Oktober 2026. Auditors beginnen vaak met de eenvoudigste vraag: is dit de actuele versie, en wie heeft dit goedgekeurd? Clausule 7.5 van ISO 27001 vraagt om gedocumenteerde informatie die beheerd wordt. Dat hoeft geen bureaucratie te zijn, maar het moet wel kloppen.
Wat clausule 7.5 echt vraagt
De norm vraagt dat documenten identificeerbaar zijn (titel, datum, auteur of referentie), dat ze goedgekeurd zijn voordat ze gebruikt worden, dat de juiste versie beschikbaar is waar die nodig is, en dat ze beschermd en bewaard worden. Het gaat om beleid, procedures en bewijs. Zie ook documentbeheer.
Eén eigenaar per document
Geef elk document één eigenaar, met naam of functie. De eigenaar beoordeelt het ten minste jaarlijks en meldt wijzigingen. Zonder eigenaar veroudert een document stil, en dat zien auditors terug als een beleid dat nog naar een vertrokken collega verwijst. Zet de eigenaar en de volgende reviewdatum in de kop van het document.
Versies: kies één plek
Houd beleid en procedures op één plek waar versiegeschiedenis automatisch wordt bijgehouden, zoals SharePoint of een wiki met geschiedenis. Kopieën per e-mail zijn de belangrijkste oorzaak van twee actuele versies. Spreek af dat alleen de centrale locatie telt en dat PDF-exporten een datum dragen.
Goedkeuring aantoonbaar maken
Een goedkeuring kan een statuswijziging in het systeem zijn, een akkoord in de notulen of een handtekening. Kies één werkwijze en pas die toe. Voor beleid op hoofdlijnen, zoals het informatiebeveiligingsbeleid, hoort de goedkeuring bij de directie; zie de directiebeoordeling. Voor werkinstructies volstaat de proceseigenaar.
Bewijs is ook gedocumenteerde informatie
Logs, notulen, auditrapporten en opleidingsregistraties vallen onder dezelfde regels, met een eigen bewaartermijn. Leg die termijnen vast in één overzicht. Een geautomatiseerde bewijsverzameling helpt, maar vervangt de afspraken niet. Controleer vlak voor de audit steekproefsgewijs of de links in uw bewijsmap nog werken.