CIO of the Year An Swalens (NBB): ‘We kunnen het ons niet veroorloven om verkeerde keuzes te maken’

Al vier jaar bepaalt ze de technologische koers bij de Nationale Bank van België, waar innovatie hand in hand gaat met stabiliteit en veilig­heid. Geen eenvoudige opdracht, maar wel eentje met impact.

Hoe moeten we ons IT bij de Nationale Bank voorstellen?

An Swalens: Onze organisatie telt ongeveer 250 mensen, op een totaal van tweeduizend werknemers. We hebben diensten die zich toeleggen op business partnering en toepassingen, op technologie en infrastructuur, op security en uiteraard ook customer services en een ploeg rond onze strategie, innovatie en enterprise architectuur.

Op zich zijn we vergelijkbaar met andere organisaties. We hechten veel belang aan de architectuur om ons IT-landschap toekomstgericht te houden. Elke dienst binnen IT heeft een duidelijk doel om dat landschap te laten aansluiten op wat het bedrijf nodig heeft, veilig en stabiel te houden en tegelijk open te staan voor nieuwe technologie.

Zijn de uitdagingen bij de Nationale Bank anders dan in een doorsnee bedrijf?

Swalens: Ik denk dat IT in alle sectoren voor gelijkaardige uitdagingen staat. Omgaan met legacy, beveiliging voorzien, agility aanbieden… dat is heel gelijkaardig. Maar er zijn natuurlijk verschillen, bijvoorbeeld de cultuur die voortvloeit uit de missie van de centrale bank. Security, compliance en de regelgeving maken het hier wel anders.

Kan de NBB daar de juiste mensen voor aantrekken?

Swalens: Het is voor ons ook moeilijk om de juiste mensen te vinden omdat er een tekort is op de markt. Vanuit HR doen we wel veel inspanningen om een goede werkgever te zijn, we zetten ook in op diversiteit en inclusie, met een state-of-the-art digitale werkplek, en marktconforme verloning.

Vanuit IT hebben we wel een heel modern landschap. We werken met de nieuwste technologie, hebben een sterke focus op security en werken met de verschillende business teams rond hun specifieke noden. Inhoudelijk hebben we dus heel interessante jobs, maar soms weten mensen dat niet. Bij de Nationale Bank denk je misschien aan een eerder saaie of logge onderneming. Werken met risico’s ligt hier ook moeilijk, maar tegelijk bieden we door onze projecten, technologie en de impact die je kan hebben heel uitdagende jobs en daarop willen we ons differentiëren om talent aan te trekken.

Hoe moeilijk is het om nieuwe technologie aan te bieden in een vrij traditionele en streng gereguleerde omgeving als de Nationale Bank?

Swalens: Dat is effectief niet gemakkelijk. Ik maak duidelijke keuzes zodat er focus is, en probeer die keuzes ook heel goed uit te leggen. We hebben bijvoorbeeld de infrastructuur voor onze financiële markten en cash heel bewust on-premises gehouden in een afgescheiden, superveilige infrastructuur. Maar om data te verzamelen, beheren en analyseren willen we wel maximaal de opportuniteiten van cloud gebruiken. In die zin hebben we een hybride aanpak, maar met duidelijke keuzes.

Dat gaat ook gepaard met proactief geruststellen, met risk governance en goed uitleggen dat we rekening houden met die risico’s, maar ook met innovaties voor de toekomst. We willen een veilige en stabiele IT-omgeving, maar we moeten ook efficient en relevant blijven. We kijken dus naar de toekomst en naar nieuwe opportuniteiten.

Je bent hier vier jaar aan de slag. Bij de voorstelling aan de jury zei je dat de fundamenten er nu liggen, over wat spreken we dan concreet?

Swalens: Dat is enerzijds de architectuur die we gebouwd hebben. Het gaat om een aantal transversale platformen, bijvoorbeeld een automatisatie- en dataplatform dat mee evolueert met de behoeften van de bank, en een nieuwe virtual private cloud naast onze on-premise zone. De architectuur is gekoppeld aan onze verschillende business capabilities en een levenscyclus voor al onze toepassingen die gealigneerd wordt met de businessbehoeften en IT.We hebben ook onze IT-organisatie aangepast en werken hard aan onze skills en cultuur in IT, terwijl we blijvend inzetten op de digitale skills en adoptie in de hele NBB. De sleutel tot succes hier is de kwaliteit van onze mensen.

