Een IAM-traject dat vastloopt, en de auditor kijkt mee.

Het moment

Het begon als een helder project: één plek waar accounts worden aangemaakt en opgeruimd, rollen die bepalen wie waarbij mag, en een jaarlijkse review waarin managers hun eigen mensen controleren. Twee jaar later staat de tool, zijn drie van de veertig applicaties gekoppeld, kent niemand het verschil tussen de rollen meer, en schrijft de auditor voor de derde keer dezelfde bevinding: medewerkers die al weg zijn hebben nog toegang, en beheerdersrechten worden niet beoordeeld. De projectleider is vertrokken, de leverancier wijst naar de organisatie, de organisatie naar de leverancier. Dat is het moment waarop een IAM-specialist van buiten, die dit vaker heeft gezien, het traject weer op gang brengt.

Waarom IAM-trajecten vastlopen

Zelden door de tool. Meestal omdat de organisatie de rollen niet kan benoemen die de tool moet afdwingen, omdat de eigenaren van applicaties geen tijd hebben om koppelingen te testen, omdat de bron van waarheid voor wie waar werkt niet klopt, of omdat het project als IT-project is opgezet terwijl het voor driekwart organisatiewerk is. Een goede IAM-specialist begint daarom niet bij de tool maar bij de vraag welke toegang écht beheerst moet worden, maakt het klein genoeg om af te maken, en levert de auditor binnen een paar maanden bewijs dat de bevinding van vorig jaar is opgelost.

Wat er nu moet gebeuren

1. De bevindingen en de scope. Wat de auditor precies vond, welke applicaties en rechten er echt toe doen, en wat voorlopig buiten beeld mag. De IAM-specialist, in de eerste weken.
2. De bron op orde. Instroom, doorstroom en uitstroom uit het HR-systeem als enige waarheid, zodat accounts automatisch meebewegen. IAM-engineer met HR en de beheerders.
3. Rollen die werken. Niet honderd rollen die niemand snapt, maar een handvol per afdeling die je kunt uitleggen en reviewen. IAM-specialist met de lijnmanagers.
4. Koppelingen in volgorde van risico. Eerst de applicaties met de meeste rechten en de hoogste auditdruk, dan de rest. IAM-engineer.
5. De review die gedaan wordt. Een toegangsreview die managers in een uur kunnen doen en die de auditor accepteert, met bewijs. Daarna overdracht aan de beheerorganisatie.

Wie dit trekt

Organisaties zoeken hier een IAM-specialist of IGA-consultant die het traject trekt en de organisatie meeneemt, een IAM-engineer die de tool inricht en de koppelingen bouwt, en soms een security architect als identiteit onderdeel is van een grotere verandering, zoals een cloudmigratie. De tool die er staat bepaalt mede wie past; daar beginnen we mee in de intake. Zoek je iemand voor vast, bijvoorbeeld een IAM-beheerder die na het project blijft, dan is dat gewoon werving & selectie; voor het traject zelf is het interim. Allebei doen we al jaren.

Interim: binnen twee dagen, en wat het kost

Snel betekent bij ons niet slordig. We beginnen met een echte intake: welke tool, waar het stokt, wat de auditor vond, wie moet deze persoon meekrijgen. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.

Zzp, en de Wet DBA

Een IAM-traject afmaken is een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en dus past zzp hier goed, met een modelovereenkomst. Het beheer daarna, de IAM-beheerder die elke dag accounts en rollen onderhoudt, is een functie. Dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.