Waarom governance essentieel is
Workspace is krachtig, maar zonder afspraken leidt vrijheid tot chaos: iedereen maakt zijn eigen mapstructuur, bestanden worden buiten de organisatie gedeeld zonder beleid, en beheerders worden aangesteld zonder duidelijke verantwoordelijkheden.
Een governancebeleid maakt expliciete keuzes over hoe de organisatie Workspace gebruikt en beheert. Het is geen technisch document maar een besluitvormingsdocument: wie is verantwoordelijk, welke rechten gelden, welke data mag waar staan, en hoe wordt Workspace beheerd bij wijzigingen in de organisatie.
Governance is geen eenmalig document
Het is een levend beleidsstuk dat minimaal jaarlijks wordt gereviewd en aangepast wordt bij organisatorische of technische wijzigingen.
Domein 1: Identiteits- en toegangsbeheer
Gebruikersprovisioning. Wie mag een Workspace-account aanvragen? Via welk proces (bijvoorbeeld een HR-trigger bij indiensttreding)? Wat zijn de standaardinstellingen voor een nieuw account?
Rol- en rechtenbeheer. Welke beheerdersrollen worden gebruikt? Wie is superadmin? Wie heeft beperkte adminrechten, bijvoorbeeld gebruikersbeheer zonder domeinconfiguratie?
Offboarding. Wat gebeurt er met een account bij uitdiensttreding? Wat is de tijdlijn: direct na vertrek of na een transitieperiode? Wie is verantwoordelijk? Welke data wordt bewaard, overgedragen of verwijderd?
Externe gebruikers. Mogen medewerkers documenten buiten het domein delen? Met welke beperkingen? Zijn gastaccounts toegestaan?
Domein 2: Databeheer
Naamgeving en mapstructuur. Stel een organisatiebrede naamgevingsconventie vast voor Drive-mappen en -bestanden, bijvoorbeeld [AFDELING]_[JAAR]_[ONDERWERP]. Definieer de standaard mapstructuur voor Gedeelde Drives per afdeling.
Eigenaarschap van bestanden. Wie is eigenaar van bestanden die zijn aangemaakt door een vertrokken medewerker? Hoe wordt eigenaarschap overgedragen? Gedeelde Drives helpen hier, omdat bestanden daar van de organisatie zijn en niet van een individu.
Retentiebeleid. Hoe lang worden bestanden bewaard? Via Google Vault kun je retentieregels instellen die data automatisch bewaren of verwijderen na een bepaalde periode (van 1 tot 36.500 dagen, of onbepaald). Stem dit af met de juridische en compliance-afdeling.
Classificatie van informatie. Welke informatiecategorieën zijn er (openbaar, intern, vertrouwelijk, strikt vertrouwelijk)? Welke Workspace-instellingen passen bij elke categorie? Voor strikt vertrouwelijk bijvoorbeeld geen extern delen en strikte DLP-regels.
Domein 3: Beveiligingsbeleid
Behandel beveiliging in vier vaste onderdelen, zodat geen enkel aspect wordt vergeten.
Authenticatie
Tweestapsverificatie (2SV/MFA) is verplicht voor alle medewerkers. Welke tweede factor is toegestaan: een passkey, een hardware security key, Google Authenticator of een Google-prompt? Sms wordt afgeraden vanwege simswapping-risico. Hoe snel moeten medewerkers MFA instellen na accountcreatie?
Apparaatbeheer
Mogen medewerkers Workspace gebruiken op privéapparaten? Zo ja, welk beleid geldt dan (basisinstellingen, MDM-enrollment, wipe-beleid bij verlies)? Zijn er vereisten voor OS-versie of beveiligingsupdates?
DLP-regels
Zijn er Data Loss Prevention-regels ingesteld die het delen van gevoelige informatie (BSN, financiële data) buiten het domein voorkomen? In Workspace gelden DLP-regels inmiddels uniform over Drive, Gmail en Chat, dus stem ze daar op af. Wie beheert die regels?
Audit en monitoring
Worden audit-logboeken bewaard? Hoe lang? Wie heeft toegang? Wat zijn de triggers voor een security-review?
Domein 4: Gebruiksbeleid
Aanvaardbaar gebruik. Mag Workspace voor persoonlijk gebruik worden ingezet? Zo ja, in welke mate? Welke handelingen zijn niet toegestaan, bijvoorbeeld het opslaan van illegale content of ongeautoriseerd extern delen van bedrijfsdata?
