Tag: Bewijs

  • Waarom losse screenshots en exports vaak niet genoeg zijn

    Waarom losse screenshots en exports vaak niet genoeg zijn

    De audit komt dichterbij en iemand stelt de bekende vraag: hebben we hier eigenlijk bewijs van?

    Even later staat er een map vol screenshots. Een afbeelding van de huidige beveiligingsinstellingen. Een export van gebruikersaccounts. Een overzicht uit een beheersysteem. Alles voorzien van duidelijke bestandsnamen en datums.

    Op het eerste gezicht lijkt het probleem opgelost. Er is immers iets tastbaars om te laten zien.

    Maar zodra iemand doorvraagt, ontstaat twijfel.

    Wanneer gold deze instelling precies? Was dit ook de situatie toen de controle had moeten plaatsvinden? Wie heeft de export beoordeeld? En wat is er gebeurd met de afwijkingen die daarin zichtbaar waren?

    Het bestand bestaat. De context ontbreekt.

    Een screenshot kan bewijs zijn, maar waarvan?

    Screenshots en exports kunnen prima als bewijs dienen, zolang duidelijk is wat ze daadwerkelijk aantonen.

    Een screenshot kan bijvoorbeeld laten zien hoe een instelling op een specifiek moment was geconfigureerd. Een export kan zichtbaar maken welke gebruikers of rechten op dat moment in een systeem geregistreerd stonden.

    Het probleem ontstaat wanneer zo’n momentopname meer moet bewijzen dan zij kan.

    Stel dat toegangsrechten periodiek worden beoordeeld. Een export kan laten zien welke rechten bestaan. Hij toont daarmee nog niet dat iemand die rechten daadwerkelijk heeft beoordeeld, welke afwijkingen zijn gevonden en wat daarmee is gedaan.

    Bewijs gaat dus niet alleen over wat ergens staat, maar over de vraag welke bewering je ermee probeert te onderbouwen.

    In Wat auditors verstaan onder ‘bewijs’ kwam dat al terug: een document, registratie of screenshot krijgt betekenis binnen de context van wat je wilt aantonen.

    Waarom meer verzamelen het probleem niet oplost

    Wanneer hierover twijfel ontstaat, is de eerste reactie vaak om meer materiaal te bewaren.

    Niet één screenshot, maar meerdere. Naast de export ook een e-mail waarin iemand bevestigt dat deze is bekeken. Alles wordt opgeslagen in een aparte bewijsmap.

    Dat maakt informatie beter vindbaar. Het maakt de samenhang nog niet vanzelf duidelijk.

    Welke export hoorde bij welke beoordeling? Welke versie was leidend? Was die bevestigingsmail het einde van de controle of slechts een tussenstap?

    Precies daar gaat bewijs verzamelen achteraf mis. Niet omdat er per definitie te weinig bestanden zijn, maar omdat tijdens het werk onvoldoende is vastgehouden wat er is gebeurd en waarom dat relevant was.

    Meer bewijsstukken verzamelen kan daardoor juist meer reconstructiewerk opleveren.

    Een digitaal spoor is iets anders dan een momentopname

    Technologie kan hier helpen, maar niet doordat zij automatisch meer bewijs produceert.

    Het relevante verschil zit tussen een handmatig gemaakte momentopname en informatie die tijdens de uitvoering ontstaat. Denk aan een registratie van een uitgevoerde controle, inclusief datum en verantwoordelijke, een wijzigingshistorie of de vastgelegde opvolging van een afwijking.

    Wanneer zulke gegevens betrouwbaar en herleidbaar zijn, geven ze context aan wat daadwerkelijk is gebeurd.

    Ook dat maakt technologie niet automatisch tot de oplossing. Honderd registraties zonder duidelijke samenhang vertellen nog steeds geen helder verhaal. Structuur blijft bepalend voor de vraag of informatie later begrijpelijk is.

