BLOG – In een wereld waarin organisaties steeds afhankelijker worden van digitale diensten, is digitale soevereiniteit een strategisch thema. Digitale soevereiniteit gaat over het vermogen van een organisatie om zelf controle te houden over haar data, systemen en digitale processen, zonder ongewenste afhankelijkheid van externe partijen. Het doel is om risico’s te beperken, compliance te waarborgen en de continuïteit van de organisatie te beschermen.
De omgeving
Een uitgangspunt van digitale soevereiniteit is dat organisaties maximale controle behouden over hun digitale omgeving en de daarin opgeslagen en verwerkte gegevens. Dit betekent niet dat alle systemen en applicaties per definitie lokaal (on-premises) moeten draaien; ook binnen cloud- en hybride omgevingen is het mogelijk om regie te voeren. Essentieel is dat de organisatie zelf bepaalt hoe de omgeving wordt ingericht, geconfigureerd en beveiligd en wie daar toegang toe heeft.
Deze regie beperkt zich niet tot de technische inrichting, maar omvat ook bestuurlijke en strategische zeggenschap. Organisaties moeten in staat zijn hun eigen beveiligingsbeleid vast te stellen, te voldoen aan specifieke compliance-eisen en systemen flexibel aan te passen wanneer dat nodig is. Door bewust te kiezen voor oplossingen die deze autonomie ondersteunen – bijvoorbeeld via open standaarden, modulaire architecturen en transparante contractafspraken – kan afhankelijkheid van één specifieke leverancier worden voorkomen.
Het behouden van controle over de digitale omgeving vergroot bovendien de flexibiliteit en wendbaarheid van een organisatie. Hierdoor kan sneller worden ingespeeld op veranderingen, zoals nieuwe wet- en regelgeving, technologische ontwikkelingen of veranderende bedrijfsbehoeften. Ook worden migraties naar andere systemen of leveranciers eenvoudiger wanneer er minder sprake is van afhankelijkheid van propriëtaire technologieën of gesloten ecosystemen.
Het verminderen van afhankelijkheid van één partij verkleint het risico op vendor lock-in en versterkt de onderhandelingspositie. Daarnaast biedt het meer zekerheid op het gebied van continuïteit. Bij incidenten zoals storingen, beveiligingslekken of geopolitieke ontwikkelingen kan sneller en effectiever worden gehandeld. Organisaties behouden daarmee de mogelijkheid om tijdig passende maatregelen te nemen.
Tegelijkertijd is er een rol weggelegd voor leveranciers. Zij moeten inspelen op de groeiende vraag naar digitale soevereiniteit door oplossingen te ontwikkelen en aan te bieden die organisaties daadwerkelijk in staat stellen de regie te behouden. Het aanbieden van soevereine omgevingen – waarin data, processen en infrastructuur voldoen aan duidelijke eisen op het gebied van controle, transparantie en juridische zekerheid – wordt hierbij cruciaal. Leveranciers die dit aantoonbaar kunnen ondersteunen, zullen hun positie in de markt versterken en bijdragen aan een toekomstbestendig digitaal ecosysteem.
De data
Voor veel organisaties is de locatie van dataopslag van groot belang. Europese wet- en regelgeving, zoals de AVG, stelt eisen aan de verwerking en bescherming van persoonsgegevens. Daarom is het verstandig om contractueel vast te leggen dat data uitsluitend wordt opgeslagen en verwerkt binnen de Europese Unie. Door deze afspraken expliciet af te dwingen bij de (cloud)leverancier, verklein je het risico dat gegevens onder buitenlandse wetgeving vallen of worden verplaatst naar regio’s met minder strenge privacybescherming. Transparantie over datalocaties en eventuele subverwerkers is daarbij essentieel.
Alleen het beveiligen van de dataopslag is niet voldoende; gegevens moeten ook goed worden beschermd. Encryptie vormt hierbij een belangrijke verdedigingslaag. Door data zowel tijdens transport als tijdens opslag te versleutelen, wordt de kans op misbruik aanzienlijk verkleind.
Voor echte digitale soevereiniteit is het echter zaak dat de organisatie zelf eigenaar blijft van de encryptiesleutels en certificaten. Wanneer een leverancier de sleutels beheert, behoudt deze in theorie toegang tot de gegevens. Door certificaten en cryptografische sleutels in eigen beheer te houden, blijft de controle over de toegang tot de data volledig bij de organisatie. Deze aanpak wordt vaak aangeduid als ‘customer managed keys’ of ‘bring your own key’ en wordt steeds vaker toegepast binnen kritische en privacygevoelige omgevingen.
