besloten wij de aard en inrichting van security management in Nederland te onderzoeken

onderzoek

Resultaten Survey 2010

De stand van security in Nederland Heeft u altijd al willen weten hoeveel euro’s de concurrent aan security spendeert? Of de Raad van Bestuur zich elders wel om security bekommert? Welke securityrisico’s de prioriteitenlijst van uw vakgenoten beheersen? Hoe andere security managers de kwaliteit en doelmatigheid van hun beveiligingsinspanningen controleren, toetsen en bevorderen? In dit artikel worden deze en andere vragen beantwoord. Dennis de Hoog Ma, MSc & Sebastiaan Barlagen MSc * Met medewerking van Elleke van den Brink MSc & Ana Salgado MSc

C

OT Instituut voor Veiligheidsen Crisismanagement, an Aon company (COT) en vakblad Security Management willen vanaf 2010 jaarlijks het zicht op de actuele stand van het security management in Nederland verbeteren. Met dit terug­ kerende onderzoek beogen de onderzoekers patronen, trends en ontwik­ kelingen op het gebied van security management te identificeren.

‘Benchmark’-behoefte Als belangrijkste aanleiding voor dit onderzoek geldt de groeiende behoefte aan vergelijkingsinformatie (‘benchmark-­informatie’) onder security managers. Zowel COT als Security Management krijgt steeds vaker de vraag ‘Maar wat doen onze collega’s nu eigenlijk en doen zij het goed’? Omdat wij hier net als u benieuwd naar zijn,

besloten wij de aard en inrichting van security management in Nederland te onderzoeken. De afgelopen maanden vond er daarom een uitgebreid surveyonderzoek plaats. Bijna tweehonderd respondenten (N=195) namen de tijd en verleenden hun medewerking. Graag willen we van deze gelegenheid gebruikmaken om de ondervraagden te bedanken voor hun bijdrage aan dit onderzoek. De ondervraagden zijn werkzaam voor een divers aantal organisaties in het bedrijfsleven en in de (semi)publieke sector. Bovendien zijn zij afkomstig uit een grote variëteit aan sectoren. Variërend van zakelijke dienstverlening, overheid (algemeen), gezondheidszorg en welzijn, industrie en productie, onderwijs, verkeer, vervoer, transport en opslag etcetera. In dit artikel delen wij de belangrijkste

Beperkingen surveyonderzoek »» De resultaten zijn afhankelijk van de betrouwbaarheid van de door de onder­ vraagden aangeleverde gegevens. »» Percepties van de ondervraagden staan centraal. »» Vragen over ‘hoe’ en ‘wat’ worden beantwoord. Een antwoord op de ‘waaromvraag’ vergt nader, maar ook ander onderzoek.

12

Security Management nummer 12 december 2010

uitkomsten van dit onderzoek. We doen dit als volgt. We starten met een profielschets van de ‘gemiddelde’ security manager. Vervolgens staan we uitgebreid stil bij de belangrijkste kenmerken van de organisatie van security. Aansluitend besteden we aandacht aan een select maar divers aantal andere thema’s. Deze verschaffen meer duidelijkheid over hoe security management verder wordt vormgegeven en gemanaged. We ronden af met een overzicht van de tien belangrijkste kenmerken van security management in Nederland: ‘de benchmark 2010’.

‘It’s a Man’s World’ Soulzanger James Brown krijgt postuum alsnog gelijk. Althans, voor wat betreft de beroepsgroep van security managers. Het zal voor ingewijden geen verrassing zijn maar de security manager is écht bijna altijd een man. De resultaten maken duidelijk dat krap 4 procent van de deelnemende security managers vrouw is. Deze verdeling is evident scheef. Hoewel wij slechts kunnen gissen naar de oorzaak, is het beroep van de security manager voor vrouwen klaarblijkelijk minder aantrekkelijk. De security manager is niet alleen bijna altijd een man, hij is ook een wat

onderzoek

y management oudere man. De gemiddelde security manager is nog nét geen vijftig (49,6 jaar oud). Uitgaande van het gegeven dat het werkzame leven gemiddeld rond het achttiende levensjaar aanvangt en bij het vijfenzestigste stopt, bevindt de security manager zich op ongeveer twee derde van zijn professionele loopbaan. De jongste deelnemende manager is 29 jaar oud. De oudste is met 69 jaar de pensioengerechtigde leeftijd inmiddels ruim voorbij. De security manager is ervaren. Uit de resultaten blijkt dat de ondervraagden met gemiddeld 16,4 ervaringsjaren verre van starters op de arbeidsmarkt zijn. Ofschoon de minst ervaren deelnemer over welgeteld één ervaringsjaar beschikt, boogt de meest ervaren security manager op 45 ervaringsjaren. De security manager is gemiddeld hoger opgeleid. Meer dan driekwart van de ondervraagden is hbo of hoger

geschoold. Grofweg 60% beschikt over een diploma van een hogere beroepsopleiding, en 17% over een universitaire graad.

