De data kon niet worden aangepast. Toch gebeurde het.

Een systeem dat zekerheid beloofde

In 1999 begon de Britse Post Office met het verwijderen van de papieren kasboeken uit haar filialen en het vervangen ervan door een computersysteem. Dat systeem heette Horizon, oorspronkelijk gebouwd door ICL en later overgenomen door Fujitsu, en werd de jaren daarna uitgerold naar ongeveer 14.000 filialen, allemaal aangesloten op één centraal boekhoudsysteem. De meeste van die filialen werden beheerd door subpostmasters: zelfstandige ondernemers met een contract om een lokaal postkantoor te beheren, meestal naast hun eigen winkel. Zij voerden elke transactie in via een touchscreen, en Horizon deed de rekensom op de achtergrond. Het beloofde iets eenvoudigs en aantrekkelijks: één accurate, betrouwbare registratie van elke verkoop, betaling en overboeking in het hele netwerk.

Aan het einde van elke boekhoudperiode moest de subpostmaster de kas van het filiaal laten kloppen. Je telde de daadwerkelijke kas en voorraad en controleerde dat tegen wat Horizon zei dat er zou moeten zijn. Kwamen de twee niet overeen, dan was het verschil een tekort, en volgens het contract moest de subpostmaster dat zelf aanvullen, tenzij die kon bewijzen dat het niet zijn of haar schuld was. Wat Horizon dus ook als vermist opgaf, kwam rechtstreeks uit de zak van de persoon achter de balie.

Toen de cijfers niet klopten

Het probleem was dat Horizon tekorten liet zien die niet echt waren. Softwarefouten verzonnen geld dat nooit was verdwenen. Bij de zogeheten Dalmellington-bug zorgde een vastgelopen scherm ervoor dat het systeem dezelfde kasoverdracht telkens opnieuw registreerde, waardoor één subpostmaster bleef zitten met een gat van £24.000 dat alleen in de software bestond. De Callendar Square-bug dupliceerde in stilte boekingen in het kasboek. Subpostmasters belden de helpdesk om de afwijkingen te melden en kregen te horen dat het systeem betrouwbaar was en dat de fout bij hen lag.

Er schuilde nog een extra hardvochtigheid in de manier waarop het systeem werkte. Horizon bood geen mogelijkheid om een cijfer als betwist te registreren. Om de boekhoudperiode überhaupt af te sluiten, moest de subpostmaster het saldo op het scherm accepteren, wat betekende dat hij of zij een verklaring moest ondertekenen dat het klopte, ook als hij of zij wist dat dit niet zo was. Mensen die geen enkele manier hadden om te bewijzen dat de software ongelijk had, moesten hun naam zetten onder cijfers alsof het hun eigen eerlijke verantwoording was, en die handtekening was later vaak precies wat de Post Office gebruikte om hen te vervolgen voor valsheid in geschrifte. De enkelen die pertinent weigerden en niet wilden aftekenen voor een balans waarin ze geen vertrouwen hadden, werden gezien als lastposten en weggewerkt, maar zij hebben nooit die ondertekende, onjuiste verklaring afgegeven waarop de vervolgingen steunden.

De mensen die erbij konden

Eén geruststelling kwam keer op keer terug: dat niemand buiten het filiaal bij die rekeningen kon komen om ze te veranderen. Bij het Software Support Centre van Fujitsu in Bracknell kon een team van ongeveer vijfentwintig tot dertig mensen precies dat. Zij hadden toegang op afstand tot de filiaalrekeningen en konden transactiedata in het live systeem aanpassen en overschrijven. Richard Roll, een voormalig Fujitsu-engineer die uiteindelijk aan de bel trok, omschreef die toegang als in de praktijk niet gecontroleerd, en zijn voormalige collega's als mensen die "overal doorheen konden breken" en via een achterdeur binnen konden komen zonder dat de subpostmaster het ooit zou weten. Het publieke onderzoek kreeg later dezelfde boodschap te horen, maar dan in kalmere bewoordingen: de toegang was "onbeperkt en niet controleerbaar."

Het officiële standpunt, tot in 2015 nog herhaald tegenover het Parlement, was dat er "geen functionaliteit in Horizon bestaat waarmee een filiaal, de Post Office of Fujitsu transactiedata kan bewerken, manipuleren of verwijderen zodra die eenmaal is vastgelegd in de rekeningen van een filiaal." De Post Office gaf pas in 2019, bij het High Court, toe dat dit anders was, op het moment dat er geen ruimte meer was om het te ontkennen.

Verantwoordelijk gehouden voor data die ze niet konden zien

Meer dan 900 subpostmasters werden vervolgd op basis van wat het systeem beweerde, en velen betaalden in stilte tekorten terug die nooit echt waren. Wat me blijft bezighouden, is de kloof tussen die twee feiten. Aan de ene kant een persoon achter de balie die te horen krijgt dat het systeem betrouwbaar is en dat het ontbrekende geld zijn of haar verantwoordelijkheid is. Aan de andere kant een ondersteuningsteam dat in datzelfde systeem kon ingrijpen en kon veranderen wat het registreerde. De mensen die verantwoordelijk werden gehouden voor de data waren de enigen in de keten die niet konden zien wat er met die data gebeurde.

Dat is een data-integriteitsverhaal. Het draagt alleen toevallig een Post Office-uniform.

