Auteur: admin

  • Van toezicht naar vertrouwen: lessen uit het RAM-schandaal voor jouw organisatie

    Van toezicht naar vertrouwen: lessen uit het RAM-schandaal voor jouw organisatie

    In maart 2025 kwam het RAM-schandaal bij de belastingdienst groot in het nieuws. Het zogeheten Risico Analyse Model bleek jarenlang te zijn gebruikt om gegevens uit tientallen bronnen te combineren. Van fiscale aangiften tot nationaliteit en zelfs strafrechtelijke gegevens. Onderzoek door KPMG en de Autoriteit Persoonsgegevens wees uit dat het systeem niet voldeed aan de privacywetgeving, de Archiefwet en elementaire beveiligingsvoorschriften. Medewerkers hadden vaak onbeperkte toegang, er was nauwelijks logging en data kon zonder restricties worden geëxporteerd.

    De belastingdienst stopte in februari 2021 met de centrale beschikbaarheid van RAM, maar het kwaad was toen al geschied. Het vertrouwen van burgers kreeg opnieuw een zware klap.

    In onze eerdere blog RAM-schandaal: wat jouw organisatie kan leren over risicomanagement en compliance keken we vooral naar het ontbreken van grip en opvolging. In dit blog zoomen we in op een ander, minstens zo belangrijk perspectief: de stap van toezicht naar vertrouwen. Want ook al gaat dit over een grote overheidsinstantie, dezelfde valkuil dreigt bij kleinere organisaties: vertrouwen op papieren controle in plaats van echte verantwoordelijkheid.

    Wat ging er mis bij RAM?

    Het RAM-systeem was ooit bedoeld om fraude beter te signaleren. In de praktijk werd het een datamegasysteem waarin alles met alles werd gekoppeld. Geen duidelijke kaders, geen verantwoording en nauwelijks toezicht. Het resultaat: willekeur, schending van privacy en een cultuur waarin “alles kan” zolang het systeem het toelaat.

    De kernfout? Controle werd verward met vertrouwen. Het bestaan van een systeem gaf de illusie dat zaken goed geregeld waren. In werkelijkheid ontbrak elk mechanisme om te zien wie toegang had, waarom gegevens werden gebruikt en of dit rechtmatig gebeurde.

    De herkenbare valkuil voor MKB-organisaties

    Nu denk je misschien: “Dat speelt bij ons niet, wij hebben geen nationale databank.” Maar de onderliggende fout zie je ook in kleinere organisaties terug.

    • “We hebben een ISO-certificaat, dus we zitten veilig.”
    • “De auditor heeft afgetekend, dus de risico’s zijn onder controle.”
    • “Alles staat netjes in Excel, dus we hebben overzicht.”

    Het lijken geruststellende signalen, maar in de praktijk verhullen ze vaak een papieren werkelijkheid. Incidenten raken ondergesneeuwd, taken blijven liggen, en niemand voelt zich écht verantwoordelijk. Precies die cultuur leidde er ook toe dat het RAM-systeem jarenlang ongemerkt door kon draaien.

    Van toezicht naar vertrouwen

    De les uit het RAM-schandaal is daarom niet alleen: zorg voor betere risicobeheersing. Het gaat dieper. Toezicht moet altijd hand in hand gaan met vertrouwen. En vertrouwen ontstaat alleen wanneer processen transparant en aantoonbaar zijn.

    Dat betekent concreet:

    • Transparantie: laat zien welke taken en incidenten openstaan en hoe opvolging plaatsvindt.
    • Logging & toegangsbeheer: leg vast wie toegang heeft en registreer acties.
    • Periodieke controles: niet eenmalig tijdens de auditweek, maar doorlopend, in een vast ritme.
    • Eigenaarschap: medewerkers moeten verantwoordelijkheid voelen, niet alleen vinkjes zetten.

    Praktisch beginnen

    Je hoeft daarvoor geen groot systeem op te tuigen, sterker nog, juist eenvoud werkt. Drie praktische stappen die je morgen kunt zetten:

    1. Breng in kaart wie toegang heeft tot welke gegevens en verwijder overbodige rechten.
    2. Leg taken en incidenten centraal vast en bespreek ze structureel in overleggen.
    3. Maak gebruik van tooling die dit ondersteunt, zonder onnodige complexiteit. Een lichtgewicht oplossing als CompliTrack helpt je om opvolging en aantoonbaarheid te borgen zonder Excel.

    Conclusie

    Het RAM-schandaal laat zien wat er gebeurt wanneer toezicht verwordt tot een papieren illusie. Ook in kleinere organisaties loert dit gevaar. Echte grip ontstaat pas wanneer transparantie, opvolging en eigenaarschap centraal staan.

    Wil je meer leren van de lessen uit RAM? Lees dan ook:

    En bedenk: toezicht geeft alleen zekerheid als het gepaard gaat met vertrouwen.

  • Grip op compliance: hoe je verder komt dan ISO en Excel

    Grip op compliance: hoe je verder komt dan ISO en Excel

    Stel je voor: een klant vraagt tijdens een gesprek om bewijs van je laatste risicoanalyse. Je opent je zorgvuldig bijgehouden Excel-bestand, maar ontdekt dat acties niet zijn opgevolgd en incidenten nergens zijn gekoppeld. Je ISO-certificaat hangt wel aan de muur, maar in de praktijk voelt het alsof je geen controle hebt. Herkenbaar? Je bent niet de enige.

    Lees ook eerst: Van risicoanalyse naar actie | Volgende stap: Incidenten registreren én verbeteren

    Veel organisaties steken veel energie in het behalen van een norm of het vullen van spreadsheets. Maar echte grip ontbreekt vaak. Hoe komt dat? En belangrijker: hoe zorg je wél voor grip?

    Waarom ISO en Excel soms schijncontrole geven

    ISO-certificeringen zijn waardevol: ze geven richting, zorgen voor structuur en vergroten het vertrouwen van klanten. Het gevaar is alleen dat de norm een doel op zich wordt. Compliance wordt dan een vinkjesoefening.

    Excel kent eenzelfde valkuil. In het begin lijkt het overzichtelijk. Maar na verloop van tijd ontstaan er meerdere versies, raakt opvolging zoek en ontbreekt eigenaarschap. Het resultaat: je denkt grip te hebben, maar loopt in de praktijk steeds achter de feiten aan.

