Risicomodel informatiebeheer
Concept versie 0.9
1/24
Beheer procesinformatie op maat: model voor
risicowaardering bij procesinrichting
Risicomodel informatiebeheer
Concept versie 0.9
2/24
Inhoudsopgave
Inhoudsopgave...................................................................................................................... 2
1. Inleiding............................................................................................................................. 3
2. Vragenlijst ......................................................................................................................... 5
1. Procestypering en -waardering: classificatie van het proces....................................... 6
2. Procescontext: wet- en regelgeving ..........................................................................10
3. Procesverloop...........................................................................................................10
4. Procesinformatie: document- en workflow ...............................................................12
5. Risicoklasse: uitkomst ...............................................................................................13
3. Toelichting........................................................................................................................14
Stappen in de vragenlijst...............................................................................................14
1. Proceswaardering .................................................................................................14
2. Procescontext: wet- en regelgeving ......................................................................14
3. Procesverloop .......................................................................................................14
4. Procesinformatie...................................................................................................15
5. Risicoklasse ...........................................................................................................15
Definiëring kwaliteitscriteria en -niveaus ......................................................................15
Authenticiteit en integriteit.......................................................................................15
Bruikbaarheid ...........................................................................................................16
Vindbaarheid ............................................................................................................16
Raadpleegbaarheid ...................................................................................................16
Interpreteerbaarheid ................................................................................................16
Vereiste beheermaatregelen per kwaliteitscriterium ....................................................17
Authenticiteit en integriteit.......................................................................................17
Vindbaarheid ............................................................................................................18
Raadpleegbaarheid ...................................................................................................18
Interpreteerbaarheid ................................................................................................18
Vereiste beheermaatregelen per risicoklasse................................................................20
Authenticiteit en integriteit.......................................................................................20
Vindbaarheid ............................................................................................................20
Raadpleegbaarheid ...................................................................................................21
Interpreteerbaarheid ................................................................................................21
Bijlage 1: Metadata (bron: Richtlijn Metagegevens Overheidsinformatie) ............................22
Bijlage 2: Systeemfunctionaliteit (bron: NEN 2082) ..............................................................23
Bijlage 3: Lijst van procedures en instrumenten ...................................................................24
Risicomodel informatiebeheer
Concept versie 0.9
3/24
1. Inleiding
Om te waarborgen dat de informatie, die voortkomt uit de processen van de gemeente, van
voldoende kwaliteit is om die zelfde processen te kunnen ondersteunen en achteraf te reconstrueren
voor verantwoording, bewijs en beleidsevaluatie, is informatiebeheer nodig. Dat beheer (ook wel
records management geheten) bestaat uit maatregelen (processen, metadata en
systeemfunctionaliteit). Afhankelijk van de vereiste kwaliteit kan dat beheer zwaarder of lichter zijn.
Bij sommige processen, bijvoorbeeld het verlenen van omgevingsvergunningen, is het risico van
ontoereikende informatie groter dan bij, bijvoorbeeld, het verlenen van projectsubsidies aan
buurtorganisaties. Risicowaardering is een goede methode om te bepalen welk kwaliteitsniveau voor
welke procesinformatie vereist is. Op grond van de risicoklasse kan vervolgens een passend
beheerregime worden bepaald. Deze aanpak is ontleend aan de risicoklassering voor
informatiebeveiliging die binnen de gemeente Rotterdam ontwikkeld is.
Doel
Dit instrument helpt proceseigenaren aan de hand van een risico-analyse een beheerregime op maat
voor procesinformatie te kiezen bij het (her)inrichten hun processen. Uitgangspunt bij deze methode
is dat het proces leidend is: de aard van het proces bepaalt grotendeels de eisen die aan de
informatie gesteld worden.
Kwaliteitscriteria
De risicoclassificatie maakt, evenals die voor informatiebeveiliging, gebruik van kwaliteitscriteria voor
informatie. Deze zijn ontleend aan de internationale standaard voor records management, NEN ISO
154891:
1. Authenticiteit en integriteit
2. Vindbaarheid
3. Raadpleegbaarheid
4. Interpreteerbaarheid
In de toelichting op p. 13# worden deze kwaliteitscriteria omschreven en in niveau’s onderverdeeld.
Toepassing
Het bepalen van de risicoklasse en het informatiebeheerregime zijn onderdeel van de voorbereiding
van het (her)inrichten van een proces. Dit ligt op één lijn met het bepalen van de risicoklasse ten
behoeve van het bepalen van het niveau van informatiebeveiliging. Beide horen onderdeel te zijn van
de Project Start Architectuur en het bijbehorende toetsingsproces. Daarna volgt de inrichting van het
aspect informatiebeheer binnen een procesinrichting, waarvoor weer andere instrumenten nodig
zijn.
Voor wie
Het instrument is bedoeld voor lijnmanagers, informatie-architecten en procesontwerpers.
Hoe te gebruiken
De waardering verloopt in drie stappen:
1. Met behulp van de indicatoren in de vragenlijst het belang en de waarde van informatie in
een proces waarderen;
2. Die waardering vertalen in kwaliteitscriteria en vervolgens in een risicoklasse omzetten;
3. Op basis van de risicoklasse een informatiebeheerregime aanbevelen.
1 NEN-ISO 15489-1 (nl) Informatie en documentatie – Archiefbeheer (ISO 15489-1:2001, IDT) 10-11. het criterium
‘betrouwbaarheid’ is achterwege gelaten, omdat het betrekking heeft op de juiste creatie van informatie, en niet op het
beheer daarvan.
