Het krimpende venster: waarom je jaarlijkse risicobeoordeling niet meer genoeg is
Veertig pagina’s, elke clausule gedekt, twee weken voor de audit afgetekend. De managementreview die ik beoordeelde was op alle formele punten in orde. Toen ik vroeg wanneer de laatste buitencyclische review was uitgevoerd, werd het stil in de kamer. Die was er nooit geweest. Er was geen mechanisme om er een in gang te zetten.
Dat is de situatie in de meeste gecertificeerde organisaties, en tot voor kort maakte het weinig uit. De jaarlijkse cyclus was snel genoeg voor een dreigingsomgeving die langzaam veranderde. AI-versnelde dreigingen hebben die match verbroken.
Waarom AI-snelheidsdreigingen een governancerespons vereisen, begint bij hoe vaak, en op welke grond, de organisatie haar positie daadwerkelijk herziet. Een responsieve reviewcadans is een ritme van herziening dat is gekoppeld aan veranderingen in de dreigingsomgeving, met een korte basiscyclus en vooraf vastgelegde triggers voor herziening daartussenin.
De aanname binnen de jaarlijkse cyclus
om een besluit te rechtvaardigen. Voor het grootste deel van de geschiedenis van deze normen was die aanname redelijk. Dreigingen kwamen op, werden geanalyseerd en aangepakt binnen een cyclus die de kalender comfortabel omvatte.
Wanneer exploitatievensters krimpen van weken naar dagen, keert de aanname om. Nu gebeuren de meest ingrijpende veranderingen in de risico-omgeving tussen reviews, niet erop. De jaarlijkse review kijkt altijd achterom naar een landschap dat al is verschoven. Het bevestigt besluiten over een wereld die niet meer bestaat.
Het probleem is niet dat organisaties in totaal te weinig herzien. Het is dat de review plaatsvindt op een schema dat is losgekoppeld van datgene wat het zou moeten volgen. Een terugkijkend ritueel kan een snel bewegende omgeving niet sturen.
Wat de norm werkelijk zegt over frequentie
Hier is het deel dat mensen verrast. 27001:2022, cl. 9.3 schrijft geen jaarlijkse managementreview voor. Het vereist dat het topmanagement het managementsysteem op geplande momenten herziet. Het vereist ook herziening wanneer zich significante wijzigingen voordoen. Het jaarlijkse interval is een conventie, geen eis. Organisaties kozen het, en vergaten vervolgens dat ze het hadden gekozen.
42001:2023, cl. 9.3 draagt dezelfde logica voor AI-managementsystemen. De zinsnede die in beide telt, is “indien nodig”. Noodzaak, niet de kalender, hoort de review te sturen. In een AI-versnelde omgeving komt noodzaak vaker dan eens per jaar, en de norm staat al toe, sterker nog verwacht, dat de organisatie dienovereenkomstig reageert.
Een responsievere cadans is dus geen afwijking van de norm. Het is een nauwkeuriger lezing van wat de norm altijd al toestond.
Hoe een responsieve cadans eruitziet
In de praktijk betekent dit twee dingen die samenwerken. Een korter basisinterval, en gedefinieerde triggers voor actie tussen intervallen.
Een kwartaalbasis houdt de formele cyclus dicht genoeg bij het tempo van verandering dat de organisatie zelden naar een verouderd beeld kijkt. Dat alleen al is een aanzienlijke verbetering ten opzichte van jaarlijks. Maar het basisinterval is niet de echte vernieuwing. De triggers zijn dat.
Een trigger is een gedefinieerde voorwaarde die een buitencyclische review rechtvaardigt zonder dat iemand er op het moment zelf voor hoeft te pleiten. Een grote verschuiving in het dreigingslandschap is een trigger. Een significant beveiligingsincident is een trigger. De inzet van een nieuw AI-systeem in een kritiek proces is een trigger. Een materiële regelgevingswijziging is een trigger. Wanneer een hiervan zich voordoet, vindt de review plaats, en de vraag of het “de moeite van het bijeenroepen waard is” is al beantwoord omdat de organisatie het vooraf besloot.
De waarde van vooraf gedefinieerde triggers is dat ze de aarzeling wegnemen. Het moeilijkste deel van een buitencyclische review is niet het uitvoeren ervan. Het is het besluit om hem op te roepen, want op het moment zelf is er altijd een reden om te wachten op de volgende geplande datum. Triggers halen dat besluit van tafel.
Van ritueel naar instrument
De verschuiving hier is van review-als-bewijs naar review-als-sturing. Een jaarlijkse review die wordt opgesteld om een auditor tevreden te stellen, legt vast dat er iets is gebeurd. Een kwartaalreview met gedefinieerde triggers is een instrument dat de organisatie gebruikt om afgestemd te blijven op een bewegende omgeving. De clausules zijn dezelfde. Wat verandert is wat de organisatie met de review doet.
Dit is het praktische uiteinde van dezelfde draad die loopt door wat 42001 vereist in een adversariale AI-context en waarom AI-snelheidsdreigingen om te beginnen een governancerespons vereisen. De dreiging beweegt sneller, de norm staat al een snellere respons toe, en het enige wat in de meeste organisaties ontbreekt is het bewuste ontwerp van de cadans en de triggers.
Loopt jouw managementreview eens per jaar en is er geen mechanisme om een buitencyclische review in gang te zetten, dan is dat het best te dichten gat in je governancestructuur. iQomply helpt organisaties de managementreview om te vormen tot een instrument dat stuurt, inclusief het ontwerp van cadans en triggers dat 9.3 al toelaat.
Veelgestelde vragen
Nee. 27001:2022, cl. 9.3 vereist herziening op geplande momenten en wanneer zich significante wijzigingen voordoen. Het jaarlijkse interval is een breed toegepaste conventie, geen eis van de norm. Organisaties zijn vrij om een frequentere basiscadans te kiezen, en de norm verwacht herziening wanneer omstandigheden dat noodzakelijk maken.
Een trigger is een vooraf gedefinieerde voorwaarde die een review buiten het normale schema rechtvaardigt. Voorbeelden zijn een grote verandering in het dreigingslandschap, een significant incident, de inzet van een nieuw AI-systeem in een kritiek proces, of een materiële regelgevingswijziging. Triggers vooraf definiëren neemt de aarzeling weg om op het moment zelf een review bijeen te roepen.
Een kwartaalbasis is een substantiële verbetering ten opzichte van jaarlijks voor snel bewegende omgevingen, maar het basisinterval alleen is niet het punt. De combinatie van een kortere basiscadans en gedefinieerde triggers voor buitencyclische actie houdt de review afgestemd op het tempo van verandering. De triggers tellen zwaarder dan het exacte interval.
Niet noodzakelijk. Het doel is afstemming, geen volume. Een gerichte kwartaalreview plus het vermogen om te reageren wanneer een trigger afgaat, is effectiever dan één uitputtende jaarlijkse review die al verouderd is tegen de tijd dat hij is afgetekend. Het werk verschuift naar het moment waarop het er werkelijk toe doet.
