Wat toont een document wel en niet aan?
Een vastgesteld beleid laat zien welke afspraken de organisatie heeft gemaakt. Het bewijst niet op zichzelf dat die afspraken worden uitgevoerd. Een uitvoeringsrecord kan juist een handeling aantonen, maar zegt zonder context weinig over het proces als geheel. Gebruik beide soorten informatie om een controleerbare verbinding te maken tussen afspraak en uitvoering. ISO/IEC 27001 bevat de eisen voor het managementsysteem; onderstaande indeling is een praktische werkwijze.
Drie soorten informatie met een eigen functie
| Soort | Wat blijkt eruit? | Voorbeeld |
|---|---|---|
| Afspraak | Hoe de organisatie wil werken | Goedgekeurde procedure voor wijzigingen |
| Uitvoering | Wat in een concrete situatie gebeurde | Beoordeelde wijziging met implementatierecord |
| Evaluatie | Hoe het resultaat is beoordeeld | Controle met uitkomst en vervolgactie |
Een systeem kan deze informatie combineren. Belangrijk is dat de betekenis zichtbaar blijft. Een automatisch aangemaakt rapport is niet automatisch een menselijke beoordeling. Noteer wie een resultaat heeft beoordeeld wanneer dat onderdeel van de afgesproken werkwijze is.
Beoordeel de context van het bewijs
Controleer op welke dienst, omgeving en periode een record betrekking heeft. Een schermafbeelding uit een testomgeving onderbouwt niet zonder meer een instelling in productie. Een actuele export toont de huidige situatie, maar hoeft geen eerdere toestand te bewijzen. Vermeld de herkomst en eventuele beperkingen. Bepaal bewaartermijnen per soort informatie op basis van het doel en de toepasselijke verplichtingen; gebruik geen algemene bewaartermijn voor alle auditstukken.
Fictief voorbeeld: een toegangsreview
Een fictieve onderneming exporteert een lijst met gebruikers. Die export toont welke accounts op dat moment aanwezig waren. Om een uitgevoerde toegangsreview te onderbouwen, voegt de eigenaar de beoordeling en besluiten toe. Verwijderacties krijgen een koppeling naar hun uitvoering. Zo is te volgen wie toegang controleerde, wat moest veranderen en of die verandering plaatsvond. Een lijst zonder beoordeling zou alleen de beginstand tonen.
Houd het dossier bruikbaar
Maak bewijs vindbaar met een korte index en duidelijke verwijzingen. Vermijd onnodige kopieën van persoonsgegevens of klantinhoud; regel waar mogelijk gecontroleerde inzage. Bewaar de oorspronkelijke context wanneer je gegevens afschermt. Beschrijf ontbrekend bewijs eerlijk en behandel een tekort via het passende verbeterproces. Lees evidence management voor het onderhouden van de index en de auditchecklist voor vragen waarmee bewijs kan worden getoetst.