Auteur: admin

  • We hadden een ISO-certificaat. Maar toen ging het mis bij het eerste incident.

    We hadden een ISO-certificaat. Maar toen ging het mis bij het eerste incident.

    We hadden alles op orde. Dachten we.

    Ons bedrijf was net gecertificeerd voor ISO 27001. De audit was positief verlopen, het certificaat hing trots bij de ingang, en intern hadden we het vinkje gezet: informatiebeveiliging geregeld. Beleid? Check. Procedures? Check. Risicoanalyse? Check. De auditor was tevreden. Wij ook.

    Tot er iets misging. En we niet konden terugvallen op het systeem waarvan we dachten dat het er was.

    Wat er gebeurde

    Het begon met een menselijke fout. Een collega stuurde een bestand met klantinformatie naar het verkeerde e-mailadres. Geen opzet, geen hack, gewoon een vergissing. Maar het was wel een bestand met gevoelige data. En dus moesten we in actie komen.

    Alleen: niemand wist precies wat die actie moest zijn.

    Was dit een incident? Moest dit ergens gemeld worden? En aan wie eigenlijk?

    Het bleef eerst even hangen in Slack. Iemand vroeg voorzichtig: “Zal ik het bij IT neerleggen?” Een ander reageerde: “Volgens mij moet het naar Security.” Er werd naar een beleidsdocument gezocht, maar niemand wist precies waar het stond. En het formulier voor incidentregistratie? Dat bleek helemaal niet ingericht.

    Tegen de tijd dat we de juiste mensen bij elkaar hadden, was er kostbare tijd verloren gegaan. We vroegen ons hardop af: “Moeten we dit eigenlijk binnen 24 uur melden?”*

    *(Voor de duidelijkheid: onder AVG geldt een meldplicht van 72 uur aan de Autoriteit Persoonsgegevens. Voor bepaalde sectoren en onder NIS2 kunnen aanvullende termijnen gelden. Wat hier vooral pijnlijk werd: we wisten het niet zeker.)

    Het probleem zit niet in het incident, maar in het systeem

    Het was niet het incident zelf dat ons onderuit haalde. Het was het besef dat onze structuur vooral op papier bestond.

    We hadden ISO 27001.En toch wisten we bij het eerste serieuze incident niet wat we moesten doen. De papieren werkelijkheid was niet vertaald naar het dagelijks werk. Het beleid was netjes opgeschreven en stond ergens in een SharePoint map, maar niemand had het ooit gebruikt, laat staan geoefend.

    Die realisatie kwam hard aan.

    De ISO-certificering is waardevol. Begrijp me goed: het biedt kaders, het dwingt tot reflectie, het helpt je de juiste vragen te stellen. Maar het is een momentopname. Het zegt niets over hoe je bedrijf functioneert op een drukke dinsdagochtend als iemand op ‘verzenden’ klikt. Of op een vrijdagmiddag als je leverancier belt met een melding van een datalek. Dan doet je certificaat niets, tenzij je processen ook écht werken.

    De meldcultuur die er niet was

    Wat we merkten: medewerkers twijfelden of dit wel ‘een echt incident’ was. En dat is precies waar het vaak misgaat. Want hoe eerder je weet wat er speelt, hoe beter je kunt reageren. Maar als melden ingewikkeld of onzeker voelt, zeggen mensen liever niets.

    Wat we nodig hadden, was geen extra procedure. Wat we nodig hadden, was een laagdrempelig, vertrouwd en ingebed systeem. Iets eenvoudigs. Een korte vragenlijst. Een knop op intranet. Een terugkerend ritueel in het werkoverleg. Maar we hadden alleen een document. En dat vond niemand terug.

    Wat we anders zijn gaan doen

    We zijn daarna opnieuw begonnen. Niet met een hele nieuwe norm, maar met een andere insteek. Vanuit de praktijk.

    We hebben één centrale plek ingericht waar incidenten gemeld kunnen worden. Of het nu gaat om een phishingmail, een verkeerd verzonden bestand of een vermoeden van een lek. Geen discussie meer over wat ‘echt genoeg’ is om te melden. Beter tien meldingen te veel dan eentje te weinig.

    Elke melding wordt automatisch geregistreerd. Er is een duidelijke workflow voor opvolging. Verantwoordelijkheden zijn vastgelegd. En – misschien wel het belangrijkste – we trainen onszelf om dit gewoon te dóén. In plaats van af te wachten tot een incident ons overkomt.

    De certificering is niet het doel. De realiteit is de toets.

    Compliance moet leven in de praktijk. Het moet onderdeel zijn van het dagelijks werk, niet iets wat eens per jaar wordt afgestoft omdat de auditor weer komt. De papieren werkelijkheid is niet genoeg als je bedrijf afhankelijk is van informatie, systemen, mensen en vertrouwen.

    Sindsdien kijken we anders naar ISO 27001. We gebruiken het niet als argument om gerust te zijn, maar als kapstok om telkens opnieuw te verbeteren. En dat is precies wat het zou moeten zijn.

    Herkenbaar?

    Als je dit leest en denkt: “Zo gaat het bij ons ook een beetje…”, dan ben je niet de enige. Veel bedrijven hebben wél beleid, maar geen gedrag. Ze hebben wél procedures, maar geen gewoonte. En dus wordt er pas gehandeld als het eigenlijk al te laat is.

    Wil je het anders? Donderdag volgt een nieuwe blog waarin ik laat zien hoe je incidenten eenvoudig en effectief registreert, opvolgt én omzet in structurele verbetering. Geen extra werkdruk, maar rust en overzicht. Wil je het alvast vooruit lezen? Bekijk dan onze blogs over:

    Tot donderdag. En hopelijk: zonder incidenten.

  • Leveranciers beoordelen zonder Excel: zo krijg je écht grip op risico’s

    Leveranciers beoordelen zonder Excel: zo krijg je écht grip op risico’s

    Stel je voor: je leverancier scoort een 9,3 in je jaarlijkse beoordeling. Netjes. Je legt de score vast in Excel, checkt het vakje voor “beoordeeld” en gaat verder met je dag. Tot het misgaat. De dienst valt uit, een datalek ontstaat, of een project loopt vertraging op omdat je leverancier zijn afspraken niet nakomt. En ineens blijkt die 9,3 vooral gebaseerd op goede bedoelingen, en weinig onderbouwing.

    Voor veel organisaties is dit herkenbaar. Leveranciersbeoordeling is vaak een verplichting op papier: een lijstje, een score en hop, klaar is Kees. Maar het echte doel van zo’n beoordeling? Grip krijgen op risico’s in je keten. Juist daar gaat het met Excel vaak mis.

    In deze blog lees je waarom die klassieke aanpak tekortschiet, wat een moderne beoordeling wél inhoudt, en hoe je leveranciers structureel én risico gestuurd kunt beoordelen – zonder spreadsheets.

    Waarom Excel tekortschiet bij leveranciersbeoordeling

    Excel is laagdrempelig, maar het is niet ontworpen voor gestructureerd risicobeheer. Wat er in de praktijk gebeurt:

    • Beoordelingen zonder context
      Je weet niet wie toegang heeft tot welke systemen, data of processen. Iedereen scoort ‘voldoende’, maar niemand weet waarom.
    • Verouderde inzichten
      Zodra je een Excelbestand opslaat, is het eigenlijk al achterhaald. Certificaten verlopen, prestaties veranderen, incidenten worden vergeten.
    • Geen structurele opvolging
      Een leverancier scoort een 6 – en dan? Wie neemt actie? Wat moet er gebeuren? Excel heeft geen workflow, geen reminders, geen eigenaarschap.
    • Afhankelijkheid van personen
      Eén medewerker weet hoe het bestand werkt. Tot die met vakantie gaat – of vertrekt.