Invulling functie De security manager is lang niet altijd als zodanig herkenbaar. Sterker nog, in veel gevallen kan de securityverantwoordelijkheid niet aan de functienaam worden herleid. In dat licht is een grote diversiteit aan functies én daarmee in de functionele ophanging van de ondervraagden waarneembaar. Variërend van arbo- en milieucoördinator, hoofd inkoop, manager (algemeen), personeelsfunctionaris, medewerker marketing & sales, risk manager et cetera. De functie van security manager wordt in de praktijk dus ook sterk verschillend vormgegeven. Circa één op de vijf ondervraagden geeft aan dat security een nevenfunctie is. Opmerkelijk is ook dat bijna 10% van de organisaties gebruik-

maakt van een extern betrokken security manager. Meer dan de helft van de respondenten (53,2%) is manager van een afdeling security en/of mag zich ‘security manager’ noemen. De ondervraagden zijn overwegend hoger in de organisatie ondergebracht. Bijna 44% bekleedt een managementfunctie, terwijl 21% een directiefunctie vervult. Verreweg de meeste security managers zijn niet alleen verantwoordelijk voor de beveiliging, maar ook voor de integrale veiligheid (43%). Het functieniveau van de ‘security manager’ wordt onder andere bepaald door zijn/ haar leeftijd, ervarings­jaren en opleiding. Met functie­niveau wordt hier het niveau bedoeld waarop de security manager is onder­gebracht. Wat opvalt, is dat ICT-security in slechts 2% van de gevallen tot het takenpakket van de security manager behoort. Dit duidt op een tamelijk

»

Profiel Security Manager Geslacht

mannelijk

Leeftijd

49,6 jaar

Opleidingsniveau

hbo

Ervaringsjaren

16,4 jaar

Functieniveau

management (algemeen)

Functie

lang niet altijd als securityverantwoordelijke herkenbaar, security nog vaak een nevenfunctie

Taakveld

integrale veiligheid (security & safety)

Plaats in de organisatie

Facility management

Personeel

voldoende om de gestelde taken uit te kunnen voeren

Budget

circa € 1.000.000

Security Management nummer 12 december 2010

13

onderzoek

Top 10 securityrisico’s 2010 1. Diefstal 2. Onbevoegde aanwezigheid 3. Ongewenst gedrag 4. Agressie 5. Fraude 6. Vandalisme 7. Lekken of manipuleren van informatie 8. Ongewenste intimiteiten 9. Cybercrime + overval (gedeelde negende plaats) 10. Terrorisme

rigoureuze scheiding tussen infor­ma­ tie­­technologische beveiligingsaspecten enerzijds en de meer ‘klassieke’ organisatorische, bouwkundige en elektronische toepassingen anderzijds. Dat is vooral vanwege de toenemende prominentie van ICT een belangwekkende bevinding. Klaarblijkelijk bestaat het ‘securityconcept’ van de ondervraagden in hoge mate los van ICT-security.

Personeel en plaats in de organisatie De ondervraagden geven vrij overtuigend te kennen dat het aantal medewerkers dat aan security is toegewezen, in principe voldoende is om de toegewezen taken uit te kunnen voeren (78%). Over het algemeen kan de security manager voor de taakuitvoering kennelijk rekenen op voldoende personeel. In meer dan de helft van de gevallen is security functioneel ondergebracht bij facilitaire zaken (53,2%). Hieruit kan worden afgeleid dat beveiliging in meer dan de helft van de gevallen wordt gezien als een ondersteunende dienst. Interessant is ook dat security meestal op afstand van het primaire proces van organisaties wordt georganiseerd. Dit roept vragen op over de ‘fit’ tussen de operationele kerntaken van een organisatie en de mate waarin security deze ondersteunt.

Eindverantwoordelijkheid & managementcommitment De eindverantwoordelijkheid voor security is hoog belegd. In bijna 20% van de gevallen is de verantwoordelijkheid op het niveau van de Raad van Bestuur ondergebracht. Voor ongeveer de helft

14

van de gevallen geldt dat security een expliciete directieverantwoordelijkheid is. Hieruit kan worden afgeleid dat security in toenemende mate een expliciet ‘board room’ of directievraagstuk is. Immers, voor bijna 70% van de ondervraagden geldt security als bestuursof directie-aangelegenheid. In 20% van de gevallen is security een verantwoor-

van periodieke risicoanalyses. Er is over het algemeen sprake van securitybeleid (72%). Dit beleid is bovendien uniform en van toepassing op de gehele organisatie. Voor ongeveer de helft van de betrokken organisaties geldt dat security onderwerp dan wel onderdeel is van een systematisch managementsysteem. Hieruit kan meteen worden afgeleid dat security toch nog vaak niet is ingebed in een managementsysteem.

