Maak de bevinding precies
Noteer welk criterium is getoetst en welk bewijs de afwijking onderbouwt. Onderscheid een ontbrekende afspraak, een niet ingevoerde maatregel en niet aantoonbare werking. Die vragen om verschillende acties. Als onduidelijk is wat de auditor bedoelt, vraag dan uitleg voordat u een oplossing kiest.
Lees de toelichting
Zoek waar mogelijk de oorzaak. Wordt een controle niet uitgevoerd omdat de eigenaar onbekend is, de gegevens niet beschikbaar zijn of het systeem onvoldoende ondersteunt? Dezelfde zichtbare bevinding kan meerdere oorzaken hebben.
Voorbeeld: toegangsrechten na uitdiensttreding
Stel dat accounts van vertrokken medewerkers nog actief zijn. De directe maatregel is het zorgvuldig intrekken van onnodige toegang en beoordelen van de gevolgen. De structurele maatregel kan bestaan uit een uitdienstproces waarin HR, leidinggevende en IT ieder een taak hebben.
Lees de toelichting
Bewijs kan bestaan uit goedgekeurde wijzigingen, afsluiting van accounts en een periodieke controle met opvolging. Welke stukken relevant zijn hangt af van het systeem en het auditkader. Verwerk ook uitzonderingen, zoals technische accounts die een andere eigenaar krijgen. Dit is een illustratief voorbeeld, geen volledig herstelprotocol voor ieder systeem.
Maak één uitvoerbare actielijst
Gebruik per bevinding een eigenaar met voldoende bevoegdheid, een einddatum, afhankelijkheden en de informatie die voor afronding nodig is. Maak duidelijk welke beslissingen budget of managementaandacht vragen. Rapporteer blokkades tijdig; alleen een percentage afgeronde taken laat het risico onvoldoende zien.
Lees de toelichting
Maak daarnaast onderscheid tussen ‘maatregel uitgevoerd’ en ‘werking gecontroleerd’. Een afspraak kan vandaag ingaan terwijl bewijs van een periodieke controle pas later beschikbaar komt. Stem die planning af met de auditor en houd geldende wettelijke of contractuele termijnen apart bij.
Bereid de herbeoordeling gericht voor
Bewaar de koppeling tussen rapportnummer, bevinding, maatregel en bewijs. Laat iemand controleren of de informatie compleet en begrijpelijk is. Een stapel nieuwe documenten vertelt de auditor niet vanzelf wat is veranderd.
Lees de toelichting
Het oordeel blijft aan de beoordelende auditor. Uitvoeringsbegeleiding kan helpen het dossier en de maatregelen op orde te brengen, maar geeft geen garantie op goedkeuring. Voor Wpg gelden bovendien eigen regels voor audit en hercontrole.
Wat moet in ieder geval zijn geregeld?
Criterium en afwijking helder
Oorzaak onderzocht waar mogelijk
Directe en structurele maatregel onderscheiden
Eigenaar, deadline en afhankelijkheden vastgelegd
Bewijs en controle van werking afgesproken
Deze uitleg is algemeen en vervangt geen beoordeling van uw specifieke organisatie, wettelijke positie, verwerking of incident.