Risicomodel informatiebeheer
Concept versie 0.9
4/24
In de toelichting wordt de methode voor het bepalen van de kwaliteitscriteria en bijbehorende
beheerregimes uitgewerkt. Achtereenvolgens komen aan bod:
- Indicatoren in de vragenlijst
- Definiëring kwaliteitscriteria en -niveaus
- Vereiste beheermaatregelen per kwaliteitscriterium
- Vereiste beheermaatregelen per risicoklasse.
Concept versie 0.1
2. Vragenlijst
Aan de hand van deze vragenlijst wordt per proces een risicoklasse voor de daaruit voortkomende
informatie bepaald. Die risicoklasse kan op basis van eigenschappen van het proces gekoppeld
worden aan een beheerregime en uiteindelijk een beheeromgeving (combinatie van metadata,
systeemfunctionaliteit en procedures). In de vragenlijst wordt de procesinformatie vanuit vier
perspectieven gewaardeerd:
1. Proceswaardering: belang en type proces
2. Procescontext: relevante wet- en regelgeving
3. Procesverloop: betrokkenen, afhankelijkheden
4. Procesinformatie: documentflow
De vier factoren leiden tot stap 5 waarbij aan een proces een risicoklasse wordt gegeven. In figuur 1
is het beslismodel grafisch weergegeven.
Figuur 1
Legenda
Stap 1 Levert nuttige informatie op voor het beheerregime; alle kwaliteitscriteria worden in mindere of
meerdere mate behandeld (cf. infra). Voor informatiespecialisten is deze stap van belang om de
complexiteit van het proces te begrijpen.
Gerelateerd aan - kwaliteitscriteria: authenticiteit, integriteit, vindbaarheid, raadpleegbaarheid &
interpreteerbaarheid
- beheermaatregelen: systeemfunctionaliteit & metadata
Stap 2 Relatie tussen wet- en regelgeving en eisen aan proces (bijvoorbeeld i.v.m. voortgang en procedure) en
aan informatie (bijvoorbeeld type informatie die moet gecreëerd worden)
Gerelateerd aan - kwaliteitscriteria: authenticiteit en integriteit
1. Proceswaardering
Classificatie van proces
Types processen
2. Procescontext
Wet- en regelgeving
Algemeen & specifiek
3. Procesverloop
Spelers & rollen – gebruikers
4. Procesinformatie
Document- & workflow
Types & stadia
5. Uitkomst
Risicoklasse
Stap 1: identificatie van
proces (op basis van
eigenschappen/
Stap 2: identificatie
van regels: eisen aan
proces & informatie
Stap 3: identificatie van
spelers: eisen aan proces
& gebruik van informatie
Stap 4: identificatie van
informatiestromen: eisen
aan gebruik van informatie
Stap 5: combinatie van eisen van
vorige vier stappen: voorstel
i.v.m. beheer van proces &
Concept versie 0.1
- beheermaatregelen: systeemfunctionaliteit, metadata & procedures
Stap 3 Relatie tussen procesverloop en eisen aan proces (bijvoorbeeld wie zijn betrokkenen en hoe verloopt
dit) en aan informatie
Gerelateerd aan - kwaliteitscriteria: authenticiteit, integriteit, vindbaarheid, raadpleegbaarheid,
interpreteerbaarheid
- beheermaatregelen: systeemfunctionaliteit, metadata & procedures
Stap 4 Relatie tussen proces en eisen aan work- en documentflow (bijvoorbeeld wie bewaart, welke status
heeft informatie)
Gerelateerd aan - kwaliteitscriteria: (authenticiteit?), integriteit, vindbaarheid, raadpleegbaarheid,
interpreteerbaarheid
- beheermaatregelen: verantwoordelijkheden, systeemfunctionaliteit & metadata
Stap 5 Aanbeveling omtrent beheer van proces en informatie. Uitkomst geeft score aan op ieder
kwaliteitscriterium, en suggereert een beheeromgeving of beheeromgevingen indien van toepassing.
Gerelateerd aan - kwaliteitscriteria: alle
- beheermaatregelen: alle
1. Procestypering en -waardering: classificatie van het proces
1. Wat is de naam van het proces en welke organisatie(s) voer(t)/(en) het uit?
Naam (sub)proces:
Organisatie(s):
2. Welk type proces betreft het?
TYPE PROCES TYPE ACTIVITEIT WERKPROCES KRUIS AAN
Opstellen begroting
Opstellen jaarplan
Programmeren
Opstellen capaciteits/afdelingsplan
Doorvertalen/ bestuursakkoord Beleid vormen
Bijstellen begroting en programma’s
Auditen
sturend proces
Evalueren
Monitoren
Vul hier de naam van het proces in welke wordt gebruikt binnen de organisatie/vakeenheid.
Mocht het een ketenproces betreffen dat over meerdere afdelingen en/of vakeenheden loopt,
geef dan het onderdeel van het proces een naam dat u hier wilt gaan analyseren. Let wel,
processen zijn vaak op te delen in subprocessen of fasen die door geheel andere
organisatorische eenheden worden uitgevoerd.