    Het punt is niet dat ISO of Excel verkeerd zijn. Ze kunnen juist waardevol zijn, mits je ze koppelt aan eigenaarschap, opvolging en een continu proces.

    Vier pijlers voor échte grip op compliance

    Met deze vier stappen verlaag je auditstress en verkort je doorlooptijd van acties.

    1. Continu proces in plaats van jaarlijkse auditstress

    Veel organisaties leven van audit naar audit. Pas vlak van tevoren wordt alles bijgewerkt, met stress en fouten tot gevolg.

    Beter: maak compliance een doorlopend proces. Plan bijvoorbeeld elke maand een korte check van de belangrijkste risico’s en incidenten.

    Vandaag regelen: Zet een vaste reminder in je agenda: 20 minuten compliance-check elke maand.

    Extra tip: Houd drie KPI’s bij: aantal open acties, percentage overdue taken en de doorlooptijd van incident tot maatregel.

    2. Automatiseer taken en opvolging

    Compliance valt of staat met opvolging. Als taken blijven liggen, verlies je grip. Tools zoals CompliTrack bieden taakbeheer en automatische herinneringen, zodat terugkerende taken nooit vergeten worden – zoals eerder besproken in onze blogs over audit- en taakbeheer.

    Vandaag regelen: Activeer herinneringen voor de drie belangrijkste compliance-taken in je organisatie.

    3. Koppel incidenten en verbeteringen aan risico’s

    Incidenten zijn waardevolle signalen. Een datalek of fout in een proces laat zien waar je kwetsbaar bent. Door incidenten direct te koppelen aan risico’s en maatregelen, bouw je een systeem dat leert en verbetert.

    Vandaag regelen: Koppel de vijf meest recente incidenten aan bestaande risico’s, noteer één root cause per incident en voeg minimaal één verbetermaatregel toe.

    Lees ook: Incidenten registreren én verbeteren: hoe je leert van je fouten.

    4. Cultuur en gedrag: compliance moet leven

    De grootste uitdaging zit vaak niet in systemen, maar in mensen. Als compliance voelt als extra administratie, gaat het nooit leven. Zorg dat het onderdeel wordt van de dagelijkse praktijk: bespreek risico’s in teamoverleggen, betrek medewerkers actief en laat zien dat goede opvolging tijd bespaart en fouten voorkomt.

    Vandaag regelen: Vraag in het volgende teamoverleg: “Wat was deze week onze grootste bijna-misser, en wat leren we daarvan?”

    Zet nu de eerste stap: wat je morgen al kunt doen (15 minuten)

    • Plan een maandelijkse compliance-check in je agenda.
    • Activeer reminders voor drie kritieke taken.
    • Koppel vijf recente incidenten aan risico’s en verbetermaatregelen.

    Kleine stappen, groot effect: zo maak je compliance een continu proces in plaats van een jaarlijkse sprint.

    Van normdenken naar grip in de praktijk

    Compliance is geen luxe voor grote organisaties met aparte afdelingen. Grip op compliance is haalbaar voor iedereen, zolang je verder kijkt dan de norm en de spreadsheet.

    Door te werken vanuit een continu proces, taken te automatiseren, incidenten te koppelen aan risico’s en gedrag centraal te stellen, ontstaat er échte controle. Je voldoet niet alleen aan normen, je maakt je organisatie ook wendbaarder en betrouwbaarder.

    Conclusie

    Een ISO-certificaat en een Excel lijst kunnen nuttige hulpmiddelen zijn, maar ze geven je nog geen grip. Echte grip ontstaat pas als compliance leeft in je organisatie: continu, geautomatiseerd, gekoppeld aan verbeteringen én gedragen door je mensen.

    Wil je auditstress structureel omlaag brengen, doorlooptijden verkorten en aantoonbare opvolging realiseren? Ontdek hoe CompliTrack je helpt om overzicht te creëren, opvolging te automatiseren en compliance wél te laten werken.

    Verder lezen:

  • Waarom onze compliance-map ons bezig hield, maar niets oploste

    Waarom onze compliance-map ons bezig hield, maar niets oploste

    Om 09:12 uur vroeg een klant: “Kun je laten zien wie deze maatregel de afgelopen drie maanden heeft gecontroleerd?”

    We hadden een keurige documentstructuur, ons beleid was op orde, onze checklists bijgewerkt. En toch bleef het stil. De map hield ons bezig, maar leverde geen antwoord.

    Het comfortabele gevoel van een volle map

    Een volle map voelt veilig: je kunt laten zien dát er beleid is. Alleen: een map is statisch. Hij verandert niets aan de praktijk. In Continu verbeteren: Zo helpt CompliTrack jouw bedrijf vooruit schreven we al dat aantoonbare verbetering pas ontstaat als je opvolging organiseert, niet alleen documenteert.

    3 signalen dat je vooral schijncontrole hebt

    • Versies zwerven rond
      Iemand vraagt: “Welke versie is leidend?” en je weet het niet zeker.
    • Acties verdwijnen uit het zicht
      Notulen en mails staan vol “actiepunten”, maar er is geen systeem dat bewaakt of het ook gebeurt.
    • Aantoonbaarheid kost tijd
      Een auditor of klant wil bewijs van uitvoering, niet van intentie. Je hebt documenten, maar geen sporen van wie-wat-wanneer. Zie ook Zorgeloos auditen: Hoe een GRC-tool je interne audits eenvoudiger maakt.

    Waarom verzamelen iets anders is dan beheersen

    Compliance gaat niet om “hebben”, maar om doen: risico’s, prioriteiten, incidenten opvolgen, taken uitvoeren, leren van bevindingen. In Van risicoanalyse naar actie laten we zien dat echte controle ontstaat wanneer uitkomsten van je risicoanalyse automatisch doorstromen naar concrete acties met eigenaars en deadlines.

    Van map naar proces: zo krijg je échte grip

    1. Maak risico’s leidend

    Vertaal elk top-risico naar 1-3 maatregelen met een eigenaar en een termijn. Koppel deze aan terugkerende taken. (Van risicoanalyse naar actie).

    2. Registreer incidenten én sluit ze af

    Leg vast wat er misging, benoem de oorzaak en borg de maatregel. Anders herhaalt het zich. Dit voorkomt “rapporteren zonder verbeteren”.