    Het resultaat? Je voldoet op papier aan je ISO 9001- of ISO 27001-verplichting, maar in de praktijk heb je weinig zicht op je echte kwetsbaarheden.

    Wat een moderne leveranciersbeoordeling wél doet

    Leveranciersbeoordeling is geen formaliteit, maar een onmisbaar onderdeel van je compliance- en risicostrategie. Zeker als je werkt met normen als ISO 9001, ISO 27001 of als je moet voldoen aan de NIS2.

    Een slimme aanpak:

    • Koppelt leveranciers aan bedrijfsmiddelen
      Denk aan systemen, klantdata, infrastructuur of operationele processen. Een leverancier die je cloudomgeving beheert, vraagt om een andere beoordeling dan je koffieleverancier.
    • Beoordeelt op basis van risico’s
      Niet elke leverancier is even kritisch. Beoordeel op impact: wie beïnvloedt je continuïteit, je informatiebeveiliging of je kwaliteit?
    • Kijkt verder dan een rapportcijfer
      Beoordeel leveranciers niet alleen op algemene indruk, maar op actuele prestaties, incidenthistorie, certificering en contractuele naleving.
    • Is cyclisch en continu
      Een eenmalige score is waardeloos zonder opvolging. Plan herbeoordelingen in, koppel acties aan uitkomsten en blijf monitoren.
    • Is aantoonbaar, gestructureerd en schaalbaar
      Auditoren vragen niet of je iets hebt beoordeeld, maar hóé. Welke criteria? Welke acties zijn genomen? Welke risico’s zijn geïdentificeerd?

    Praktijkvoorbeeld: waarom context alles is

    Stel, je werkt met een externe IT-partner die jouw klantportaal beheert. Die partner scoort elk jaar een 8,5 in je Excel-beoordeling.
    Maar…

    • “Je weet niet meer of ze nog een geldige ISO 27001-certificering hebben.”
    • “Je hebt geen zicht op incidenten die ze hebben meegemaakt.”
    • “Ze beheren systemen die klantdata bevatten, maar dat is nergens gekoppeld.”

    Als er een datalek ontstaat, kun je het niet terugleiden naar een actuele risico-inschatting.

    Had je wél gewerkt met een systeem dat deze leverancier koppelt aan je kritieke systemen, dan had je direct gezien dat hier meer controle over was – en had je eerder kunnen bijsturen.

    Hoe begin je zelf?

    Een goede eerste stap richting structurele leveranciersbeoordeling is het koppelen van leveranciers aan je bedrijfsmiddelen. Denk hierbij aan:

    • IT-systemen (zoals je CRM of klantportaal)
    • Gevoelige datasets (klantgegevens, gezondheidsinformatie)
    • Kernprocessen (productie, logistiek, support)
    • Fysieke middelen (toegang tot kantoor, apparatuur)

    Daarna: bepaal voor elk bedrijfsmiddel wat de impact is bij falen, en bepaal welk risico je accepteert. Hoe hoger de impact, hoe hoger de beoordelingsfrequentie en de eisen aan je leverancier.

    Gebruik vervolgens tooling zoals CompliTrack om:

    • Leveranciers te koppelen aan bedrijfsmiddelen
    • Risicoanalyses automatisch uit te voeren
    • Incidenten te registreren en te koppelen aan leveranciers
    • Beoordelingen te plannen, acties toe te wijzen en opvolging te borgen
    • Certificaten, contracten en prestaties inzichtelijk te houden

    Waarom dit nú belangrijk is

    De wereld verandert. Leveranciers hebben vaker directe toegang tot je informatie, je infrastructuur en je klanten. En dat betekent: hun fouten worden jouw risico’s.

    Tegelijkertijd worden de eisen strenger:

    • ISO 9001 vraagt om objectieve en herhaalbare leveranciersbeoordeling
    • ISO 27001 stelt eisen aan beheersmaatregelen voor derde partijen
    • NIS2 eist aantoonbare controle over je toeleveringsketen

    Met andere woorden: je kunt het je niet veroorloven om leveranciersbeoordeling te blijven zien als een Excel-ritueel.

    Van incident naar inzicht: een echt voorbeeld

    Een middelgroot IT-bedrijf – klant van ons – gebruikte jarenlang een jaarlijkse vragenlijst in Excel om leveranciers te beoordelen. Eén van hun leveranciers scoorde altijd keurig een 9. Tot bleek dat deze leverancier geen actuele ISO-certificering meer had én toegang had tot klantdata. Na een incident was er geen duidelijk zicht op wie waarvoor verantwoordelijk was.

    Sindsdien gebruiken ze CompliTrack om leveranciers structureel te koppelen aan systemen, risico’s en maatregelen. Beoordelingen zijn nu risico gestuurd, geautomatiseerd en gekoppeld aan incidenthistorie. En audits? Die doorstaan ze nu zonder gedoe, en met vertrouwen.

    Klaar om afscheid te nemen van Excel?

    Leveranciersbeoordeling hoeft geen corvee te zijn. Het kan je juist helpen om risico’s te verkleinen, audits soepel te laten verlopen en je organisatie soepeler en veerkrachtiger te maken.

    Wil je verder lezen? Bekijk dan ook:

    Of: plan direct een vrijblijvende demo. Dan laten we je zien hoe je met één centrale tool leveranciersbeoordeling wél overzichtelijk, efficiënt en impactvol maakt.

  • Onze leverancier scoorde een 9 in de audit. En toch ging het mis.

    Onze leverancier scoorde een 9 in de audit. En toch ging het mis.

    Auditresultaat: 0. Risico-inschatting: laag. Conclusie: alles onder controle.
    Totdat de productie stilvalt. Of klantdata uitlekt. Of er wéér een storing is. En ineens blijkt die ‘9’ niet zo geruststellend als gedacht.

    In deze blog lees je waarom een goed auditrapport van je leverancier geen garantie is voor werkelijke veiligheid, en hoe je voorkomt dat je leveranciersbeoordelingen vooral compliance-theater worden.

    Het leek waterdicht, tot het fout ging

    Een technisch dienstverlener in de energiesector werkte samen met een IT-partner die ISO 27001-gecertificeerd was. Die partner scoorde een 9,3 in de jaarlijkse leveranciersbeoordeling. Alle vinkjes stonden op groen. Toch ging het mis.

    Wat bleek?
    Het cloudplatform waarop zij klantdata hostten, inclusief netwerkinformatie en gebruikersgegevens, viel buiten de scope van hun ISO-certificering. In het auditrapport stond keurig vermeld: “Deze omgeving is operationeel, maar valt buiten de ISMS-scope.” Alleen: niemand heeft dat gelezen. En niemand heeft gevraagd wat dat in de praktijk betekende.

    Toen de cloudomgeving werd getroffen door een ransomware-aanval, was er geen noodscenario. Geen back-upplan. En geen aansprakelijkheid, want: de risico’s waren niet besproken, laat staan vastgelegd in een contract.

    Waarom een 9 geen garantie is

    We vertrouwen graag op auditcijfers, certificaten en beoordelingslijsten. Een hoge score voelt veilig. Maar een score vertelt niets over:

    • Welke processen en systemen precies onder die audit vallen.
    • Welke maatregelen werkelijk effectief zijn – en voor jouw situatie relevant.
    • Wat de leverancier niet heeft geregeld, of wat jij zelf moet aanvullen.
    • Hoe snel en adequaat wordt gehandeld als het wél misgaat.
    • Of er juridische afspraken zijn die aansluiten op de feitelijke risico’s (zoals DPA’s, exit-clausules of SLA’s).

    Een audit is een momentopname. En dat moment zegt niets over de praktijk van morgen, volgende week of volgend kwartaal. Toch vertrouwen veel organisaties op die momentopnames als basis voor hun leveranciersstrategie. Zo ontstaat compliance zonder context, ofwel: compliance-theater.

