Autorisatieframework: maak autorisatiemanagement een verantwoordelijkheid van de hele organisatie

Autorisatiemanagement klinkt al snel als iets van IT. Rollen, rechten, permissies, applicaties, matrices. Toch zit de echte uitdaging meestal niet in de techniek, maar in de organisatie eromheen. Want wie is eigenaar? Wie toetst of rechten nog kloppen? Wat gebeurt er als functies wijzigen, nieuwe applicaties worden toegevoegd of stagiaires toegang nodig hebben? Zonder heldere aanpak wordt autorisatiemanagement een terugkerend reparatieproject. Met het autorisatieframework van IT-Value ontstaat juist grip, samenhang en ruimte om door te groeien. Want autorisatiemanagement moet niet voelen als iets wat de business beperkt. Het moet juist iets opleveren. En hoe je dat aanpakt? Dat lees je in dit artikel.  

Autorisatiemanagement is breder dan rechten uitdelen

Wie autorisatiemanagement alleen ziet als het inrichten van rollen en rechten, mist een groot deel van het verhaal. Volgens Frank van den Heuvel, Business Consultant bij IT-Value, raakt het onderwerp veel meer onderdelen van de organisatie. “Als we kijken naar autorisatiemanagement, dan is dat een onderwerp met veel verschillende invalshoeken. Het heeft zoveel tentakels die heel ver reiken”, zegt Frank. 

Die tentakels lopen door naar processen, beleid, wet- en regelgeving, applicatie-eigenaarschap, functioneel beheer, HR en de business. Juist daarom ontwikkelde IT-Value een autorisatiemodel en autorisatieframework die verder kijken dan tooling alleen. 

“Het autorisatiemodel geeft inzicht in de samenhang. Het framework geeft een beeld van hoe je de verschillende behoeften gaat inrichten. Welke applicaties heb je nodig? Welke tooling? Welke middelen? En als er een wijziging is, hoe vertaal je die dan naar het framework?” Daar zit volgens Frank de kracht. Niet één applicatie beetpakken, een matrix maken en weer door. Maar autorisatiemanagement integraal benaderen, zodat organisaties niet telkens opnieuw hoeven te beginnen zodra er iets verandert.

Autorisatiemanagement vraagt om meer dan techniek

In veel organisaties blijft autorisatiemanagement toch hangen bij IT, omdat niemand anders het graag naar zich toetrekt. Frank: “We zeggen altijd: het is geen technisch feestje. Alleen wordt het alsnog regelmatig wel een technisch feestje, want de meesten blijven er liever van weg. En als het eenmaal in die hoek ligt, dan laat men het daar liever liggen.” 

Dat is waar het misgaat. Want autorisaties raken niet alleen de IT-afdeling. Een applicatie-eigenaar is verantwoordelijk voor het gebruik van applicaties en de autorisatierollen die daarbij horen. En die applicatie-eigenaren zitten vaak in de business. 

“Dan wordt de business ineens betrokken en krijgen we een heel andere dynamiek. Zij worden er eigenlijk door wet- en regelgeving ingezogen. Dan zullen ze toch moeten weten wat hun rol exact is.” 

Het autorisatieframework helpt om die rollen, verantwoordelijkheden en afhankelijkheden zichtbaar te maken. Het brengt het gesprek weg van techniek en terug naar de vraag waar het werkelijk om draait: hoe organiseer je toegang op een manier die veilig, beheersbaar en werkbaar blijft?

De grootste misvatting: een matrix is genoeg

Een veelvoorkomende reflex is om te starten met een autorisatiematrix. Zo’n matrix kan nuttig zijn, maar is volgens Frank geen eindpunt. “De misvatting is dat je met een autorisatiematrix klaar bent. Maar dat is eigenlijk alleen maar de status quo. De huidige status”, vertelt Frank.  

Een matrix laat zien hoe rechten op dat moment zijn ingericht. Maar de organisatie staat niet stil. Er komen nieuwe medewerkers, nieuwe functies, nieuwe afdelingen, nieuwe applicaties en nieuwe uitzonderingen. Als niemand verantwoordelijk is voor het onderhouden van die inrichting, is de matrix snel verouderd. “Als je niet zorgt dat alle wijzigingen betrouwbaar blijven, dan zit je over een half jaar weer aan dezelfde tafel om het opnieuw op te bouwen.” 

Daarom is eigenaarschap zo belangrijk. Wie beheert de inrichting? Wie toetst periodiek of rechten nog kloppen? Waar worden wijzigingen vastgelegd? En hoe zorg je dat nieuwe permissies, applicaties of functies hun weg vinden naar het autorisatiemodel? “Daarvoor heb je dus eigenaarschap nodig. Als je dat eenmaal goed hebt ingericht, dan zullen nieuwe permissies, nieuwe applicaties, wijzigingen in functies, nieuwe functies en nieuwe afdelingen een weg moeten vinden naar die matrix. Anders is het niet sluitend.”

Compliance volgt de business, niet andersom

Autorisatiemanagement wordt vaak gekoppeld aan wet- en regelgeving. Dat is op zich niet onterecht, maar Frank licht toe dat compliance niet het enige vertrekpunt moet zijn. Het framework van IT-Value is juist ontwikkeld vanuit de behoefte van de business. 

“Wij hebben dat framework opgesteld, niet om alleen aan wet- en regelgeving te voldoen, maar juist om de business te dienen. En daarin is compliance geborgd. Het mes snijdt aan meerdere kanten.”  

Die invalshoek verandert het gesprek. Autorisatiemanagement wordt dan geen verplicht nummer, maar een manier om processen slimmer, toegankelijker en betrouwbaarder te maken. “Het brengt je niet alleen restrictie op de vrijheid die je nu al hebt. Het brengt je juist meer flexibiliteit, waarmee je ook in control blijft.” 