    3. Automatiseer het ritme

    Zet terugwerkende controles, reviews en interne audits in een vast schema. PDCA werkt pas als “Check” en “Act” niet worden vergeten.

    4. Stop met Excel als eindstation

    Excel is handig om te analyseren, niet om te bewaken. Wil je ketenrisico’s of leveranciersdossiers structureel volgen, dan heb je relaties, taken en geschiedenis nodig.

    Een korte reality-check

    Een collega dacht “klaar” te zijn na het uploaden van een procedure voor offboarding. Tot we vroegen: “Wie checkt binnen 24 uur het intrekken van toegang bij vertrek?”

    • “Dat staat in het document.”
    • “Prima, maar waar zien we dat het gebeurde op 12 mei, 7 juni en 1 juli?”

    Bewijs komt niet uit beleid, maar uit het proceslog: wie deed wat, wanneer en met welk resultaat?

    Conclusie

    Een map geeft rust, maar geen grip. Echte controle zit in je opvolging: risico’s die doorlopen naar acties, incidenten die leiden tot verbeteringen en audits die niet eindigen bij een rapport, maar starten bij veranderingen. Met dat ritme ben je aantoonbaar, zonder te verdrinken in documenten.

    Donderdag delen we hoe je dit praktisch opzet – zónder Excel-ellende of ISO-fetisj: welke minimale structuur zorgt voor maximale grip, en hoe je voorkomt dat je terugvalt in “map-denken”.

    Verder lezen

  • 5 veelgemaakte fouten in privacybeheer (en hoe je ze voorkomt met structuur)

    5 veelgemaakte fouten in privacybeheer (en hoe je ze voorkomt met structuur)

    Je denkt dat je privacybeheer wel goed geregeld is. Er ligt een AVG-beleid, je hebt een verwerkingsregister, en bij datalekken “weet iedereen ongeveer wat te doen.” Totdat iemand écht kijkt. En dan blijkt dat toegangsrechten nooit zijn geëvalueerd, DPIA’s nooit zijn uitgevoerd, en incidenten door mailboxen zwerven zonder opvolging.

    Dat is geen onwil. Het is het gevolg van iets fundamentelers: privacybeheer wordt vaak niet als proces ingericht. Wat mist, is structuur. En zonder structuur ontstaan er fouten – telkens dezelfde fouten, die organisaties tijd, vertrouwen en grip kosten.

    Hieronder bespreken we er vijf, met daarbij praktische oplossingen om ze structureel te voorkomen.

    1. Iedereen denkt dat iemand anders het doet

    Privacyzaken? “Dat doet IT.” Of HR. Of de externe adviseur die drie jaar geleden de documenten opstelde.

    Wat ontbreekt, is eigenaarschap. Wie is er verantwoordelijk voor toegangsrechten? Voor herziening van beleid? Voor het opvolgen van een datalek?

    Wanneer je verantwoordelijkheden niet expliciet benoemt en niet bewaakt, ontstaat er stilstand – precies wanneer snelheid nodig is.

    Een eenvoudig taakbeheersysteem helpt je om rollen, deadlines en herhalende verantwoordelijkheden zichtbaar te maken. Zo voorkom je dat de AVG alleen ‘op papier geregeld’ is.

    2. Incidenten verdwijnen in de vergetelheid

    Een medewerker stuurt een bestand naar de verkeerde klant. Er wordt een USB-stick kwijtgeraakt. Een leverancier krijgt toegang tot data die hij eigenlijk niet nodig heeft.

    Zodra het incident is ‘opgelost’, gaat iedereen weer verder. Tot het opnieuw gebeurt.

    Privacy-incidenten zijn geen incidenten zolang je er niets van leert. Zonder centrale registratie en opvolging zie je geen patronen, pak je geen structurele oorzaken aan, en ben je onvoorbereid op vragen van toezichthouders of klanten.

    Een proces voor incident hoeft niet complex te zijn. Registreer, evalueer en verbind het aan verbeteracties. CompliTrack ondersteunt dit door incidenten direct te koppelen aan risico’s en acties, zodat je inzicht én voortgang hebt – zonder extra werkdruk.

    3. DPIA’s? “Pas als de klant erom vraagt”

    Bij een IT-dienstverlener die werkt met slimme cameratoezichtoplossingen kwamen we het volgende tegen: een aanbesteding eiste dat DPIA’s werden uitgevoerd bij privacygevoelige projecten. De reactie van de organisatie? “DPIA’s? Die doen we alleen als het écht moet.”

    Een DPIA (Data Protection Impact Assessment) is wettelijk verplicht bij verwerkingen met een hoog privacyrisico. Maar belangrijker nog: het is een kans om problemen vóór te zijn. Als je wacht tot een klant of auditor erom vraagt, ben je eigenlijk al te laat.

    Wat helpt? Voeg een DPIA-check toe aan je projectstarts, salesproces of productontwikkeling. Gebruik een vast format, wijs één eigenaar aan, en plan herbeoordelingen automatisch in. Zo wordt het routine, geen brandje.

    4. AVG-documenten verouderen zonder dat iemand het merkt

    Veel organisaties hebben netjes een privacybeleid, een verwerkingsregister en een paar procedures in een mapje staan. Maar wanneer zijn die voor het laatst herzien? En zijn ze nog in lijn met de praktijk?

    Een beleid dat niet wordt bijgehouden, is juridisch én operationeel waardeloos. De oplossing ligt in eenvoud: werk met een basisdocumentenset, plan per document een herzieningsdatum in, en gebruik versiebeheer.

    In CompliTrack kun je documenten koppelen aan processen, aan audits en aan rollen. Zo weet je precies wat actueel is, en wat niet.

    5. Privacy leeft niet in je verbetercyclus

    Waar fout 4 draait om actualiteit, gaat dit punt over het grotere plaatje: het vermogen om te leren en verbeteren. Je voert een DPIA uit, constateert een risico, neemt een maatregel… en daarna gebeurt er niets meer. Geen opvolging, geen herbeoordeling, geen check of het effect had.

    Of je voert een interne audit uit, constateert dat toegang niet goed is geregeld, maar na een mail met verbeterpunten raakt het alweer uit beeld.

    Privacybeheer hoort in je PDCA cyclus te zitten: Plan – Do – Check – Act. Niet als een eenmalige actie, maar als iets dat je structureel monitort.