    De veelgemaakte denkfout

    De meeste organisaties stellen wél eisen aan leveranciers (“moet ISO-gecertificeerd zijn”, “moet aanleveren voor de audit”), maar vergeten drie essentiële vragen:

    • Waar raakt deze leverancier mijn kritieke processen of gegevens?
    • Wat is de impact als deze leverancier faalt, en wie merkt dat als eerste?
    • Hebben wij aanvullende maatregelen genomen om dát risico af te dekken?

    Zonder deze drie vragen loop je het risico dat je je risicobeoordeling uitbesteedt aan de marketingafdeling van je leverancier. En dat is – op z’n zachtst gezegd – geen geruststellend vooruitzicht.

    Excel werkt niet voor structurele beoordeling

    Veel organisaties beheren leveranciersinformatie nog in Excel of SharePoint-lijstjes. Je kunt daar wel vinkjes bijhouden, maar:

    • Je weet niet aan welke bedrijfsmiddelen of processen de leverancier gekoppeld is.
    • Risico’s blijven abstract: er is geen directe relatie met impact of context.
    • Incidenten worden niet automatisch meegenomen in je beoordeling.
    • Audits worden elk jaar opnieuw opgebouwd, in plaats van structureel bijgehouden.
    • Er is geen koppeling tussen risicoanalyse, contractbeheer en maatregelen.

    Zo blijft leveranciersbeoordeling statisch. Je vult jaarlijks een lijst in, scoort een 8,7 en gaat verder. Tot het misgaat.

    Hoe CompliTrack dit voorkomt

    CompliTrack is een lichtgewicht GRC-tool die leveranciers structureel koppelt aan je organisatie:

    • Koppel leveranciers aan bedrijfsmiddelen, processen of datatypes.
    • Voer risicoanalyses uit per leverancier, afgestemd op jouw situatie.
    • Krijg realtime inzicht in maatregelen, certificaten, SLA’s en incidenthistorie.
    • Beoordeel de impact op continuïteit en compliance als een leverancier wegvalt.
    • Plan evaluatiemomenten automatisch in en berg opvolging.

    Zo ontstaat niet alleen een vollediger beeld, maar ook een betere discussie met je leveranciers. Want een leverancier die op papier scoort, maar risico’s ontwijkt, krijgt geen 9 meer. Die krijgt een gesprek.

    Wat als jij dit over het hoofd ziet?

    Veel bedrijven hebben het niet in de gaten. Ze vertrouwen op de jaarlijkse vragenlijst, op de ISO-stempel, op het auditrapport in PDF-vorm. Tot er een storing is. Of een datalek. Of een leverancier ineens afhaakt.

    De tijd om kritische vragen te stellen, is vóór de storing. Niet erna.

    Dus: zorg dat je leveranciersbeoordeling niet stopt bij cijfers, maar begin met risico’s, processen en praktijk.

    Meer weten?

    Lees ook:

    Een hoge score is mooi. Maar als je niet weet wat níet gemeten is, weet je ook niet wat je mist.
    Wil je weten hoe je wél grip krijgt op leveranciersrisico’s? We laten het je graag zien, plan gerust een demo.

  • Compliance zonder compliance-afdeling: 7 systemen die je vandaag kunt structureren

    Compliance zonder compliance-afdeling: 7 systemen die je vandaag kunt structureren

    “Toen onze enige compliance-expert uitviel, viel het hele systeem om”

    Als je maandag onze blog hebt gelezen, dan weet je dat dit geen hypothetisch scenario is. Het gebeurt vaker dan je denkt, zeker bij organisaties waar compliance iets is dat ‘erbij’ wordt gedaan. Vaak door een loyale HR-manager, een IT-er die ‘de AVG’ erbij doet, of een directeur die alles zelf probeert bij te houden.

    Maar wat als die persoon een andere baan krijgt? Of simpelweg een paar weken uitvalt? Dan merk je pas hoe afhankelijk je bent van kennis die nergens goed is vastgelegd.

    Het goede nieuws: je hebt geen aparte compliance-afdeling nodig om grip te krijgen. Met een beetje structuur, én een goed systeem, kun je vandaag al beginnen met het opbouwen van een stevig fundament. In deze blog laat ik je zien welke 7 onderdelen je nu al kunt organiseren. Zonder consultancytraject, zonder team van vijf, zonder eindeloze Excel-bestanden.

    1. Risicobeheer: Begin met een eenvoudige risicomatrix

    Iedereen weet: je moet “iets met risico’s”. Maar in de praktijk blijven risicoanalyses vaak steken in een Excel-sheet waar niemand meer naar kijkt.

    Wat wél werkt:

    • Begin klein. Breng de 5 à 10 grootste risico’s in kaart: datalekken, IT-storingen, leveranciersafhankelijkheid, enzovoorts.
    • Gebruik een eenvoudige matrix: kans x impact = prioriteit.
    • Wijs per risico een eigenaar aan. Wie bewaakt het? Wie grijpt in?

    In CompliTrack kun je dit inrichten én koppelen aan acties, betrokken systemen of leveranciers. Geen losse lijsten meer, maar een gestructureerd overzicht dat je actueel houdt.

    Verder lezen: De risicoanalyse: een onmisbaar instrument voor elke ondernemer

    2. Documentbeheer: Zet je kernbeleid op één centrale plek

    Beleid is vaak versnipperd. Het informatiebeveiligingsbeleid staat in een Word-bestand op SharePoint, de klachtenprocedure zit in een mailbox, en het onboardingsformulier wordt steeds opnieuw opgevraagd.

    Wat je wilt:

    • Eén centrale plek met actueel beleid: informatiebeveiliging, privacy, kwaliteit, leveranciers.
    • Procedures, werkinstructies, sjablonen, taken – alles vindbaar, up-to-date en bruikbaar.
    • Versiebeheer zodat je bij audits kunt laten zien dat je met de juiste versie werkt.

    Zonder dat iemand hoeft te vragen: “Is dit het laatste bestand?”

    3. Incidentregistratie: Niet alleen oplossen, maar ook leren

    Incidenten gebeuren. Ook bij jouw organisatie. Een verkeerde factuur, een e-mail met gevoelige informatie naar de verkeerde persoon, een storing die niet gemeld werd.

    Wat belangrijk is:

    • Maken we meldingen laagdrempelig?
    • Documenteren we oorzaak, impact én opvolging?
    • Leren we structureel van herhaalde incidenten?

    Voor sommige incidenten – bijvoorbeeld met persoonsgegevens – geldt bovendien een meldplicht (AVG). Dan moet je aantoonbaar laten zien wat er gebeurd is en welke actie je hebt ondernomen.

    CompliTrack helpt je bij het loggen van incidenten, het koppelen aan risico’s, maatregelen of systemen, en het genereren van meldingen richting meldingen of toezichthouder – als dat nodig is.

    Verder lezen: Incidenten registreren én verbeteren: hoe je leert van je fouten

    4. Taakbeheer: Van Excel-lijst naar opvolging die werkt

    Compliance valt of staat met opvolging. Wie checkt of de jaarlijkse AVG-check is gedaan? Of de leveranciersbeoordeling uit Q2? Of de interne audit van die ene procesgroep?

    Als je werkt met een lijstje in Excel, is de kans groot dat dit soort taken blijven liggen. Want Excel stuurt geen herinnering. En Excel zegt niet: “Deze taak staat al 30 dagen open, wat moet ermee gebeuren?”.

    Wat wél werkt:

    • Taken koppelen aan mensen, deadlines en terugkeerfrequentie.
    • Automatische meldingen als iets blijft liggen.
    • Inzicht voor je team of directie: wat loopt? Wat stokt?

