of is afhankelijk van moeilijk te vinden expertise. Deze technische schuld beperkt het innovatievermogen van de onderneming en verhoogt haar blootstelling aan incidenten.
Ten slotte kan een eenvoudige vraag de maturiteit van de sturing helpen beoordelen: kunnen de directie of de IT-afdeling duidelijk uitleggen hoe het informatiesysteem er vandaag voorstaat? Wanneer de informatie verspreid, tegenstrijdig of slechts bij enkele personen bekend is, wordt een audit van het informatiesysteem noodzakelijk.
Een audit is eveneens aanbevolen vóór een belangrijke operatie, zoals een fusie, overname, verandering van dienstverlener, cloudmigratie, lancering van een nieuwe bedrijfsapplicatie of organisatorische transformatie.
De stappen van een volledige IT-audit
De kwaliteit van een audit hangt zowel af van de gebruikte methode als van de geanalyseerde technologieën. Een volledige opdracht moet verschillende stappen volgen om aanbevelingen op te leveren die daadwerkelijk kunnen worden toegepast.
1. De audit opdracht afbakenen
De eerste stap bestaat uit het definiëren van de doelstellingen, de scope en de verwachtingen van de onderneming. Het is essentieel om te bepalen of de audit vooral bedoeld is om de prestaties te verbeteren, kosten te verlagen, de beveiliging te versterken, een migratie voor te bereiden of een algemeen overzicht van het informatiesysteem te verkrijgen.
Bij de afbakening worden ook de betrokken partijen geïdentificeerd: directie, IT-afdeling, verantwoordelijken van de bedrijfsafdelingen, gebruikers en dienstverleners. Er worden doorgaans gesprekken georganiseerd om de technische visie te vergelijken met de dagelijkse ervaringen van de teams.
Tijdens deze fase worden ten slotte ook de op te leveren documenten, de planning en de criteria voor de prestatiebeoordeling vastgelegd.
2. De organisatorische audit uitvoeren
De organisatorische analyse onderzoekt de governance en processen. Wie neemt de IT-beslissingen? Hoe worden aanvragen van de bedrijfsafdelingen geprioriteerd? Hoe worden incidenten geregistreerd en behandeld? Bestaat er een procedure voor wijzigingen, back-ups en toegangsbeheer?
Deze stap controleert eveneens of de IT-strategie aansluit bij de doelstellingen van de onderneming. Een investering kan technisch relevant zijn, maar weinig nut hebben wanneer ze niet beantwoordt aan een operationele of commerciële prioriteit.
Referentiekaders zoals COBIT kunnen als basis dienen om de governance te analyseren en IT-doelstellingen aan de strategische doelstellingen te koppelen.
3. De infrastructuur en applicaties in kaart brengen
De technische audit inventariseert de onderdelen van het informatiesysteem en de onderlinge relaties. Deze inventaris omvat servers, netwerken, werkstations, applicaties, databases, gegevensstromen, cloudomgevingen en diensten die in datacenters worden gehost.
De inventaris moet de kritieke apparatuur, afhankelijkheden en single points of failure zichtbaar maken. Vervolgens worden de beschikbaarheid, capaciteit, prestaties, gebruikte versies, kwaliteit van de configuraties en monitoringsmechanismen geanalyseerd.
Deze stap helpt ook om onderbenutte middelen te identificeren. Een onderneming betaalt bijvoorbeeld voor te veel cloudcapaciteit of onderhoudt verschillende tools die dezelfde functie vervullen.
4. De beveiliging en conformiteit beoordelen
De beveiligingsaudit zoekt naar kwetsbaarheden die een datalek, onderbreking of ongeoorloofde toegang kunnen veroorzaken. Ze analyseert onder meer het identiteitsbeheer, de toegangsrechten, updates, netwerksegmentatie, back-ups, logbestanden en procedures voor incidentrespons.
Conformiteit mag niet worden beschouwd als een controle die losstaat van de prestaties. Een snelle maar onvoldoende beveiligde oplossing kan niet als performant worden beschouwd. Op dezelfde manier voldoet een conform systeem dat regelmatig onbeschikbaar is niet aan de behoeften van de bedrijfsactiviteiten.
De beoordeling moet dus een evenwicht vinden tussen beschikbaarheid, beveiliging, conformiteit, kosten en gebruikerservaring.
