Bestuurders besturen geen organisatie meer, maar een netwerk van afhankelijkheden

Er verandert iets fundamenteels in de manier waarop organisaties functioneren. Aan de oppervlakte lijkt het alsof organisaties vooral druk zijn met afzonderlijke thema’s: kunstmatige intelligentie (AI), cybersecurity, oftewel de bescherming van digitale systemen en gegevens, de tweede Europese richtlijn voor de beveiliging van netwerk- en informatiesystemen (NIS2), datagedreven werken, geopolitieke onzekerheid, energieprijzen en leveranciersmanagement. Daar komen cloudvoorzieningen bij: rekenkracht, opslag en software die via externe datacenters worden afgenomen. Maar onder al die thema’s ligt één gezamenlijke ontwikkeling: organisaties worden steeds afhankelijker van ketens die zij zelf maar gedeeltelijk overzien en beïnvloeden.

Dat maakt de bestuurlijke opgave anders dan een paar jaar geleden. De vraag is niet langer alleen of de interne organisatie op orde is. De vraag is of het bestuur nog voldoende regie heeft over de ketens waarvan de maatschappelijke opdracht afhankelijk is.

De reflex: losse programma’s voor losse risico’s

Veel organisaties reageren begrijpelijk, maar versnipperd. Er komt een AI-beleid. Er start een NIS2-traject. Contractmanagement wordt aangescherpt. Er komt een project voor informatieveiligheid, een project voor privacy, een traject voor sourcing, het bewust bepalen wat de organisatie zelf uitvoert en wat zij aan externe partijen uitbesteedt, en een plan voor continuïteit.

Elk van die initiatieven is op zichzelf logisch. Maar samen leveren ze niet automatisch bestuurlijke grip op. Integendeel: organisaties kunnen steeds meer maatregelen nemen en toch minder overzicht krijgen. Dat gebeurt wanneer de onderliggende afhankelijkheden niet zichtbaar worden gemaakt.

Afhankelijkheden zijn de onderlaag van risico’s

Risico’s zijn vaak het zichtbare gevolg. Afhankelijkheden zijn meestal de oorzaak. Een storing bij een leverancier, een wijziging in voorwaarden voor clouddiensten, een kwetsbaarheid in een softwarecomponent, een cyberaanval op een subverwerker, een partij die door een leverancier wordt ingeschakeld om gegevens te verwerken, of een geopolitieke verstoring van energie of logistiek: het zijn allemaal gebeurtenissen die pas echt betekenis krijgen wanneer duidelijk is welk kritisch proces daarvan afhankelijk is.

Daarom is de vraag “welke risico’s lopen we?” niet meer voldoende. De betere bestuurlijke vraag is: welke afhankelijkheden bepalen of wij onze opdracht kunnen blijven uitvoeren?

Van organisatie naar keten

In de praktijk functioneren organisaties steeds vaker als knooppunten in een groter ecosysteem. Applicaties zijn gekoppeld via application programming interfaces (API’s), gestandaardiseerde digitale aansluitingen waarmee systemen gegevens of functies uitwisselen. Data bewegen door meerdere systemen en leveranciers heen. Een directe leverancier gebruikt soms eigen subverwerkers. Cloudplatforms, identiteitsdiensten, vaak identityproviders genoemd, die controleren wie een gebruiker is en welke toegang die krijgt, softwareleveranciers en externe dienstverleners vormen samen de feitelijke bedrijfsvoering.

Dat betekent dat bedrijfsvoering tegenwoordig in hoge mate afhankelijk is van informatie- en communicatietechnologie (ICT). Niet omdat alles technisch is, maar omdat processen, data, sturing, dienstverlening en verantwoording digitaal met elkaar verbonden zijn. Wie bedrijfsvoering bestuurt zonder de digitale keten te begrijpen, mist een belangrijk deel van de werkelijkheid.

Ketensoevereiniteit

Ik gebruik hiervoor het begrip ketensoevereiniteit. Daarmee bedoel ik het vermogen van een organisatie om regie te houden over de ketens waarvan haar functioneren afhankelijk is. Het gaat niet om alles zelf doen. Het gaat om weten wat kritiek is, begrijpen welke partijen en koppelingen betrokken zijn, bewust kiezen welke afhankelijkheden acceptabel zijn en zorgen dat er handelingsruimte overblijft wanneer omstandigheden veranderen.

