Het werkend instrument · in opbouw
De Regisseur is de werkende toepassing van Publieke Regie. Een SaaS-applicatie voor publieke organisaties die aanbestedings- en contractdossiers regisseert tegen het toetsingskader, met de OCPI-conventies als kapstok. Bruikbaar door één professional, gemaakt voor de organisatie. Vanaf de tekentafel ontworpen met EU-residentie, security by design, DPIA by design, FRIA by design en audit by design.
Wat het is
De Regisseur is geen vervanger van je contractmanagementsysteem en geen concurrent van CATS CM®. Het is de laag eronder: de plek waar je dossiers inricht, toetst en bewaakt, met de OCPI-conventies als voortdurend controlerende achtergrond.
Bij elke fase in een dossier (van behoeftenstelling en inkoopstrategie tot contractmanagement en exit) toetst De Regisseur of de relevante conventies zijn nageleefd. Elk voorstel dat je maakt wordt gespiegeld aan het toetsingskader. Elke afwijking wordt benoemd, gemotiveerd, en (als nodig) geëscaleerd.
Je werkt per dossier, je volgt de fasering, en je houdt op elk moment zicht op: wat moet er nog? waar wringt het? waar is de onderbouwing dun?
Uitgangspunt
Wat het instrument van jou verlangt staat in het toetsingskader. Wat het kader van jou verlangt legt het instrument uit. Geen verborgen logica, geen eigen agenda: alleen OCPI, toegepast op wat je vandaag aan het doen bent.
Wat het doet
De conventie wordt gespiegeld aan wat je invult.
Een NvI-antwoord zonder statuslabel wordt herkend en gemarkeerd. Een voorgenomen wijziging wordt tegen de wezenlijkheidsdrempel gelegd. Een hoog-risico AI-inkoop krijgt een FRIA-indicator. De Regisseur wijst en blokkeert niet; of en hoe je daar ooit een hardere stap van maakt, is een keuze van de gemeenschap. De Regisseur toetst; beoordelen en besluiten doet de mens.
Wat je invult wordt getoetst aan het kader.
Bij elke beoordeling, gunningsmotivering en bewakingsmoment reikt De Regisseur de toepasselijke conventies aan en toont welke onderdelen van je tekst daarin verankerd zijn, en welke niet. Een tweede paar ogen dat nooit vergeet waar de meetlat ligt.
Termijnen en afwijkingen komen vanzelf boven.
Alcateltermijnen, SLA-ritmiek, exitmomenten: de Regisseur bewaakt ze actief en escaleert vóór de boot is gemist. Elk signaal verwijst terug naar de conventie die het adresseert, zodat een actie altijd verdedigbaar blijft.
Elke handeling (een aangevinkte conventie, een uitgevoerde analyse, een gewijzigd kerngegeven, een beoordeelde bevinding) wordt vastgelegd in een append-only logboek per dossier. Tien typen gebeurtenissen met tijdstempel, actor en context. Te exporteren als CSV voor een externe audit. Bovendien wordt per bevinding bijgehouden wie de inhoudelijke beslissing nam, ook als iemand anders de toets uitvoerde.
De Regisseur is gebouwd vanuit het uitgangspunt dat persoonsgegevens niet onnodig de tool verlaten. Vier maatregelen werken samen: AI-prompts bevatten een anonimisatie-instructie die namen vervangt door functies, API-sleutels worden uitgesloten van backups, context tussen fases wordt gefilterd op persoonsgegevens, en analyseresultaten worden gescand op gelekte gegevens met een zichtbare waarschuwing.
Binnenin
Elke organisatie werkt in een eigen, strikt afgeschermde omgeving. Gegevens van verschillende organisaties raken elkaar nooit, ook niet per ongeluk.
De Regisseur leest elke nieuwe release van het OCPI-register als data. Een vastgestelde wijziging in het register is daarna direct de meetlat in elk dossier, zonder software-update.