5. De resultaten presenteren en aanbevelingen prioriteren
Na afloop van de audit ontvangt de onderneming een rapport waarin de vaststellingen, risico’s, aanbevelingen en prioriteiten worden uiteengezet. Een goed rapport beperkt zich niet tot een lijst met technische problemen. Het legt de mogelijke gevolgen voor de activiteiten uit en stelt een realistisch actieplan voor.
De acties kunnen op basis van hun urgentie worden ingedeeld:
- onmiddellijke maatregelen om een kritiek risico te corrigeren;
- verbeteringen op korte termijn;
- structurele projecten op middellange of lange termijn;
- controlemaatregelen die blijvend moeten worden toegepast.
Elke aanbeveling wordt idealiter gekoppeld aan een verantwoordelijke, een deadline, een geschat budget en een succesindicator. Deze organisatie vergemakkelijkt rechtstreeks de overgang naar continue prestatiebeheer.
Van diagnose naar sturing: duurzame indicatoren invoeren
De presentatie van de auditresultaten betekent niet dat het traject is afgerond. Ze vormt het startpunt van een continue cyclus van meten, beslissen en verbeteren.
Relevante IT-prestatie-indicatoren kiezen
Een doeltreffend dashboard hoeft niet zoveel mogelijk gegevens te bevatten. Het moet de indicatoren verzamelen die de directie en de IT-afdeling daadwerkelijk helpen om beslissingen te nemen.
De onderneming kan onder meer de volgende technische indicatoren opvolgen:
- de beschikbaarheidsgraad van de diensten;
- lde responstijden van applicaties;
- het aantal incidenten en de ernst ervan;
- de gemiddelde oplostijd;
- het succespercentage van back-ups;
- het gebruik van opslag- en rekencapaciteit;
- de update status van systemen;
- het aantal niet-opgeloste kritieke kwetsbaarheden.
Deze gegevens moeten worden aangevuld met financiële en bedrijfsgerichte indicatoren, zoals de IT-kosten per gebruiker, de naleving van het budget, de tevredenheid van medewerkers en de impact van incidenten op de activiteiten.
Voor elke indicator is het eveneens belangrijk om een streefwaarde, waarschuwingsdrempel en trend te bepalen. Een gemiddelde responstijd biedt bijvoorbeeld weinig informatie wanneer deze niet wordt vergeleken met een doelstelling en de evolutie ervan tijdens de afgelopen maanden.
Dashboards voor elke doelgroep opstellen
De algemene directie heeft niet hetzelfde detailniveau nodig als het technische team. Het dashboard voor leidinggevenden moet de risico’s, kosten, beschikbaarheid van kritieke diensten en voortgang van projecten weergeven.
De IT-afdeling en IT-dienstverlener hebben een meer operationeel overzicht nodig: servercapaciteit, incidenten, patches, back-ups, waarschuwingen en naleving van de afgesproken serviceniveaus.
De informatie in de verschillende dashboards moet wel coherent blijven. Dankzij deze samenhang kunnen alle deelnemers vanuit dezelfde realiteit werken.
Regelmatig stuurgroepen organiseren
Dashboards hebben alleen waarde wanneer ze worden geanalyseerd en in beslissingen worden omgezet. Daarom moeten regelmatig stuurgroepen worden georganiseerd waaraan de directie, verantwoordelijken van de bedrijfsafdelingen, de IT-afdeling en de IT-dienstverlener deelnemen.
Tijdens deze vergaderingen kunnen de resultaten worden onderzocht, afwijkingen worden geïdentificeerd en lopende acties worden opgevolgd. Ze kunnen maandelijks plaatsvinden voor de operationele opvolging en elk kwartaal voor meer strategische beslissingen.
Een methode zoals de Balanced Scorecard kan de onderneming helpen om technische indicatoren met vier aanvullende dimensies te verbinden: financiële resultaten, gebruikerstevredenheid, efficiëntie van interne processen en het leer- en ontwikkelingsvermogen.
Een cyclus van continue verbetering invoeren
Elke prestatiebeoordeling moet het volgende actieplan voeden. Een stijging van het aantal incidenten kan leiden tot een oorzaakanalyse, de vervanging van apparatuur of een herziening van een procedure. Overgedimensioneerde cloudcapaciteit kan aanleiding geven tot een optimalisatie van middelen en kosten.