Waarom dit bekend zou moeten voelen

Bijna alles wat bij Horizon misging, is direct te herleiden tot principes die deze sector al heeft vastgelegd en verplicht heeft gesteld. We spreken over ALCOA+: data moet attributable (toewijsbaar), legible (leesbaar), contemporaneous (gelijktijdig vastgelegd), original (origineel) en accurate (accuraat) zijn, en daarnaast ook complete (compleet), consistent (consistent), enduring (blijvend) en available (beschikbaar). De registraties van Horizon bezaten geen van deze eigenschappen op een manier waarop een subpostmaster erop kon vertrouwen. De wijzigingen waren niet toewijsbaar, omdat gebruikers met verhoogde rechten konden bewerken zonder een spoor achter te laten. Ze waren niet compleet, omdat de auditdata die aan de rechtbanken werd overhandigd, was gefilterd. En ze waren niet beschikbaar voor precies de persoon die ze het hardst nodig had. Er is ook een aspect dat geen acroniem helemaal vangt: niemand zou ooit in de positie moeten worden gebracht waarin hij of zij een cijfer moet bevestigen waarvan hij of zij weet dat het onjuist is, en dat is precies wat Horizon van een subpostmaster eiste bij elke afsluiting van de boeken.

Annex 11 en 21 CFR Part 11 bestaan om precies dit te voorkomen. Audit trails die niet uitgeschakeld kunnen worden. Toegangscontroles die gewone gebruikers scheiden van beheerders. Een duurzame registratie van wie wat heeft veranderd, wanneer en waarom. De reden dat toezichthouders zo gefixeerd zijn op bevoorrechte toegangsrechten, beheeraccounts en aanpassingen op databaseniveau volgens het principe "IT lost het hier wel even op", is dat precies dit de plek was waar het bij Horizon fout ging. Geef iemand verhoogde rechten zonder toezicht, en die persoon kan in stilte de werkelijkheid herschrijven, terwijl degene die met het resultaat moet leven, er nooit achter komt.

Als je in de farmaceutische industrie werkt, is niets van deze theorie nieuw voor je. Het ongemakkelijke is dat Fujitsu dit vermoedelijk ook wist. De regels kennen en de regels laten naleven zijn niet hetzelfde.

Het deel dat je manier van werken zou moeten veranderen

Je weet al dat audit trails belangrijk zijn, dus daar sta ik niet lang bij stil. De moeilijkere vraag is wat je doet wanneer een leverancier je een garantie geeft.

De garantie van de Post Office was dat de data niet kon worden aangepast. Niemand met de macht om dit te controleren heeft dat ooit werkelijk gedaan, totdat rechtszaken het aan het licht brachten. Op dat moment waren al honderden levens verwoest op basis van een bewering die een paar dagen eerlijk, onafhankelijk onderzoek had kunnen ontmaskeren.

In de farmaceutische industrie leunen we voortdurend op verklaringen van leveranciers. De leverancier zegt dat het systeem gevalideerd is. De CMO zegt dat de audit trail actief staat en wordt beoordeeld. De leverancier van laboratoriumsoftware zegt dat gebruikers resultaten niet kunnen wijzigen, dat tijdstempels vastliggen, dat verwijderde data kan worden hersteld. Meestal worden die verklaringen te goeder trouw afgelegd en zijn ze juist. Maar "meestal" draagt in die zin heel veel gewicht, en je kunt de activiteit uitbesteden zonder ooit de verantwoordelijkheid uit te besteden. Als het misgaat, komt de bevinding terecht bij de houder van de handelsvergunning, niet bij de leverancier.

Dus controleer het. Goede bedoelingen van de kant van de leverancier veranderen niets aan de rekensom: de kosten van ongelijk hebben zijn enorm, en de kosten van controleren zijn een paar dagen en een paar ietwat ongemakkelijke vragen. Vraag om de configuratie van de audit trail te zien, niet om een beschrijving ervan. Kijk toe terwijl iemand probeert een vergrendeld record te wijzigen en bevestig dat die poging daadwerkelijk wordt vastgelegd. Zoek uit wie beheerdersrechten heeft op het systeem waarop jouw kwaliteitsbeslissingen zijn gebaseerd, en wat diegene ervan weerhoudt om die rechten in stilte te gebruiken. Voer een echte leveranciersaudit uit in plaats van een vragenlijst per e-mail uit te wisselen.

En doe het terwijl het nog kan. Dit is het deel dat vaak wordt gemist. Het venster om te verifiëren blijft niet open staan. Audit trails worden gearchiveerd of overschreven. Bewaartermijnen verlopen. Bij systeemmigraties blijft oude data stilzwijgend achter. Contracten lopen af, mensen vertrekken, en degene die je de waarheid had kunnen laten zien, neemt die kennis mee. Bewijs dat vandaag bestaat, kan volgend jaar verdwenen zijn, en het moment waarop je het uiteindelijk nodig hebt, is meestal het moment waarop het het moeilijkst te reconstrueren is.

De subpostmasters hadden deze optie nooit. Zij konden Fujitsu niet auditeren. Zij konden de achterdeur niet zien. Hun werd een getal voorgelegd, hun werd gezegd dat het klopte, en zij hadden geen enkele positie om dat te toetsen en geen manier om te weten dat een team elders het kon veranderen. Die machteloosheid is wat hun verhaal zo moeilijk te verteren maakt.

Jij bevindt je bijna nooit in die positie. Wanneer een leverancier jou een garantie geeft over de integriteit van je data, heb je meestal het contractuele recht, de technische middelen en de professionele positie om te testen of die garantie standhoudt. Horizon is een herinnering aan wat het kost wanneer mensen die hadden kunnen controleren, dat simpelweg niet deden, terwijl controleren nog mogelijk was.

Je hoeft niet elke leverancier als verdachte te behandelen om dit serieus te nemen. Je moet wel de momenten herkennen waarop je een verklaring aftekent die je zelf zou kunnen controleren, en dat controleren behandelen als onderdeel van het werk, niet als formaliteit.