Privacybeleid voor medewerkers. Welke gegevens worden gelogd via de Admin Console? Voor welk doel? Worden die gegevens individueel bekeken of alleen in aggregaat? Wie heeft toegang?
Communicatienormen. Zijn er afspraken over responstijden in Gmail en Chat? Over bereikbaarheid buiten werktijd? Over taalgebruik in professionele kanalen?
Domein 5: Beheerstructuur
RACI-model. Leg per governance-domein vast wie Responsible (uitvoerend), Accountable (eindverantwoordelijk), Consulted (geraadpleegd) en Informed (geïnformeerd) is. Een eenvoudige tabel helpt:
| Domein | Responsible | Accountable | Consulted | Informed |
|---|---|---|---|---|
| Toegangsbeheer | IT-beheer | IT-manager | HR, juridisch | Directie |
| Databeheer | Data-eigenaar | IT-manager | Compliance | Medewerkers |
| Beveiliging | Security-officer | IT-manager | Juridisch | Directie |
| Gebruiksbeleid | HR | Directie | OR, juridisch | Medewerkers |
| Beheerstructuur | IT-manager | Directie | Alle leads | Organisatie |
Escalatieprocedure. Hoe worden beleidsafwijkingen gemeld en behandeld? Wat zijn de consequenties?
Wijzigingsbeheer. Via welk proces worden wijzigingen in de Workspace-configuratie doorgevoerd? Wie moet goedkeuren voordat een grote wijziging live gaat?
Begin klein en groei mee
Probeer niet alle vijf domeinen in één keer perfect dicht te timmeren. Schrijf eerst een werkbare basisversie, koppel een vaste reviewdatum, en verdiep ieder domein bij de jaarlijkse herziening. Een gedragen beleid van vijf pagina's is meer waard dan een ongelezen handboek van vijftig.
Zo stel je het governancebeleid op
- Vorm een werkgroep met IT-lead, HR, juridisch, compliance en een directielid.
- Schrijf een eerste concept op basis van de vijf domeinen in een Docs-document in de projectdrive.
- Deel het concept met alle stakeholders voor input via een commentaarronde in Docs.
- Verwerk de feedback en stel een definitieve versie op.
- Laat het beleid goedkeuren door directie en OR.
- Publiceer het op de interne kennisbank als officieel beleidsdocument.
- Plan een jaarlijkse reviewdatum in de gedeelde kalender.
Vergeet de OR niet
Beleid dat raakt aan monitoring, privacy of arbeidsomstandigheden vereist in Nederland vaak instemming van de ondernemingsraad. Sla deze stap niet over, anders kan het beleid achteraf onrechtmatig blijken.
Moet het governancebeleid door de OR worden goedgekeurd?
In de meeste gevallen ja, voor zover het raakt aan arbeidsomstandigheden, privacybescherming en monitoring van medewerkers. Raadpleeg je OR-adviseur of juridische afdeling.
Hoe gedetailleerd moet het beleid zijn?
Gedetailleerd genoeg om eenduidige beslissingen mogelijk te maken, maar niet zo gedetailleerd dat elke uitzondering erin staat. Vijf tot tien pagina's is ideaal. Technische details horen in beheer-runbooks, niet in het beleidsdocument.
Wat als bestaande medewerkers het beleid niet kennen?
Communiceer het beleid actief bij publicatie en bij de jaarlijkse review. Voeg het toe aan de onboarding van nieuwe medewerkers en laat mensen via een korte Forms-registratie bevestigen dat ze het gelezen hebben.
Hoe ga ik om met conflicten tussen het beleid en wensen van afdelingsmanagers?
Het governancebeleid is goedgekeurd door de directie en is leidend. Uitzonderingen zijn mogelijk, maar vereisen een expliciet goedkeuringsproces via de beheerstructuur. Documenteer uitzonderingen altijd.
Welke tools heb ik nodig om dit beleid te handhaven?
De Admin Console voor rollen en instellingen, Google Vault voor retentie en e-discovery, DLP-regels voor het beschermen van gevoelige data, en de beveiligingsdashboards voor monitoring. Het beleid beschrijft de afspraken, deze tools voeren ze af.
Hoe vaak moet ik het beleid herzien?
Minimaal jaarlijks, en daarnaast bij elke grote organisatorische of technische wijziging, zoals een reorganisatie, een fusie of de invoering van nieuwe Workspace-functies.