    Leveranciersbeoordeling: Niet alles binnen gebeurt onder je dak

    Steeds meer risico’s komen van buiten: IT-dienstverleners, softwareleveranciers, cloudaanbieders, extern personeel.

    Je hoeft het niet ingewikkeld te maken.

    Wat helpt:

    • Koppel leveranciers aan de systemen of de data waar ze bij betrokken zijn.
    • Check of ze voldoen aan jouw eisen: denk aan certificaten, contractuele afspraken of auditresultaten.
    • Houd vast wat besproken is en plan wat je opnieuw beoordeelt

    Met CompliTrack krijg je direct inzicht: welke leverancier heeft toegang tot wat, wanneer is die voor het laatst beoordeeld en wie is verantwoordelijk?

    Verder lezen: Leveranciers beoordelen zonder spreadsheets: zo doe je dat

    6. Auditvoorbereiding: Van stressmoment naar aantoonbare controle

    In plaats van het elk jaar opnieuw uit te zoeken, kun je werken met:

    • Een planning waarin je alle auditonderdelen spreidt over het jaar.
    • Inzicht in welke onderdelen je al hebt geaudit (en wanneer).
    • Bevindingen die direct worden gekoppeld aan verbeteracties.

    Geen losse notitites meer of documenten waarvan niemand weet waar ze staan – maar een gestructureerd auditoverzicht dat wél werkt.

    Verder lezen: Verschil interne en externe audit: wat je moet weten

    7. Compliance-dashboard: Eén overzicht, geen giswerk

    Uiteindelijk wil je weten:

    • Wat zijn de belangrijkste risico’s?
    • Welke incidenten zijn er geweest?
    • Welke taken zijn open?
    • Welke leveranciers zijn nog niet beoordeeld?
    • Wanneer is de volgende interne audit?

    Een compliance-dashboard geeft je overzicht, zonder dat je zelf hoeft te puzzelen in vijf verschillende tools. En zonder dat je afhankelijk bent van de kennis van één collega.

    Conclusie: Structuur zonder complexiteit

    Je hoeft geen compliance-afdeling te hebben om overzicht te krijgen. Wat je wél nodig hebt, is een slimme structuur waarin risico’s, beleid, incidenten, leveranciers, taken en audits met elkaar verbonden zijn.

    Dat kan in Excel, maar dan ben je afhankelijk van degene die het bestand heeft gebouwd.

    Of je gebruikt een systeem dat voor je werkt, meedenkt, opvolging automatiseert én klaar is voor groei.

    Wil je zien hoe dat eruit zie? Vraag een vrijblijvende demo aan. Dan laat ik je graag zien hoe je, zonder extra afdeling, grip krijgt op compliance die wél werkt.

  • Toen onze enige compliance-expert uitviel, viel het hele systeem om

    Toen onze enige compliance-expert uitviel, viel het hele systeem om

    Wat er gebeurde toen ons systeem slechts in één hoofd bleek te zitten

    We dachten dat we het prima geregeld hadden. De risicoanalyse was afgerond, de auditplanning stond op de agenda en het beleid was netjes opgeslagen in een map. Of in ieder geval: ergens. Alles leek te lopen zoals het moest.

    Totdat Karin uitviel.

    Karin was onze collega die alles rondom compliance regelde. Ze kende elke norm, elk proces, elke verplichting. Ze hield auditbevindingen bij in Excel, stuurde herinneringen via Outlook en had antwoord op vrijwel elke vraag.

    En ineens was ze er niet meer. Onverwacht ziek. Niemand kon bij haar laptop. Niemand wist waar de actuele documenten stonden. En nog belangrijker: niemand wist wie waarvoor verantwoordelijk was.

    Binnen één week viel alles stil.

    De comfortabele illusie van overzicht

    Compliance lijkt vaak op orde zolang er iemand is die zich ermee bezighoudt. Iemand die het ‘gewoon regelt’. Maar een systeem dat afhankelijk is van één persoon, is geen systeem. Dat is een kwetsbaarheid met een naamplaatje.

    Wat als die persoon morgen wegvalt? Dan blijkt ineens dat de auditplanning nergens staat, dat risico’s niet opnieuw beoordeeld zijn, dat er geen directiebeoordeling is – alleen een verzameling losse bestanden en goede bedoelingen.

    En die bedoelingen zijn waardeloos als je onder tijdsdruk iets moet aantonen.

    De afhankelijkheid die je niet ziet, tot het misgaat

    In veel organisaties rust compliance op één persoon. Vaak iemand die naast z’n werk gewone werk ook de ISO-processen in de lucht houdt. Zolang diegene beschikbaar is, lijkt alles te kloppen. Maar zodra die persoon uitvalt, op vakantie is of vertrekt, blijkt dat er geen gedeeld systeem is – alleen gewoontes en impliciete kennis.

    Dat is geen onwil. Dat is hoe dingen groeien: pragmatisch, decentraal, menselijk. Tot het moment dat je er niet meer mee wegkomt.

    ISO-normen – of het nu gaat om informatiebeveiliging, kwaliteit, privacy of bedrijfscontinuïteit – vragen geen heldendom, maar overdraagbare processen. Wat je vastlegt, moet herhaalbaar zijn. Wat je belooft, moet aantoonbaar zijn. Alleen dan is compliance geen papieren werkelijkheid, maar een werkend systeem.

    Wat we sindsdien anders doen

    Na een week van zoeken, improviseren en herhaaldelijk ‘nee, dat hebben we niet beschikbaar’ zeggen, was het duidelijk: dit mocht niet nog eens gebeurden.

    We wilden geen logge software of maandenlange implementaties. Geen consultants die ons vertelden hoe we moesten werken. We wilden een manier om wél structuur aan te brengen, zonder dat het onze organisatie veranderde in een bureaucratisch project.

    We kozen voor CompliTrack.

    En sindsdien:

    • Zijn risico’s, audits, beleid en acties op één plek te vinden.
    • Heeft elke taak een eigenaar, deadline en opvolging.
    • Weten we wanneer een herbeoordeling moet gebeuren, en waarom.
    • Krijgt niemand meer een auditmail waar alleen Karin op kan reageren.
    • En hebben we eindelijk overzicht, ook als iemand uitvalt.

    Wat begon als ‘laten we het gewoon oplossen’, is uitgegroeid tot een manier van werken die rust geeft. Niet omdat alles perfect is. Maar omdat het beheersbaar, overdraagbaar is en omdat het ons niet meer verrast.

    De echte winst? Geen compliance-stress meer

    Sinds we het structureel geregeld hebben, voelt compliance niet meer als ‘iets extra’s’. Het zit in ons ritme. Acties worden opgevolgd, documenten zijn beschikbaar, audits komen niet meer onverwacht.

    En het geeft ruimte. Ruimte om te verbeteren, in plaats van te herstellen. Ruimte om te sturen, in plaats van te zoeken.

    Misschien wel het belangrijkste: het vertrouwen dat het systeem werkt, óók als de persoon even niet beschikbaar is.

    Ook interessant

    Wil je voorkomen dat compliance in jouw organisatie afhangt van één persoon?

    Ontdek hoe CompliTrack je helpt risico’s, audits en processen te structureren. Zonder complexiteit, zonder afhankelijkheid en zonder Excel.

    Plan een demo en bekijk hoe je de controle terugkrijgt.

  • Auditvoorbereiding in ritme: altijd aantoonbaar zonder stress

    Auditvoorbereiding in ritme: altijd aantoonbaar zonder stress

    De audit komt eraan.

    Je weet het al weken, maar toch voelt het alsof alles ineens tegelijk moet gebeuren. Documenten opzoeken. Incidenten nog snel registreren. Acties afvinken die maanden geleden zijn blijven liggen. Niet omdat je je werk niet goed doet – maar omdat het nergens goed is vastgelegd.