Het contract
Een ander essentieel onderdeel van digitale soevereiniteit is het juridisch vastleggen van eigenaarschap. In overeenkomsten met cloud- en it-leveranciers moet ondubbelzinnig worden opgenomen dat de organisatie eigenaar blijft van alle opgeslagen en verwerkte data. Daarnaast moet worden vastgelegd dat de leverancier gegevens nooit mag inzien, delen, analyseren of beschikbaar stellen aan derden zonder expliciete toestemming van de eigenaar. Ook moet duidelijk zijn hoe wordt omgegaan met verzoeken van overheden, toezichthouders of andere externe partijen.
Sleutelafspraken zijn onder meer:
- De klant blijft te allen tijde eigenaar van de data;
- De leverancier mag data niet gebruiken voor eigen doeleinden;
- Data mag niet worden gedeeld met derden zonder schriftelijke toestemming;
- Verzoeken van externe partijen worden direct gemeld aan de klant, tenzij wetgeving dit verbiedt;
- Bij beëindiging van de dienstverlening wordt alle data volledig geretourneerd en verwijderd.
Digitale soevereiniteit als strategische keuze
Digitale soevereiniteit gaat verder dan technologie alleen. Het is een combinatie van technische maatregelen, juridische afspraken en governance. Organisaties die investeren in een zelf beheerde omgeving, Europese dataopslag, eigen sleutelbeheer en duidelijke contractuele afspraken over eigenaarschap, versterken hun digitale onafhankelijkheid aanzienlijk.
In een tijd waarin data een van de meest waardevolle bedrijfsmiddelen is, wordt het behoud van controle over die data steeds belangrijker. Digitale soevereiniteit biedt organisaties de mogelijkheid om innovatie te combineren met veiligheid, compliance en autonomie. Daarmee vormt het een belangrijke pijler voor een toekomstbestendige digitale strategie.
Ruud Pieterse, enterprise-architect DXC Technology
De opinie-architect schrijft drie opinies in 8 dagen, maar verdedigt er geen één. Ook dit stuk stapelt wenselijke architectuurprincipes op elkaar zonder de onderliggende aannames te toetsen. EU-datalocatie voorkomt geen buitenlandse rechtsmacht, een contract heft dwingend recht niet op, voor werkelijke controle over je sleutels kom je eerder bij HYOK dan bij BYOK uit en open standaarden voorkomen hooguit een deel van de lock-in. Digitale soevereiniteit is bovendien geen product dat een leverancier als ‘soevereine omgeving’ kan leveren.
Het aantoonbare vermogen van een organisatie om onder ongunstige omstandigheden zelfstandig te blijven handelen vraagt om een dreigingsmodel, een exitstrategie, overdraagbare kennis, geteste dataportabiliteit en inzicht in alle technische, juridische en economische afhankelijkheden. Nu blijft het antwoord op de vraag in de titel steken in: maak goede afspraken en houd controle. Maar beiden worden niet concreet gemaakt want hoeveel controle heb je nodig en tegen welke kosten. En over welke afhankelijkheden spreken we eigenlijk en hoe toets je de onafhankelijkheid?
Daarmee verschuift ‘hoe dan?’ vanzelf naar ‘wie dan?’ voor de nog openstaande vraag van Dino. Drie opinies schrijven is kennelijk eenvoudiger dan er één inhoudelijk verdedigen. Uiteindelijk is data op zichzelf niet de strategische asset van een organisatie, de strategische waarde zit in de kennis die uit die data kan worden opgebouwd en in de mensen die deze kennis kunnen toepassen. Data kunnen technisch overdraagbaar zijn terwijl de kennis over datamodellen, configuraties, koppelingen en historische ontwerpkeuzes bij de leverancier achterblijft.
Dan is er formeel een exit mogelijkheid maar ontbreekt praktisch het handelingsvermogen om die exit uit te voeren. Digitale soevereiniteit vraagt daarom niet alleen om zeggenschap over data en sleutels, maar ook om kennissoevereiniteit. Zonder overdraagbare kennis is dataportabiliteit weinig meer dan het recht om een verzameling bestanden mee te nemen.
Jullie berekeningen over in hoeveel tijd ik een artikel schrijf baseert zich op assumpties. De artikelen worden eerst in concept neergezet en naar believen van de redactie geplaatst.