    Daarvoor heb je geen zware compliance afdeling nodig. Met auditbeheer, taakherinneringen en centrale opvolging leg je de basis voor continu verbeteren, zonder dat je organisatie bureaucratisch aanvoelt.

    Tot slot: privacy is geen mapje, maar een manier van werken

    De grootste fout in privacybeheer? Denken dat het over documenten gaat. In werkelijkheid gaat het over processen. Over eigenaarschap. Over samenwerking tussen afdelingen. Over opvolging.

    CompliTrack is geen juridische tool. Maar het is wél een slimme manier om je privacybeheer procesmatig in te bedden in je organisatie:

    • Incidenten registreren en opvolgen
    • Privacytaken plannen en borgen
    • Documentatie bijhouden en herzien
    • Auditbevindingen opvolgen
    • Verbetermaatregelen koppelen aan risico’s

    Zo maak je van privacybeheer geen last, maar een geïntegreerd onderdeel van je manier van werken. Daarmee wordt privacy geen project, maar een gewoonte. En dat is precies waar het hoort.

    Verder lezen?

  • Onze stagiair had nog steeds toegang, en dat was pas het begin

    Onze stagiair had nog steeds toegang, en dat was pas het begin

    Het begon als een simpele opruimactie.

    We stonden op het punt om over te stappen naar een nieuw documentbeheersysteem. Een mooi moment om ook direct alle oude accounts, gedeelde mappen en gebruikersrollen eens op te schonen. Gewoon even kijken wie er nog in onze systemen zat.

    En daar stond-ie: een stagiair van ruim tweeënhalf jaar geleden. Met volwaardige toegang tot klantdossiers. Admin-rechten. In mappen die allang gearchiveerd hadden moeten zijn.

    Dat was ongemakkelijk. Want wat we daarna tegenkwamen, had zo in een datalek kunnen eindigen.

    Iedereen dacht dat iemand anders het regelde

    De check leverde een hele lijst op. Ex-werknemers met actieve e-mailadressen. Een voormalig zzp’er die nog toegang had tot gedeelde klantmappen in Google Drive. En een oud-projectmanager – al drie jaar uit dienst – die nog in SharePoint stond als eigenaar van een productomgeving.

    Niemand had ooit formeel besloten: “Deze persoon mag dit blijven zien.” Het was gewoon… blijven staan.

    IT beheerde de techniek. HR regelde onboarding. Maar offboarding? Die gebeurde vooral ad hoc. Als iemand eraan dacht. Of als iemand iets niet meer kon vinden.

    We waren dus kwetsbaar. En niemand wist het.

    Dat maakte het ook zo gevaarlijk: er was geen sprake van moedwillige fouten of nalatigheid. Geen datalek, geen misbruik. Maar alle ingrediënten lagen klaar.

    We hadden 2FA aanstaan. Versleutelde laptops. Sterke wachtwoorden. En tóch had iemand met nul binding met de organisatie toegang tot privacygevoelige klantinformatie.

    Wat dit liet zien: technische maatregelen zonder proces en overzicht zijn als een slot zonder deur.

    Grip is niet hetzelfde als controle

    We dachten dat we het geregeld hadden. Alles stond keurig in Excel. Iedereen had “ergens” een lijstje. Maar grip betekent niet dat je ergens een lijstje hebt – het betekent dat je weet wat er nú gebeurt. Dat je het kunt aantonen. Dat je weet wie waar toegang toe heeft en waarom.

    Het grootste probleem zat in de structuur. Toegang was gekoppeld aan personen, niet aan rollen. Er was geen logging van wie wat aanpaste. En niemand keek periodiek terug of het systeem nog klopte met de werkelijkheid.

    Wat we nu anders doen

    Sindsdien hebben we het proces structureel ingericht. We voeren elke drie maanden een toegangsreview uit. Dat werkt voor ons prettig, maar het belangrijkste is: het gebeurt. Steeds opnieuw.

    In CompliTrack hebben we een periodieke taak aangemaakt voor deze controles. Zo zorgen we dat we het overzicht bewaren. En we loggen wijzigingen, zodat we altijd kunnen terugzien wie wat wanneer heeft gedaan.

    In de eerste review ontdekten we nog dat een oud-projectmanager toegang had tot twee klantomgevingen. Sindsdien is die controle onderdeel van ons ritme geworden.

    Niet omdat het moet. Maar omdat het werkt.

    Wat je vandaag al kunt doen

    Je hoeft geen systeem in te richten voor duizend medewerkers. Maar je kunt wél beginnen met een simpele vraag: wie heeft er eigenlijk toegang tot onze klantdata? Tot oude projecten? Tot e-mailadressen die we niet meer gebruiken?

    Want als je het nooit gecontroleerd hebt, is de kans groot dat je iets over het hoofd ziet.

    En dát is precies waar risico’s ontstaan.

    Lees ook: ISO 27001 Veelgemaakte fouten: 5 valkuilen en hoe je ze voorkomt

  • PIMS of ISMS: wat past bij jouw organisatie?

    PIMS of ISMS: wat past bij jouw organisatie?

    Stel: een sollicitant stuurt een net verzoekje. Of hij even zijn eigen gegevens mag inzien. Geen gekke vraag – onder de AVG heb je daar als betrokkene recht op. Maar intern ontstaat direct onrust. Want waar die gegevens precies staan, wie er toegang toe heeft, of er iets is doorgestuurd naar een derde partij? Dat blijkt lastiger te achterhalen dan gedacht.

    Veel organisaties komen op dit punt tot dezelfde conclusie: er is wel iets geregeld, maar grip op privacy ontbreekt. En dan duiken termen op als ISMS, PIMS, ISO 27001, ISO 27701. Inclusief bijbehorende verwarring. Want wat is het verschil? En belangrijker nog: wat heb jij nodig?

    Informatiebeveiliging is breder dan privacy

    Een ISMS – Information Security Management System – is een raamwerk van afspraken, processen en verantwoordelijkheden waarmee je informatie structureel beschermt. Daarbij gaat het niet alleen om persoonsgegevens, maar om álle waardevolle informatie binnen je organisatie: klantgegevens, technische documenten, rapportages, financiële overzichten, en nog veel meer.