    Veel organisaties herkennen die stress. Maar wat als auditvoorbereiding géén jaarlijkse spoedklus hoeft te zijn? Wat als het gewoon onderdeel is van je normale werkritme?

    In deze blog laat ik je zien hoe je dat ritme opbouwt – en hoe je aantoonbaar compliant blijft, zonder tijdsdruk of paniek.

    Waarom audits vaak voelen als een sprint

    Audits worden zelden spannend omdat je iets verkeerd doet. Ze worden spannend omdat je wél iets doet, maar het niet kunt laten zien.

    Wat ik vaak zie?

    • Je informatie is verspreid over Excel, e-mails en gedeelde netwerkschijven.
    • Verbeteracties zijn besproken, maar niet formeel vastgelegd.
    • Incidenten zijn afgehandeld, maar nergens geregistreerd.
    • Taken zijn ooit toegewezen, maar niemand weet meer aan wie – of waarom.

    Dan komt de auditor langs, en ineens is alles urgent.

    Wat als auditvoorbereiding geen project meer is?

    De meeste normen – ISO 9001, ISO 27001, NEN 7510 – eisen aantoonbaarheid. Niet perfectie. En al helemaal geen jaarlijkse sprint. Ze laten je juist ruimte om je eigen ritme te kiezen.

    Veel organisaties werken daarom met drie vaste auditmomenten, verspreid over een jaar. Geen grote trajecten, maar logische ankerpunten die helpen om overzicht te houden.

    1. Kwartaalrondes

    Vier keer per jaar even checken: klopt wat er staat nog met hoe je werkt?

    Denk aan:

    • Zijn risicoanalyses nog actueel?
    • Zijn openstaande acties nog opgevolgd?
    • Is het beleid nog relevant?

    Je hoeft hier geen dik rapport van te maken. Een korte interne update of rondgang is vaak al genoeg om afwijken vroeg te signaleren.

    2. Managementreview

    Halverwege het jaar neem je afstand. Je kijkt met het managementteam niet alleen terug, maar vooral vooruit.

    Wat komt daar zoal aan bod?

    • Welke verbeteracties zijn wel of juist niet opgepakt?
    • Wat blijkt uit incidenten, afwijkingen of interne audits?
    • Lopen je doelen nog synchroon met je beleid?
    • Zijn er risico’s, trends of wetgevingswijzigingen die je moet meenemen?

    Je staat ook stil bij de kernvraag: werkt het systeem nog voor ons? Of moet het mee evolueren met de praktijk?

    Zo’n review is dus méér dan een verplicht agendapunt. Het is een strategisch rustmoment.

    3. Interne audits

    Een interne audit is geen toets om te slagen. Het is een spiegel.

    Je kijkt: doen we wat we zeggen dat we doen? Sluiten procedures nog aan bij hoe we echt werken?

    Sommige bedrijven plannen één grote audit per jaar, anderen verdelen het over teams of processen. Wat je ook kiest: de sleutel is continuïteit, niet perfectie.

    💡Veel bedrijven plannen hun auditcyclus bewust vroeg in het jaar. Zo voorkom je dat alles zich ophoopt vlak voor een externe toetsing.

    Hoe CompliTrack je auditritme ondersteunt

    Natuurlijk kun je dit auditritme vastleggen in Excel. En voor sommigen werkt dat – tot het druk wordt. Dan verdwijnen lijstjes, raken notulen kwijt, en weet niemand meer waar de laatste versie van het beleid ligt.

    Daarom helpt een tool als CompliTrack om het proces niet alleen in te richten, maar ook vol te houden.

    Wat CompliTrack voor je doet:

    • Plant je auditmomenten door het jaar heen, met auditdoelstellingen per auditmoment.
    • Legt bewijslast vast op de juiste plek, gekoppeld aan risico’s of normen.
    • Maakt opvolging inzichtelijk, met taken, deadlines en verantwoordelijkheden.
    • Geeft realtime overzicht van wat er nog openstaat – en wat aantoonbaar is geregeld.

    Zo bouw je ongemerkt een logboek op dat zichzelf vult. Bij een externe audit hoef je niet te verzamelen. Je laat gewoon zien wat er al ís.

    📎Meer hierover? Lees ook: De risicoanalyse – een onmisbaar instrument voor elke ondernemer

    Van stress naar overzicht: een praktijkvoorbeeld

    Een klant in de installatiesector werkte jarenlang nog met losse Word- en Excelbestanden. Elk jaar dezelfde auditstress. Documenten zoeken, taken nalopen, incidenten terugzoeken.

    Sinds de overstap naar CompliTrack hebben ze het anders ingericht:

    1. Elk kwartaal krijgen de juiste mensen een taakherinnering.
    2. Bewijslast wordt direct toegevoegd bij de maatregelen.
    3. Tijdens de audit? Alles stond al klaar.

    De laatste externe audit ging soepel. Geen stress, geen gaten. Alles aantoonbaar.

    Conclusie: audit als routine, niet als reddingsactie

    Wil je auditstress structureel voorkomen, dan is de oplossing niet om nóg harder te werken. Het is slimmer organiseren.

    Met een simpel auditritme en een ondersteunende tool bouw je aantoonbaarheid op terwijl je werkt. Geen paniek, geen losse eindjes. Gewoon grip, overzicht en rust.

    📘Meer weten? Lees ook: De initiële ISO-audit – stapsgewijze gids naar certificering.

  • Wat we leerden van een klantincident: waarom een PIMS geen luxe is

    Wat we leerden van een klantincident: waarom een PIMS geen luxe is

    Een middelgroot adviesbureau in de zakelijke dienstverlening stuurde per ongeluk een Excel-bestand met persoonsgegevens naar de verkeerde klant. Wat volgde was een klassiek AVG-datalek: onbedoeld gedeelde klantinformatie, stress over meldplichten, onzekerheid over procedures – en uiteindelijk de conclusie dat het bestaande privacybeleid vooral op papier bestond.

    Het was een confronterend moment voor deze organisatie, die nota bene zelf diensten aanbiedt op het gebied van digitalisering en gegevensverwerking. Wat ze dachten geregeld te hebben, bleek in praktijk nauwelijks gevolgd.

    En ze zijn bepaald niet de enige.

    Wanneer privacybeleid geen bescherming biedt

    Veel organisaties hebben tegenwoordig wél een privacyverklaring, een verwerkersovereenkomst en een paar algemene richtlijnen. Maar als je eenmaal te maken krijgt met een incident – of met een klant die vragen stelt over je databeheer – merk je al snel dat losse documenten geen bescherming bieden.

    Wat ontbreekt, is structuur. Niet de intentie om privacy serieus te nemen, maar de vertaalslag naar processen, eigenaarschap en toezicht.

    Precies daar komt een PIMS in beeld.

    Wat is een PIMS?

    Een Privacy Information Management System (PIMS) helpt organisaties om de verwerking van persoonsgegevens aantoonbaar te organiseren, beoordelen en verbeteren. Het biedt structuur, overzicht en herhaalbaarheid.

    Een goed PIMS geeft antwoord op vragen als:

    • Wie verwerkt welke persoonsgegevens?
    • Waar liggen de grootste risico’s?
    • Hoe worden datalekken geregistreerd en afgehandeld?
    • Welke maatregelen zijn gekoppeld aan welke risico’s?
    • Is er toezicht op naleving en bewustzijn?

    Een PIMS is geen extra bureaucratische laag. Het is juist het fundament onder professioneel privacybeheer – zeker voor organisaties die willen voldoen aan de AVG of werken richting ISO 27701.

    De casus: wat ging er mis?

