Digitale verantwoordelijkheid: wat hoort bij het bestuur en wat niet?

Digitalisering raakt inmiddels vrijwel ieder onderdeel van een goed doel: fondsenwerving, communicatie, privacy, financiële processen, reputatie en continuïteit. Toch wordt digitale verantwoordelijkheid nog vaak behandeld als een onderwerp voor de webbouwer of ICT-leverancier. Dat is te beperkt. De uitvoering kan worden gedelegeerd, maar de verantwoordelijkheid voor goed bestuur niet.

Het bestuur bepaalt het kader

Het bestuur hoeft niet te bepalen welke beveiligingssoftware, hostingpartij of technische standaard wordt gebruikt. Het bestuur moet wel vaststellen welke maatschappelijke belangen beschermd moeten worden, hoeveel risico aanvaardbaar is en wie verantwoordelijk is voor opvolging. Daarmee is digitale verantwoordelijkheid vergelijkbaar met financieel beheer: een bestuurder hoeft geen boekhouder te zijn om betrouwbare cijfers, duidelijke bevoegdheden en onafhankelijke controle te verlangen.

Tot de bestuurlijke verantwoordelijkheid behoren in ieder geval:

• vaststellen welke digitale processen essentieel zijn voor de maatschappelijke opdracht;
• bepalen wie eigenaar is van belangrijke gegevens, systemen en leveranciersrelaties;
• toezien op privacy, transparantie, continuïteit en reputatierisico’s;
• verlangen dat incidenten en tekortkomingen tijdig worden gemeld;
• controleren of afgesproken verbeteringen aantoonbaar zijn uitgevoerd.

Wat kan worden gedelegeerd?

Technische keuzes en dagelijkse uitvoering horen bij medewerkers en gespecialiseerde leveranciers. Zij kunnen systemen beheren, beveiligingsmaatregelen uitvoeren, toegankelijkheidsproblemen herstellen en de website onderhouden. Delegeren is echter iets anders dan loslaten. Het bestuur moet weten aan wie de taak is toegewezen, welke resultaten worden verwacht en hoe daarover wordt gerapporteerd.

Een opdracht als “maak de website veilig” is bestuurlijk onvoldoende. Een betere opdracht beschrijft het gewenste resultaat, de deadline, de verantwoordelijke en het bewijs waarmee oplevering wordt aangetoond. De leverancier bepaalt vervolgens hoe dat technisch wordt gerealiseerd.

De valkuil van advies en uitvoering bij één partij

Een goede leverancier kent de eigen systemen en kan waardevol adviseren. Tegelijkertijd heeft een uitvoerende partij een commercieel belang bij de voorgestelde oplossing. Dat maakt onafhankelijkheid belangrijk wanneer prioriteiten, risico’s of budgetten moeten worden beoordeeld. Onafhankelijke duiding helpt het bestuur om onderscheid te maken tussen wat noodzakelijk, wenselijk en optioneel is.

Dit betekent niet dat leveranciers moeten worden gewantrouwd. Het betekent dat rollen zuiver worden ingericht: onafhankelijk onderzoeken en prioriteren, deskundig uitvoeren en vervolgens aantoonbaar controleren.