Budget Het gemiddelde securitybudget bedraagt circa 2,3 miljoen euro. Er is echter sprake van een zeer ‘scheve’ verdeling waarbij een klein aantal extremen dit gemiddelde sterk opstuwt. Zo ligt bijvoorbeeld 70% van de security­budgetten onder de € 910.000,Anderzijds is een klein aantal forse ‘uitschieters’ waarneembaar, waarvan de meest extreme € 200.000.000,bedraagt. Aangezien deze uitschieter het gemiddelde securitybudget onevenredig ‘boost’, is deze bij de berekening

Security is in toenemende mate een expliciet ‘board room’ of directievraagstuk delijkheid van het (algemeen) management. Voor de overige organisaties (ruwweg 10%) geldt dat de eindverantwoordelijkheid voor security nog niet op managementniveau is belegd. De betrokkenheid van het hoger management ten aanzien van security wordt gemiddeld als enigszins hoog beoordeeld. Opvallend is dat noch de totale omzet noch het voor security beschikbare budget bepalend is voor het managementcommitment. Frappant is ook dat de betrokkenheid van het hoger management een negatieve samenhang vertoont met het aantal medewerkers: hoe meer medewerkers, des te lager de betrokkenheid.

Strategie & beleid Bijna de helft van de ondervraagden (45,2%) geeft aan dat de doelstellingen voor security zijn afgeleid van de algemene doelstellingen van de organisatie. Eén derde van de organisaties werkt daadwerkelijk risicogestuurd, op basis

Security Management nummer 12 december 2010

van het gemiddelde buiten beschouwing gelaten. Kleinere organisaties hebben logischerwijs een lager securitybudget dan een multinational. Gemiddeld bedraagt het securitybudget per medewerker echter circa € 450,-. In het verlengde van de kengetallen is het nog nuttig om op te merken dat de kosten voor beveiliging opvallend vaak als een investering – en niet als een kostenpost – worden beschouwd. De helft van de respondenten geeft namelijk te kennen dat securitykosten ook daadwerkelijk als een investering worden beschouwd.

Derden Security management krijgt in de praktijk vaak gestalte met behulp van ‘derden’. Denk hierbij aan particuliere organisaties die specifieke (deel)taken vervullen. Welke ‘derden’ zijn dit? Afgaande op de ondervraagden zijn dit in de meeste gevallen particuliere beveiligingsorganisaties, gevolgd door externe

onderzoek

adviseurs en particuliere recherche­ bureaus. De uitbestede taken zijn dominant gericht op bewakings- of beveiligingstaken zoals uitgevoerd door particuliere beveiligingsorganisaties. In dat verlengde wordt tevens cameratoezicht vaak uitbesteed, net als geldt voor recherche-onderzoek, audits, organisatieadvies en risicoanalyse. De uit­ bestede securitydiensten zijn gemiddeld goed voor 36% van het securitybudget. Dit aandeel correspondeert met gemiddeld € 828.000,- op jaarbasis.

Risico’s Welke securityrisico’s stellen organisaties centraal? Op basis van een ruim aantal risico’s hebben de ondervraagden duidelijk kunnen maken welke met voorrang moeten worden beheerst. Dit levert een boeiend inzicht op. Wat duidelijk wordt, is dat de vijf belangrijkste risico’s vrij ‘alledaagse’ beveiligingsrisico’s zijn waarvan de waarschijnlijkheid groot maar de impact gemiddeld genomen ‘laag’ is (low impact). Denk aan diefstal, onbevoegde aanwezigheid, ongewenst gedrag et cetera. Daarentegen nemen risico’s met een grotere impact, zoals vormen van zware criminaliteit, in het risicoregister van de ondervraagden een vrij marginale plaats in. Ervan uitgaande dat organisaties security in toenemende mate risicogestuurd vormgeven, kunnen we uit de resultaten afleiden dat inspanningen met name zijn gericht op het voorkomen van alledaagse vormen van criminaliteit en schendingen van de integriteit.

Belang Organisaties hechten gemiddeld genomen een wat ‘neutraal’ belang aan security. Gevraagd naar hoe belangrijk de organisaties van de ondervraagden security vinden, lopen de beelden uiteen.

