IBP-tooling aanschaffen: neem eerst de checklist door

Uit de monitor IBP 2020 van Kennisnet blijkt dat scholen grote stappen hebben gezet in het opstellen van een privacybeleid, het aanstellen van een FG, het afsluiten van verwerkersovereenkomsten en de beveiliging van persoonsgegevens. Een belangrijk aandachtspunt was de continue bewustwording binnen de hele schoolorganisatie. Ook blijkt dat de implementatie van informatiebeveiliging en privacy een omvangrijke klus is voor scholen. Er zijn partijen op de markt die een IBP-tooling aanbieden als oplossing, maar dat klopt niet helemaal. Een IBP-tooling is slechts een heel klein deel van de implementatie van de AVG en voor de aanschaf van een IBP-tooling moet een school in de praktijk een flink bedrag betalen. We krijgen van scholen de vraag wat de meerwaarde is van een IBP-tooling en hebben daarom een checklist samengesteld die scholen kunnen gebruiken om zelf een afweging te kunnen maken.

Voorbereiding is het halve werk

Toolings kunnen soms een probleem worden in plaats van een oplossing. Er zijn genoeg voorbeelden van organisaties die dure toolings hebben aangeschaft om operationele processen opnieuw in te richten. Echter bleek achteraf dat er niet goed nagedacht was over hoe er gewerkt moest worden met de tooling en hoe de tooling de processen precies zou ondersteunen. Elke tooling vereist veel inhoudelijke expertise om ermee te kunnen werken. Er moet niet alleen rekening gehouden worden met de kosten, maar er moet ook rekening gehouden worden met de tijd en resources die vrijgemaakt moeten worden om medewerkers met de nieuwe tooling te laten werken. Een privacy tooling is slechts een hulpmiddel en geen borgingsproduct.

Punt 1: draagvlak creëren

Draagvlak is een belangrijke voorwaarde voor het gebruik van een nieuw systeem. Als leidinggevende of als beleidsmedewerker, moet u ervoor zorgen dat de beslissing om een IBP-tooling aan te schaffen, onderschreven wordt door de organisatie. Als mensen in een vroeg stadium niet worden betrokken bij een verandering, bieden ze al snel weerstand. Geef mensen de gelegenheid om mee te denken en mee te beslissen.

0 Is er draagvlak voor de aanschaf van een IBP-tooling (ICT, G(MR) andere medewerkers)?

0 Wie gaat u betrekken bij dit project (ICT, (G)MR andere medewerkers)?

Punt 2: meerwaarde IBP-tooling bepalen

Een IBP-tooling bestaat vaak uit een gevulde kennisbank, een verwerkingsregister, een incidentenmodule, enz. Dit zijn eigenlijk zaken die veel scholen al voor het grootste gedeelte al hebben geregeld of deels opgepakt. Wat is dan de meerwaarde van een IBP-tooling voor uw school? Om deze vraag goed te kunnen beantwoorden, is het belangrijk om een globaal overzicht te maken van de implementatie van de AVG tot nu toe op uw school. De belangrijke vraag die hierbij gesteld moet worden is of er binnen de organisatie behoefte is om alles weer opnieuw in te richten. Nut en noodzaak: het afwegen van kosten en baten. Daarbij zijn de volgende onderwerpen zoals beleidsdocumenten, beschikbare uren, kennis en kostenbesparing.

0 Heeft de organisatie al beleidsdocumenten aangeschaft en in gebruik?

0 Is er onvrede over de huidige beleidsdocumenten?

0 Zijn er twijfels over de opslag en bescherming van de beleidsdocumenten die uw organisatie nu gebruikt?

0 Is er behoefte om alles opnieuw in te richten?

0 Is het noodzakelijk om aan de slag te gaan met nieuwe beleidsdocumenten voor de nieuwe IBP-tooling?

0 Hoeveel uren worden beschikbaar gesteld voor het toetsen/ het beheer/ update/ actueel houden van de nieuwe beleidsdocumenten die aangeschaft moeten worden om de IBP-tooling te kunnen gebruiken?