    De norm die daarbij hoort is ISO 27001. Binnen dat kader regel je zaken als toegangsbeheer, back-upbeleid, logging en continue monitoring. Alles draait om vertrouwelijkheid, integriteit en beschikbaarheid van informatie. Maar of je die informatie überhaupt mag verwerken? Dat is een andere vraag.

    Privacy stelt andere eisen

    Een PIMS – Privacy Information Management System – benadert informatiebeveiliging vanuit de AVG. Hier ligt de nadruk niet op technische maatregelen, maar op juridische grondslagen en verantwoordelijkheden. Mogen we deze gegevens verzamelen? Met welk doel? Voor hoelang? Wie is verantwoordelijk als iemand om verwijdering vraagt?

    Een PIMS helpt je om zulke vragen gestructureerd te beantwoorden en na te leven. Denk aan verwerkingsregisters, DPIA’s, bewaartermijnen, toestemmingsbeheer en procedures voor inzageverzoeken. De ISO 27701-norm sluit hierop aan: als uitbreiding op ISO 27001 biedt die een structurele aanpak voor privacybeheer. Niet verplicht, maar wel een krachtig hulpmiddel om aan te tonen dat je de AVG serieus neemt.

    Wat past bij jouw situatie?

    Dus terug naar die sollicitant die om inzage vroeg: had je daar een procedure voor, of moest je het bij elkaar zoeken?

    Voor organisaties die vooral werken met persoonsgegevens – zoals HR-dienstverleners, zorgaanbieders of SaaS-platforms – is het logisch om te beginnen met privacystructuur. Dat betekent: je PIMS op orde. Voor bedrijven die daarnaast werken met andere vertrouwelijke informatie, zoals projectplannen, R&D-data of klantstrategieën, is een ISMS minstens zo belangrijk.

    In de praktijk blijkt: het is geen kwestie van kiezen. Privacy en informatiebeveiliging zijn geen gescheiden domeinen. Ze grijpen in elkaar. Je kunt toegang goed geregeld hebben (ISMS), maar als je geen grondslag hebt voor de verwerking (PIMS), loop je alsnog risico. En andersom.

    Structuur begint vóór certificering

    Het goede nieuws: je hoeft niet te wachten op een certificaat om aan de slag te gaan. Wat je wél nodig hebt, is een aanpak waarmee je afspraken vastlegt, verantwoordelijkheden toewijst, processen bewaakt en bijhoudt wat er gebeurt. Van verzoeken tot incidenten, van taken tot auditacties.

    Dat is precies waar CompliTrack op is ingericht. De tool helpt je om:

    • AVG-verzoeken en incidenten vast te leggen en op te volgen,
    • Taken rondom compliance te automatiseren en te structureren,
    • Auditprocessen efficiënt uit te voeren én af te ronden met concrete acties.

    Geen verwerkingsregister, geen beleidsbibliotheek, wel overzicht, actiegerichtheid en continuïteit. Daarmee leg je de basis voor grip. Of je nu begint bij informatiebeveiliging of privacy.

    Het begint bij kiezen wat je nú nodig hebt

    Of je nou werkt met sollicitanten, klanten, patiëntgegevens of interne projectinformatie, je draagt verantwoordelijkheid voor hoe je die informatie beheert, beveiligt en verwerkt. En dat vraagt keuzes.

    Een ISMS helpt je risico’s op cyberincidenten beheersbaar te maken. Een PIMS helpt je voldoen aan de privacywet. Maar wat je vandaag vooral nodig hebt, is een aanpak die werkt in jouw praktijk. En die hoeft niet perfect te beginnen, als je maar begint.

    De eerste stap? Bepalen waar je grootste risico ligt. De tweede? Iets opzetten wat je morgen kunt gebruiken.

    Lees ook:

  • We dachten dat onze privacy op orde was – tot een sollicitant inzage vroeg

    We dachten dat onze privacy op orde was – tot een sollicitant inzage vroeg

    Het begon met een e-mail.

    Een keurig verzoek, netjes onderbouwd met een verwijzing naar artikel 15 van de AVG. Een sollicitant vroeg om “inzage in alle persoonsgegevens die u van mij verwerkt.” We lazen het, knikten naar elkaar en dachten: prima. Dat lossen we op.

    Maar toen we gingen kijken, begon het ongemak.

    Waar stonden die gegevens eigenlijk? In de inbox van HR, waarschijnlijk. Misschien ook in een gedeeld document in Google Drive. En hadden we in het gesprek intern iets genoteerd in het CRM, bij de opmerkingen?

    Wat eerst een eenvoudige actie leek, werd een zoektocht. Naar bestanden, verantwoordelijkheden en afspraken die er simpelweg niet bleken te zijn. Geen procedure, geen overzicht, geen logging. En terwijl de wettelijke termijn van dertig dagen begon te tikken, groeide vooral het besef: we zijn dit niet vergeten… we hadden het gewoon nooit goed geregeld.

    We voelden geen stress, we voelden schaamte.

    Privacy lijkt geregeld, tot je het moet bewijzen

    Voor veel kleinere organisaties voelt privacy als iets wat ‘wel aardig op orde is’. Je hebt een privacyverklaring op je website, een verwerkersovereenkomst bij je softwareleveranciers, misschien een paragraaf in het handboek. Klaar.

    Maar privacy is geen intentie. Het is bewijs. Kun je aantonen wát je verzamelt, wáár je het bewaart, wie erbij kan, wanneer je het verwijdert, en hoe je reageert als iemand daar vragen over stelt?

    Als je dat niet kunt, dan is je beleid misschien in orde. Maar je praktijk is kwetsbaar.

    Wat we ontdekten toen we echt moesten leveren

    Op papier verwezen we netjes naar de AVG. In de praktijk lagen persoonsgegevens verspreid over e-mail, chat, gedeelde mappen en formulieren. Er was geen centraal overzicht van sollicitanten. Geen vaste verantwoordelijke voor inzageverzoeken. En ook niemand die wist of we wel binnen dertig dagen konden reageren.

    We realiseerden ons dat we het principe van privacy snapten, maar de uitvoering volledig over het hoofd hadden gezien.

    Privacy vraagt geen perfecte systemen, maar wel controle

    We wilden helemaal geen risico nemen. Maar daar gaat het niet om. Privacy gaat niet over intentie, maar over verantwoordelijkheid. En die moet je kunnen dragen, ook als er ineens een verzoek binnenkomt.