Een kleine 35% typeert het belang van de organisatie als (zeer) laag, een kleine 45% als (zeer) hoog. De overige 20% scoort het belang werkelijk ‘neutraal’. Ondanks de gemiddelde, wat neutrale score schat een meerderheid van de respondenten voor hun organisatie het belang van security in als (zeer) hoog. Het belang neemt niet toe of af naarmate het aantal medewerkers of de omzet dan wel het securitybudget toeneemt.

Beveiligingsbewustzijn Security managers beoordelen de security awareness binnen hun organisatie gemiddeld neutraal: niet hoog, niet laag. Kijken we naar de precieze verdeling, dan is zichtbaar dat toch bijna 40% van de ondervraagden het bewustzijn binnen hun organisatie als hoog of zelfs zeer hoog beschouwt. Dit in tegenstelling tot de 30% die het niveau van awareness als (zeer) laag bestempelt. De overige circa 30% beoordeelt het bewustzijn daadwerkelijk ‘neutraal’. Het beveiligingsbewustzijn vertoont geen samenhang met de omzet en het securitybudget van organisaties. Awareness neemt dan ook niet automatisch toe naarmate er meer financiële middelen beschikbaar zijn. Beveiligings­ bewustzijn vertoont wel samenhang met de omvang van een organisatie. Naarmate de omvang van een organisatie toeneemt, des te lager is gemiddeld het beveiligingsbewustzijn.

Incidenten Hoewel de organisaties van de geraadpleegde security managers onderling grote verschillen vertonen, worden organisaties (zeer) vaak met securityincidenten geconfronteerd. Gemiddeld genomen is het zelfs zo dat organisaties jaarlijks per duizend medewerkers bijna

tachtig incidenten te verduren krijgen. Daarbij moet natuurlijk wel in ogenschouw worden genomen dat bepaalde organisaties op basis van hun activiteiten gemiddeld zeer vaak met bijvoorbeeld kleine criminaliteit te kampen hebben – denk bijvoorbeeld aan grootwinkelbedrijven. De statistische relatie tussen de omvang van de organisatie en het aantal security-incidenten is positief. Dit houdt in dat hoe groter de organisatie, hoe vaker de organisatie wordt geconfronteerd met security-­incidenten.

Registreren & evalueren Een flinke meerderheid van de ondervraagde security managers (79%) geeft aan security-incidenten te registreren. Voor wat betreft het ‘leren’ van voorgevallen incidenten, wordt duidelijk dat een bijzonder ruim aantal van de incidenten ook daadwerkelijk geëvalueerd wordt. Afgaande op de respondenten geldt dit voor bijna 70% van de voorgevallen incidenten. Relateren we dit percentage aan het jaarlijks aantal van circa tachtig incidenten per duizend medewerkers, dan kan de indruk ontstaan dat evalueren een sluimerende kerntaak is van de security manager. Dit percentage roept daarom ook vooral vervolgvragen op over wat security managers precies onder evalueren verstaan en hoe incidenten in de praktijk geëvalueerd worden. Er blijkt overigens een significante relatie te bestaan tussen het aantal incidenten en het aantal evaluaties: hoe meer incidenten, des te vaker wordt er geëvalueerd.

Testen & trainen Een meerderheid van de betrokken security managers maakt gebruik van mogelijkheden om het weerstands­ vermogen van de organisatie en genomen maatregelen tegen securitydreigin-

Financiële kengetallen 2010 Gemiddeld securitybudget per organisatie per jaar

€ 2.300.000,-

Gemiddelde kosten ‘derden’ op jaarbasis

€ 828.000,-

Gemiddelde jaarlijkse securitykosten per medewerker

€ 450,-

Security Management nummer 12 december 2010

15

»

onderzoek

gen te vergroten. Zo geeft 70% van de ondervraagden aan het functioneren van beveiligingsmaatregelen in de prak­ tijk te testen. Verder geeft een kleine 60% aan de organisatie met enige re­ gelmaat te oefenen met security-inci­ denten. Hoewel we de volgende uit­ spraak met enige voorzichtigheid moeten lezen, lijkt er in relatie tot het aantal security-incidenten van organi­ saties geen positief verband te bestaan. Oftewel, security managers die hun maatregelen testen en hun organisatie trainen, hebben even vaak te kampen met security-incidenten als collega’s die nooit testen of trainen.

Publiek-private samenwerking De security managers in het onder­ zoek zijn gevraagd om uitspraken te doen over publiek-private samen­ werking. Hieruit blijkt dat er in veel gevallen gevestigde contacten zijn met relevante overheden. Ruim 63% geeft aan gemiddeld goede tot zelfs zeer goe­ de contacten met overheden te onder­ houden. 10% van de ondervraagden typeert de contacten als (zeer) slecht.