0 Hoeveel uren worden beschikbaar gesteld voor het toetsen/ het beheer/ update/ actueel houden van de IBP-tooling?

0 Is er kennis aanwezig binnen de organisatie om uit de voeten te kunnen met de IBP-tooling?

0 Hoeveel tijd heeft de (G)MR nodig om advies uit te brengen over de aanschaf van een IBP-tooling?

0 Levert de aanschaf van een IBP-tooling een kostenbesparing op ten opzichte van de huidige werkwijze?

Punt 3: Kosten

De aanschafkosten van een IBP-tooling kunnen flink oplopen. Voor een organisatie van ongeveer 1000 betrokkenen (medewerkers en leerlingen) betaalt een school al gauw ongeveer € 1.800,- per jaar excl. btw. En daar komen nog de kosten van de implementatiecursus van circa € 700,- per deelnemer bij. Met de aanschaf van een IBP-tooling bent u er nog niet. De medewerkers die aan de slag moeten met de IBP-tooling moeten ook extra uren krijgen om de tooling te beheren en actueel te houden.

0 Is er een overzicht gemaakt van de totale aanschafkosten van de IBP-tooling?

0 Moet er betaald worden voor wijzigingen?

0 Moet er betaald worden voor implementatiekosten?

0 Hoeveel deelnemers gaan de implementatiecursus volgen?

0 Hoeveel uren wordt beschikbaar gesteld voor de medewerkers die met de IBP-tooling gaan werken?

0 Hoeveel budget wordt beschikbaar gesteld voor de medewerkers die met de IBP-tooling gaan werken?

0 Voor hoeveel jaar zal er een abonnement aangeschaft worden?

0 Wat kost een DPIA voor de IBP-tooling?

0 Is er daadwerkelijk sprake van tijdsbesparing?

Punt 4: Beheersbaarheid van de IBP-tooling

Bij veel leveranciers lijken de mogelijkheden eindeloos. Hoe interessant al die mogelijkheden ook lijken, is het toch verstandig om na te gaan of de tooling beheersbaar is. Het succes van een nieuwe tooling hangt ook af van hoe gemakkelijk die te implementeren en te gebruiken is. Sommige toolings bieden zoveel functionaliteiten en wizards, dat men door de bomen het bos niet meer kan zien. Een gevulde kennisbank lijkt interessant, maar moet wel eerst goed doorgenomen worden om een goede keuze te maken die past bij de school. Dit kan tijdrovend zijn. Houd ook rekening met de volgende zaken:

0 Hoe vaak worden er back-ups gemaakt?

0 Is er gedacht aan autorisatie?

0 Is er gedacht aan authenticatie (waaronder meerfactor authenticatie)?

0 Hoe is de beveiliging van de IBP-tooling geregeld?

0 Wat is de juridische waarde van de beleidsdocumenten die zijn opgenomen in de IBP-tooling?

0 Wie draagt het risico en de rekening van het gebruik van de beleidsdocumenten die zijn opgenomen in de IBP-tooling?

0 Hoe wordt er omgegaan met de installatie van periodieke updates. Hoe vaak en hoe snel wordt die geïnstalleerd? Zijn er kosten verbonden aan updates?

Beslissing

Een IBP-tooling kan alleen succesvol zijn, wanneer de organisatie écht klaar voor is. Dus genoeg draagvlak, voldoende budget, uren en kennis. Nut en noodzaak moet helder geformuleerd worden. Het geld kan maar één keer uitgegeven worden.

Meer informatie?

Bent u op zoek naar een proactieve FG voor uw school? Onze FG’s werken alleen in het onderwijs en zijn praktisch en oplossingsgericht. Neem vrijblijvend contact met ons op voor de mogelijkheden.