Op HNWb hebben we het over ‘het normale werken. Mensen eerst, dan pas technologie en structuur. Dat roept iedereen, dat we menselijker moeten worden, maar ondertussen bedenken we procedure na procedure zonder stil te staan bij de vraag waarom die procedures zo moeten.
Ik zeg niet dat procedures per definitie slecht zijn, of dat het niet goed is een proces te definiëren, maar de afgelopen maanden kom ik vooral twee type procedures tegen. De volkomen overbodige, onnodige handelingen uit ‘privacy’ overweging, waarbij niemand de wetten der logica lijkt te volgen en de procedures om ons in te dekken, niet om iets goed te laten lopen. Enkele voorbeelden.
Verklaring van goed gedrag
Een aantal maanden geleden kreeg ik bij een factuur de eis dat ik een verklaring van goed gedrag overlegde. Op zich is dat geen probleem, maar waarom zou ik dat moeten doen. Het was in hun optiek standaard procedure als je ‘iets’ deed op een MBO school, in ieder geval op die van hen. Nu kan je in discussie gaan over de vraag of dit moet of niet, logisch is of niet en geldt voor iedereen (ik had namelijk geen contact met scholieren, ik deed iets op een docentendag), maar die discussie wil ik niet voeren. Als het een procedure is om het onderwijs veiliger te maken ga ik daarmee akkoord, alleen moet je dan zo’n verklaring vragen voor de activiteit en niet als onderdeel van het facturatie-proces. Dan is het enkel indekken en dat is natuurlijk totale onzin.
VAR verklaring
Een vergelijkbaar gedrocht is de VAR verklaring. Die wordt te pas en te onpas gevraagd, daar waar hij op zich enkel nodig is wanneer er een risico bestaat voor een verkapt loondienstverband. Dus wanneer ik 1 keer een lezing ergens geef is dat risico er niet en is het dus wederom totale onzin om deze te vragen. Een procedure die is ingericht ‘voor alle zelfstandigen’, maar verder totaal onzinnig is. Spijtig genoeg merk ik steeds vaker dat de gemiddelde medewerker niet eens weet waarom hij dit soort zaken vraagt. Onbegrijpelijk vind ik dat, dat je werk doet waarvan je niet weet welk nut het dient. Heb je dan geen enkel zelfrespect?
Overigens kan je over de VAR stellen dat het document als geheel volkomen nutteloos en onzinnig is, maar daar zie je weer dat ook in ambtelijk Den Haag ze niet al te goed nadenken over procedures. Inmiddels wordt hij namelijk automatisch verlengt zonder dat je iets hoeft te doen. Je krijgt hem als je hem ooit een keer hebt gekregen en er staat op dat als je niet meer aan de eisen voldoet dat hij dus ook met terugwerkende kracht ingetrokken kan worden. Een document met 0 rechtsgeldigheid lijkt me een redelijk nutteloos document, maar in plaats van afschaffen hebben ze gekozen voor automatisch verlengen.
Wachtwoorden, documenten en privacy
De meest interessant procedures die kant nog wal raken vind ik de laatste tijd echter die van het opvragen van een wachtwoord. Veel partijen weigeren je je wachtwoord te mailen, maar sturen een nieuw. Volkomen onzinnig natuurlijk, want je irriteert enkel je gebruiker er mee. Als je een wachtwoord gewoon versleuteld opslaat kan je dat ook gewoon aan de gebruiker mailen.
Nog interessanter wordt het als men het wachtwoord ‘enkel per post’ toe stuurt. Dit zou veiliger zijn, terwijl iedereen die even nadenkt weet dat dit per definitie onveiliger is. Immers weten we dat het grootste veiligheidsprobleem is… de mens. Wat gebeurt er als je mij een wachtwoord per e-mail stuurt? Er komt geen mens aan te pas. Wat gebeurt er als je het per post stuurt? Er komt in ieder geval een postbode aan te pas, met alle risico’s van dien. Er zitten meer handelingen in, dus er kan meer mis gaan.
Let goed op hier: je stuurt natuurlijk een wachtwoord enkel naar het eerder opgegeven mail adres, als dat verandert is, dan ben ik het er helemaal mee eens dat je het per post stuurt. Je kan niet zomaar een wachtwoord naar een nieuw mail adres vragen.
Identificatie is weer zo’n anders element. Vandaag heb ik mijn reisgegevens van de OV Chip opgevraagd. Lang verhaal (dat al meer dan een jaar loopt), maar ik heb deze gegevens niet online (ze krijgen niet mijn hele account gewoon gekoppeld) en moet ze dus voor de belastingdienst (aangifte) hebben. Dat kan gelukkig, maar ik moet me wel identificeren. Je kan stellen: logisch, maar ik stel altijd de vraag: wat is het ergste dat kan gebeuren. Stel je voor dat ik de reisgegevens van mijn buurman opvraag. Dan krijgt mijn buurman zijn reisgegevens. Immers worden ze gestuurd naar het adres dat bekend is. Dus wat zou het uitmaken als iemand reisgegevens van een ander opvraagt? Niets, immers kan die persoon die gegevens niet krijgen (tenzij de postbode ze aan deze persoon geeft in plaats van in de bus doet, wat zou betekenen dat hij zijn werk niet zou doen, maar dat risico is er nu nog).
Denk na
Ik stel dus niet dat we alle procedures zomaar moeten afschaffen, zeker niet. Veel dingen zijn er met een reden. Wel vraag ik of we iets meer kunnen nadenken over waarom we dingen doen. Een verklaring van goed gedrag kan nooit een voorwaarde voor facturatie zijn, dat is gewoon indekken. Identificatie vind ik niets mis mee, zeker aan de telefoon, maar als iemand iets naar het reeds bekende (e-mail) adres gestuurd krijgt is er niet zoveel dat mis kan gaan, dus is het opsturen van een kopie van een paspoort redelijk overbodig. Probeer altijd in ‘worst case’ scenario’s te denken bij het opstellen van procedures en als die worst cases eigenlijk geen schade doen, is het waarschijnlijk overbodig al te veel procedures in te bouwen.
Abonneer op updates