Wat zie je als de werven van de komende jaren?

Swalens: De continue vernieuwing levendhouden, de mogelijkheden nog beter gebruiken dankzij een goede dialoog met de business, zodat we ons goed blijven afstemmen op nieuwe noden en behoeften.Security is een tweede grote werf. Die dreiging verandert zodanig snel dat je dat moet blijven opvolgen. Het derde luik is alles rond data en AI omdat daar voor de NBB veel potentieel in zit om, met de fundamenten die we al hebben, onze interne werking en ons data-inzicht te verbeteren.

Hoe evolueren je budgetten?

Swalens: Stabiel tot heel licht vooruit. Er zijn natuurlijk altijd veel meer vragen uit de business maar we werken met beperkte middelen en stemmen prioriteiten af. Wel hebben we ons budget voor cybersecurity, ten opzichte van de andere activiteiten, veel meer laten stijgen.

Hoe zwaar weegt die security op uw budget? Want het valt niet te negeren, maar het is tegelijk geld dat niet kan gaan naar nieuwe diensten of producten.

Swalens: Ik kan er moeilijk een cijfer op plakken omdat security in heel veel domeinen ingebed zit. We ontwikkelen software waar security standaard ingebakken zit, bijvoorbeeld. We hebben sinds vorig jaar een nieuwe dienst, ‘IT security & risk’, gecreëerd om dat domein extra te ondersteunen. Het vraagt veel inspanningen in mensen, processen en tools, maar het is ook nodig. In onze positie kunnen we niet anders.

De uitdaging zit er ook in om beveiliging niet te complex te maken voor de mensen die het dagelijks moeten toepassen. Gebruiksvriendelijkheid en veiligheid botsen vaak met elkaar. De menselijke factor in security blijft een grote uitdaging.

Je bent afgestudeerd al als burgerlijk ingenieur, aangevuld met een jaar HR-studies. Was het toen al de bedoeling om in ICT te gaan?

Swalens: Dat was niet meteen het plan. Ik wou niet richting technologie om de technologie, daarom heb ik een jaar HR bijgestudeerd. Je komt daar plots tussen psychologen terecht, maar daar zie je wel een heel andere zijde. Nadien heb ik meteen ook een job gezocht waar ik veel contact met mensen had of mensen kon overtuigen, en zo ben ik in IT gerold. Het was dus zeker geen plan op lange termijn.

Na zestien jaar aan de kant van de vendors maakte je de overstap naar de klant. Hoe was die ervaring?

Swalens: Dat was zeer doelbewust omdat ik – hoe interessant het ook is om in het hart te zitten van technologie voor vele sectoren – na een tijd die zijde wel gezien had. Je biedt veel oplossingen aan, maar je ziet ze niet uitgerold in je bedrijf. Ook de stap naar Partena was toen een bewuste keuze voor de gezondheidssector omdat ik impact wou hebben. Maar de start was wel anders dan eerst verwacht. Je komt vanuit een IT-bedrijf waar technologie in het centrum staat en iedereen over IT spreekt, je bent de kern van het bedrijf. Misschien was ik daar wat naïef in, maar toen ik met mijn expertise bij Partena binnenstapte dacht ik dat iedereen meteen enthousiast zou zijn met wat we zouden doen. Het is echter een heel ander soort organisatie. Mensen luisteren niet noodzakelijk meteen naar wat IT komt zeggen. Dat was wel even aanpassen en dat zijn lastige momenten, maar je leert daar wel heel veel uit.

Moet je IT dan intern gaan ‘verkopen’?

swalens: Ja, je moet IT gaan verkopen en vooral goed kunnen luisteren. Je moet IT uit-leggen op een manier dat je de punten raakt die voor de andere persoon heel belangrijk zijn. Je komt ­terecht in een organisatie waar beslissingen rond IT op een andere manier gebeuren en daar moet je ook in passen. Tegelijk is het ook je taak als CIO om zelf het bedrijf uit te dagen op technologisch vlak.

Heeft dat jaar HR daarin geholpen?

Swalens: Achteraf gezien wel, maar misschien is het wat te vroeg gekomen omdat je op dat moment nog heel onervaren bent. Het was vooral voor mij een teken dat ik een combinatie zocht waar ik technologie kon inzetten in het belang van mensen.

