Maar die reputatie doet een goede ITSM-audit oneer aan, want wat hij oplevert is heel wat waardevoller dan een lijstje tekortkomingen.
Wat je denkt versus wat er echt gebeurt
De grootste opbrengst is meteen de meest onderschatte: een audit legt de kloof bloot tussen wat je dénkt dat er gebeurt en wat er écht gebeurt. In veel organisaties leeft een verhaal over hoe de dingen zouden moeten lopen. Er is een proces, er zijn afspraken, en iedereen gaat ervan uit dat het zo ook verloopt. Een audit toetst dat aan de praktijk. Worden back-ups echt getest? Volgt men de procedure ook als het druk is? Zijn de toegangsrechten echt nagekeken? Vaak blijkt het gedocumenteerde proces en het echte proces twee verschillende dingen. Dat is geen aangename ontdekking, maar wel een noodzakelijke, want je kan pas verbeteren wat je eerlijk in beeld hebt.
Daarmee samen hangt de waarde van een frisse blik. Wie elke dag in dezelfde servicewerking staat, ziet de gebreken niet meer. Ze zijn normaal geworden. Die omslachtige procedure, dat rapport dat altijd te laat is, die categorie die niemand nog begrijpt: je bent eraan gewend en ziet ze niet meer als problemen. Een auditor kijkt met verse ogen en benoemt wat voor jou onzichtbaar is geworden.
Prioriteit en draagvlak
Een tweede grote opbrengst is prioriteit en draagvlak. Elke servicewerking heeft een lange lijst dingen die beter kunnen, en het is moeilijk te weten waar te beginnen. Een goede audit rangschikt die zaken naar impact en risico, en geeft je zo een concrete roadmap in plaats van een vage onvrede. Bovendien krijgt een vaststelling van een onafhankelijke partij intern meer gewicht. Soms weet een team allang wat er scheelt, maar krijgt het geen gehoor omdat de boodschap van binnenuit komt. Wanneer een auditor net hetzelfde vaststelt, komt er plots beweging in wat intern al lang vastzat. Een audit kan zo een hefboom zijn, geen bedreiging.
Welke soorten audits zijn er?
Er bestaan verschillende soorten audits, en het helpt te weten welke je nodig hebt. Een compliance-audit toetst of je voldoet aan een norm, bijvoorbeeld ISO 20000 voor service management, of aan regelgeving rond gegevens en beveiliging. Een security-audit kijkt naar toegangsrechten, kwetsbaarheden en hoe snel je risico's wegwerkt. Een procesaudit kijkt naar hoe efficiënt en betrouwbaar je werking in elkaar zit. En er is het onderscheid tussen een interne audit, die je zelf regelmatig doet, en een externe, die net zijn geloofwaardigheid haalt uit de onafhankelijkheid.
Het gaat om leren, niet om afvinken
Maar of een audit dit alles oplevert, hangt sterk af van hoe je hem aanpakt. Een audit die enkel afvinkt of je aan een norm voldoet, geeft je een certificaat en weinig meer. Een audit die echt kijkt naar hoe je werking in elkaar zit en waar de reële pijnpunten liggen, geeft je inzicht. Het verschil zit in de instelling: gaat het om bewijzen dat je in orde bent, of om leren waar je beter kan? Daar hangt een belangrijk inzicht aan vast: compliance werkt enkel als ze in je dagelijkse werking zit, niet als iets wat je er vlak voor de audit bijhaalt. Een vinkje bewijst een moment. Een gezonde werking bewijst zichzelf elke dag.
Eerlijkheid is de voorwaarde
Dat brengt ons bij de voorwaarde. Een audit werkt enkel als je eerlijk bent tegen de auditor en tegen jezelf. Wie de audit benadert als een examen dat je moet zien te halen, toont de mooiste versie van de werkelijkheid en verspilt de kans. Wie toont waar het echt schuurt, ook al is dat oncomfortabel, krijgt er de meest bruikbare inzichten voor terug.
Bij SmartOps benaderen we een ITSM-audit daarom niet als een controle, maar als een startpunt. Het doel is nooit een oordeel te vellen, wel helder krijgen waar je staat en waar de grootste hefbomen liggen. Dat we tool-onafhankelijk werken, helpt daarbij: we hebben geen belang bij een bepaalde uitkomst, enkel bij een eerlijk beeld waar je verder mee kan.
Een audit hoeft geen bedreiging te zijn. Goed aangepakt is hij een van de weinige momenten waarop iemand met kennis van zaken en zonder blinde vlekken naar je hele werking kijkt en je eerlijk vertelt wat hij ziet.
Wanneer keek er voor het laatst iemand van buitenaf echt kritisch naar jullie servicewerking? En wat zou zo iemand vandaag als eerste opmerken? Benieuwd wat die frisse blik jou zou opleveren? Laat er ons eens samen naar kijken.