    Een simpele toets voor jezelf: zou jij vandaag antwoord kunnen geven op de volgende vragen?

    • Welke persoonsgegevens bewaart je organisatie van een betrokkene?
    • In welke systemen staan die gegevens?
    • Wie heeft er toegang toe?
    • Wanneer worden ze verwijderd?
    • En hoe regel je dat iemand binnen dertig dagen een compleet en correct antwoord krijgt?

    Als je daar “ik denk het wel” op zegt, weet je genoeg.

    Wat we zijn gaan doen

    We hebben onze processen praktisch ingericht. Geen dikke AVG-handboeken, maar werkbare routines. Elke verwerking is gekoppeld aan een systeem, met een eigenaar. Inzageverzoeken zijn een taak geworden. Met een duidelijk proces, een deadline en een logboek. En we hebben ons team meegenomen, want privacy is nooit alleen een IT-of juridische kwestie. Het zit in het werk van iedereen.

    Tot slot

    Je merkt pas hoe goed je privacy geregeld is, op het moment dat iemand erom vraagt.

    Als je dan kunt zeggen: “Dat proces hebben we. Hier is je antwoord.” Dan is het geen gedoe. Geen paniek, gewoon geregeld.

    En als je dat vandaag nog niet kunt zeggen, weet je wat je morgen moet doen.

    Nieuwsgierig welk systeem daarbij past?

    Lees ook: PIMS of ISMS – wat is het verschil, en wat past bij jouw organisatie?

  • Van chaos naar controle: zo verbind je risico’s, incidenten en audits in één werkproces

    Van chaos naar controle: zo verbind je risico’s, incidenten en audits in één werkproces

    De Excel voor risico’s stond nog open. Het incidentrapport zat verstopt in een gedeeld Word-bestand, dat niemand meer durfde te openen sinds de laatste audit. En die ene gele post-it met “audit dinsdag!”? Die lag onder een koffiemok.

    Zo ziet compliance er bij veel MKB’s nog steeds uit: goedbedoeld, verspreid en kwetsbaar. En het gekke is: niemand doet het expres zo. Het groeit. Van een eerste risicoanalyse naar een los incidentformulier, van losse maatregelen naar auditlijstjes. Tot het systeem zelf het risico wordt.

    Maar wat nou als je die drie werelden – risico’s, incidenten en audits – samenbrengt in één logisch werkproces?

    Versnippering maakt je blind

    Bij vrijwel elk MKB-bedrijf waar we meekijken, zien we hetzelfde: risico’s worden keurig in een matrix gezet, incidenten krijgen een aparte registratie, audits worden apart voorbereid. Maar zelden worden ze als één geheel behandeld. Terwijl ze dat in de praktijk wél zijn.

    Incidenten ontstaan vaak doordat risico’s niet goed zijn ingeschat of beheerst. Audits beoordelen juist of je dat proces beheerst. En de maatregelen die je uit audits haalt, hebben weer effect op het risicobeeld.

    Toch behandelen veel organisaties deze processen als losse projecten. Het gevolg? Je mist verbanden. Je herhaalt werk. En je merkt pas bij de audit wat je vergeten bent. Niet omdat je slordig werkt, maar omdat het systeem waarin je werkt geen verband aanbrengt.

    Wat er verandert als je risico’s, incidenten en audit verbindt

    Bij vrijwel elk MKB-bedrijf waar we meekijken, zien we hetzelfde: risico’s worden keurig in een matrix gezet, incidenten krijgen een aparte registratie, audits worden apart voorbereid. Maar zelden worden ze als één geheel behandeld. Terwijl ze dat in de praktijk wél zijn.

    Incidenten ontstaan vaak doordat risico’s niet goed zijn ingeschat of beheerst. Audits beoordelen juist of je dat proces beheerst. En de maatregelen die je uit audits haalt, hebben weer effect op het risicobeeld.

    Toch behandelen veel organisaties deze processen als losse projecten. Het gevolg? Je mist verbanden. Je herhaalt werk. En je merkt pas bij de audit wat je vergeten bent. Niet omdat je slordig werkt, maar omdat het systeem waarin je werkt geen verband aanbrengt.

    Wat er verandert als je risico’s, incidenten en audit verbindt

    Wat gebeurt er als je dit wél als één werkproces inricht? Als je risicoanalyse, incidentbeheer en auditvoorbereiding niet als drie losse taken ziet, maar als één onderling verbonden cyclus?

    Laat me je meenemen in hoe dat er in de praktijk uit kan zien.

    En als je nog nooit van “GRC” hebt gehoord, geen zorgen. Dit is geen jargon, het is gewoon logisch werken: zorgen dat alles samenkomt op één plek, in plaats van verspreid over mapjes, systemen en hoofden.

    Dan ontstaat rust. Dan ontstaat overzicht. En dan werk je aan continue verbetering in plaats van jaarlijkse stressvermijding.

    Voorbeeld uit de praktijk:

    • Je voert een risicoanalyse uit. Niet alleen per proces, maar gekoppeld aan je bedrijfsmiddelen.
    • Er doet zich een incident voor, bijvoorbeeld een datalek. Je registreert het, en koppelt het direct aan het risico “Onvoldoende gegevensbeveiliging”.
    • Je ziet meteen: welke beheersmaatregelen golden hier al? Zijn ze nageleefd? Waren ze voldoende?
    • De interne audit wordt voorbereid en dit incident staat daar al in, met oorzaak, opvolging en status.
    • De verbeteractie is toegewezen, gepland en afgerond. Zonder losse Excel, zonder extra e-mailrondjes.

    Het verandert niet wat je doet, maar wel hoe je het doet. En dat maakt het verschil.

    Van brandjes blussen naar aantoonbare beheersing

    Wat je bereikt met deze werkwijze is niet alleen rust, maar ook continuïteit. Geen incident meer dat ‘vergeten wordt op te volgen’. Geen audit meer die uitmondt in paniek. Geen managementreview die gebaseerd is op losse lijstjes.

    In plaats van te reageren op wat misgaat, werk je proactief aan verbetering. Je bouwt een systeem waarin incidenten niet verdwijnen, maar aanleiding zijn voor nieuwe inzichten. Waar audits bevestigen wat je al weet. Waar risico’s niet statisch zijn, maar dynamisch meebewegen met je organisatie.