Waarom heb je vier jaar geleden voor de bank gekozen?

Swalens: Het is een heel boeiende omgeving, met een maatschappelijke context. Ik hou van nieuwe uitdagingen en dat was het voor mij ook. Veel mensen werken hier al lang, daarom beschouw ik me als complementair. Hier is veel expertise, ik kom met een nieuwe blik en die combinatie van expertise en een nieuwe kijk is heel interessant.Het is een complexe omgeving, maar hier dingen realiseren biedt mij veel werkplezier.

(Lees verder onder de foto)

Hoe probeer je in technologiekeuzes hype van potentieel te onderscheiden?

Swalens: Dat is een essentieel deel van mijn rol: een sterke visie hebben, essentie van details onderscheiden. Het is zowel strategisch kijken als naar de noden op het terrein.

Hoe blijf je zelf bij?

Swalens: Ik spreek heel veel met mensen, en lees ook bij. Dat is niet altijd heel diep in detail, daar moet je kunnen vertrouwen op medewerkers. Maar je moet hen wel kunnen uitdagen en dus moet je de essentie begrijpen.

De activiteiten van de NBB zijn breed, dat betekent ook dat er veel vragen uit de business komen, hoe gaat u daar mee om?

Swalens: Dat gaat inderdaad breed. Denk bijvoorbeeld aan veilige cash, dat is een productie-activiteit. Financiële markten gaat onder meer over transacties tussen banken, terwijl we bij economische studies en statistiek databronnen verzamelen en data delen, analyseren en voorspellen. Maar daar heb ik in mijn vorige rol bij Partena veel geleerd. Daar was ik op het einde ook CIO van een groep met vele activiteiten en aparte ondernemingen. Daar krijg je verschillende vragen, soms van verschillende raden van bestuur, terwijl je een consistente IT-aanpak wil verdedigen.

Er is zeker ruimte voor experimenten binnen de bank, zij het wel dat we die heel goed afschermen in onze architectuur.

An Swalens

Die ervaring heeft mij wel geholpen want de uitdaging zit er in om een relatief eenvoudige IT te hebben die al die verschillende businessvragen aanpakt, nu en in de toekomst. Mensen daar in meenemen en de communicatie organiseren is niet evident. Iedereen kent vooral de eigen activiteiten. De kunst bestaat erin om hun vraag goed te begrijpen en dat te vertalen in gemeenschappelijke IT. Maar dan moet je echt goed weten waar iedereen mee bezig is. Je kan ook niet alle complexiteit van IT uitleggen aan de business, dan heb je geen mensen mee. Je moet hen eenvoudig uitleggen wat het voor hen kan betekenen.

Staat AI actief op de agenda?

Swalens: Absoluut. AI staat al lang op de agenda gezien onze activiteiten, maar zeker ook de huidige evolutie. We zijn met een aantal PoC’s bezig. Daar is ruimte voor in onze architectuur en we kunnen zelf beslissen we die verder in onze productie uitrollen.

Is er plaats voor AI binnen de bank, of wachten jullie liever tot dat meer volwassen is?

Swalens: Er is zeker ruimte voor experimenten binnen de bank, zij het wel dat we die heel goed afschermen in onze architectuur. We vinden het belangrijk om dat te doen omdat er veel potentieel in zit voor efficiëntie en automatisering. Ook extern kunnen we tools gebruiken om beter en sneller inzichten uit data te halen.

Daarnaast vinden we het belangrijk dat onze mensen leren omgaan met AI. Het gaat complex zijn, dat gaan we niet allemaal in regeltjes kunnen gieten, dus mensen moeten leren om er zonder veel risico’s mee om te gaan, een beetje zoals met security vandaag ook het geval is.

Is het dan moeilijk afwegen wat u zelf ontwikkelt of aankoopt? Want u zit met processen en data in een zeer gevoelige omgeving.

Swalens: We combineren en hebben daar een strategie rond. We gaan zeker technologie zoeken op de markt. Iets bouwen dat al bestaat heeft geen zin. Daar is het buy over build en dat doen we voor AI zeer sterk omdat die markt zo snel evolueert.