De gemeentelijke model architectuur (GEMMA) kent een procesarchitectuur. In dit architectuur
plaatje zijn alle gemeentelijke processen gedefinieerd. Hieronder kunt u uit de tabel het
werkproces kiezen dat het meest overeenstemt met het te analyseren (sub)proces. Let wel, als
er meerdere opties mogelijk zijn betekent dit dat u terug moet naar vraag 1, om het te
behandelen subproces specifieker te maken.
Concept versie 0.1
Verantwoorden
Ontwikkelen regelingen en
verordeningen
Ontwikkelen
voorzieningen
Ontwikkelen producten en diensten
Opstellen bestemmingsplan
Bouwgrond ontwikkelen en inrichten
Ontwikkelen ruimte
Grond aankopen
Vragen beantwoorden Informeren
Voorlichten
Vergunningen en ontheffingen
Subsidies
Verzoeken
Aangiften
Publieke producten
verstrekken producten
en informatie
Inkomens- en maatschappelijke
ondersteuning
Repareren beheren en
onderhouden ruimte Onderhouden
Heffen Heffen
Verkopen handelsgoederen
Verhuren ruimten en goederen
Uitbaten gemeentelijke
voorzieningen
Exploiteren
Verkopen vastgoed
Toezicht houden
Opsporen
Handhaven
Sanctie opleggen
Meldingen
Klachten
Bezwaren
primair proces
Nazorg
Attenderen
ondersteunend
proces
Administreren
Concept versie 0.1
Adviseren
Documenteren & archiveren
Faciliteren
Betalen & innen
Inkopen & contracteren
Organiseren
3. Hoe zou u het proces beschrijven?
a. routineproces
b. creatief/beleidsproces?
4. Vul in tot welk(e) beleidsterrein(en)/-gebied(en) dit proces behoort.
BELEIDSTERREIN KRUIS AAN
Bestuur en organisatie
Financieel beheer
Personeel beheer
Beheer van eigendommen en werken
Beheer van benodigdheden en hulpmiddelen
Ruimtelijke ordening en volkshuisvesting
Burgerlijke stand en bevolking/GBA
Gezondheidszorg
Milieu
Openbare orde en veiligheid
Verkeer en vervoer
Economie
Arbeid
Welzijn en sociale zorg
Onderwijs
Cultuur
Recreatie en sport
5. Vul in hoe frequent (per jaar) dit proces ongeveer wordt uitgevoerd.
FREQUENTIE KRUIS AAN
1-10 X
11-100 X
Concept versie 0.1
101-1000 X
> 1000 X
6. Op welk vlak liggen de risico’s voor de gemeente en de burgers wanneer dit proces niet goed
wordt uitgevoerd en hoe hoog is dit risico? Geef punten van 1 (lage kans/kleine gevolgen) tot 10
(hoge kans/grote gevolgen) bij elk type risico. Neem hierbij als uitgangspunt de meest zware
variant van het proces, bijvoorbeeld bij evenementenvergunning kies voor Bavaria city racing in
plaats van kinderkerstkoor.
In deze vraag gaat het om het belang van het proces zelf, niet over het belang van goede
informatie voor het proces. Oftewel: wat gaat er mis in de gemeente als dit proces niet goed
uitgevoerd wordt?
BEDREIGINGEN/RISICO KANS (1-10) GEVOLG (1-10) KANS X GEV (1-100)
Politiek (het risico dat het bestuur
afgerekend wordt op foutieve
uitvoering/uitwerking proces)
Juridisch (het risico dat er rechtzaken
worden gestart wanneer proces niet goed
wordt uitgevoerd. Let wel op verschil
tussen het niet hebben van documentatie
(vraag 10) en het uitvoeren van het proces
Financieel (het risico dat het slecht
uitvoeren van een proces grote financiële
gevolgen heeft)
Schade aan gezondheid en/of levens (het
risico dat het slecht uitvoeren van het
proces schade aan gezondheid of levens
als gevolg kan hebben)
Materiële schade (het risico dat een
slechte uitvoering van een proces
materiele schade kan veroorzaken aan
objecten)
Reputatie (het risico dat een slechte
uitvoering van een proces reputatie en/of
imago schade van de dienst of gemeente
tot gevolg heeft)
Totaal
Concept versie 0.1
2. Procescontext: wet- en regelgeving
7. Zijn er in wet- en regelgeving (denk aan processpecifieke regels, privacywetgeving, subsidieregels,
algemene wet bestuursrecht) maatregelen opgenomen, die eisen stellen aan de kwaliteit van
informatie, bewaartermijnen, afhandeltermijnen, bewijswaarde?
EISEN T.A.V. JA/NEE WELKE WET/REGELING?
7.1 Langste bewaartermijnen > 7 jaar*
7.2 Afhandeltermijnen
7.3 Vormvereisten tbv bewijswaarde
7.4 Onderhevig aan controleregime
* raadpleeg hiervoor de wettelijke selectielijst voor gemeenten op:
http://www.gemeentearchief.rotterdam.nl/informatiebeheer/selectie
3. Procesverloop
8. Zijn er belangrijke fasen en subprocessen in dit proces te onderscheiden en zo ja, welke?
Mogelijk zijn er binnen één proces verschillen in de kwaliteitsniveau’s die aan informatie
gesteld worden. In dat geval moet voor elk subproces of voor elke procesfase vraag 9 tm 11
afzonderlijk worden beantwoord.