    Slot: Controle is geen toeval

    Zolang risicoanalyse, incidentbeheer en audits los van elkaar staan, blijft compliance voelen als een verzameling losse verplichtingen. Maar breng je ze samen in één proces, dan krijg je controle. Dan is aantoonbare compliance geen bijvangst, maar een logisch gevolg van hoe je werkt.

    Met één systeem heb je overzicht, eigenaarschap én bewijsvoering. En dat is precies wat de auditor komt zoeken.

    Wil je weten hoe dat eruit ziet in de praktijk? Ontdek hoe CompliTrack risico’s, incidenten en audits samenbrengt in één logisch werkproces, speciaal voor organisaties zonder compliance-afdeling, maar mét verantwoordelijkheden.

  • We hadden een ISO-certificaat. Maar onze taken stonden nog op post-its.

    We hadden een ISO-certificaat. Maar onze taken stonden nog op post-its.

    De auditor stelde een simpele vraag. Niet eens een kritische, maar gewoon een normale controlevraag:

    “Waar documenteren jullie de opvolging van auditbevindingen?”

    We keken elkaar aan. Werden even stil. Tot iemand voorzichtig zei:

    “Volgens mij ligt dat nog in de map… op de administratie?”
    Een ander:
    “Nee wacht, ik had daar een notitie over gemaakt. Of een post-it? In ieder geval stond het op het whiteboard… tot we dat vorige week schoonmaakten.”

    Het was een pijnlijk moment. Niet omdat de vraag moeilijk was, maar omdat we het antwoord wél zouden moeten weten. En vooral: omdat we ons realiseerden dat we het eigenlijk al maanden niet echt goed geregeld hadden.

    En dat… terwijl we ISO-gecertificeerd zijn.

    Certificering ≠ structuur

    Laten we eerlijk zijn: ISO-certificering is voor veel organisaties een mijlpaal. Het is een bewijs van volwassen processen, van grip, van professionaliteit. Tenminste, dat hóórt het te zijn.

    Maar in de praktijk zie ik het vaak anders. Organisaties hebben het papiertje op muur, maar daarachter schuilt een werkelijkheid waarin auditbevindingen niet worden opgevolgd, incidenten ad hoc worden opgelost (maar nergens worden vastgelegd), en verbeteracties eindigen als losse aantekeningen, verspreid over Excelbestanden, mailboxen en – inderdaad – post-its.

    Wat er op papier staat, klopt.
    Wat er in de praktijk gebeurt, is iets anders.

    Hoe je grip verliest zonder het door te hebben

    Het is niet zo dat mensen niet wéten wat er moet gebeuren. Je weet dat die auditactie openstaat. Je weet dat er iets afgesproken is na die directiebeoordeling. Je weet dat er iemand een notitie heeft gemaakt van die ene afwijking.

    Alleen: je weet niet wáár het precies staat. Wie ermee bezig is. Of het al is afgerond. Of het überhaupt nog op de radar staat.

    Dat is hoe grip verdwijnt. Niet met grote fouten, maar met kleine gaten in het systeem. En dat is geen kwestie van onwil, maar van structuur.

    Want als taken alleen in het hoofd van één collega zitten, of in een Excelbestand op een persoonlijke schijf, of op een geeltje dat per ongeluk is weggegooid… dan kun je simpelweg niet aantonen dat je in control bent.

    Compliance zonder opvolging is een papieren werkelijkheid

    Een van de grootste misverstanden rond compliance is dat het ‘geregeld’ is als de documentatie klopt. Maar dat is precies waar het vaak fout gaat.

    Documentatie is niet het probleem. De meeste bedrijven hebben hun ISO-handboek keurig op orde.

    Maar dat zegt nog niets over:

    • Of risico’s worden opgevolgd met maatregelen
    • Of auditbevindingen daadwerkelijk tot actie leiden
    • Of taken zijn toegewezen, gemonitord en afgevinkt
    • Of verbeteringen structureel worden geborgd

    Daar zit het verschil tussen ‘certificering’ en ‘daadwerkelijke beheersing’. Tussen papier en praktijk.

    Wat dit doet met je organisatie

    Zonder structuur in opvolging, ontstaat er iets geks. Niet alleen verlies je overzicht, je verliest ook momentum.

    Ineens is het niet meer duidelijk wie waar verantwoordelijk voor is. Afdelingen gaan op elkaar wachten, of op de directie. Acties blijven openstaan omdat “iemand daar nog iets mee moest.”

    En het team dat vorige maand vol energie een verbeteridee had, ziet het verdwijnen in het moeras van de vergetelheid.

    Dat frustreert. Niet alleen jou, maar ook je collega’s. Mensen willen bijdragen aan verbetering, maar als dat geen vervolg krijgt, dan haken ze af.

    Dan voelt het alsof je elk jaar opnieuw begint. Alsof audits een ritueel worden, geen leerproces.

    Structuur is geen luxe. Het is een voorwaarde

    Laten we het helder stellen: je hebt geen mega-tool of ingewikkeld systeem nodig om dit goed te doen.

    Wat je nodig hebt is één centrale plek waarin je:

    • Taken toewijst aan de juiste mensen
    • Deadlines bewaakt zonder handmatige lijstjes
    • Bevindingen koppelt aan risico’s, normen en maatregelen
    • Ziet wat er openstaat, wat afgerond is, en wat te laat dreigt te gaan

    Geen versnippering. Geen twijfel. Geen post-its.

    Wij kozen uiteindelijk voor één centrale omgeving waarin we al onze auditacties, risico’s en verbetertaken gestructureerd bijhouden: geautomatiseerd, gedeeld en transparant. Gewoon, zodat iedereen weet waar hij aan toe is, en waar hij moet kijken.

    Waarom we dit pas serieus nemen als het misgaat

    De reden dat dit onderwerp vaak onderaan de prioriteitenlijst bungelt, is simpel: zolang het goed gaat, lijkt er geen probleem. Je redt je er wel mee.

    Tot je je er niet meer mee redt.

    Tot de auditor op de mat staat.
    Tot een klant om bewijs vraagt.
    Tot er iets fout gaat, en niemand weet waar het stond.

    Dan wordt het ineens wél urgent.

    En dan zeggen we: “Dat moeten we de volgende keer beter regelen.” Alleen… wanneer is “de volgende keer”?