    In dit specifieke geval werd een bestand met persoonsgegevens gemaild naar een verkeerd contact. Er was geen bestandscodering, geen automatische waarschuwing, en geen tweekoppige controle bij verzending. Binnen een kwartier was de fout helder – en de gevolgen serieus.

    Wat bleek:

    • Er was geen actueel verwerkingsregister.
    • Incidenten werden niet structureel geregistreerd of geëvalueerd.
    • Er waren geen duidelijke rollen en taken bij privacybeheer.
    • Bewustwordingstrainingen waren eenmalig – en twee jaar geleden.

    De organisatie handelde correct: ze voerden een interne beoordeling uit, documenteerden het incident en kozen ervoor om het datalek te melden bij de toezichthouder. Maar belangrijker: het was een wake-up call. Geen paniek, geen boete – maar wel reputatieschade bij een klant.

    Wat een PIMS had kunnen voorkomen

    Als de organisatie had gewerkt met een gestructureerd PIMS, hadden ze:

    • Automatisch inzicht gehad in welke risico’s aan welke processen gekoppeld zijn.
    • Bewustwordingstrainingen jaarlijks kunnen opvolgen en documenteren.
    • Incidenten kunnen registreren, evalueren en koppelen aan verbetermaatregelen.
    • Een verwerkingsregister paraat gehad voor de klantvraag én voor zichzelf.
    • Een vast incident response-plan gehad, inclusief verantwoordelijkheden en checklists.

    Met andere woorden: ze hadden niet hoeven improviseren onder druk.

    De rol van tooling

    Een PIMS hoeft niet groot, duur of complex te zijn. Juist kleinere organisaties profiteren van een lichtgewicht oplossing met heldere processen. In dit geval koos het adviesbureau na het incident voor een gestroomlijnde GRC-tool (CompliTrack), waarmee ze o.a.:

    • DPIA’s standaard onderdeel maakten van projectstart.
    • Incidenten en verbeteracties automatisch volgden.
    • Rollen en taken rondom privacybeheer vastlegden.
    • Inzicht kregen in maatregelen per verwerkingsactiviteit.

    Binnen drie maanden stonden ze er organisatorisch én auditmatig beter voor dan ooit.

    Conclusie: privacy is geen paragraaf, maar een proces

    Datalekken zijn zelden het gevolg van slechte bedoelingen. Maar ze leggen wel pijnlijk bloot waar processen ontbreken. Privacybeleid is belangrijk – maar zonder structuur, eigenaarschap en opvolging is het geen bescherming, maar schijnzekerheid.

    Een PIMS brengt rust, overzicht en aantoonbare naleving. En met de juiste tooling is het eenvoudiger dan veel organisaties denken.

    Meer lezen?

    Meer weten over hoe CompliTrack privacy structureel ondersteunt?

    Neem vandaag nog contact met ons op om een demo te plannen.

  • Het beleid klopte. De audit faalde. Waarom gedrag de doorslag geeft in compliance

    Het beleid klopte. De audit faalde. Waarom gedrag de doorslag geeft in compliance

    Een week voor de audit had iedereen z’n actiepunt. De risicoanalyse was afgerond, het beleid geüpdatet, de taken stonden in Excel. Maar in de dagen voor het auditgesprek bleek dat niemand opvolgde. Sommige controles waren niet uitgevoerd. Andere taken stonden nog open. En een van de belangrijkste actiepunten? Verdwenen in een mailbox.

    Niet omdat mensen het niet wilden. Maar omdat niemand het écht als zijn of haar taak zag.

    Dat is precies het verschil tussen een systeem op papier – en gedrag in de praktijk.

    Gedrag als bepalende factor in compliance

    In veel organisaties wordt compliance nog vooral gezien als iets dat je organiseert: je maakt beleid, schrijft processen uit, wijst taken toe en verzamelt bewijs. Maar of mensen zich aan afspraken houden, wordt niet bepaald door wat er op papier staat, maar door hoe ze zich gedragen.

    Steeds vaker wordt in richtlijnen benadrukt dat gedrag en cultuur minstens zo belangrijk zijn als processen. Een goed voorbeeld is ISO 37301, een internationale norm die organisaties helpt om compliance structureel in te richten. Deze norm benoemt expliciet dat leiderschap, voorbeeldgedrag en betrokkenheid bepalend zijn voor effectiviteit. Het gaat dus niet alleen om wát je organiseert, maar ook om hoe mensen zich daartoe verhouden.

    Dat brengt ons bij een belangrijk onderscheid dat in de praktijk vaak vergeten wordt: dat tussen harde en zachte beheersmaatregelen.

    Hard controls vs. soft controls

    • Hard controls zijn formeel: processen, verantwoordelijkheden, autorisaties. Ze zijn zichtbaar, meetbaar en goed vast te leggen
    • Soft controls zijn gedragsmatig: aanspreekcultuur, betrokkenheid, voorbeeldgedrag. Ze zijn lastiger te meten, maar minstens zo bepalend voor naleving.

    Hard en soft controls kunnen niet zonder elkaar. Hard controls bieden de structuur en het kader waarbinnen gedrag kan plaatsvinden: zonder processen, rollen en procedures ontbreekt overzicht, sturing en basisverantwoordelijkheid.

    Maar andersom geldt net zo goed: zonder soft controls – zoals aanspreekgedrag, voorbeeldgedrag en betrokkenheid – blijven hard controls vaak dode letters. Het systeem bestaat, maar niemand leeft het na.

    In deze blog richten we ons op die zachte kant van compliance. Juist omdat die vaak onderbelicht blijft, en omdat daar het verschil wordt gemaakt tussen naleven uit gewoonte of naleven vanuit overtuiging. Of zoals een auditor ooit zei: “Jullie systeem klopt perfect – op papier.”

    Drie situaties waarin soft controls falen

    1. Het scherm dat openbleef

    Volgens het informatiebeveiligingsbeleid moet iedereen z’n werkstation vergrendelen. Maar dagelijks blijven schermen open staan. Waarom? Omdat niemand er iets van zegt. Geen aanspreekcultuur, geen sociale norm.

    2. De risicoanalyse die niemand kende

    Een externe adviseur levert een uitgebreide risicoanalyse. Maar het team herkent zich er niet in. De inhoud wordt niet besproken, en na publicatie verdwijnt het document in een mapje. Tot de auditor ernaar vraagt.

    3. De auditactie die nergens terugkomt

    Een bevinding wordt genoteerd, en wordt een actie uitgezet. Alleen: niemand krijgt een herinnering. Er is geen opvolging. Bij de hercontrole blijkt het punt nog open te staan. Iemand dacht dat iemand anders het had opgepakt.

    In alle drie de gevallen is het systeem formeel in orde. Maar het gedrag faalt. En daarmee faalt ook de compliance.

    Van structuur naar volwassenheid

    Veel organisaties bewegen zich door herkenbare fasen van compliance-volwassenheid:

    1. Ad hoc – alles zit in hoofden of mailboxen
    2. Gestructureerd – beleid en processen zijn beschreven
    3. Herhaalbaar – controles worden periodiek uitgevoerd
    4. Meetbaar – afwijkingen worden vastgelegd en geanalyseerd
    5. Verankerd – gedrag ondersteunt het systeem

    De eerste vier stappen kun je grotendeels organiseren met processen, documenten en planning. Maar het laatste niveau – verankering – vraagt iets anders: gedragen verantwoordelijkheid. En dat bereik je alleen met soft controls.

    Gedrag is de enige manier waarop compliance vanzelfsprekend wordt. Niet omdat het moet, maar omdat het zo werkt.

    Hoe tooling soft controls ondersteunt

    Gedrag kun je niet automatiseren. Maar je kunt het wel zichtbaar maken, ondersteunen en faciliteren.