NR NAAM PROCESFASE APARTE WAARDERING NODIG J/N?
NR NAAM SUBPROCES
9. Wordt de informatie uit dit proces, tijdens of na afhandeling, geregeld gezocht en geraadpleegd
en/of hergebruikt in één van de onderstaande processen, door u of door andere (keten)partners?
a. Ja
b. Nee
Indien a.: vul in onderstaande tabel in welk(e) proces(sen).
TYPE ACTIVITEIT WERKPROCES KRUIS AAN
Opstellen begroting Programmeren
Opstellen jaarplan
Concept versie 0.1
Opstellen capaciteits/afdelingsplan
Doorvertalen/ bestuursakkoord Beleid vormen
Bijstellen begroting en programma’s
Auditen
Monitoren
Evalueren
Verantwoorden
Ontwikkelen regelingen en verordeningen Ontwikkelen
voorzieningen Ontwikkelen producten en diensten
Opstellen bestemmingsplan
Bouwgrond ontwikkelen en inrichten
Ontwikkelen
ruimte
Grond aankopen
Vragen beantwoorden Informeren
Voorlichten
Vergunningen en ontheffingen
Subsidies
Verzoeken
Aangiften
Publieke producten
verstrekken
producten en
informatie
Inkomens- en maatschappelijke ondersteuning
Repareren beheren en
onderhouden
ruimte
Onderhouden
Heffen Heffen
Verkopen handelsgoederen
Verhuren ruimten en goederen
Uitbaten gemeentelijke voorzieningen
Exploiteren
Verkopen vastgoed
Toezicht houden
Opsporen
Handhaven
Sanctie opleggen
Meldingen Nazorg
Klachten
Concept versie 0.1
Bezwaren
Attenderen
Administreren
Adviseren
Documenteren & archiveren
Faciliteren
Betalen & innen
Inkopen & contracteren
Organiseren
4. Procesinformatie: document- en workflow
10. Hoe groot is de schade ten aanzien van de uitvoering van dit proces als de informatie van slechte
kwaliteit is?
BEDREIGINGEN/TYPE RISICO KRUIS AAN
Proces is niet of zeer moeilijk uitvoerbaar
Proces is uitvoerbaar, maar niet efficient
Proces is zonder probleem uitvoerbaar
11. Hoe omvangrijk en complex is de informatie die uit uw proces voortkomt?
FACTOR 1-5 6-10 >10
Aantal documenten per zaak
Aantal document-soorten per zaak
Aantal noodzakelijke zoekcriteria per
zaak
Totaal
12.Gelden de ingevulde antwoorden bij vraag 9 tm 11 voor het hele proces, inclusief alle
subprocessen en/of procesfasen?
a. Ja -> u bent klaar met invullen.
b. Nee -> vul vraag 9 tm 11 in voor elk(e) subproces/procesfase.
Concept versie 0.1
5. Risicoklasse: uitkomst
Bepaling risicoklasse
AUTHENTICITEIT/-
INTEGRITEIT
VINDBAARHEID RAADPLEEGBAARHEID INTERPRETEER-
BAARHEID
RISICOKLASSE
Concept versie 0.1
3. Toelichting
Stappen in de vragenlijst
1. Proceswaardering
In deze stap wordt het proces (volgens terminologie van GEMMA) geïdentificeerd en het belang van
het proces zelf gewaardeerd.
Alle processen van een gemeente zijn te plaatsen in het gemeentelijk proceslandschap (GEMMA).
Een proces behoort tot één van de drie hoofdgroepen, namelijk sturende, primaire of
ondersteunende processen. De hoofdgroepen zijn verder onderverdeeld in clusters van
bedrijfsprocessen, die op hun beurt bestaan uit individuele bedrijfsprocessen.
1. Sturende processen
De processen die zorgen voor het vormen van de strategie, en het programmeren en
evalueren hiervan. Deze processen zijn door het voortbrengen van kaders en de doelen
vooral gericht op het aansturen van de primaire processen van de gemeente.
2. Primaire functies
Processen die gericht zijn op het door de organisatie leveren van toegevoegde waarde aan
haar omgeving. Het zijn processen waaraan een organisatie haar bestaansrecht ontleent.
Deze lopen van klant (aanvraag) en/of samenleving (maatschappelijke behoefte) tot
diezelfde klant (product) en/of samenleving (effect in de stad).
3. Ondersteunende processen
Processen die resultaten voortbrengen die onzichtbaar zijn voor de burger, maar essentiële
ondersteuning leveren voor het effectief kunnen uitvoeren van de primaire processen,
andere ondersteunende processen of de gehele organisatie.
2. Procescontext: wet- en regelgeving
Een tweede belangrijke waarderingsfactor is wet- en regelgeving: in welke mate leggen wetten en
regels eisen op aan een proces op het vlak van creatie, gebruik, distributie of opslag van informatie?