    Begin bij wat je wilt kunnen uitleggen

    Een beter uitgangspunt is daarom niet welk bestand je moet bewaren, maar wat later begrijpelijk moet blijven.

    Als je zegt dat een controle is uitgevoerd, wil je kunnen herleiden wat is gecontroleerd, wanneer dat gebeurde, wie verantwoordelijk was en wat de uitkomst was.

    Als je zegt dat een maatregel werkt, wil je kunnen uitleggen waarop dat oordeel gebaseerd is.

    Daar raakt bewijsvoering direct aan uitlegbaarheid. Als de context pas ontstaat wanneer iemand er later naar vraagt, wordt de organisatie afhankelijk van geheugen en reconstructie.

    Dat is niet alleen lastig tijdens een audit. Het maakt het ook voor jezelf moeilijker om vast te stellen waarom je denkt dat iets daadwerkelijk onder controle is.

    Het probleem zit niet in het bestandsformaat

    Screenshots en exports kunnen waardevol bewijs zijn. Het risico ontstaat wanneer zij het enige antwoord worden op de vraag hoe je weet dat iets werkelijk is uitgevoerd of beheerst.

    Kijk daarom niet alleen naar hoeveel bestanden je kunt produceren, maar vooral naar hoeveel uitleg nog uit het geheugen van medewerkers moet komen voordat duidelijk wordt wat die bestanden aantonen.

    Als pas na vijf minuten uitleg duidelijk wordt wat een screenshot eigenlijk bewijst, zit de zwakte niet in de afbeelding.

    Wat ontbreekt, is de context die eraan betekenis geeft.

    En juist dat verschil laat zien of je bewijs bewaart, of daadwerkelijk kunt uitleggen waarom je denkt dat iets op orde is.

  • Wat auditors verstaan onder ‘bewijs’

    Wat auditors verstaan onder ‘bewijs’

    De auditor stelt een eenvoudige vraag: “Kun je laten zien waarom deze maatregel als afgerond staat?”

    Er wordt een map geopend. Daarin staan een procedure, een screenshot, een export en een paar e-mails. Er is duidelijk veel bewaard. Toch blijft het antwoord lastig.

    De procedure beschrijft wat er zou moeten gebeuren. De screenshot laat zien hoe een instelling er nu uitziet. In een e-mail staat dat iemand ermee bezig is geweest. Maar welk stuk laat zien wat daadwerkelijk is uitgevoerd en waarop de conclusie is gebaseerd dat de maatregel afgerond is?

    Dat is het verschil tussen informatie hebben en bewijs kunnen leveren.

    Wat maakt informatie tot bewijs?

    Bij auditvoorbereiding wordt bewijs gemakkelijk gezien als iets tastbaars: een document, rapportage, screenshot of registratie. Daardoor ontstaat de gedachte dat een volle map automatisch een sterke onderbouwing vormt.

    Een auditor kijkt anders. Bewijs is verifieerbare informatie die relevant is voor wat op dat moment wordt getoetst.

    Als je zegt dat toegangsrechten periodiek worden beoordeeld, moet aannemelijk en controleerbaar zijn dat die beoordeling daadwerkelijk plaatsvindt. Als een maatregel als afgerond staat, is relevant waarop die conclusie is gebaseerd. En wanneer een risico bewust is geaccepteerd, telt niet alleen dát die status ergens staat, maar ook of de afweging daarachter nog herkenbaar is.

    Een procedure kan dus aantonen dat een werkwijze is afgesproken. Zij bewijst niet vanzelf dat die werkwijze ook in de praktijk wordt gevolgd.

    Bewijs zit niet alleen in documenten

    Een auditbeeld ontstaat meestal uit verschillende informatiebronnen.

    Een gesprek met een medewerker kan inzicht geven in hoe een controle in de praktijk werkt. Een registratie kan laten zien wanneer die controle is uitgevoerd. Een waarneming kan duidelijk maken hoe een proces daadwerkelijk verloopt. Een vastgelegd besluit kan verklaren waarom bewust van de gebruikelijke werkwijze is afgeweken.

