5.3 - Rollen, verantwoordelijkheden en bevoegdheden
YipYip heeft een platte organisatie zonder formele afdelingsstructuur. Informatiebeveiliging is geen aparte functie maar onderdeel van bestaande rollen.
Rolbeschrijvingen
Section titled “Rolbeschrijvingen”De rollen, bezetting en omschrijvingen staan in registers/rollen.yaml; hieronder de verantwoordelijkheden per rol.
Directie
Section titled “Directie”Bezetting: de twee directieleden (Technical Director en Creative Director)
- Eindverantwoordelijk voor informatiebeveiliging
- Vaststellen beleid, doelstellingen en risicobereidheid
- Toewijzen budget en middelen
- Goedkeuren restrisico’s
- Aanstellen van de onafhankelijke interne auditor
- Uitvoeren directiebeoordeling (jaarlijks)
IB-coördinator
Section titled “IB-coördinator”Bezetting: de Technical Director (tevens Directie en DevOps Lead)
- Dagelijks beheer en coördinatie ISMS
- Uitvoeren en coördineren risicobeoordeling
- Toezicht op implementatie controls en uitvoering controleprogramma
- Rapporteren aan directie
- Beheren documentatie en awareness-programma
- Contact met certificerende instantie en toezichthouders
- Eerste aanspreekpunt voor gebeurtenissen en incidenten
- Afvoer van hardware
De IB-coördinator combineert de rollen die in grotere organisaties verdeeld zijn over ISMS Manager, Security Officer en Privacy Officer.
DevOps Lead
Section titled “DevOps Lead”Bezetting: de Technical Director (tevens Directie en DevOps Lead)
- Infrastructuur, hosting (GCP) en deployment
- Technische beveiligingsmaatregelen: IAM, logging, back-ups, secrets
- Owner van de technologische controls (8.xx) die de infrastructuur raken
- Change management voor infrastructuur en releases
Creative Director
Section titled “Creative Director”Bezetting: de Creative Director (tevens Directie en HR-manager)
- Design- en UX-processen
- Owner van controls die het ontwerpproces raken
Project Manager
Section titled “Project Manager”Bezetting: meerdere medewerkers, projectafhankelijk
- IB-paragraaf in de PRD en kick-off van projecten
- Afspraken met de klant over beveiliging, oplevering en SLA
- Owner van controls rond projectbeveiliging en acceptatie
HR-manager
Section titled “HR-manager”Bezetting: de Creative Director (tevens Directie en HR-manager)
- Screening (VOG voor medewerkers in loondienst, referentie voor DevOps)
- Arbeidsvoorwaarden, geheimhouding en personeelshandboek (Notion)
- On- en offboarding-checklist
- Owner van de people-controls (6.xx) en van het assetregister (
registers/assets.yaml)
Office Manager
Section titled “Office Manager”Bezetting: intern
- Kantooromgeving en facilitaire zaken
- Owner van fysieke controls die de werkruimte betreffen
Alle medewerkers
Section titled “Alle medewerkers”Bezetting: ~10 personen (designers, developers, project managers, office manager, stagiairs)
- Naleven beleid en procedures
- Melden gebeurtenissen en zwaktes in Jira (project IMS) of bij de IB-coördinator
- Deelnemen aan de awareness-sessies en de jaarlijkse IB-presentatie
- Beschermen vertrouwelijke informatie
- Veilig gebruik systemen en clean desk
Interne auditor
Section titled “Interne auditor”Bezetting: extern in te huren (onafhankelijkheid); eerste audit gepland eind 2026 of begin 2027
Gezien de omvang van YipYip wordt de interne audit uitbesteed aan een externe auditor. In een klein team is niemand onafhankelijk van de processen die worden geauditeerd.
Rolcombinatie
Section titled “Rolcombinatie”Directie, IB-coördinator en DevOps Lead worden door dezelfde persoon vervuld. Volledige functiescheiding is bij ~10 medewerkers niet haalbaar. De directie accepteert dit als restrisico; het is opgenomen in het risico-register. Er zijn geen specifieke compenserende maatregelen. Wat er wel is: verplichte PR-review op code, en vanaf 2026/2027 een onafhankelijke interne audit.
RACI Matrix
Section titled “RACI Matrix”| Proces | Directie | IB-coördinator | DevOps Lead | HR-manager | Project Manager | Medewerkers |
|---|---|---|---|---|---|---|
| Beleid vaststellen | A/R | R | I | I | I | I |
| Risicobeoordeling | A | R | C | C | C | C |
| Control implementatie | A | R | R | R | R | C |
| Gebeurtenissen en incidenten | I | A/R | R | I | I | R |
| Interne audit | A | R (coördinatie) | C | C | C | I |
| Directiebeoordeling | A/R | R (voorbereiding) | I | I | I | I |
| Awareness | A | R | C | C | C | R |
| On- en offboarding | I | C | C | A/R | I | I |
| Projectbeveiliging (PRD, kick-off) | I | C | C | I | A/R | I |
R = Responsible, A = Accountable, C = Consulted, I = Informed
Communicatie
Section titled “Communicatie”- Rollen worden gecommuniceerd bij aanstelling
- IB-coördinator is extern contactpersoon voor security-vragen
- Competentie-eisen per rol: zie
07-ondersteuning/7.2-competentie.md
Rollenregister
Section titled “Rollenregister”De gedefinieerde rollen, bezetting en omschrijvingen zijn centraal vastgelegd in registers/rollen.yaml. Dit register is de bron van waarheid voor role-owners in controls, registers en tools. Gebruik uitsluitend de rollen die daarin zijn gedefinieerd.
Gerelateerde controls
Section titled “Gerelateerde controls”| Control | Onderwerp | Status |
|---|---|---|
| 5.02 | Rollen en verantwoordelijkheden | implemented |
| 5.03 | Functiescheiding | implemented |
Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29