Deze wettelijke vereisten zijn teruggebracht tot vier soorten regels die invloed hebben op de
kwaliteit van de informatie: bewaartermijnen, afhandeltermijnen, vormvereisten ten behoeve van
bewijswaarde en controlevereisten.
3. Procesverloop
Het proces kan in één organisatie-eenheid uitgevoerd worden, maar wellicht worden diverse
onderdelen van het proces door verschillende afdelingen uitgevoerd, en kan het ook horizontaal en
verticaal door organisaties en bestuurslagen heen lopen. De complexiteit en het verloop van het
proces zijn elementen die bepalend zijn voor de kwaliteit van de procesinformatie. Hoe groter de
afstand tussen de creatie van de procesinformatie en de gebruiker, hoe hoger de eisen aan
interpreteerbaarheid van informatie zullen zijn. Direct betrokkenen bij de uitvoering van processen
hebben genoeg aan beperkte contextinformatie, omdat die in de hoofden zit. Gebruikers op afstand
(in tijd en plaats), zoals handhavers, accountants, juristen hebben dat voordeel niet. Voor hun moet
de context van de procesinformatie helder beschreven zijn om deze te kunnen interpreteren.
Concept versie 0.1
4. Procesinformatie
In deze stap wordt aan de hand van een risico-analyse nagegaan wat de waarde en het belang van de
informatie voor de uitvoering van het proces is. De omvang van een risico wordt bepaald door de
kans op de gebeurtenis en de schade die wordt veroorzaakt indien de gebeurtenis zich voordoet.
5. Risicoklasse
De uitkomsten van de bovenstaande stappen leiden tot het bepalen van een risicoklasse per proces
waarin de ‘waarde’ van informatie wordt bepaald, op basis van vier kwaliteitscriteria.
Definiëring kwaliteitscriteria en -niveaus
De risicoclassificatie records management maakt, evenals die voor informatiebeveiliging, gebruik van
kwaliteitscriteria voor informatie. Deze zijn ontleend aan de internationale standaard voor records
management, NEN ISO 154892:
1. Authenticiteit en integriteit
2. Vindbaarheid
3. Raadpleegbaarheid
4. Interpreteerbaarheid
Deze criteria zijn deels aanvullend op die van de informatiebeveiliging en deels overlappend.3 Het is
de bedoeling dat deze als één geheel gebruikt kunnen worden bij de inrichting van processen en
systemen. Raakvlakken met de criteria van informatiebeveiliging zijn in rood weergegeven.
Authenticiteit en integriteit
Van de informatie kan worden bewezen dat zij:
Authenticiteit
1. Is wat zij beweert te zijn;
2. Opgemaakt of verzonden is door de persoon waarvan de informatie beweert dat zij is
opgemaakt;
3. Opgemaakt of verzonden is op het tijdstip waarop de informatie beweert dat zij is
opgemaakt.
Integriteit
4. Volledig en ongewijzigd is.
Beide criteria zijn verenigd in het criterium ‘integriteit’ in de Handreiking Dataclassificatie. Vanuit het
perspectief van records management is het van belang dat zij onderscheiden worden.
Kwaliteitsniveaus:
1. Niet zeker. Het bedrijfsproces staat toe dat er geen garantie is dat de informatie integer en
authentiek is. Schending van de eisen heeft geen gevolgschade.
2. Beschermd. Een basisniveau van integriteits- en authenticiteitswaarborg is nodig. Het
bedrijfsproces staat toe dat niet 100% zeker is dat de informatie integer en authentiek is.
Inbreuk op de integriteit en authenticiteit kan enige indirecte schade toebrengen.
3. Hoog. Het bedrijfsproces dat gebruik maakt van deze informatie staat zeer weinig inbreuk
toe. Schending kan serieuze (indirecte) schade toebrengen.
2 NEN-ISO 15489-1 (nl) Informatie en documentatie – Archiefbeheer (ISO 15489-1:2001, IDT) 10-11. het criterium
‘betrouwbaarheid’ is achterwege gelaten, omdat het betrekking heeft op de juiste creatie van informatie, en niet op het
beheer daarvan. 3 P. Verhulst, Handreiking Dataclassificatie, 11-1-2011, ingebracht in Information Security Board.
Concept versie 0.1
4. Absoluut. Er is sluitend bewijs noodzakelijk dat de informatie is opgemaakt door de persoon
die het beweert te hebben opgemaakt op het tijdstip dat op de informatie is aangegeven en
dat de inhoud klopt met wat de informatie aangeeft. Inbreuk hierop kan zeer grote schade
toebrengen.
Bruikbaarheid
Van bruikbare informatie is de vindplaats bekend, kan worden teruggevonden, weergegeven en
geïnterpreteerd. Bruikbaarheid wordt onderverdeeld in:
Vindbaarheid
Informatie die niet vindbaar is, is voor een gebruiker niet toegankelijk. Informatie moet binnen
aanvaardbare tijd en tegen acceptabele inspanningen kunnen worden teruggevonden.
Kwaliteitsniveaus:
1. Mogelijk niet vindbaar. (Het is niet zeker dat informatie gevonden kan worden).
Informatie kan zonder gevolgen moeilijk vindbaar zijn. Schending van vindbaarheid heeft
geen noemenswaardige gevolgschade.
2. Vrijwel zeker vindbaar. (Het is zeker dat informatie zonodig met speciale (incidentele)
inspanning kan worden gevonden).
