---
Version: "2022"
---
Normreferentie: Hoofdstuk 9

# Managementsysteem en Beleid

## Managementsysteem

### Procescertificering vs. Productcertificering

ISO 17065 maakt een onderscheid tussen procescertificering en productcertificering. 
- Procescertificering: je mag zelf je doelen stellen en moet dan aantonen dat je voor die doelen 'in control' bent. Het proces moet onder controle zijn, de kwaliteit van de output is relatief. Het gaat om risicobeheersing.
- Productcertificering: je moet kunnen aantonen dat je aan vastgestelde eisen voldoet – in dit geval de AVG. Er geldt een absolute kwaliteitsgrens: bij alle verwerkingen moet voldaan worden aan de wettelijke eisen. Het proces is niet van belang, als de (absolute) kwaliteit maar aantoonbaar gehaald wordt.

Een ander verschil is: systeembenadering/input gestuurd vs. individuele producten/output gestuurd.

### Waarom een managementsysteem?

**Definitie Managementsysteem** in BC 5701: Een geheel van samenhangende afspraken, al dan niet vastgelegd in methodes, procedures, werkinstructies, formats, et cetera, om beleid en doelstellingen op te stellen en deze te realiseren.

Ofwel: alle activiteiten die nodig zijn om te **borgen** dat de **doelen** van de organisatie (t.a.v. een bepaald onderwerp) worden behaald.

De AVG stelt dat certificering gebaseerd moet zijn op productcertificering cf. ISO 17065, en noemt nergens het implementeren van een managementsysteem als eis.
De BC 5701 noemt dat wel, en het is daarmee een normspecifieke eis. Het doel is het wekken van vertrouwen bij de stakeholders.
Een audit is altijd retrospect, het heeft een historisch perspectief: het *was* goed. De belanghebbende wil weten of het in de toekomst ook goed zal gaan, zelfs als de omstandigheden wijzigen. Het gaat dus om borging en continuïteit.

Het managementsysteem is erop gericht om alle activiteiten m.b.t. het Object van Certificering **beheerst** te laten plaatsvinden en op continue basis te **verbeteren**.

Het managementsysteem moet **op alle niveaus** in de organisatie worden toegepast.

## Beleid

Essentie van beleid volgend uit de definitie in BC 5701:
- doelen en kaders
- borging op consistente en passende wijze
- vastgesteld door het verantwoordelijke management, en ook door hen actief uitgedragen, ondersteund en gemonitord

Bedenk:
- voor wie is het beleid bestemd?
- wat betekent het dan voor hen?
- wanneer is het succesvol uitgevoerd?

Toets: Snapt de doelgroep wat er van het verwacht wordt?

### Beleidsinhoud

*Sheets 73-75*
*Tab 3 Bijlage pp.7-10*

- Waarom dit beleid? Wat is de noodzaak? M.n. voor principegedreven beleid van belang
- SMART en positieve doelformulering ('we willen bereiken dat' i.p.v. 'we willen voorkómen dat')
- Indien nodig: definitie van begrippen
- Afbakening (scope): voor wie, of wanneer
- Door de organisatie gestelde beleidskaders waarbinnen dit specifieke beleid betekenis heeft
- Taken, bevoegdheden, verantwoordelijkheden
- Bepaling effectiviteit
- Borging (compliance): hoe zorgen we dat het beleid gevolgd wordt, en hoe tonen we dat aan
- Advies van de Functionaris Gegevensbescherming:
	- is het onderwerp adequaat afgedekt
	- is het en juiste en volledige weergave van de situatie
	- is het adequaat m.b.t. de AVG
	- advies

### Aandachtspunten

Het meeste beleid zit op het spectrum tussen **Regelgedreven** (zoals de verkeerswet) en **Principegedreven** (doe wat goed is).

*Tab 3 Bijlage p.7*

Principegedreven beleid:
- past bij kennisgedreven organisaties met professionals
- effectiviteitsmeting is een uitdaging voor zowel de beleidsfase als voor training van medewerkers – als meting niet in de beleidsfase geadresseerd wordt gaat de PDCA-cyclus niet draaien
- opleiding medewerkers is cruciaal

Regelgedreven beleid:
- past bij productie-organisaties
- uitwerking beleid kost veel tijd
- consistentie tussen afdelingen is een aandachtspunt
- gevoelig voor veranderingen in de context

Uitdagingen:
- wazige formulering als excuus op voorhand, meer een intentie – er is veel ruimte om dingen *niet* te doen
- een concrete formulering past vooral bij een 'blauwe' managementstijl.

Als beleid niet voldoende concreet is om eenduidig te kunnen uitvoeren, kan de voortgang/effectiviteit niet goed worden vastgesteld, en komt de PDCA cyclus niet op gang. 