GRCIAMSAP Security Governance

Grip op toegang, risico’s en compliance

Ik ben Virgil Verloop, sinds 2008 zelfstandig adviseur. Bijna twintig jaar help ik organisaties grip te krijgen op wie wat mag, op hun risico’s en op het bewijs dat ze in control zijn. Van analyse en visie, via programma van eisen en toolselectie, tot implementatie, adoptie en training.

Wat ik doe Begin met een scan Plan een gesprek

Gewerkt voor onder meer

Mijn motto

Secure business-critical processes and systems by using people, transparency and automation to break down the silos and allow connection.

Wat ik doe

Waar wil jij grip op?

Vijf gebieden waarop ik organisaties grip geef, als consultant, product owner of projectmanager. Steeds met dezelfde aanpak: transparant maken wat er is, structuur aanbrengen, mensen bij elkaar brengen en de governance inrichten die het borgt.

Grip op wie wat mag

Identity & Access Management

Identity lifecycle management dat meebeweegt met HR: instroom, doorstroom en uitstroom automatisch vanuit het bronsysteem naar SAP, Microsoft en andere systemen, ook de handmatige. Van architectuur en toolselectie tot een werkende, end-to-end geteste IAM-keten.

Bijvoorbeeld: bij Vitens definieerde ik de IAM- en GRC-architectuur; het koppelen van HR-functies aan GRC-bedrijfsrollen leverde 80% geautomatiseerde provisioning op (SAPinsider, 2019).

Microsoft Entra ID Governance
SailPoint
SAP Cloud Identity Services
SAP IAG

Grip op risico’s en aantoonbaarheid

Governance, Risk & Compliance

Het volledige GRC-traject: van analyse en visie, via programma van eisen en toolselectie, tot implementatie, adoptie en training. Gecertificeerd in SAP GRC Access Control, ervaren met de releases 10.0 tot en met 12.0 en met IAG in de cloud: risicoanalyse, aanvragen met risicotoets vooraf, SoD-rulesets en Firefighter.

Bijvoorbeeld: bij PostNL stelde ik in workshops met procesowners, Audit, Internal Control en IT de bedrijfsbrede SoD-ruleset op en leidde ik het SAP GRC 10.0-project voor centrale noodtoegang.

SAP GRC Access Control
SAP IAG
SoD-ruleset
Firefighter
GRC100-trainer

Grip op dreigingen en kwetsbaarheden

SAP Cybersecurity

SAP-landschappen hardenen tegen actuele dreigingen: kwetsbaarheden en patches bijhouden en dreigingen detecteren. Met SecurityBridge als platform voor vulnerability management, patch management en threat detection, en een haalbaarheidsstudie of pilot vóór je investeert.

Bijvoorbeeld: bij Vitens implementeerde ik SecurityBridge en ontwikkelde ik samen met KPMG het ITGC-framework, met mitigerende maatregelen voor de dertig belangrijkste risico’s.

SecurityBridge
Patch management
Threat detection
Hardening
ITGC

Grip op bedrijfsrisico’s

Enterprise Risk Management

Van toegangsrisico’s naar het bredere risico- en controlframework: risico-eigenaarschap in de business, monitoring in de tweede lijn en een betrouwbaar auditspoor voor de derde lijn, volgens het Three Lines Model. En waar dat past: de stap naar SAP Process Control en Risk Management.

Bijvoorbeeld: bij Vitens bracht ik purchase-to-pay onder in het Three Lines Model en stelde ik de businesscase op voor SAP Process Control als uitbreiding richting enterprise-GRC.

Three Lines Model
SAP Process Control
COBIT
GRCP (OCEG)

Grip op rollen en functiescheiding

SAP-autorisaties

Autorisatieconcepten en rolmodellen die least privilege waarmaken en controleerbaar blijven: functiegebaseerde rollen, een risicoruleset en het structureel opruimen van SoD-conflicten. Ook voor S/4HANA, SAP Datasphere, SAP Analytics Cloud en BTP.

Bijvoorbeeld: bij Bilthoven Biologicals implementeerde ik een nieuw autorisatieconcept met risicoruleset, inclusief GxP-processen, tot en met de go-live.

Rolontwerp
SoD-analyse
S/4HANA
Datasphere en SAC
BTP

Weet je niet waar je moet beginnen?

Met de volwassenheidsscan weet je waar je staat en wat je eerst aanpakt.

Naar de scan

Klein beginnen

Volwassenheidsscan IAM en GRC

Een compacte eerste stap. Ik toets hoe volwassen je organisatie is op het gebied van identity & access management en/of GRC: beleid, organisatie, processen en techniek langs een volwassenheidsmodel, aangevuld met gesprekken met de sleutelfiguren.