In een enkel geval mag informatie onvindbaar zijn. Schending van vindbaarheid kan enige
(in)directe gevolgschade teweeg brengen.
3. Absoluut vindbaar. (Informatie kan tijdig en op efficiënte wijze worden gevonden).
Informatie mag niet onvindbaar zijn. Schending van vindbaarheid kan serieuze (in)directe
schade toebrengen.
Raadpleegbaarheid
Aan informatie waarvan de vindplaats bekend is, maar die niet kan worden geraadpleegd, heb je
niets. Om informatie te kunnen raadplegen dienen systemen en software waarin de informatie zich
bevindt beschikbaar en toegankelijk te zijn en dienen bestandsformaten gelezen te kunnen worden.
Kwaliteitsniveaus:
1. Mogelijk niet raadpleegbaar. (Het is niet zeker dat informatie raadpleegbaar is. Ook niet door
daartoe bevoegde personen).
Informatie kan zonder gevolgen moeilijk raadpleegbaar zijn. Schending van
raadpleegbaarheid heeft geen noemenswaardige gevolgschade.
2. Vrijwel zeker raadpleegbaar. (Informatie is zonodig met speciale incidentele inspanning
raadpleegbaar).
In een enkel geval mag informatie niet raadpleegbaar zijn. Schending van raadpleegbaarheid
kan enige (in)directe gevolgschade teweeg brengen.
3. absoluut raadpleegbaar. (Informatie is te allen tijde raadpleegbaar door daartoe bevoegde
personen)
Informatie moet raadpleegbaar zijn. Schending van raadpleegbaarheid kan serieuze
(in)directe schade toebrengen.
Interpreteerbaarheid
Interpreteerbaarheid is een belangrijke randvoorwaarde voor het kunnen delen van informatie.
Zonder context is informatie alleen te begrijpen door de direct bij het proces betrokkenen, tijdens de
behandeling. Het is een van de voorwaarden voor interoperabiliteit binnen de overheid.
Ketenpartners, handhavers, accountants, auditors, onderzoekers en anderen die na afloop van het
Concept versie 0.1
proces informatie raadplegen, moeten deze kunnen begrijpen, ook zonder tussenkomst van de
oorspronkelijke behandelaren.
Kwaliteitsniveaus:
1. Voor direct betrokkenen. Direct betrokkenen tijdens de behandeling van het proces kunnen
de gebruikte termen en namen begrijpen. Context hoeft niet vastgelegd te worden, omdat
alle raadplegers tot de kring van ‘ingewijden’ behoren. Het heeft geen nadelige gevolgen
indien de informatie niet door buitenstaanders te begrijpen is.
2. Voor bredere kring binnen de organisatie. Informatie moet ook te begrijpen zijn door niet
direct betrokkenen binnen de organisatie, kort na de behandelfase. Context hoeft maar
beperkt te worden vastgelegd, omdat de doelgroep bekend is met het werkproces, maar niet
met alle gebruikte (vak)terminologie. Afwezigheid van contextinformatie kan enige
(in)directe schade veroorzaken.
3. Voor belanghebbenden buiten de organisatie en door de tijd heen. Informatie moet
begrijpbaar zijn voor gebruikers buiten de organisatie en na behandeling van de zaak
(handhavers, controllers, auditors, ketenpartners). Afwezigheid van contextinformatie kan
serieuze (in)directe schade veroorzaken.
4. Voor raadplegers op grote afstand in ruimte en tijd. Informatie moet begrijpbaar zijn voor
bijvoorbeeld burgers, onderzoekers en andere belanghebbenden, die ver van het proces dat
de informatie heeft voortgebracht staan. Dit vraagt om, boven de wettelijke eisen in 3, om
hoge kwaliteit van beschrijving en ordening. Afwezigheid van contextinformatie kan serieuze
(in)directe schade veroorzaken.
Vereiste beheermaatregelen per kwaliteitscriterium
In deze paragraaf worden de kwaliteitscriteria gekoppeld aan de vereiste beheermaatregelen op het
gebied van records management. Er worden drie typen beheermaatregelen onderscheiden, die
samen het records management beheerregime vormen:
1. Metadata;
Standaard: Richtlijn Metagegevens Overheidsinformatie
2. Procedures;
Standaarden: NEN 15489 en NEN 2082
3. Systeemfunctionaliteit;
Standaard: NEN 2082
Authenticiteit en integriteit
Voor het waarborgen van integriteit en authenticiteit zijn op de eerste plaats goede
beveiligingsmaatregelen nodig. Zie daarvoor de eerder genoemde Handreiking Data Classificatie.
Daarnaast zijn er een aantal specifieke records management beheermaatregelen nodig. Relaties
tussen componenten van een informatie-object moeten intact blijven, zodat duidelijk is dat het
informatieobject compleet is. Beheermaatregel: metadata die relatie aangeven. Bewijs dat
informatie na migratie of overdracht tussen systemen nog integer is. Beheermaatregel is checksum
of digitale handtekening. Authenticiteit vraagt daarnaast om een voorziening die de gebruiker in
staat stelt te verifiëren of de informatie die hij voor zich heeft, niet gemanipuleerd of vals is. Het
records management regime kan dat niet voor 100% uitsluiten, maar wel helpen om manipulatie te
voorkomen of zichtbaar te maken. Dit gebeurt door het, bij voorkeur automatisch, vastleggen van
metadata over het gebruik van informatie.