    De waarde ontstaat in de samenhang. Wanneer uitleg, registratie en dagelijkse praktijk hetzelfde beeld geven, wordt de uitvoering beter verifieerbaar. Wanneer beleid iets anders zegt dan medewerkers uitleggen of registraties niet aansluiten op de praktijk, ontstaan juist nieuwe vragen.

    Eén bewijsstuk hoeft daarom zelden het volledige verhaal te vertellen.

    Waarom meer verzamelen niet automatisch helpt

    Wanneer twijfel ontstaat, is de logische reactie vaak om meer te bewaren. Extra screenshots, exports, notulen en bevestigingen moeten voorkomen dat er bij een volgende audit iets ontbreekt.

    Daarmee groeit de hoeveelheid informatie, maar niet automatisch de waarde als auditbewijs.

    Tien losse bestanden kunnen minder zeggen dan één duidelijke registratie waarin zichtbaar is wat is beoordeeld, door wie, wanneer en met welke uitkomst. Het gaat niet om hoeveel materiaal beschikbaar is, maar om de relatie tussen de informatie en wat je ermee wilt aantonen.

    Zodra die relatie ontbreekt, moet achteraf worden gereconstrueerd wat bestanden waarschijnlijk betekenen. Precies dat probleem staat centraal in Waarom bewijs verzamelen achteraf altijd faalt.

    Bewijs gaat ook over je eigen grip

    Dit probleem wordt niet pas zichtbaar wanneer een auditor langskomt.

    Zeker wanneer compliance naast andere verantwoordelijkheden wordt uitgevoerd, zit veel context bij enkele mensen. Als je voor de status van een maatregel telkens degene nodig hebt die “nog weet hoe het zat”, wordt het ook intern moeilijker om vast te stellen waarom iets als afgerond, acceptabel of voldoende wordt beschouwd.

    Daarmee raakt bewijsvoering aan een bredere vraag: weet je zelf waarop je oordeel is gebaseerd?

    Dat sluit aan op Uitlegbaarheid ontstaat niet achteraf. Zodra alleen de uitkomst van een keuze overblijft en de oorspronkelijke afweging verdwijnt, wordt uitleg later onnodig moeilijk.

    Structuur maakt bewijs begrijpelijk

    Goede bewijsvoering vraagt daarom niet in de eerste plaats om meer documentatie. Het vraagt om voldoende samenhang in wat tijdens het werk wordt vastgehouden.

    Bij een maatregel moet bijvoorbeeld herkenbaar blijven wie verantwoordelijk was en waarop de status is gebaseerd. Bij een risicoacceptatie is vooral de afweging relevant. Bij een periodieke controle moet zichtbaar zijn dat de afgesproken activiteit daadwerkelijk heeft plaatsgevonden.

    Dat hoeft geen uitgebreid dossier op te leveren. Juist wanneer informatie op het juiste moment wordt vastgehouden, is achteraf minder herstelwerk nodig.

    Tooling kan helpen om zulke relaties herkenbaar te houden, maar maakt informatie niet vanzelf betekenisvol. Zonder duidelijke samenhang blijft ook een centraal systeem vooral een verzameling registraties.

    Tot slot

    Een auditor zoekt uiteindelijk geen indrukwekkende verzameling bestanden. Er moet voldoende betrouwbare informatie zijn om vast te stellen of wat is afgesproken ook herkenbaar terugkomt in de praktijk.

    Daarom is “hoeveel bewijs hebben we?” zelden de interessantste vraag.

    Relevanter is: als we zeggen dat iets is uitgevoerd, afgerond of onder controle is, kunnen we dan zonder reconstructie laten zien waarop we dat baseren?

    Wie die vraag gemakkelijk kan beantwoorden, is niet alleen beter voorbereid op een audit. Die organisatie begrijpt ook zelf beter waarom zij denkt dat iets op orde is.

    Verder lezen