Ketensoevereiniteit gaat daarmee verder dan klassiek leveranciersmanagement. Het kijkt naar contracten, maar ook naar data, subverwerkers, API’s, datalocaties, juridische zeggenschap, uitwijkmogelijkheden, cybersecurity, geopolitieke kwetsbaarheid en bestuurlijke escalatie.

Waarom dit nu urgent wordt

De urgentie komt niet uit één ontwikkeling, maar uit de stapeling ervan. AI vergroot de afhankelijkheid van modellen, data en cloudinfrastructuur. De Europese verordening voor kunstmatige intelligentie, de AI Act, stelt afhankelijk van de toepassing eisen aan ontwikkeling, gebruik, transparantie en risicobeheersing.

De NIS2-richtlijn wordt in Nederland uitgewerkt in de Cyberbeveiligingswet (Cbw), die op 15 augustus 2026 in werking treedt. Deze wet legt onder meer nadruk op risicobeheersing, incidentmelding, bestuurlijke kennis en beveiliging van de leveranciersketen.

Geopolitieke spanningen raken energie, logistiek en cyberdreiging. Leveranciersketens worden internationaler en minder transparant. Data gaan via koppelingen de organisatie uit, vaak verder dan op het eerste gezicht zichtbaar is.

Een organisatie die alleen intern naar haar processen kijkt, ziet dan te weinig. De kwetsbaarheid ligt steeds vaker buiten de eigen muren, maar de verantwoordelijkheid blijft bestuurlijk wel degelijk bij de organisatie liggen.

De bestuurlijke opgave

De opgave is daarom om van losse compliance, het aantoonbaar naleven van wet- en regelgeving en interne afspraken, naar bestuurbare samenhang te bewegen. Dat vraagt een overzicht per kritisch proces: welke data zijn nodig, welke applicaties ondersteunen het proces, welke leveranciers en subleveranciers zijn betrokken, welke contractuele rechten bestaan, welke fysieke afhankelijkheden spelen mee en welke alternatieven zijn beschikbaar?

Dit vraagt niet alleen techniek. Het vraagt bedrijfskundig inzicht, bestuurlijke sturing, contractueel bewustzijn, begrip van ICT en aandacht voor cultuur. Want afhankelijkheden worden pas bestuurbaar wanneer eigenaarschap helder is en bestuurders daadwerkelijk kunnen besluiten.

Een model voor bestuurbaarheid

Een bruikbaar bestuurlijk afhankelijkhedenmodel begint daarom bij de maatschappelijke of bedrijfskritische opdracht. Vanuit die opdracht worden de kritieke processen vastgesteld. Daarna wordt per proces de keten zichtbaar gemaakt: mensen, informatie, data, applicaties, AI, koppelingen, leveranciers, subleveranciers, contracten, energie, logistiek en externe dreigingen.

Het doel is niet om alles volledig te controleren. Dat is in een verbonden wereld een illusie. Het doel is om voldoende inzicht en handelingsvermogen te organiseren. Bestuurbaarheid betekent weten wat kritiek is, begrijpen waar afhankelijkheden liggen, bewust keuzes maken en voorbereid zijn op verstoring.

Tot slot

Bestuurders besturen geen organisatie meer in de klassieke betekenis. Zij besturen een netwerk van afhankelijkheden. De kwaliteit van bestuur wordt de komende jaren mede bepaald door de vraag of zij dat netwerk begrijpen, kunnen beïnvloeden en tijdig kunnen bijsturen.

Ketensoevereiniteit is daarmee geen technisch begrip. Het is een bestuurlijke voorwaarde voor robuuste organisaties in een wereld waarin technologie, geopolitiek, energie, data en bedrijfsvoering steeds nauwer met elkaar verweven raken.

Bronnen en verdere verdieping

De volgende bronnen onderbouwen de wettelijke en inhoudelijke context van dit artikel en bieden verdere verdieping.

1. Europese Unie. Richtlijn (EU) 2022/2555, de NIS2-richtlijn, over maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Europese Unie.
2. Rijksoverheid. Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht, 7 juli 2026.
3. Europese Commissie. AI Act: Europees regelgevend kader voor kunstmatige intelligentie.
4. European Union Agency for Cybersecurity. Good Practices for Supply Chain Cybersecurity, 13 juni 2023.
5. Nationaal Cyber Security Centrum. Aan de slag gaan met ketenrisico’s.

← Terug naar alle artikelen