    Grip is geen kwestie van meer werk. Het is een kwestie van beter georganiseerd werk.

    Je hoeft niet méér te doen om ISO of compliance goed te borgen. Je moet het slimmer doen. Gestructureerder. Herhaalbaar.

    En precies daar zit de kracht van tooling. Niet om nóg een systeem te hebben. Maar om het juiste systeem te hebben. Eentje die je helpt, in plaats van extra werk oplevert.

    Bijvoorbeeld met CompliTrack. Waar je auditacties automatisch koppelt aan taken. Waar je opvolging centraal bijhoudt. Waar auditstress plaatsmaakt voor rust, omdat je weet dat alle gewoon staat waar het moet staan.

    Tot slot

    De auditor stelde een simpele vraag. Wij hadden géén goed antwoord.

    En dat is precies waarom we het nu wél geregeld hebben.

    Voorkom dat jouw ISO-certificaat een papieren werkelijkheid blijft

  • Incidenten registreren én verbeteren: zo voorkom je dat compliance bij registratie stopt

    Incidenten registreren én verbeteren: zo voorkom je dat compliance bij registratie stopt

    Stel: je hebt je zaken goed voor elkaar. De ISO-certificering hangt aan de muur, je beleid is uitgewerkt, de processen zijn beschreven. En dan gebeurt het: er gaat iets mis. Een incident.

    Een fout die raakt aan informatiebeveiliging, kwaliteit of – misschien nog belangrijker – het vertrouwen van een klant. Gelukkig heb je een incidentregistratieproces. Het incident wordt vastgelegd, betrokkenen worden geïnformeerd, er volgt een actie. En dan?

    Daar stokt het vaak.

    In veel organisaties eindigt incidentmanagement bij registratie. Er wordt iets genoteerd (als dat al gebeurt), maar wat er daarna mee gebeurt, is niet altijd duidelijk. Verbeteracties raken uit beeld. Herhaling wordt niet uitgesloten. En zodra een auditor langskomt, moet je alsnog in je mailbox graven om te bewijzen dat je “er iets mee hebt gedaan”.

    Zonde. Want juist incidenten zijn waardevol. Ze geven je zicht op risico’s, cultuur, communicatie en structuur. Ze helpen organisaties beter worden, mits je ze serieus neemt.

    Wat een incident je eigenlijk vertelt

    Incidenten zijn zelden een kwestie van puur toeval. Meestal zijn het uitvergrote signalen van dingen die onder de oppervlakte al langer niet lekker liepen. Een onduidelijke werkinstructie. Een ontbrekende check. Een collega die wel wilde, maar niet goed wist hoe.

    Soms is het pijnlijk om dat onder ogen te zien. Maar het is ook een kans.

    Een goed opgevolgd incident laat je precies zien waar je kwetsbaar bent, en hoe je kunt verbeteren. En dat maakt incidenten – hoe vreemd het ook klinkt – misschien wel de meest directe vorm van leervermogen in je organisatie.

    Een incident is geen eindpunt. Het is een start.

    In zowel ISO 27001 als ISO 9001 is incidentbeheer meer dan een verplicht vinkje. Je moet incidenten niet alleen registreren, maar ook opvolgen. Onderzoeken. Begrijpen. Verbeteren.

    Wat helpt, is een eenvoudige denklijn:
    Wat is er gebeurd? Waarom gebeurde het? Wat moeten we nu anders doen? En wie pakt dat op?

    Een methode die hier goed bij aansluit, is de 5x Waarom-methode. Je stelt vijf keer achter elkaar de vraag: “Waarom?”. Daarmee kom je voorbij de eerste, oppervlakkige oorzaak (“De medewerker klikte op de verkeerde link”) en leg je de onderliggende patronen bloot (“Er was geen training, omdat niemand verantwoordelijk is voor awareness-beleid”).

    Pas dan kun je maatregelen nemen die ook echt effect hebben.

    Het verschil tussen registreren en leren

    Laatst sprak ik een organisatie die haar incidenten netjes bijhield in een Excelbestand op de server. Dat deden ze al jaren. Toen ik vroeg wat er met die incidenten gebeurde, werd het stil.

    Een paar waren “wel opgepakt”. Een aantal “bleek uiteindelijk niet zo relevant”. En de rest? Gewoon genoteerd.

    Wat hier ontbrak is niet discipline, maar structuur. Er was geen systematiek om opvolging af te dwingen. Geen verantwoordelijke die moest checken of iets was opgelost. Geen analyse van herhaling of trends.

    Dat laat zien hoe belangrijk het is om opvolging te organiseren, en dát vraagt om structuur.

    Een systeem zoals CompliTrack helpt daar enorm bij. Je registreert een incident, koppelt het direct aan het betrokken proces, risico of bedrijfsmiddel, en zet er opvolgacties op uit. Alles wordt geborgd in één overzicht, inclusief historie. En als een auditor vraagt wat er met een incident gebeurd is? Dan hoef je niets te reconstrueren, je laat het gewoon zien.

    Incidenten zijn geen probleem. Ze zijn een kans.

    Goede incidentopvolging laat zien dat je grip hebt. Dat je niet alleen gecertificeerd bént, maar ook werkt naar de gedachte achter de norm.

    En het helpt je organisatie vooruit. Want incidenten laten zien waar je systemen rammelen, waar je team onduidelijkheid ervaart, waar processen op spanning staan.

    Als je die signalen negeert, blijven ze terugkomen. Maar als je ze benut, ben je aan het verbeteren. Dan werk je aan een systeem dat niet alleen voldoet aan ISO, maar ook aan je eigen standaard van goed werk leveren.

    Tot slot

    Incidentbeheer stopt niet bij registratie. Het begint daar pas.

    Gebruik incidenten als brandstof voor groei. Laat opvolging geen toeval zijn, maar een vast onderdeel van je proces. En zorg dat je niet alleen aan de norm voldoet, maar ook bouwt aan een robuuste organisatie met veerkracht.

    Benieuwd hoe je incidentbeheer structureel en praktisch kunt organiseren?

    Vraag hier een vrijblijvende demo van CompliTrack aan – en ontdek hoe je incidenten niet alleen registreert, maar er ook echt van leert.

    Lees ook: We hadden een ISO-certificaat. Maar nul structuur bij incidenten.