Beheermaatregel Toepassing voor authenticiteit en integriteit
Systeemfunctionaliteit Het systeem bevat een audit trail dat metadata vastlegt over
wie, wanneer, welke informatie of bijbehorende metadata
Concept versie 0.1
heeft gemuteerd of vernietigd.
Bij export en import tussen systemen wordt een checksum
gehanteerd.
Procedures In de procedures zijn afspraken opgenomen over wie, op
welke momenten in het beheerproces, mutaties mag
uitvoeren in de informatie en de metadata en hoe de
controle geregeld is.
Overdracht tussen systemen gebeurt aan de hand van een
overdrachtsprotocol.
Metadata Metadata, conform de Richtlijn Metagegevens
Overheidsinformatie: nrs. 2-10, 12-14, 19, 20
Vindbaarheid
Vindbaarheid vraagt om de juiste beschrijvende metadata, conventies voor het beschrijven
(semantiek) en handige zoekfunctionaliteit in het systeem.
Beheermaatregel Toepassing voor vindbaarheid
Systeemfunctionaliteit Handige zoekfunctionaliteit, velden voor beschrijvende
metadata in de databasestructuur.
Procedures Afspraken over semantiek, naamconventies, door wie en
wanneer.
Metadata Metadata, conform de Richtlijn Metagegevens
Overheidsinformatie
Raadpleegbaarheid
Raadpleegbaarheid onderscheidt zich van beschikbaarheid in de Handreiking Dataclassificatie.
Beschikbaarheid betreft de mate van downtime/uitval van het systeem. Raadpleegbaarheid gaat
over het kunnen representeren van digitale informatie op langere termijn. Daarvoor is het nodig
maatregelen te treffen ter voorkoming van veroudering van bestandsformaten, bijvoorbeeld door
gebruik van, dan wel tijdige migratie naar open, standaard bestandsformaten.
Beheermaatregel Toepassing voor raadpleegbaarheid
Systeemfunctionaliteit Digitale preserveringsfunctionaliteit
Procedures Afspraken voor monitoren van veroudering
bestandsformaten
Metadata Metadata, conform de Richtlijn Metagegevens
Overheidsinformatie
Interpreteerbaarheid
Informatie is pas te begrijpen, wanneer zij in context weergegeven wordt. Door aan gegevens
betekenisvolle kenmerken (metagegevens) toe te voegen ontstaat interpreteerbare informatie. De
metagegevens bevatten informatie over de relatie tot het bedrijfsproces of de transactie die het
heeft geproduceerd en over de relatie tussen de informatieobjecten die een opeenvolging van
activiteiten documenteren.
Beheermaatregel Toepassing voor interpreteerbaarheid
Systeemfunctionaliteit Functionaliteit voor vastleggen beschrijvende metadata in
Concept versie 0.1
de databasestructuur.
Procedures Afspraken over semantiek en naamconventies
Metadata Metadata, conform de Richtlijn Metagegevens
Overheidsinformatie
Concept versie 0.1
Vereiste beheermaatregelen per risicoklasse
Authenticiteit en integriteit
Niveau Metadata (Eisen Richtlijn: bijlage 1) Systeemfunctionaliteit (NEN 2082: bijlage 2) Procedures en instrumenten (bijlage 3)
1. Niet zeker Optioneel: 12.1 Geen eisen
2. Beschermd 2-7, 9, 12 6.1.1 6.1.2 6.2.1 6.2.2 6.3.1 6.3.2
6.6 6.7.1
1 2 3
3. Hoog Entiteit Record:
2-7, 9-10, 12-13, 19-20
Entiteit Actor:
2-4, 10, 12, 15
6.1.1 6.1.2 6.1.4 6.1.6 6.2.1 6.2.2
6.3.1 6.3.2 6.5.1 6.5.2 6.6 6.7.1
6.7.2 6.7.3 6.8.4
1 2 3 8 9 10
4. Absoluut Entiteit Record:
2-7, 9-10, 12-13, 19-20
Entiteit Actor:
2-8, 10, 12, 15
6.1.1 6.1.2 6.1.3 6.1.4 6.1.6 6.2.1
6.2.2 6.3.1 6.3.2 6.5.1 6.5.2 6.6
6.7.1 6.7.2 6.7.3 6.7.5 6.8.3 6.8.4
1 2 3 4 5 8 9
10 11
Vindbaarheid
Niveau Metadata (Eisen Richtlijn: bijlage 1) Systeemfunctionaliteit (NEN 2082: bijlage 2) Procedures en instrumenten (bijlage 3)
1. Mogelijk niet
vindbaar
Optioneel: 2, 4, 12.1, 15 Geen eisen
2. Vrijwel zeker
vindbaar
2, 4-5, 7, 10, 12.1, 15 6.1.1 6.1.2 6.2.1 6.2.2 6.3.1 6.3.2
6.6 6.7.1
1 8 13
3. Absoluut vindbaar 2, 4-5, 7, 10, 12.1, 15 6.1.1 6.1.2 6.2.1 6.2.2 6.3.1 6.3.2
