Risico's van de event-driven architectuur (EDA) in het publieke domein

Iemand maakt per ongeluk een ‘foutje’ bij de belastingdienst: je sofinummer wordt verwijderd uit alle systemen. Je verdwijnt vervolgens uit de GBA. Je paspoort bestaat officieel niet meer, en dat ben je toevallig een tijd geleden verloren dus een nieuwe aanvragen is onmogelijk. Volgens het systeem van de IND ben je niet van hier, en de betreffende ambtenaar vertelt je dat je hier illegaal verblijft. Om nog maar te zwijgen over je recht op belastingteruggave, nog afgezien van het feit dat je werkgever bij gebrek aan een sofinummer je loon niet kan storten, als je überhaupt al mag blijven werken van de Arbeidsinspectie. Foutje, bedankt?

Een even-driven architectuur (EDA) is een uitstekend ICT-instrument voor organisaties om doorloopsnelheid te verhogen en continuïteit te vergroten. Gebeurtenissen (events) die ‘slechts’ gedeeltelijke output voor het ene organisatieonderdeel zijn, worden automatisch en zonder oponthoud doorgestuurd naar een ander onderdeel. Hier vormt dit event de input-trigger om een nieuw verwerkingsproces op te starten. Een op het eerste zicht relatief eenvoudig te realiseren automatisering met grote snelheidsheidswinst en potentiele kostenbesparingen, dat wel. Maar niet geheel zonder risico’s, zo lijkt het. Stel dat het systeem van afdeling A crasht, en onbedoeld events uitstuurt – of juist geen. Op afdelingen B en C, die veel van de events van afdeling A als input-trigger hanteren, ontsporen de werkzaamheden. Daarnaast is het binnen een dergelijke architectuur niet ondenkbaar dat deze twee afdelingen op hun beurt weer events genereren voor andere afdelingen. Zo ontstaat een kettingreactie van onbedoelde of ontbrekende events en triggers.

Wat zijn de risico’s voor publieke organisaties die volgens een dergelijke architectuur zijn of worden ingericht? Tot nu toe zijn al een hoop publieke organisaties de weg van vernieuwing en automatisering ingeslagen. Steeds meer leggen we de nadruk op het belang van informatisering en een geautomatiseerde werkomgevingen (E-government is een belichaming van dit ideaal), en op de beveiliging van gegevens binnen die omgeving. Maar het ontbreekt ons nog aan een hoop kennis en informatie over de risico’s die een dergelijke inrichting van publieke organisaties met zich meebrengt.

En wie ziet er toe op beheersing van de risico’s? Denk je eens in welke consequenties het falen van systemen binnen een EDA zou kunnen hebben voor organisaties als de Immigratie- en Naturalisatiedienst, de Informatiebeheergroep of de Belastingdienst. Daarnaast groeit het belang van risicobeheersing met de schaalomvang. Denk bijvoorbeeld aan de PIP (persoonlijke internetpagina), waarin we ‘alles-aan-alles’ trachten te knopen. Het bovenstaande voorbeeld mag dan wel vergezocht lijken maar is, door gebrekkige kennis over risicobeheersing van de EDA in het publieke domein, realistischer dan je denkt.