Information governance is het raamwerk van beleid, eigenaarschap en beheersmaatregelen dat bepaalt hoe een organisatie de informatie die zij bezit classificeert, bewaart, beschermt en vernietigt, en wie voor elk van die beslissingen aanspreekbaar is.
Het bepalende kenmerk is aanspreekbaarheid. Beleid dat geen eigenaar noemt is een intentieverklaring, en information governance is de discipline die intentie omzet in beslissingen waarvoor iemand verantwoording aflegt.
Governance, management en data governance beslaan niet hetzelfde bereik
De drie termen worden door elkaar gebruikt en dekken verschillend terrein.
Information governance stelt de regels: welke categorieën informatie bestaan, hoe lang elke categorie wordt bewaard, wie haar mag inzien, wie de vernietiging ervan mag toestaan, en welk bewijs over die handelingen wordt bewaard. Zij staat bewust los van systemen, omdat dezelfde verplichting geldt of de content in een repository, een mailbox, een bestandsshare of een chatgeschiedenis staat.
Informatiemanagement voert die regels uit in specifieke systemen. Een documentmanagementsysteem dwingt versiebeheer, rechten en bewaartermijnen af voor de content die het bevat. Het kan niets afdwingen over content die elders staat, en daarom is governance boven elk afzonderlijk platform gepositioneerd.
Data governance richt zich gebruikelijk op gestructureerde data: schemas, herkomst, kwaliteit, stamgegevens. De verplichtingen overlappen waar een document persoonsgegevens bevat en beide regimes van toepassing zijn, maar de manieren waarop het faalt verschillen. Data governance maakt zich zorgen over nauwkeurigheid en herkomst; information governance maakt zich zorgen over bewaartermijnen, toegang en verdedigbare vernietiging.
Wat een raamwerk werkelijk bevat
Een governanceraamwerk dat functioneert, in plaats van een raamwerk dat als document bestaat, kent een klein aantal concrete onderdelen.
Een informatieoverzicht. Welke categorieën bestaan en welke systemen die bevatten. Governance kan geen content dekken die niemand heeft geïnventariseerd, en de systemen die worden overgeslagen zijn doorgaans mailboxen, samenwerkingsomgevingen en bestandsshares van afdelingen.
Een classificatieschema. Categorieën die de behandeling bepalen, met er zo weinig dat mensen ze correct toepassen. Schemas met tientallen categorieën worden inconsistent toegepast, en inconsistente classificatie is slechter dan grofmazige classificatie, omdat zij onterecht vertrouwen wekt.
Benoemd eigenaarschap per categorie. Een persoon of rol die beslist over uitzonderingen op toegang, verlenging van bewaartermijnen en vernietigingsbevoegdheid. Eigenaarschap dat aan een commissie is toegewezen, is aan niemand toegewezen.
Een bewaarschema. Diepgaand behandeld onder recordsmanagement, omdat bewaartermijnen de plek zijn waar governance handhaafbaar wordt.
Een toegangsmodel. Wie elke categorie mag lezen, bewerken en delen, uitgedrukt in termen die de systemen daadwerkelijk kunnen uitvoeren.
Vernietigingsbevoegdheid. Wie destructie mag goedkeuren, en welke vastlegging van die goedkeuring de content overleeft.
Waar governance en de levenscyclus elkaar raken
Governance beschrijft de regels; documentlevenscyclusbeheer beschrijft de fasen waarin die regels worden toegepast. De twee worden doorgaans door verschillende teams geschreven, en in de kloof daartussen blijven verplichtingen onvervuld: een bewaarregel die in beleid bestaat maar aan geen enkele overgang in de levenscyclus is verankerd, gaat nooit af.
Dezelfde kloof verschijnt rond veroudering van formaten. Een governanceraamwerk dat een bewaartermijn van twintig jaar oplegt zonder een bijbehorend plan voor digitale duurzaamheid, heeft zich verbonden aan een uitkomst die het met geen enkel mechanisme kan leveren.
Wat er vaak misgaat
Beleid zonder handhaving. De meest voorkomende fout. Een raamwerk wordt goedgekeurd, gepubliceerd en nooit verbonden met een systeem dat het zou kunnen toepassen. Het levert de schijn van governance en geen enkel effect, en het is slechter dan geen beleid, omdat het een gedocumenteerde norm creëert waaraan de organisatie meetbaar niet voldoet.
Classificatie aan gebruikers overgelaten. Waar correcte classificatie afhangt van individueel oordeel op het moment van opbergen, verslechtert zij gestaag. Automatische classificatie is consistenter, al verschuift zij het probleem naar de vraag of de classificatie betrouwbaar is voor de categorieën die wettelijke gevolgen dragen.
Governance die bij één repository ophoudt. Content die in een beheerd systeem zorgvuldig wordt beheerst en in e-mail, chat en persoonlijke schijven wordt genegeerd, is niet beheerst. De onbeheerste kopie is de kopie die in een procedure boven komt.
Bewaartermijnen als maximum en nooit als minimum. Teams lezen een schema als toestemming om zaken te bewaren en zelden als verplichting om ze te vernietigen. Te lang bewaren vergroot het volume dat bij een rechtszaak en een datalek wordt blootgesteld, en is onder sommige privacyregimes zelf de overtreding.
Geen bewijs van de beslissing. Governance wordt achteraf beoordeeld, doorgaans door iemand met tegengestelde belangen. Een toegangsverlening, een verlenging van een bewaartermijn of een goedkeuring tot vernietiging zonder duurzame vastlegging valt later niet te verdedigen, hoe juist zij op dat moment ook was.
Contellect One past classificatie, bewaartermijnen en auditsporen toe op content in plaats van op beleidsdocumenten, in compliance en recordsmanagement.
