Informatiebeveiliging · Domein 2

OR.02 Functiescheiding

Norm OR.02 gaat over kritieke bevoegdheden zo verdelen dat aanvragen, goedkeuren, uitvoeren en controleren niet ongewenst bij één persoon liggen. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent OR.02 in de praktijk?

Heldere verantwoordelijkheden en gescheiden bevoegdheden voorkomen dat kritieke processen van één persoon afhangen.

Voor functiescheiding betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Een rollen- en rechtenmatrix met expliciete onverenigbare functies.

Bewijsvoorbeeld 2

Besluiten waarin het bestuur functiescheiding en uitzonderingen heeft vastgesteld.

Bewijsvoorbeeld 3

Periodieke rechtenreviews en systeemexports die de feitelijke inrichting aantonen.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Inventariseer kritieke handelingen in financiën, leerlinggegevens en IT-beheer

Inventariseer kritieke handelingen in financiën, leerlinggegevens en IT-beheer.

Bepaal welke rollen niet gecombineerd mogen worden en leg uitzonderingen vast

Bepaal welke rollen niet gecombineerd mogen worden en leg uitzonderingen vast.

Richt rollen en goedkeuringsstappen technisch in waar dat mogelijk is

Richt rollen en goedkeuringsstappen technisch in waar dat mogelijk is.

Controleer periodiek of feitelijke rechten nog overeenkomen met de rollenmatrix

Controleer periodiek of feitelijke rechten nog overeenkomen met de rollenmatrix.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat kritieke bevoegdheden zo verdelen dat aanvragen, goedkeuren, uitvoeren en controleren niet ongewenst bij één persoon liggen, inclusief mandaat en vervanging?
Kan schoolbestuur, hr en functioneel beheer zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn een rollen- en rechtenmatrix met expliciete onverenigbare functies. en besluiten waarin het bestuur functiescheiding en uitzonderingen heeft vastgesteld. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘bij iedere rolwijziging en ieder kwartaal’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Functiescheiding alleen op papier regelen en niet in systemen doorvoeren.
Kleine scholen zonder compenserende controle als uitzondering laten gelden.
Tijdelijke beheerdersrechten niet automatisch laten verlopen.

In Edufort

GRC & compliance: van norm naar opvolging

Koppel normstatus, bewijs, eigenaar, taken en rapportage in één aantoonbare verbetercyclus. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk GRC & compliance →

Veelgestelde vragen

Vragen over OR.02

Wat betekent norm OR.02 voor een schoolbestuur?

Deze norm vraagt om kritieke bevoegdheden zo verdelen dat aanvragen, goedkeuren, uitvoeren en controleren niet ongewenst bij één persoon liggen. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij OR.02?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij functiescheiding.

Wie is eigenaar van OR.02?

Een passende inrichting is: Schoolbestuur, HR en functioneel beheer. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.