Denk aan medewerkers die tijdelijk extra rechten nodig hebben. Of aan stagiaires en externen die in systemen vaak niet netjes passen binnen bestaande functiestructuren, maar wel toegang nodig hebben om hun werk te doen. Zonder goede inrichting ontstaan omwegen, losse afspraken en uitzonderingen buiten beeld. Met een helder framework kun je die uitzonderingen juist faciliteren, zonder de controle kwijt te raken. “Je gaat iets faciliteren wat je eerder niet had. Het brengt je echt iets. En in de slipstream neem je meteen je compliance mee. Dat is eigenlijk de grootste winst van alles.” 

Elke organisatie is uniek, maar de problemen lijken vaak op elkaar

Frank: “Tijdens gesprekken met klanten zie ik vaak herkenning ontstaan. Organisaties denken soms dat hun situatie uitzonderlijk is. Tot blijkt dat vergelijkbare vraagstukken ook elders spelen. Elke organisatie is uniek, maar ze hebben wel vaak dezelfde problemen.” 

Een voorbeeld is de omgang met stagiaires. In veel organisaties worden zij administratief op een bepaalde manier opgevoerd, terwijl zij in de praktijk wel rechten nodig hebben om hun werk te kunnen doen. Hetzelfde geldt voor externen, tijdelijke rollen of afwijkende functies. 

“Dat is zo’n bekend scenario. In elke organisatie heb je stagiaires. Dat is een scenario waar we al vaker mee gewerkt hebben en daar hebben we een oplossing voor die past”, aldus Frank.  

De waarde van het framework zit dan niet alleen in het model zelf, maar ook in de ervaring met dit soort terugkerende scenario’s. IT-Value hoeft niet telkens vanaf nul te beginnen, maar kan standaardvraagstukken vertalen naar een passende inrichting voor de specifieke klant.

Direct meer zelfredzaamheid

Een goed ingericht autorisatieframework levert niet alleen grip op voor IT en management. Ook medewerkers merken het verschil. Frank ziet vooral winst in zelfredzaamheid, duidelijkheid en tijdsbesparing. “Het eerste effect is dat iedereen eigenlijk ontzorgd wordt. Je merkt dat de zelfredzaamheid er is en het gaat heel veel tijd schelen aan de kant van functioneel applicatiebeheer.” 

Het framework maakt het mogelijk om aan de voorkant eenduidigheid te bieden. Medewerkers krijgen een omgeving waarin zij weten waar ze moeten zijn en hoe ze toegang kunnen aanvragen. Aan de achterkant kan de organisatie vervolgens gefaseerd verder automatiseren. “Voor de medewerker geef je al direct die vrijheid en flexibiliteit die ze nodig hebben. En je geeft ook meteen het inzicht dat je verder kunt gaan automatiseren.” 

Dat voorkomt dat organisaties jarenlang op twee manieren blijven werken. Eerst oud en nieuw naast elkaar, daarna alsnog corrigeren, opnieuw uitleggen en opnieuw inrichten. Door de nieuwe werkwijze in één keer duidelijk neer te zetten en daarna stapsgewijs verder te automatiseren, ontstaat sneller rust.

Blijvend beheer maakt het verschil

De waarde van autorisatiemanagement staat of valt met onderhoud. Frank licht toe: “Als eigenaarschap niet goed is belegd of periodieke toetsing onvoldoende serieus wordt genomen, ontstaat vervuiling. Dan nemen incidenten toe en komen dezelfde problemen terug.” 

Die vervuiling ontstaat bijvoorbeeld door wijzigingen die niet consequent worden doorgevoerd. Een functie verandert, een nieuwe afdeling wordt aangemaakt of een applicatie krijgt andere rechten, maar autorisatiemanagement wordt daar niet op tijd in meegenomen. “Dan zie je op een gegeven moment weer een toename in incidenten. Waarom doet hij dit niet? Omdat er een verkeerde opvoer is, of omdat er ineens een andere functie is die we niet kennen”, vervolgt Frank.  

Daarom kijkt het framework niet alleen naar de autorisaties zelf, maar ook naar omliggende factoren. Hoe wordt een nieuwe functie aangemaakt? Welke route volgt een nieuwe organisatie-eenheid? Waar raakt zo’n wijziging autorisatiemanagement? Door dat soort elementen mee te nemen, blijft de inrichting actueel.

Autorisatiemanagement brengt iets naar de business

De kernboodschap is helder: autorisatiemanagement moet niet voelen als iets wat de business beperkt. Het moet juist iets opleveren. 

“En dat kan ook, autorisatiemanagement kan écht iets brengen voor de business en is daarmee een kans. Het grote voordeel is dat organisaties dynamischer kunnen worden, in plaats van dat ze worden ingeperkt omdat wet- en regelgeving dit vraagt.” 

Dat vraagt wel om een andere manier van kijken. Niet starten bij techniek, maar bij de organisatie. Niet alleen voldoen aan wet- en regelgeving, maar tegelijkertijd de business beter bedienen. Niet alleen rechten beperken, maar toegang slimmer faciliteren. 

Daarmee wordt autorisatiemanagement geen rem op de organisatie, maar een fundament voor wendbaarheid. Wie weet wie waarvoor verantwoordelijk is, wie rechten mag aanvragen, wie ze moet goedkeuren en hoe wijzigingen worden geborgd, kan sneller bewegen zonder de controle te verliezen. 

“Het maakt de innovatie wendbaarder. Het maakt je dynamischer en flexibeler. Het geeft je zóveel meer groeikracht als je dit gaat beetpakken”, besluit Frank.