Naast de conventies staat de onderliggende wet- en regelgeving in een eigen register: 7.631 wetsartikelen, gekoppeld aan de conventies waar ze bij horen. Een bevinding verwijst zo altijd door naar de bron.
Elke faseovergang in een dossier kent een poort: het dossier gaat pas door als de checks van die fase zijn beoordeeld. Afwijken kan, maar altijd zichtbaar en gemotiveerd. Een poort tekent nooit zichzelf: bevestigen doet altijd een mens.
Voor hoog-risico AI-inkoop zit de grondrechtentoets (FRIA) in het proces zelf. De toets ontstaat in de fase waar hij hoort, en het resultaat blijft onderdeel van het dossier.
Elke bevinding legt vast onder welke versie van het register hij is beoordeeld. Bij een nieuwe release zie je wat opnieuw beoordeeld moet worden en wat geldig blijft.
Dossierfasering
De Regisseur werkt met tien vaste fasen, van behoeftenstelling tot exit en overdracht. Elke fase kent verwachte documenten, vaste kerngegevens en de conventies die daar toetsen; de vaste dossierstructuur per fase volgt conventie DR-02. Niet elk dossier doorloopt alle fasen: bij een verlenging of wijziging op een lopend contract past De Regisseur het pad aan op het scenariotype.
Behoeftenstelling
vaststellen wat, waarom, hoeveel
Inkoopstrategie
procedurekeuze, marktbenadering
Aanbesteden en PvE
documenten publiceren, vragen ontvangen
Nota van Inlichtingen
antwoorden geven, verduidelijkingen
PvB / Opening
inschrijvingen ontvangen en openen
Beoordeling
toetsen op eisen en gunningscriteria
Gunning
voorlopige gunning, Alcateltermijn
Overeenkomst
contractvorming en ondertekening
Contractmanagement
uitvoering, monitoring, evaluatie
Exit & Overdracht
beëindiging, kennisoverdracht
Elke fase eindigt met een of meer poorten: aftekenmomenten waarop een verantwoordelijke rol bevestigt dat de fase af is. Bij onomkeerbare besluiten, zoals de gunning, geldt het vier-ogen-principe: één handtekening is dan niet genoeg.
Werkt in elke sector
De toetsing is tweelaags: basis-checks gelden voor elk dossier, en per sector komen daar sector-checks bovenop. Hoeveel dat er zijn verschilt per conventie en per registerrelease.
Dimensie I · Hoofdgroep (drie)
Bouw, installaties, civiele werken
UAV 2012 v2025 (traditioneel) of UAV-GC 2025 (geïntegreerd) als default-voorwaarden. Risicoverdeling en rolvastheid leidend in de keuze.
Hardware, materialen, voertuigen
ARIV 2018 als basis. Garantietermijnen, leveringscondities en aansprakelijkheid passend bij het object van de levering.
Inhuur, advies, beheer, onderhoud
ARVODI 2018 als basis voor algemene dienstverlening. Bij ICT-diensten gelden ARBIT 2022 (Rijk) of GIBIT (gemeenten).
Dimensie II · Sector (acht)
Gebouwen, grond-, weg- en waterbouw, openbare ruimte en nutsvoorzieningen zoals drinkwater en energie. UAV en UAV-GC, expliciete risicoverdeling voor grondgesteldheid en vergunningen, aansluiting op CROW-standaarden.
Wmo, Jeugdwet, Wlz, GGD en welzijn. Toegankelijkheid voor kleine aanbieders, Open House, bijzondere persoonsgegevens strikt binnen de EER.
Hardware, software, SaaS, cloud en telecom. ARBIT en GIBIT, open standaarden, vendor lock-in, CLOUD Act-blootstelling en exit-clausules.
Schoonmaak, catering, drukwerk, kantoor en advies. Social return, cao-conformiteit in de keten, branchenormen in de gunningseisen.
Leermiddelen, leerlingenvervoer en cultuur. Raakvlakken met het sociaal domein, gemeentelijke modellen en doelgroepvoorzieningen.