Volwassenheidsniveau Het beeld dat ondervraagden hebben bij de ‘volwassenheid’ (‘maturity’) van hun security management is positief. Verre­ weg de meeste security managers typeren het volwassenheidsniveau van hun secu­ rity management als gevorderd (71,2%) – hetzij ‘enigszins’, hetzij vergevorderd. Een kwart van de ondervraagden be­

Benchmark 2010: waar staat uw organisatie? »» Er is voldoende managementcommitment voor security. »» De eindverantwoordelijkheid voor security is op hoog niveau belegd. »» Er is een ‘dedicated’ verantwoordelijke voor security. »» Personele en financiële randvoorwaarden zijn op orde. »» Security is ondersteunend aan de algemene strategie, doelen en kerntaken. »» Security is ingebed in een managementsysteem. »» Er is sprake van voldoende beveiligingsbewustzijn onder personeel. »» Security-incidenten worden geregistreerd en geëvalueerd. »» De organisatie wordt getraind, beveiligingsmaatregelen worden getest. »» De contacten met relevante overheden zijn goed.

schouwt de volwassenheid van de securi­ tyorganisatie als ‘beginnend’. De omvang van de organisatie in termen van omzet of medewerkers speelt hierbij geen rol van betekenis. Dat het security manage­ ment van grotere organisaties met meer resources automatisch meer ‘volwassen’ zou zijn, is blijkbaar niet aan de orde.

Tot slot Voor zover ons bekend, is dit de eerste keer dat er in Nederland op deze schaal – systematisch en valide – onderzoek is gedaan naar hoe security management in de praktijk wordt vorm­ gegeven. Niet alleen wordt met deze re­ sultaten tegemoetgekomen aan de groei­ ende behoefte aan betrouw­bare bench­­mark-informatie onder security professionals. Ook kunnen de uitkom­ sten de beelden, ideeën en aannames die

Over de auteurs Dennis de Hoog (1978) is historicus en politicoloog en werkt sinds 2004 voor het COT Instituuut voor Veiligheids- & Crisismanagement, an Aon company. Sebastiaan Barlagen (1980) is bedrijfs­ wetenschapper en sinds 2008 werkzaam bij het COT. Gezamenlijk verrichten zij al een aantal jaren praktijkgericht onderzoek naar security & security management. Zij richten zich daarbij op de inrichting, inbedding, Onderzoekers Dennis de Hoog (links) doelmatigheid en kwaliteit van security en Sebastiaan Barlagen. management. Op basis daarvan ontwikkelen zij kennisproducten zoals het ‘Security Ambition Model’: een volwassenheidsmodel bedoeld om het presteren van organisaties met een securityfunctie te verbeteren. De Hoog en Barlagen zijn tevens (mede)verantwoordelijk voor de strategische adviesdiensten van COT op het gebied van security management.

16

er over security management bestaan van een betere onderbouwing voorzien. Overzien we de resultaten in dit artikel, dan wordt een aantal algemeen be­staan­­ de ideeën bevestigd (‘de security mana­ ger is een wat oudere ervaren man’), maar levert het surveyonderzoek daar­ naast nieuw inzicht in onder andere de financieel-economische dimensie van security management. Tegelijkertijd kunnen we constateren dat een aantal resultaten echt als ‘contra-intuïtief’ kan worden beschouwd (‘ICT-security staat volledig los van security management’, ‘alledaagse beveiligingsrisico’s staan cen­ traal’). Het survey-onderzoek is daarom voor wat betreft de betrokken onderzoe­ kers geslaagd. Zoals onderzoek betaamt, roepen nieu­ we resultaten direct allerlei vervolgvra­ gen op. Samen met de ervaringen en inzichten die de afgelopen maanden zijn opgedaan, stellen deze ons in staat om het Security Management Survey voor 2011 verder te verbeteren. Mocht u als lezer van Security Management – én hopelijk ook als ‘gebruiker’ van de resultaten – de behoefte hebben om op dit artikel te reageren, dan nodigen wij u hiertoe van harte uit. In ieder geval hopen wij u en een nog groter aantal securityprofessionals in 2011 (op­ nieuw) te mogen bevragen. Dit stelt ons in staat om samen met u het in­ zicht in de praktijkwerking van security management verder verdiepen. ‹‹ Mail uw eventuele vragen of suggesties naar aanleiding van dit artikel naar Dennis de Hoog via [email protected], of Arjen de Kort via [email protected].

Security Management nummer 12 december 2010

7511