Daarnaast bouwen we zelf, bijvoorbeeld voor de activiteiten in financiële markten. Daar zijn ook niet zoveel standaardtoepassingen beschikbaar. Maar zo willen we ook zelf technische kennis houden, die we gebruiken om onze vendors uit te dagen in gebieden waar we wel extern aankopen. De Nationale Bank is een onafhankelijke instelling en dat vertalen we ook in onze IT.

Doen jullie aan outsourcing?

Swalens: Ja. Al kijken we altijd naar de risico’s en willen we controle houden over onze hele IT-omgeving. Wij externaliseren omdat we met ons team maximaal willen inzetten op onze kernactiviteiten: de business begrijpen, architectuur uitbouwen, technische kennis in huis hebben over onze toepassingen en belangrijke technologieplatformen.

Maar voor zaken die vandaag commodity zijn, onze eerstelijns servicedesk bijvoorbeeld, werken we met externe partners. We willen ook gespecialiseerde kennis binnenhalen. Daarom gaan we op zoek naar een goed samenwerkingsmodel en werken we ook steeds binnen de Europese Unie.

Wordt er op IT-vlak ook Europees samengewerkt? Bijvoorbeeld met de ECB of andere Europese nationale banken?

Swalens: Dat zijn zeker geen eilanden. We werken samen, er is ook een Europees IT-comité waar ik mee in zetel. Uiteindelijk hebben we dezelfde business. De toepassing die wij voor cash hebben gebouwd, wordt vandaag in twaalf landen gebruikt. Soms delen we een volledige toepassing, soms enkel de architectuur of principes.

Rond security delen we veel informatie en frameworks, dus er is best veel samenwerking, maar vaak wel met een eigen implementatie voor de noden in elk land, want elke regio heeft zijn eigen banklandschap.

Hoe kijk je naar ‘sovereign cloud’, waar de cloudspelers hun technologie ‘geïsoleerd’ aanbieden voor gereguleerde organisaties?

Swalens: Naar trends kijk ik altijd genuanceerd. De stabiliteit van IT is voor ons heel belangrijk. Het ergste dat ons kan overkomen is een incident dat lang aansleept. Dus alle verandering die we binnenbrengen, en we willen veel doen, mag niet ten koste gaan van de stabiliteit. Dan zou ik het vertrouwen van heel onze business kwijt zijn.

Tijdens corona konden we heel snel thuiswerk aanbieden omdat we al in de public cloud zaten.

An Swalens

Je kan dus niet zo snel gaan als je soms zou willen, omdat we het ons niet kunnen veroorloven om verkeerde keuzes te maken of schokken te geven aan de organisatie. Maar dat dwingt ons ook om heel goed na te denken over onze keuzes en daar aan vast te houden. Anders zou je snel geneigd zijn, met alles wat er op de markt is en wat er wordt beloofd, om in een kakofonie van technologie te belanden.

Ook op securityvlak geloof ik in het nut van eenvoud. Hoe complexer het wordt, hoe groter de kans dat je dingen over het hoofd ziet. Maar soevereiniteit is voor ons wel belangrijk dus we volgen dat wel op. We sluiten niets uit, maar het wordt een afweging tussen benefits en verschillende risico’s.

Je bent eind 2019 bij NBB gestart. Plots moest een heel risico-averse omgeving haar mensen van op afstand laten werken. Hoe bent u daarmee omgegaan?

Swalens: Je moet de essentie in de gaten houden. Dus aan je mensen duidelijk maken wat wel of niet kan, maar vooral hen bijbrengen waarom iets wel of niet kan. Je kan niet alles in regeltjes gieten en verwachten dat mensen dat zomaar allemaal volgen.

Dat is ook balanceren. Tijdens corona konden we heel snel thuiswerk aanbieden omdat we al in de public cloud zaten met Microsoft. Hadden we die stappen nog niet gezet omwille van het risico, dan was dat veel moeilijker toen we ertoe gedwongen werden. Op dat vlak heeft de pandemie wel geholpen om de adoptie bij onze mensen heel snel te maken.

Pluk je daar vandaag vruchten van? Staat de bank nu meer open om dingen in de cloud te doen?

Swalens: Het helpt wel om het nu uit te leggen. Als er mensen terughoudend staan ten opzichte van een cloudoplossing, dan moet ik zeggen dat we daar vandaag al met een aantal zaken zitten zoals de werkplek. Dat zorgt wel voor een ­ver­snelde adoptie.