Voertuigen, brandstof, parkeren en openbaar vervoer. Werk, levering en dienst lopen hier vaak door elkaar; de hoofdgroep bepaalt de voorwaarden.
Hulpverlening, defensie en openbare orde. Bij wezenlijke nationale veiligheidsbelangen kan een eigen regime gelden (artikel 346 VWEU).
Detachering, inhuur, opleiding en HR-diensten. Beoordeling arbeidsrelaties (Wet DBA en de Deliveroo-gezichtspunten), cao-conformiteit en tarieftransparantie.
De hoofdgroep en de sector staan los van elkaar: een dossier is bijvoorbeeld een dienst in de sector ICT, of een werk in Infrastructuur, Bouw en Nutsvoorzieningen.
Basis-checks gelden altijd; sector-checks komen daar bovenop, zodat het kader één geheel blijft en de toetsing specifiek wordt waar de markt daarom vraagt.
Hoe het draait
Privacy, beveiliging en verantwoording zijn bij De Regisseur geen eigenschappen die je achteraf moet controleren: vijf ontwerpprincipes zitten vanaf de eerste regel code ingebouwd. Dat is wat het verschil maakt tussen een tool die helpt en een tool die je richting auditor, CISO, FG en privacy officer kunt verdedigen.En onder alle vijf ligt hetzelfde uitgangspunt: de mens blijft aan het stuur, in het Engels human in the loop. De Regisseur toetst, signaleert en legt vast. Controleren, beslissen en tekenen doet altijd een mens.
Klantdata, applicatie-backend en de AI-verwerking draaien alle drie binnen de Europese Unie, geen US-cloud voor de inhoud van jouw dossiers. De UI-rendering loopt over een wereldwijde laag, maar passeert daar geen dossierinhoud, geen documenten en geen persoonsgegevens.
Elke organisatie krijgt strikt afgeschermde data, geen kruisbestuiving tussen klanten, ook niet per ongeluk. Een append-only audit-trail registreert elke handeling. Versleuteling, sessiebeheer en toegangsregels zijn standaard, niet als optie. Penetratietests en security-toetsing horen bij de bouwcyclus, niet bij de afsluiting.
De Data Protection Impact Assessment is geen los document achteraf, maar staat in de bouwlogica zelf. Persoonsgegevens worden in vier lagen beschermd: anonimisatie in prompts, uitsluiting uit backups, context-scrub tussen fases, en scanning op gelekte gegevens. Wat een FG nodig heeft voor een AVG-toets zit standaard in het dossier.
De Fundamental Rights Impact Assessment is geen extern document dat je achteraf invult, maar zit verweven in de fasering. Bij elke behoeftenstelling is de AI-toets onderdeel van de stap. Bij hoog-risico AI-inkoop ontstaat automatisch een FRIA-traject met herzieningsmomenten. Klaar voor 2 augustus 2026, en daarna.
Elke handeling en wijziging komt in een doorlopend auditspoor: wie deed wat, wanneer, in welke fase. Verantwoording is daarmee geen reconstructie achteraf, maar een bijproduct van het gewone werk.
Ontwikkellijnen
De Regisseur is geen product met release-data en versienummers voor de eindgebruiker; het is een SaaS-applicatie die meegroeit met haar gebruikers. Hieronder de lijnen waarlangs het werk loopt: wat al staat, wat in opbouw is, en wat op de roadmap staat.
Het fasenmodel 0 tot en met 9 staat. Elke faseovergang kent poorten: aftekenmomenten door een mens, met het vier-ogen-principe bij onomkeerbare besluiten.
Aanbestedings- en contractregie is teamwerk. De Regisseur kent elf vastgelegde rollen, van behoeftesteller, inkoper en contractmanager tot controller, FG, CISO, manager en bestuurder. Handelingen en aftekenmomenten hangen aan de rol, niet aan de persoon; één persoon kan meerdere rollen vervullen, behalve waar het vier-ogen-principe twee verschillende personen eist.