6.4.2 6.6 6.7.1 6.8.5
1 8 9 13 14
Concept versie 0.1
Raadpleegbaarheid
Niveau Metadata (Eisen Richtlijn: bijlage 1) Systeemfunctionaliteit (NEN 2082: bijlage 2) Procedures en instrumenten (bijlage 3)
1. Raadpleegbaar voor
de korte termijn
(< 1 jaar)
7 Geen eisen
2. Raadpleegbaar voor
middellange termijn
(1-7 jaar)
7, 13, 21
(16-17 indien van toepassing)
6.1.3 6.3.1 6.3.2 6.5.1 6.5.2 6.7.3 4 12 13
3. Raadpleegbaar voor
lange termijn (>7 jaar)
7, 13, 21
(16-17 indien van toepassing)
6.1.3 6.3.1 6.3.2 6.4.3 6.5.1 6.5.2
6.7.3
2 4 12 13
Interpreteerbaarheid
Niveau Metadata (Eisen Richtlijn: bijlage 1) Systeemfunctionaliteit (NEN 2082: bijlage 2) Procedures en instrumenten (bijlage 3)
1. Voor direct
betrokkenen
4
Optioneel: 12.1
6.2.2 1
2. Voor bredere kring
binnen de organisatie
4-6, 9, 12.1 6.1.6 6.2.1 6.2.2 6.3.1 6.6 6.7.1 1 6 14
3. Voor belang-
hebbenden buiten de
organisatie en door de
tijd heen
Entiteit Record
3-6, 9, 12.1
Optioneel: 15
Entiteit Activiteit
3-6, 10, 12.1
6.1.2 6.1.6 6.2.1 6.2.2 6.3.1 6.6
6.7.1 6.8.2
1 6 7 9 14
4. Voor raadplegers op
grote afstand in
ruimte en tijd
Entiteit Record
3-6, 9, 12.1, 15
Entiteit Activiteit
3-6, 10, 12.1
6.1.2 6.1.5 6.1.6 6.2.1 6.2.2 6.3.1
6.6 6.7.1 6.8.2
1 6 7 9 13 14 15
Risicomodel records management
Concept versie 0.1
22/24
Bijlage 1: Metadata (bron: Richtlijn Metagegevens
Overheidsinformatie)
1. Entiteittype
2. Identificatiekenmerk
3. Aggregatieniveau
4. Naam
5. Classificatie
6. Omschrijving
7. Plaats
8. Jurisdictie
9. Dekking
10. Externe identificatiekenmerken
11. Taal
12. Event geschiedenis
13. Event plan
14. Nationaliteit
15. Relatie
16. Gebruiksrechten
17. Vertrouwelijkheid
18. Openbaarheid
19. Vorm
20. Integriteit
21. Formaat
Risicomodel records management
Concept versie 0.1
23/24
Bijlage 2: Systeemfunctionaliteit (bron: NEN 2082)
6.1. Eisen voor opnemen
6.1.1. Identificeren en registreren
6.1.2. Vastleggen van contextuele metadata
6.1.3. Technische controle van op te nemen digitale bestanden
6.1.4. Kwaliteitscontrole archiefstukken
6.1.5. Inhoudelijke controle archiefstukken
6.1.6. Opslaan
6.2. Eisen voor ordenen, klasseren en beschrijven
6.2.1. Ordenen en klasseren
6.2.2. Beschrijven
6.3. Eisen voor beheren, onderhouden en volgen
6.3.1. Beheren en onderhouden
6.3.2. Volgen
6.4. Eisen voor beschikbaar stellen
6.4.1. Algemene functionele eisen
6.4.2. Zoekfuncties en functionaliteiten
6.4.3. Presenteren
6.5. Eisen voor selecteren en verwijderen
6.5.1. Selecteren
6.5.2. Verwijderen
6.6. Eisen voor documenteren van gebeurtenissen en beheeractiviteiten
6.7. Eisen voor ondersteunende functionaliteit
6.7.1. Metadatamanagement
6.7.2. Autorisatie
6.7.3. Ondersteunen van (workflow van) beheeractiviteiten
6.7.4. Documenteren van systeem waarin en/of waarmee archiefstukken worden beheerd
6.7.5. Authenticatie en encryptie
6.8. Eisen voor beheren van instrumenten
6.8.1. Selectie-instrumenten
6.8.2. Classificatieschema
6.8.3. Autorisatietabel
6.8.4. Beveiligingsniveaus van archiefstukken en/ archiefbestanddelen
6.8.5. Gecontroleerde woordenlijsten
Risicomodel records management
Concept versie 0.1
24/24
Bijlage 3: Lijst van procedures en instrumenten
1. Metadataschema
2. Procedure change management
3. Vastlegging rollen en autorisaties
4. Lijst met gebruikte bestandsformaten
5. Procedure voor authenticatie en encryptie
6. Vastlegging naamconventies
7. Vastlegging verantwoordelijkheden
8. Informatiebeheerplan
9. Kwaliteitssysteem
10. Procedure i.v.m. documenteren beheer
11. Duurzaamheidstrategie
12. Procedure conversie en migratie
13. Inrichting van zoeken/presenteren
14. Classificatieschema
15. Procedure inhoudelijke controle
Top Related