Ik snap niet de aannames dat ik de stukken moet verdedigen. Ze zijn zoals ze zijn, mijn mening, mijn opinie, mijn advies aan lezers. Ik probeer geen gelijk te krijgen, probeer alleen een licht op een onderwerp te schijnen en iedereen mag ermee doen wat hij wilt.
Een waardevol artikel, maar ik mis een fundamentele dimensie in de benadering van digitale soevereiniteit.
Het artikel definieert soevereiniteit vooral als het vermogen om controle te houden over data, systemen, infrastructuur, sleutels en contracten. Dat zijn zonder twijfel belangrijke voorwaarden voor autonomie. Maar controle is nog geen soevereiniteit.
Sterker nog: als controle het primaire antwoord wordt op digitale afhankelijkheid, ontstaat een paradox. Meer controle leidt tot meer regels, configuraties, uitzonderingen, interfaces en governance. Die onderlinge afhankelijkheden vergroten de complexiteit, waardoor vervolgens nóg meer controle nodig is. Zo kunnen we uiteindelijk vastlopen in control spaghetti.
De fundamentelere vraag is daarom niet alleen: wie controleert de data? maar: wie bepaalt wat die data betekenen en welke beslissingen erop gebaseerd worden?
Werkelijke digitale soevereiniteit vraagt mijns inziens om betekenissoevereiniteit: het expliciet vastleggen van domeinbegrippen, doelen, beslissingen en verantwoordelijkheden, onafhankelijk van de technologie of leverancier waarin ze worden geïmplementeerd.
Je kunt immers volledige technische controle hebben over data en infrastructuur, terwijl de betekenis en beslislogica nog steeds verborgen zitten in applicaties, configuraties en leveranciers.
Daarom zou ik de beweging willen omdraaien:
Niet: meer controle om soevereiniteit te bereiken.
Maar: meer expliciete betekenis om minder controle nodig te hebben.
Dat is niet alleen een andere kijk op digitale soevereiniteit, maar ook een andere kijk op architectuur.
Als een bedrijfdat allemaal zelfstandig moet kunnen en garanderen van Ruud, heeft het alleen nog een aanbieder van infrastructuur en capaciteit nodig.
Uitbesteding creëert per definitie nieuwe afhankelijkheden (tenzij het met droogzwemmen de betreffende expertise en capaciteit intern nog in stand houdt).
Alle genoemde sleutelafspraken roepen inderdaad alleen maar nog meer vragen op, want hoe garandeer je ze?
Hoe blijf je in controle als je gebruik maakt van een leverancier.
Schriftelijk toestemming klinkt wat naief, niet dan ?
Oudlid heeft dat uitgewerkt.
Maar Jack ook, omdat ik me zo voorstellen dat een leverancier een ander belang en betekenis toekent aan de levering dan de klant. Is “ondubbelzinnigheid” in ander belang- en betekeniscontext wel eigenlijk wel mogelijk ?
En Rob. Een aanbieder van infra en capaciteit is overigens net zo goed een risico voor C en A in cd CIA-triad.
Als “hoe dan” in de titel zoveel vragen oproept is er werk aan de winkel. Of moeten anderen dat weer doen 😉
@Dino, klopt. maar om dat laatste stuk van uitbesteding de juiste randvoorwaarden van te kunnen waarborgen, hoef je niet bij voorbaat ook nog gelijkwaardige voorzieningen in eigen huis te handhaven.
Wanneer betekenissoevereiniteit het expliciet en overdraagbaar maken van domeinbegrippen en beslislogica betekent valt dat onder de overdraagbare kennis die voor digitale soevereiniteit nodig is. Maar waarom zou die expliciete betekenis ervoor zorgen dat minder technische, juridische of organisatorische controle nodig is?
Kennis- of betekenissoevereiniteit maakt controle niet overbodig, maar vooral begrijpelijker en beter toetsbaar. Laten we vertrekken vanuit het uitgangspunt dat data het residu van een proces is en als bewijs van dat proces bewaard moet blijven. Betekenis en bewijskracht zitten dan niet alleen in de data, maar ook in de herkomst, context, beslisregels en procesgang.
Zonder die samenhang resteert hooguit een bestand waarvan de technische integriteit kan worden aangetoond, maar niet wat het bewijst. Meer expliciete betekenis leidt niet tot minder controle maar tot gerichtere controle. De betekenissoevereiniteit voorkomt dat iedereen met een eigen vork in dezelfde controle spaghetti prikt.