    CompliTrack is gebouwd om precies dat te doen:

    • Taken zijn persoonlijk en zichtbaar: iedereen weet wie waarvoor verantwoordelijk is
    • Opvolging is gestructureerd: auditacties, herhaaltaken en risico’s worden automatisch gemonitord
    • Inzicht is direct: het dashboard toont in één oogopslag wat er speelt
    • Gedrag wordt bespreekbaar: eigenaarschap is transparant, en dus ook aanspreekbaar

    Tooling vervangt gedrag niet. Maar als gedrag bepalend is voor naleving, wil je een systeem dat dat gedrag ondersteunt – niet ondermijnt.

    Conclusie: Gedrag maakt het verschil

    Een checklist zonder opvolging is niets waard. Een beleid zonder eigenaarschap blijft papier. Compliance werkt pas als het gedrag meewerkt.

    Dat gedrag kun je ondersteunen. Door het zichtbaar te maken en door het te structureren. Door mensen verantwoordelijk te maken, zonder dat ze alles zelf moeten onthouden.

    Wil je dat compliance geen auditstress blijft, maar een werkritme wordt? Dan begint het bij gedrag. En bij tooling dat dat gedrag faciliteert.

    Wil je zien hoe CompliTrack soft controls zichtbaar maakt in jouw organisatie? Plan een demo en ontdek hoe gedrag en structuur samenkomen in één werkbaar systeem.

    Gerelateerde blogs

  • Hoe 52 cadeaubonnen onze compliance onderuit haalden

    Hoe 52 cadeaubonnen onze compliance onderuit haalden

    We hadden het allemaal goed geregeld. Dacht ik.

    Ik weet nog hoe opgelucht ik, als Security Officer, was toen het ISO-certificaat binnen was. De trainingen waren afgerond, het beleid stond scherp. De eLearning zat in het systeem, elk jaar netjes op herhaling. Iedereen door de quiz. Certificaatje binnen. Vinkje erbij.

    We dachten: we zijn compliant. Veilig. Goed bezig.

    Tot het misging.

    Een collega kreeg een bericht van iemand die zich voordeed als onze CEO. Zijn naam, zijn e-mailadres (of iets dat er sterk op leek), zijn toon. De boodschap? “Laten we het personeel bedanken voor hun inzet.” Het verzoek: cadeaubonnen voor 52 medewerkers, ieder ter waarde van 50 euro.

    Alles was professioneel opgezet: bedrijfslogo, KvK-nummer, zelfs een link naar onze echte website. En heldere instructies voor het aanschaffen en versturen van de codes.

    De collega twijfelde even. Maar hij kende onze CEO als daadkrachtig. Dus hij handelde. Kocht de bonnen. Stuurde de codes. Naar de oplichter.

    En het geld? Dat was weg.

    Eerst dacht ik: menselijke fout. Maar het was ons systeem dat faalde.

    In eerste instantie voelde ik vooral medelijden. En ook schaamte. Want deze collega deed precies wat we vaak waarderen: initiatief nemen, meedenken, handelen zonder onnodige vertraging. Geen klager, geen dromer – maar een doener.

    Maar hoe langer ik erover nadacht, hoe duidelijker het werd: dit was geen individueel falen. Dit was een structurele zwakte. Een omgeving waarin te weinig ruimte was voor twijfel. Waarin procedures er wel zijn, maar niet leven.

    Als dit zó makkelijk mis kon gaan, hadden we een groter probleem dan één verkeerde beslissing.

    Was ging er mis?

    1. Onze compliance zat in documenten, niet in gedrag
      Onze inkooprichtlijnen stonden ergens op SharePoint. Gedragsregels waren formeel vastgelegd. Maar ze leefden niet. Niemand sprak erover. Niemand herkende ze in z’n werk.
    2. Awareness was een verplicht nummer, geen bewustzijn
      De eLearning draaide om basisprincipes. Klik niet op linkjes. Download geen bijlagen. Let op verdachte afzenders. Allemaal relevant, maar het bood geen bescherming tegen slimme aanvallen op vertrouwen en loyaliteit. Deze aanval speelde zich niet af op de IT-laag, maar op de relationele laag. Dáár waar het risico zat. En daar had onze training geen antwoord op.

      Lees ook: Wat is een ISMS en waarom het belangrijk voor jouw bedrijf – hoe je bewustwording, processen en gedrag structureel verankert.
    3. Er was geen ruimte voor twijfel
      De collega voelde wel dat het vreemd was. Maar hij kende de werkdruk. En dacht: “Ik wil het goed doen. Niet vertragen. Niet lastig zijn.” We hadden geen cultuur waarin je kon zeggen: “Mag ik dit even checken?” – zonder het gevoel dat je werd weggezet als traag of onzeker.
    4. Er was geen vangnet.
      Geen proces voor uitzonderlijke betaalverzoeken. Geen check op afwijkende e-mails. Geen tussenstap die hem had kunnen beschermen. We hadden het risico nooit expliciet onderkend – laat staan benoemd.

      Meer hierover lees je in: De risicoanalyse: een onmisbaar instrument voor elke ondernemer – waarom risico’s zoals deze pas zichtbaar worden als je ze vooraf definieert.

    Vinkjes bouwen geen veiligheid

    We hadden de ISO’s. We hadden de eLearning. We hadden beleid. En toch: toen het spannend werd, had niemand iets aan die papieren zekerheden. Want gedrag verander je niet met regels. Gedrag verander je met cultuur.

    Een veilige organisatie vraagt méér dan procedures. Het vraagt om ruimte voor twijfel. Voor een opgetrokken wenkbrauw. Voor het gesprek. Voor een “Hé, dit voelt raar, mag ik dit checken?” zonder dat iemand zucht of met de ogen rolt.

    Ik zag het te laat. Maar ik zag het.

    Wat we sindsdien anders doen

    We hebben de technische maatregelen aangescherpt. Maar de echter verandering zit in hoe we samenwerken.

    Concreet:

    • Soft controls zijn nu onderdeel van ons risicomanagement. We meten cultuur, organiseren dilemma-workshops en maken psychologische veiligheid bespreekbaar.
    • Digitale inkoop boven een bepaald bedrag? Altijd met dubbele controle. En ja, ook voor cadeaubonnen.
    • Onze eLearning is herschreven. Geen abstracte animaties meer. We gebruiken scenario’s die écht kunnen gebeuren. Zoals dit.
    • Twijfel melden is niet optioneel meer. We hebben een proces van één minuut waarin twijfel net zo serieus wordt genomen als incidenten.

    We zijn niet immuun. Maar we zijn wakker.

    Deze fout? Die kan iedereen overkomen. Ook ons. Zeker in een drukke organisatie met loyale mensen die snel willen schakelen.

    En dat is precies waarom compliance niet in de kast hoort te liggen. Maar op de werkvloer. In het gesprek. In het gedrag.

    Het is pijnlijk om te beseffen dat onze trainingen mensen niet beschermden. Maar het is ook het moment waarop ik besefte: we kunnen beter. We móeten beter.

    Onze grootste zwakte was niet wat we níét wisten, maar wat we dachten al geregeld te hebben.

    En sindsdien ben ik niet op zoek naar perfectie. Alleen naar eerlijkheid. En een beetje meer gezonde twijfel.

    NB: Dit is een hypothetisch voorbeeld, gebaseerd op realistische scenario’s – geïnspireerd op situaties die zich elders in de praktijk hebben voorgedaan.

    Wil je zeker weten dat jouw team niet op goed vertrouwen struikelt?

    Lees donderdag hoe je soft controls – zoals cultuur, voorbeeldgedrag en ruimte voor twijfel – vertaalt naar een praktisch en meetbaar onderdeel van je GRC-aanpak.

