Wat is een Wpg-audit? Een onderzoek naar de naleving van de Wet politiegegevens. Voor boa-werkgevers omvat het stelsel jaarlijkse interne audits en een periodieke externe audit, in beginsel eens per vier jaar. Controleer de actuele regeling, onderzoeksperiode en eventuele hercontroletermijn voor uw organisatie.
Interne controle, externe audit en hercontrole
| Onderdeel | Doel en afbakening |
|---|---|
| Interne audit | Onderzoekt de eigen Wpg-uitvoering en levert bevindingen en verbeteracties op. Auditplan, deskundigheid en voldoende afstand tot het onderzochte werk moeten passen. |
| Externe audit | Een afzonderlijk onafhankelijk onderzoek volgens de geldende eisen. De auditor bepaalt de benodigde werkzaamheden en onderbouwing. |
| Hercontrole | Beoordeelt of tekortkomingen uit de eerdere audit zijn hersteld. Een afgeronde actielijst alleen toont nog niet aan dat maatregelen werken. |
De voorbereiding door Datajuristen vervangt de verplichte externe Wpg-audit niet. Voor die audit is een afzonderlijke opdracht aan een passende onafhankelijke auditor nodig. De FG houdt toezicht op het proces, maar voert de Wpg-audit of hercontrole niet zelf uit.
Zo bouwt u een toetsbaar auditdossier
- Baken de opdracht af. Beschrijf verantwoordelijke, processen, systemen, onderzoeksperiode en partijen. Maak zichtbaar wat buiten de scope valt en waarom.
- Koppel eisen aan bewijs. Noteer per onderwerp welke werkwijze is afgesproken, wie deze uitvoert en welke stukken de uitvoering onderbouwen.
- Controleer de praktijk. Kijk bijvoorbeeld naar een afgeronde autorisatiecontrole, gevolgde verwijderactie of afgehandeld verzoek. Bewaar alleen noodzakelijke bewijsgegevens, afgeschermd en herleidbaar.
- Bespreek ontbrekende onderbouwing. Onderscheid een ontbrekend document, een niet uitgevoerde maatregel en onvoldoende bewijs van werking. Die vragen ieder een ander herstel.
- Leg besluiten en opvolging vast. Benoem eigenaar, termijn, afhankelijkheden en de manier waarop een verbetering opnieuw wordt gecontroleerd.
Van bevinding naar aantoonbaar herstel
De audit signaleert dat toegangsrechten na functiewijziging niet aantoonbaar worden herzien. Een nieuwe procedure is een eerste stap. Het herstel wordt sterker als HR-mutaties een taak voor de beheerder opleveren, een eigenaar afsluiting controleert en de organisatie enkele uitgevoerde gevallen kan laten zien. De hercontrole beoordeelt vervolgens het herstel binnen de afgesproken scope.
Pas verbetermaatregelen toe op de oorzaak. “Medewerkers nogmaals informeren” is weinig overtuigend als het proces geen eigenaar heeft of het systeem oude rechten laat staan. Leg ook vast hoe u controleert dat dezelfde afwijking niet terugkomt.
Wat kan Datajuristen ondersteunen?
- De AVG/Wpg-afbakening en procesinventarisatie voorbereiden.
- Een interne controleaanpak, interviews en bewijsinventarisatie organiseren binnen een afgesproken opdracht.
- Bevindingen vertalen naar uitvoerbare werkinstructies en verbetermaatregelen.
- Een dossier met openstaande punten, eigenaren en planning opbouwen.
- Afstemming tussen proceseigenaar, privacy, CISO en onafhankelijke auditor voorbereiden.
Planning, inzet en kosten hangen af van uw processen, beschikbare stukken en auditbevindingen. Deel bij een eerste contact een algemene beschrijving; stuur geen politiegegevens of volledige dossiers via het webformulier.
Veelgestelde vragen over de Wpg-audit
Kunnen onze AVG-documenten ook als Wpg-bewijs dienen?
Een deel van de beveiliging of organisatie kan overlappen. Controleer of de stukken daadwerkelijk de Wpg-verwerking, relevante eisen en onderzoeksperiode dekken. Een algemene AVG-checklist is geen volledige Wpg-audit.
Is een kleine boa-organisatie vrijgesteld?
Ga niet uit van een vrijstelling vanwege alleen het aantal boa’s. Beoordeel de verwerkingen en toepasselijke auditregels. Organiseer ook bij beperkte capaciteit eigenaarschap en bewijs.
Geeft de gratis scan een auditverklaring?
Nee. De scan laat zien welke informatie u kunt verzamelen en welke onderwerpen aandacht vragen. Er wordt geen onafhankelijke audit uitgevoerd en geen certificaat afgegeven.
Kan onze FG het auditrapport opstellen?
De AP beschrijft dat de FG vanwege de adviserende en controlerende taak de audit en hercontrole niet zelf uitvoert. Houd uitvoering, formeel onderzoek en toezicht dus afzonderlijk herkenbaar.
Begin met uw ontbrekende bewijs.
Zeven vragen helpen de eerste aandachtspunten te ordenen. Neem de uitkomst mee naar uw overleg over Wpg of auditvoorbereiding.
Doe de Wpg-auditscanBronnen en actualiteit
Bijgewerkt op 24 september 2026. Controleer voor een formele opdracht het actuele auditkader en uw concrete termijnen.