Release v1.1 van het register (43 conventies, 6 domeinen) is als data ingelezen. Bij een nieuwe registerversie opent De Regisseur per lopend dossier een beslissing: toepassen of negeren, altijd met verplichte motivering. Een wijziging werkt dus nooit stilletjes door.
7.631 wetsartikelen, gekoppeld aan de conventies en de fasen waar ze spelen. Een bevinding verwijst altijd door naar de bron.
Multi-tenant fundament op Europese infrastructuur: rollen, uitnodigingen, en een auditspoor op elke wijziging.
Uploads per fase, met automatische herkenning van het documenttype die de mens bevestigt. Elk bestand krijgt bij het uploaden bovendien een digitale vingerafdruk. Verandert er later ook maar iets aan het bestand, dan klopt die vingerafdruk niet meer. Zo is altijd aantoonbaar dat een stuk in het dossier nog exact het origineel is.
Vraagt een gebruiker AI-ondersteuning, dan worden persoonsgegevens en herleidbare namen (zoals BSN, rekeningnummers, contactgegevens, organisatie- en dossiernamen) eerst vervangen door pseudoniemen. Het antwoord komt terug met de echte gegevens hersteld. Het auditspoor legt alleen metagegevens vast, nooit de tekst zelf.
De fasen na de behoeftenstelling krijgen stap voor stap dezelfde toetsing, samen met het dossier-dashboard en de sandbox-omgeving voor bredere validatie. Die start zodra de juiste infrastructuur voor MVP-validatie geboden kan worden; veiligheid gaat vóór snelheid.
Aansluiting op de inlogomgeving van de eigen werkplek (single sign-on, zoals Microsoft Entra ID), zodat toegang en autorisatie het personeelsbeleid van de organisatie volgen.
Een afgeschermde omgeving waar inschrijvers en leveranciers zelf vragen stellen en stukken aanleveren: inschrijvingen en verantwoordingsstukken zoals realisatie- en verificatiestukken, certificaten, rapportages, verslagen en documenten. Verkenning; wacht op validatie door publieke organisaties.
Aftekenen door bestuurders in het dossier zelf: mandaat en tekenbevoegdheid digitaal vastgelegd, zodat grote besluiten worden getekend met het actuele dossier erbij. In ontwerp; zonder planning of toezegging.
Onderzoek naar het volledig in Nederland laten draaien van hosting, data en applicatie, zodat digitale soevereiniteit niet ophoudt bij Europese infrastructuur. Onderzoek; zonder planning of toezegging.
Aan de slag
De Regisseur is een SaaS-applicatie in opbouw; we geven persoonlijke toegang aan de eerste organisaties die ermee aan de slag willen. Dat is bewust: we willen begrijpen waar je tegenaan loopt voordat je gaat werken, zodat de tool aansluit op jouw praktijk en niet andersom.
Twee routes om mee te doen: plan direct een demo, of meld je aan via /meedoen als tester, ontwerppartner of betrokkene. Liever eerst overleggen? Dat kan ook via contact.
Een sandbox-omgeving voor bredere validatie start zodra de juiste infrastructuur voor MVP-validatie geboden kan worden. We noemen bewust geen datum: veiligheid gaat vóór snelheid.
Persoonlijke toegang
In een gesprek van een half uur laten we De Regisseur draaien op een dossier dat lijkt op het jouwe: een aanbesteding die je voor ogen hebt, of een contract dat je beheert. Je ziet hoe de fasering werkt, hoe de conventies toetsen, hoe de audit-trail bijhoudt wat er gebeurt. Daarna bekijken we samen hoe een goede eerste stap eruitziet voor jouw organisatie.
Design partners gezocht
We zoeken drie tot vijf publieke organisaties (Rijk, gemeenten, zelfstandige bestuursorganen, waterschappen) die als design partner of pilot-organisatie meebouwen: meedraaien op eigen casuïstiek, meebeslissen over wat eerst komt.