Dino legt de brug van betekenissoevereiniteit naar controle soevereiniteit. Ondubbelzinnig in een contract betekent niet dat leveranciers in de keten en de (eind)klant hetzelfde belang of dezelfde betekenis aan een afspraak geven. Het betekent hooguit dat vooraf voldoende concreet is vastgelegd welke prestatie wordt verwacht, welk bewijs daarbij hoort en wat er bij afwijkingen gebeurt.
Dino heeft gelijk over integriteit want Wie de infrastructuur beheerst kan immers de verwerking, logging, tijdregistratie, replicatie en bewaring beïnvloeden. Dus het woord is weer aan de opinie architect.
Mooie reacties en daarmee aanvullingen vanuit de harde kern van Computable reageerders (en experts, zo blijkt wel) op dit artikel, dank daarvoor! Het artikel gaat in het kader van digitale soevereiniteit vooral over data, maar nergens over soeverein data delen. De meeste bedrijven opereren tenslotte in 1 of meerdere ketens of ecosystemen, en kunnen ook bij een data- en cloud architectuur beter ook meteen rekening houden met zaken als interoperabiliteit, open standaarden (en Open Source) om data te kunnen delen, waarmee ook exit-strategieën e.d. deels al gedekt worden. En waarvoor vanuit de EU in toenemende mate wordt ingezet op het gebruik van data spaces. Misschien is dat dus ook in toenemende mate een onderdeeltje van het ‘hoe’ in de titel?
Zomaar wat losse opmerkingen naar aanleiding van het voorgaande:
Betekenissoevereiniteit betekent dat de essentiële betekenis, doelen en beslissingen zo expliciet zijn gemodelleerd dat je niet afhankelijk bent van het systeem, de leverancier of de individuele expert om te begrijpen wat je organisatie doet.
De betere vraag is:
Welke betekenis moet onafhankelijk van leverancier, technologie en individuele experts expliciet en stabiel blijven?
Als betekenissoevereiniteit uiteindelijk slechts dient om controle efficiënter te maken, dan is het geen werkelijk nieuw architectuurprincipe. Dan is het: controle 2.0.
Hoe concreter je iedere mogelijke interpretatie vooraf probeert vast te leggen, hoe meer regels en uitzonderingen je moet creëren — en daarmee hoe complexer het systeem wordt.
Meer expliciete betekenis maakt controle niet overbodig; het maakt controle ondergeschikt aan betekenis. En juist daardoor hoeft controle niet langer het primaire mechanisme te zijn waarmee we complexiteit proberen te beheersen.
Betekenissoevereiniteit is geen nieuwe manier om controle te organiseren. Het is een manier om de noodzaak van steeds meer controle te beperken.
Betekenissoevereiniteit gaat niet primair over het overdragen van kennis van A naar B, maar over het behouden van de zelfstandige mogelijkheid van A om betekenis te bepalen; ook wanneer B wegvalt.
Technische interoperabiliteit zonder semantische interoperabiliteit is slechts gecontroleerde data-uitwisseling.
De interessante vraag wordt:
Hoe organiseer je betekenissoevereiniteit én betekenisvolle interoperabiliteit tussen autonome organisaties?
Digitale soevereiniteit eindigt niet bij controle over data. Ze begint waar organisaties zelfstandig hun betekenis kunnen bepalen én die betekenis gecontroleerd met anderen kunnen delen.
En dit alles heb ik weer uit een betrouwbare bron 😊
Wie betekenis uitbesteedt aan een ‘betrouwbare bron’ krijgt niet noodzakelijk de juiste betekenis terug maar een overtuigend geformuleerde interpretatie van zijn vraag. Ik heb je bron even zelf getest op hallucinaties met de vraag om betekenis van kwaliteit. Daarmee blijf ik bij de opmerking van Dino want kwaliteit ontstaat in een contextuele driehoeksverhouding tussen de verwachtingen van opdrachtgever, leverancier en beoordelaar.
De aanvaardbare betekenis neemt autoriteit niet als vanzelfsprekende waarheid maar beoordeelt een uitleg op de herkomst, samenhang en bruikbaarheid. Want China optimaliseert de prijs, Amerika de belofte en Europa de definitie met als risico dat de markt al verdeeld is voordat Europa consensus heeft bereikt.
Die consensus is niet vrijblijvend want toetreding tot de Europese markt vereist conformiteit. De vraag is daardoor niet alleen of Europese betekenisconsensus markt vertragend werkt, maar vooral wie vanuit het beginsel van soevereiniteit die conformiteit controleert. Minder controle vanuit vertrouwen berust tenslotte op verwachtingen niet om meer betekenis.
