Tata Steel, GRC in ServiceNow

De opdracht

De IT-afdeling van Tata Steel lanceerde een module voor governance, risk en compliance in ServiceNow. Ik kwam erbij als business analist, geplaatst via House of Talents, voor het deel dat bepaalt of zo'n platform slaagt of stilletjes faalt: de data eronder.

Een complianceplatform is niet beter dan wat erin gaat. Een systeem dat op slechte input draait is erger dan geen systeem, want mensen handelen ernaar.

Wat ik heb opgeleverd

De eerste fase was in kaart brengen. Ik ben de bestaande datastromen langsgegaan bij de IT-afdelingen, wat betekende dat ik per afdeling het technische landschap, de beperkingen en de risico's die er al lagen moest begrijpen, en dat vervolgens moest afzetten tegen het landschap waar de organisatie naartoe wilde.

Dat is minder een technische bezigheid dan een gesprek. Hoe data verzameld, verwerkt en opgeslagen wordt, staat zelden accuraat op papier, en het echte antwoord zit meestal bij de mensen die het doen in plaats van in een schema. Ik heb het doorgenomen met stakeholders in alle afdelingen, een groot aantal stromen vastgelegd, per stroom getoetst hoe betrouwbaar die was, en de gaten benoemd die dicht moesten voordat er van compliance sprake kon zijn.

Met de stromen helder heb ik ze opnieuw ingericht en methodes toegepast die standhouden naarmate de organisatie groeit, in plaats van alleen te werken op de omvang die zij op dat moment toevallig had.

De tweede fase was compliance zelf. Samen met het complianceteam heb ik bepaald waar de organisatie werkelijk stond, een gap-analyse gemaakt en een plan ontworpen voor wat daaruit kwam. De processen voor dataverzameling zijn herzien en er is een route in fasen naar volledige compliance uitgezet.

Het derde stuk was zicht. Ik bouwde een dashboard dat stakeholders op verschillende niveaus een actueel beeld gaf van de voortgang op compliance en van de operationele prestaties, wat betekende dat oprecht ingewikkelde datapatronen teruggebracht moesten worden tot iets waar iemand naar kan kijken en meteen naar kan handelen.

De aanpak

Het dashboard is wat mensen zich herinneren, en het was het minst belangrijk. De waarde zat in het in kaart brengen, want dat stelde vast wat waar was voordat er rapportage bovenop werd gebouwd.

Over afdelingen heen werken betekent ook accepteren dat elke afdeling een eigen kijk heeft op dezelfde data, en eigen redenen voor die kijk. Die verzoenen is het grootste deel van het werk. Doe je dat door van buitenaf een model op te leggen, dan krijg je instemming in de vergadering en uiteenlopende praktijk daarna.

Waar het nu staat

Een opdracht van zes maanden, in de eerste helft van 2024. De stromen zijn in kaart gebracht en opnieuw ingericht, de gap-analyse en de route naar compliance zijn opgeleverd, en het dashboard is in gebruik genomen. De afdeling kwam eruit met data waarop ze kon vertrouwen: accuraat, schaalbaar en bruikbaar, en dat is wat de GRC-module nodig had om iets waard te zijn.