De audit komt dichterbij en iemand stelt de bekende vraag: hebben we hier eigenlijk bewijs van?
Even later staat er een map vol screenshots. Een afbeelding van de huidige beveiligingsinstellingen. Een export van gebruikersaccounts. Een overzicht uit een beheersysteem. Alles voorzien van duidelijke bestandsnamen en datums.
Op het eerste gezicht lijkt het probleem opgelost. Er is immers iets tastbaars om te laten zien.
Maar zodra iemand doorvraagt, ontstaat twijfel.
Wanneer gold deze instelling precies? Was dit ook de situatie toen de controle had moeten plaatsvinden? Wie heeft de export beoordeeld? En wat is er gebeurd met de afwijkingen die daarin zichtbaar waren?
Het bestand bestaat. De context ontbreekt.
Een screenshot kan bewijs zijn, maar waarvan?
Screenshots en exports kunnen prima als bewijs dienen, zolang duidelijk is wat ze daadwerkelijk aantonen.
Een screenshot kan bijvoorbeeld laten zien hoe een instelling op een specifiek moment was geconfigureerd. Een export kan zichtbaar maken welke gebruikers of rechten op dat moment in een systeem geregistreerd stonden.
Het probleem ontstaat wanneer zo’n momentopname meer moet bewijzen dan zij kan.
Stel dat toegangsrechten periodiek worden beoordeeld. Een export kan laten zien welke rechten bestaan. Hij toont daarmee nog niet dat iemand die rechten daadwerkelijk heeft beoordeeld, welke afwijkingen zijn gevonden en wat daarmee is gedaan.
Bewijs gaat dus niet alleen over wat ergens staat, maar over de vraag welke bewering je ermee probeert te onderbouwen.
In Wat auditors verstaan onder ‘bewijs’ kwam dat al terug: een document, registratie of screenshot krijgt betekenis binnen de context van wat je wilt aantonen.
Waarom meer verzamelen het probleem niet oplost
Wanneer hierover twijfel ontstaat, is de eerste reactie vaak om meer materiaal te bewaren.
Niet één screenshot, maar meerdere. Naast de export ook een e-mail waarin iemand bevestigt dat deze is bekeken. Alles wordt opgeslagen in een aparte bewijsmap.
Dat maakt informatie beter vindbaar. Het maakt de samenhang nog niet vanzelf duidelijk.
Welke export hoorde bij welke beoordeling? Welke versie was leidend? Was die bevestigingsmail het einde van de controle of slechts een tussenstap?
Precies daar gaat bewijs verzamelen achteraf mis. Niet omdat er per definitie te weinig bestanden zijn, maar omdat tijdens het werk onvoldoende is vastgehouden wat er is gebeurd en waarom dat relevant was.
Meer bewijsstukken verzamelen kan daardoor juist meer reconstructiewerk opleveren.
Een digitaal spoor is iets anders dan een momentopname
Technologie kan hier helpen, maar niet doordat zij automatisch meer bewijs produceert.
Het relevante verschil zit tussen een handmatig gemaakte momentopname en informatie die tijdens de uitvoering ontstaat. Denk aan een registratie van een uitgevoerde controle, inclusief datum en verantwoordelijke, een wijzigingshistorie of de vastgelegde opvolging van een afwijking.
Wanneer zulke gegevens betrouwbaar en herleidbaar zijn, geven ze context aan wat daadwerkelijk is gebeurd.
Ook dat maakt technologie niet automatisch tot de oplossing. Honderd registraties zonder duidelijke samenhang vertellen nog steeds geen helder verhaal. Structuur blijft bepalend voor de vraag of informatie later begrijpelijk is.
Begin bij wat je wilt kunnen uitleggen
Een beter uitgangspunt is daarom niet welk bestand je moet bewaren, maar wat later begrijpelijk moet blijven.
Als je zegt dat een controle is uitgevoerd, wil je kunnen herleiden wat is gecontroleerd, wanneer dat gebeurde, wie verantwoordelijk was en wat de uitkomst was.
Als je zegt dat een maatregel werkt, wil je kunnen uitleggen waarop dat oordeel gebaseerd is.
Daar raakt bewijsvoering direct aan uitlegbaarheid. Als de context pas ontstaat wanneer iemand er later naar vraagt, wordt de organisatie afhankelijk van geheugen en reconstructie.
Dat is niet alleen lastig tijdens een audit. Het maakt het ook voor jezelf moeilijker om vast te stellen waarom je denkt dat iets daadwerkelijk onder controle is.
Het probleem zit niet in het bestandsformaat
Screenshots en exports kunnen waardevol bewijs zijn. Het risico ontstaat wanneer zij het enige antwoord worden op de vraag hoe je weet dat iets werkelijk is uitgevoerd of beheerst.
Kijk daarom niet alleen naar hoeveel bestanden je kunt produceren, maar vooral naar hoeveel uitleg nog uit het geheugen van medewerkers moet komen voordat duidelijk wordt wat die bestanden aantonen.
Als pas na vijf minuten uitleg duidelijk wordt wat een screenshot eigenlijk bewijst, zit de zwakte niet in de afbeelding.
Wat ontbreekt, is de context die eraan betekenis geeft.
En juist dat verschil laat zien of je bewijs bewaart, of daadwerkelijk kunt uitleggen waarom je denkt dat iets op orde is.
Geef een reactie