Prestatiebeheer maakt het eveneens mogelijk om te controleren of investeringen de verwachte effecten opleveren. Na een migratie kunnen bijvoorbeeld de responstijden, beschikbaarheid, exploitatiekosten en gebruikerstevredenheid met de eerdere situatie worden vergeleken.
Deze cyclus maakt van het informatiesysteem een meetbare en evolutieve omgeving, in plaats van een verzameling technologieën die afzonderlijk worden beheerd.
Wat een IT-outsourcingpartner moet bieden
Een dienstverlener mag niet alleen ingrijpen wanneer zich een incident voordoet. Hij moet de onderneming helpen haar informatiesysteem te begrijpen, risico’s te voorspellen en beslissingen te nemen op basis van betrouwbare gegevens.
De opdracht kan beginnen met een initiële audit om een referentiesituatie vast te leggen. De aanbevelingen worden vervolgens geïntegreerd in een roadmap en opgevolgd binnen de IT-outsourcingovereenkomst.
De dienstverlener moet regelmatig rapporteren, minimaal maandelijks, en waarschuwingen geven wanneer een kritieke indicator de vastgelegde drempel overschrijdt. De rapportering moet begrijpelijk, transparant en afgestemd zijn op de verschillende gesprekspartners.
Hij moet de onderneming ook adviseren bij investeringsbeslissingen: moet een server worden vervangen, moet de capaciteit worden verhoogd, is een migratie naar de cloud nodig, moet een back-up worden versterkt of een applicatie worden gemoderniseerd? Deze aanbevelingen moeten gebaseerd zijn op de bedrijfsbehoeften, risico’s en totale kosten, en niet uitsluitend op technische overwegingen.
Ten slotte vereist prestatiebeheer een transversale expertise. De prestaties van een applicatie kunnen afhankelijk zijn van het netwerk, de database, hosting of een beveiligingsconfiguratie. Een dienstverlener die op al deze gebieden kan ingrijpen, biedt een coherenter overzicht en beperkt het doorschuiven van verantwoordelijkheden tussen verschillende partijen.
ALL4IT: van audit tot continue sturing van uw informatiesysteem
ALL4IT combineert zijn expertise op het gebied van IT-outsourcing, systemen, infrastructuur, databases, hosting en cloud en cybersecurity om de globale prestaties van het informatiesysteem te beoordelen.
De samenwerking kan starten met een analyse van de bestaande omgeving: architectuur, apparatuur, applicaties, beveiliging, processen en kosten. De vaststellingen worden vervolgens vertaald naar geprioriteerde aanbevelingen en indicatoren waarmee de vooruitgang kan worden opgevolgd.
Binnen een continue IT-outsourcingovereenkomst maken dashboards en stuurgroepen het mogelijk om de beschikbaarheid van diensten, de evolutie van incidenten, de capaciteit van de infrastructuur, beveiligingsrisico’s en de voortgang van acties te controleren. Zo behoudt de onderneming een duidelijk overzicht van haar informatiesysteem en kan ze anticiperen op toekomstige behoeften in plaats van alleen op problemen te reageren.
Dankzij een aanpak die zowel prestaties als beveiliging en conformiteit omvat, helpt ALL4IT directies en IT-afdelingen om van het informatiesysteem een duurzame hefboom voor continuïteit, efficiëntie en groei te maken.
Van IT-prestaties een continue aanpak maken
Een IT-audit is essentieel om de werkelijke toestand van een informatiesysteem te begrijpen, maar de waarde ervan blijft beperkt wanneer het om een eenmalige actie gaat. Technologieën, bedreigingen en bedrijfsbehoeften evolueren voortdurend. De diagnose moet daarom worden aangevuld met indicatoren, duidelijk omschreven verantwoordelijkheden en regelmatige opvolg momenten.
Audit en prestatiebeheer maken het mogelijk om over te stappen van ondergane IT naar een gecontroleerd beheer van het informatiesysteem. De onderneming kan onderbrekingen verminderen, haar kosten beter beheersen, investeringen prioriteren en de beveiliging van haar gegevens versterken.
Wilt u een objectief beeld krijgen van uw informatiesysteem en een duurzame opvolging van de prestaties invoeren? Neem contact op met ALL4IT om uw behoeften met een expert te bespreken en een aanpak te bepalen die bij uw omgeving past.