  • Wat is SOC 2 (en waarom je ‘m niet haalt met een mapje Word-bestanden)

    Wat is SOC 2 (en waarom je ‘m niet haalt met een mapje Word-bestanden)

    “We hadden alles netjes in een mapje. Beleid, procedures, risicoanalyse – het zat er allemaal in. Maar toen de auditor vroeg: ‘Welk bewijs heb je dat dit écht wordt nageleefd?’, werd het stil.”

    Steeds meer organisaties in de IT en zakelijke dienstverlening krijgen ermee te maken: klanten vragen om een SOC 2-verklaring. Niet omdat ze daar zelf op zitten te wachten, maar omdat hún klanten, toezichthouders of investeerders het eisen. En dus moet je als leverancier kunnen aantonen dat je gegevensbescherming, beschikbaarheid en procesbeheersing écht op orde hebt.

    Dat klinkt overzichtelijk. Tot je beseft wat SOC 2 in de praktijk vraagt.

    Wat is SOC 2 precies?

    SOC 2 (Service Organization Control 2) is een Amerikaanse standard voor het beoordelen van hoe een organisatie omgaat met klantdata. Het rapport wordt opgesteld door een onafhankelijke auditor, op basis van jouw eigen processen en maatregelen. Die moeten aantoonbaar bijdragen aan het waarborgen van de zogeheten Trust Service Criteria:

    1. Beveiliging (Security) – zijn je systemen beschermd tegen ongeautoriseerde toegang?
    2. Beschikbaarheid (Availability) – is je dienst beschikbaar zoals afgesproken?
    3. Verwerkingsintegriteit (Processing Integrity) – worden gegevens correct en volledig verwerkt?
    4. Vertrouwelijkheid (Confidentiality) – blijven vertrouwelijke gegevens intern en beschermd?
    5. Privacy – hoe wordt omgegaan met persoonsgegevens van klanten?

    Het grote verschil met veel andere normen? SOC 2 schrijft niet exact voor wat je moet doen, maar vraagt om bewijs dat maatregelen daadwerkelijk werken in de praktijk. Het draait om betrouwbaarheid in de uitvoering.

    SOC 2 vs. ISO 27001: twee wegen naar vertrouwen

    Veel organisaties denken dat SOC 2 en ISO 27001 inwisselbaar zijn. Maar hoewel beide draaien om informatiebeveiliging, verschillen ze sterk in aanpak:

    • ISO 27001 is een internationale norm voor het opzetten van een Information Security Management System (ISMS). Het draait om het structureren van je beleid, processen, risicoanalyse en continue verbetering. Je voldoet aan een vast eisenkader, en krijgt een certificaat van een geaccrediteerde instantie.
    • SOC 2 is een auditrapport, geen certificaat. Er zijn geen verplichte maatregelen, maar je moet kunnen aantonen dat de maatregelen die je zelf hebt gekozen, ook daadwerkelijk worden uitgevoerd en gevolgd. Een SOC 2-audit kijkt terug: wat heb je gedaan, en wat kun je bewijzen?

    Kort samengevat:

    ISO 27001SOC 2
    VormCertificeringAssurance-rapport
    Norm of frameworkFormele normPrincipe-gebaseerd framework
    DoelSysteem opzetten en onderhoudenAantonen dat processen werken
    ReikwijdteInformatiebeveiliging in de breedte (inclusief privacy, beschikbaarheid en vertrouwelijkheid binnen ISMS)Klantdata en betrouwbaarheid volgens Trust Service Criteria
    ToetsingVoldoen aan vaste eisenWerking aantonen over tijd (bijv. 6-12 maanden)

    Het is geen kwestie van kiezen tussen SOC 2 of ISO 27001. Veel organisaties gebruiken ze juist samen: ISO voor structuur en SOC 2 om klantvertrouwen te versterken.

    Waarom je SOC 2 niet haalt met een mapje Word-bestanden

    Het is verleidelijk om te beginnen met een gedeelde map: een Word-bestand met het beleid, een Excel-sheet met risico’s, een PDF’je met je security controls. Maar zodra de auditor je vraagt:

    • “Wanneer is deze controle uitgevoerd?”
    • “Wie heeft dit beoordeeld?”
    • “Is er opvolging geweest na dit incident?”
    • “Wat was de laatste wijziging en door wie is die gedaan?”

    …dan blijkt dat een map vol documenten weinig waard is zonder context, logging en opvolging.

    SOC2 Type II-audits beoordelen de effectiviteit van je controles over een periode van 6 tot 12 maanden. Het gaat niet alleen om wat je opschrijft, maar of je kunt aantonen dat je het structureel doet. Iedere maand. Elke medewerker. Alle maatregelen. En dat vraagt meer dan alleen statische documenten.

    Praktijkvoorbeeld: de audit die nét niet lukte

    Een SaaS-bedrijf kreeg een grote klant uit de financiële sector in het vizier. Er was maar één voorwaarde: een SOC 2-rapport. In allerijl werd een intern team samengesteld, het beleid opgepoetst, en alles netjes gedocumenteerd. Excel voor risico’s, SharePoint voor processen, Word voor het beveiligingsbeleid. Het team had er vertrouwen in.

    Tot de auditor langskwam.

    De controles waren afgesproken, maar niet aantoonbaar uitgevoerd. Incidenten werden besproken in meetings, maar nergens vastgelegd. Rollen waren informeel verdeeld, maar nergens expliciet. De maatregelen leken prima – maar het bewijs ontbrak.

    Resultaat: geen SOC 2-rapport, geen deal, en opnieuw beginnen.

    Wat je wél nodig hebt

    Een succesvolle SOC 2-audit vraagt niet om perfectie, maar om aantoonbaarheid. Je moet laten zien dat je processen zijn ingebed in de dagelijkse praktijk. Dat betekent:

    • Duidelijke rollen en verantwoordelijkheden
      Wie is verantwoordelijk voor het beoordelen van toegangsrechten? Wie logt incidenten? Wie volgt ze op?
    • Terugkerende taken en logging
      Worden maandelijks back-ups gecontroleerd? Zijn security-updates tijdig uitgevoerd? Met bewijs?
    • Versiebeheer op beleid en maatregelen
      Wat is het actuele beleid? Wanneer is het gewijzigd? Door wie?
    • Incidentbeheer en verbeteracties
      Worden incidenten structureel geregistreerd? Zijn er trends zichtbaar Is er een evaluatie gedaan?
    • Audit-trail
      Kun je per maatregel zien wie iets heeft uitgevoerd, wanneer en wat de uitkomst was?

    CompliTrack is ontwikkeld met dat doel: een toegankelijke GRC-oplossing voor organisaties die serieus aan de slag willen met risico- en compliance beheer, zonder zware implementaties of langdurige consultancytrajecten.

    Met CompliTrack kun je:

    • Incidenten registreren en opvolgen
    • Terug taken inplannen en loggen
    • Risicoanalyse uitvoeren en koppelen aan maatregelen
    • Documentatie beheren
    • Interne audits plannen en opvolgen
    • Alles centraal vastleggen – met bewijslast

    Kortom: het juiste evenwicht tussen eenvoud en aantoonbaarheid.

    Tot slot: vertrouwen win je niet met een Excel-sheet

    Een SOC-2 audit is geen toneelstuk waarin je laat zien dat je iets hebt opgeschreven. Het is een evaluatie van hoe je organisatie werkelijk functioneert. Dag in en dag uit.

    Wil je SOC 2 halen zonder dat je organisatie verandert in een papieren compliance-machine? Ontdek hoe CompliTrack je helpt om wél aantoonbaar te zijn – en niet alleen compliant te lijken, maar het ook écht te zijn.

    Plan een vrijblijvende demo of neem contact op voor advies over hoe jij je auditproces concreet aanpakt.