Vraag de scan aan

Wat ik toets

Beleid
Organisatie
Processen
Techniek

Wat je krijgt

Een helder beeld van waar je staat
Een roadmap voor de komende jaren
Quick wins voor het eerste kwartaal

Opdrachten

Uit de praktijk

Volledig overzicht op LinkedIn

2015 – heden

Vitens

Product Owner en Solution Architect IAM, SAP Security en GRC

SAP GRC Access Control, IAG en SAP Cloud Identity Services geïmplementeerd
SecurityBridge geïmplementeerd voor kwetsbaarheden, patches en dreigingsdetectie
Purchase-to-pay ingericht volgens het Three Lines Model

2024 – 2025

Alliander

GRC lead consultant, toolselectie en roadmap

Requirements waarmee SailPoint als GRC-oplossing is gevalideerd
Driejarige roadmap opgesteld binnen het IAM-programma

2022 – 2024

NS

SAP GRC-adviseur

GRC-inrichting doorgelicht en verbeterplan samen met het team uitgevoerd
Team getraind om zelfstandig verder te werken met GRC

2009 – 2015

PostNL

Lead consultant, projectmanager en teamlead SAP Security

PostNL-brede SoD-ruleset opgesteld in workshops met procesowners, Audit, Internal Control en IT
Projectmanager van het SAP GRC 10.0-project voor centrale noodtoegang (Firefighter)

Werkwijze

Zo werk ik

Of het nu om een scan, een roadmap of een implementatie gaat: de aanpak is steeds dezelfde.

Transparant maken
Eerst zien wat er is: wie welke toegang heeft, waar de risico’s zitten, hoe processen echt lopen en wie waarvoor verantwoordelijk is. Op basis van data, niet van aannames.
Structuur aanbrengen
Een helder model van rollen, eigenaarschap en processen, en een roadmap die iedereen begrijpt en die stap voor stap uitvoerbaar is.
Mensen bij elkaar brengen
Business, IT, audit, internal control en security aan één tafel. Daar vallen de keuzes die blijven staan, en groeit het draagvlak.
Governance inrichten
Eigenaarschap, controls, monitoring en een auditspoor, met automatisering waar dat kan. Zo blijft het werken als het project voorbij is: get clean, stay clean, stay in control.

Publicaties en sprekerschap

Kennis delen

Spreker TAC
Amsterdam, maart 2026: Best-of-Breed Approach for Identity Governance and SAP Security in a Hybrid Cloud Landscape, de aanpak bij VitensSlides (pdf)Video (YouTube)
Mei 2023: SAP GRC & IAM @Vitens, Access Control in een hybride SAP- en non-SAP-landschap met IAG als brug, samen met Hendrik Bijma (Vitens)Slides (pdf)Video (YouTube)
SAPinsider
Klantcase (2019): Drinking Water Company Vitens Connects HR and GRC Business Roles to Achieve an 80% Automated Provisioning RateLees de case (pdf)Op sapinsider.org
SAPinsider GRC 2019, Amsterdam en Barcelona: How Vitens maximizes SAP GRC 12.0 in a SAP and non-SAP landscape, samen met Tinette Beuving (Vitens)Slides (pdf)
VNSG Magazine
Coverartikel (februari 2023) over de GRC- en IAM-transformatie bij Vitens, online op het VNSG-blogLees de online versie
VNSG-events
Security Thema Dag 2023, Baarn: Hoe koppel je SuccessFactors aan GRC Access Control via Cloud Integration om joiners, movers en leavers te automatiseren, samen met Hayo Cnossen (Agrifirm)Slides (pdf)
2011: SAP GRC 10.0 Access Control, Central Emergency Access bij PostNL, samen met Bernd Mobach (PostNL)Slides (pdf)
Boek
Co-auteur van Information Risk Management in de praktijkBekijk bij bol.com
Trainer
SAP GRC en IAG, waaronder het GRC100-curriculum (Access Control, Process Control en Risk Management)

Over Virgil

Even makkelijk aan de bestuurstafel als in de configuratie

Eerder consultant bij Atos Consulting (2005–2008), sinds 2008 zelfstandig met Profilus. Ik werk als consultant, product owner of projectmanager: van strategie en architectuur tot implementatie en beheer. Verbindend, analytisch en resultaatgericht, en net zo makkelijk in gesprek met de business als met beheer.

Gecertificeerd

CISA · CISSP · GRCP · SAP GRC Access Control

Contact

Begin met een gesprek

Vertel waar je grip op wilt. Dan kijken we samen wat de eerste stap is.

virgil.verloop@profilus.nl 06 24 36 96 98 LinkedIn