Daarmee komen we uit bij het dilemma van Juvenalis: wie bewaakt de bewakers? Oftewel wie controleert de certificerende instelling, de auditor, de toezichthouder en uiteindelijk de Europese autoriteit die bepaalt wat als bewijs geldt?
Een (gecertificeerde?) Enterprise-architect is een autoriteit zonder betekenis want een opinie is een persoonlijke interpretatie die als oordeel wordt gepresenteerd maar waarvan de geldigheid afhankelijk blijft van argumentatie, perspectief en context.
Je stelt terecht dat betekenis niet simpelweg uit een ‘betrouwbare bron’ kan worden overgenomen, dat autoriteit geen vanzelfsprekende waarheid oplevert en dat betekenis context, herkomst, samenhang en bruikbaarheid vereist.
Maar daarmee ontstaat juist een probleem voor het controle-paradigma.
Als iedere betekenis uiteindelijk opnieuw moet worden beoordeeld, wie bepaalt dan wat gecontroleerd moet worden, welk bewijs voldoende is en welke interpretatie aanvaardbaar is? Je haalt zelf Juvenalis aan: wie bewaakt de bewakers? Maar daarop volgt onvermijdelijk: wie bewaakt degenen die de bewakers bewaken?
Dat is precies de controle-regressie die uiteindelijk vastloopt in complexiteit.
Daarom zie ik betekenissoevereiniteit niet als een nieuwe vorm van controle, maar als een ander uitgangspunt: de organisatie moet haar essentiële domeinbegrippen, doelen en beslissingen zélf kunnen bepalen en expliciteren. Niet zodat een autoriteit die betekenis vervolgens kan controleren, maar zodat zij niet afhankelijk wordt van een leverancier, auditor, architect, toezichthouder of AI om te begrijpen wat zij zelf bedoelt en waarom zij handelt zoals zij handelt.
Een Enterprise-architect is daarbij geen ‘autoriteit zonder betekenis’. Een architect die betekenis als uitgangspunt neemt, heeft juist de opdracht om autoriteit ondergeschikt te maken aan expliciete begrippen, doelen, beslissingen en argumentatie.
En dat is uiteindelijk het antwoord op Juvenalis:
Niet een steeds hogere controlelaag, maar een architectuur waarin steeds duidelijker wordt wie welke betekenis, welk doel en welke beslissing voor zijn rekening neemt.
Daarmee verschuift soevereiniteit van de vraag ‘wie controleert?’ naar de fundamentelere vraag: ‘wie bepaalt wat het betekent?’
Het verplaatsen van de bewaker van controle naar betekenis lost het dilemma van Juvenalis niet op. De vraag wie bepaalt wat het betekent? introduceert slechts een controleur van de definitie. Deze regressie wordt niet door architectuur beëindigd maar bestuurbaar gemaakt door bevoegdheden te begrenzen, beslissingen herleidbaar te maken, bewijs toegankelijk te houden en Chain of Custody te borgen. Wie betekenis bepaalt bepaalt immers ook wat als afwijking geldt en wie gecontroleerd moet worden.
In een eerdere discussie hebben we gezien dat wie de betekenis bepaalt van een retorische valsheidsscore oordeelt over de afwijking en dus gecontroleerd en gecorrigeerd moe(s)t worden. Dat ligt rechtstreeks in het verlengde van Juvenalis dilemma want niet betekenis of controle staat centraal maar de concentratie van macht en een tegenspraak daarop. De valsheid zat meer in metafoor interpreteren, de interpretatie tot norm stellen en de schijnobjectiviteit van een score.
Als antwoord op Fred, de Chain of Custody bewaart niet alleen het bewijs maar ook een informatiepositie waaruit blijkt wie wanneer wat kon weten. Zonder tijdlijn kan: “Dat wist ik niet” niet worden onderscheiden van: “Dat wil ik achteraf niet geweten hebben.” om van Juvenalis naar Rudyard Kipling te springen. De Rutte-doctrine stuurde namelijk niet alleen de WIE weg maar ook de vijf andere eerlijke dienaren. En toegang tot OPEN DATA mobiliseert nog niet de tegenspraak van de macht als we kijken naar de functie van de media.
Ik gebruik binnen de Enterprise-architectuur graag de zes eerlijke dienaren van Rudyard Kipling voor de verschillende lagen want soms gaat het niet om de definitie maar om de uitleg in Jip & Janneke-taal. Deze methodiek is best wel handig als we kijken dat met NIS2 bestuurders verantwoordelijk worden voor hun beslissingen. Tussen tekenen bij het kruisje en weten waarvoor je tekent zit het domein van kennis.
Ik beweer niet dat betekenissoevereiniteit de bewaker vervangt. Mijn punt is dat ook de bewaker zelf niet aan betekenis ontsnapt.
Wie bepaalt wat als afwijking, bewijs, kwaliteit of conformiteit geldt, maakt immers óók een betekenisvolle keuze. Chain of Custody kan uitstekend vastleggen wie wanneer wat kon weten en doen, maar bepaalt niet wat dat weten en handelen binnen het domein betekende.
Daarom zie ik betekenissoevereiniteit niet als een nieuwe controlelaag, maar als het expliciteren van de grond waarop beslissingen en verantwoordelijkheden berusten.
Je mooie slotzin zou ik daarom iets aanvullen:
Tussen tekenen bij het kruisje en weten waarvoor je tekent zit kennis.
Tussen weten waarvoor je tekent en weten wat je daarmee bedoelt, zit betekenis.
Daar ligt voor mij betekenissoevereiniteit: niet het monopolie op betekenis opeisen, maar de verantwoordelijkheid voor de eigen betekenis behouden.
Wie wanneer wat kon weten en doen gaat om de toerekenbaarheid van beslissingen. De Chain of Custody voorkomt daarin dat de handtekening intact blijft maar betekenis achteraf overschreven wordt door nieuwe inzichten. Op die manier wordt het idee van betekenissoevereiniteit een semantische onteigening want taal is veranderlijk. Zo zit er verschil tussen de bewaker van de macht en de controleur van conformiteit ook al dienen ze dezelfde meester.
Dat blijft enigszins impliciet maar de metafoor stelt dat rechtsorde, legitimiteit en controleerbaarheid niet worden ingevuld door wie er op de troon zit. Betekenissoevereiniteit krijgt hierin een hele andere context want zonder historische betekeniscontext kan taal achteraf worden gebruikt om aan een intacte handtekening nieuwe kennis, instemming of verantwoordelijkheid toe te rekenen. Schreef Orwell daar niet iets over?
Eerst wordt onduidelijkheid tot risico verklaard daarna betekenis tot architectuur verheven om de beslissingstabel als beheersmaatregel te kunnen verkopen. Daarmee dreigt de betekenissoevereiniteit opnieuw leveranciersafhankelijkheid te worden. De organisatie bezit dan formeel haar eigen definities maar heeft de leverancier nodig om te begrijpen hoe die definities door honderden regels en uitzonderingen lopen.
Je laatste punt raakt wat mij betreft precies de kern, maar het leidt tot een andere conclusie dan je suggereert.
Als een organisatie haar eigen definities pas kan begrijpen door honderden regels, uitzonderingen en configuraties van een leverancier te reconstrueren, dan is er inderdaad sprake van semantische onteigening. Maar dat is juist het probleem dat betekenisgedreven architectuur probeert te voorkomen.
De architectuur hoort niet te zijn:
implementatie → regels → reconstructie van betekenis
maar:
betekenis → doel → beslissing → implementatie.
Een beslissingstabel is daarbij geen beheersmaatregel om complexiteit te vergroten, maar een explicitering van de beslissing die juist onafhankelijk van de implementatie moet kunnen worden begrepen, getoetst en gewijzigd.
En je Chain of Custody vind ik hier juist een waardevolle aanvulling. Die bewaart de geschiedenis van het bewijs: wie kon wanneer wat weten en doen? Betekenisarchitectuur bewaart de betekenis van dat handelen: wat betekende het toen, welk doel gold en waarom was die beslissing gerechtvaardigd?
Daarmee komen we volgens mij uit bij de essentie:
Chain of Custody bewaart de geschiedenis van het bewijs.
Betekenisarchitectuur bewaart de betekenis van het handelen.
En dan krijgt je verwijzing naar Juvenalis een verrassende wending. Het antwoord op “wie bewaakt de bewakers?” kan niet eindeloos een nieuwe controlelaag zijn. Want wie bewaakt vervolgens de bewakers van de bewakers?
Op enig moment moet je stoppen met controleren en beginnen met verantwoordelijkheid expliciet maken.
Dat is voor mij betekenissoevereiniteit: niet betekenis controleren, maar voorkomen dat een organisatie haar eigen betekenis alleen nog via een leverancier, auditor, systeem of expert kan reconstrueren.
Niet méér controle dus.
Maar minder afhankelijkheid van controle.
Daar begint voor mij soevereiniteit.