Wat auditors verstaan onder ‘bewijs’

De auditor stelt een eenvoudige vraag: “Kun je laten zien waarom deze maatregel als afgerond staat?”

Er wordt een map geopend. Daarin staan een procedure, een screenshot, een export en een paar e-mails. Er is duidelijk veel bewaard. Toch blijft het antwoord lastig.

De procedure beschrijft wat er zou moeten gebeuren. De screenshot laat zien hoe een instelling er nu uitziet. In een e-mail staat dat iemand ermee bezig is geweest. Maar welk stuk laat zien wat daadwerkelijk is uitgevoerd en waarop de conclusie is gebaseerd dat de maatregel afgerond is?

Dat is het verschil tussen informatie hebben en bewijs kunnen leveren.

Wat maakt informatie tot bewijs?

Bij auditvoorbereiding wordt bewijs gemakkelijk gezien als iets tastbaars: een document, rapportage, screenshot of registratie. Daardoor ontstaat de gedachte dat een volle map automatisch een sterke onderbouwing vormt.

Een auditor kijkt anders. Bewijs is verifieerbare informatie die relevant is voor wat op dat moment wordt getoetst.

Als je zegt dat toegangsrechten periodiek worden beoordeeld, moet aannemelijk en controleerbaar zijn dat die beoordeling daadwerkelijk plaatsvindt. Als een maatregel als afgerond staat, is relevant waarop die conclusie is gebaseerd. En wanneer een risico bewust is geaccepteerd, telt niet alleen dát die status ergens staat, maar ook of de afweging daarachter nog herkenbaar is.

Een procedure kan dus aantonen dat een werkwijze is afgesproken. Zij bewijst niet vanzelf dat die werkwijze ook in de praktijk wordt gevolgd.

Bewijs zit niet alleen in documenten

Een auditbeeld ontstaat meestal uit verschillende informatiebronnen.

Een gesprek met een medewerker kan inzicht geven in hoe een controle in de praktijk werkt. Een registratie kan laten zien wanneer die controle is uitgevoerd. Een waarneming kan duidelijk maken hoe een proces daadwerkelijk verloopt. Een vastgelegd besluit kan verklaren waarom bewust van de gebruikelijke werkwijze is afgeweken.

De waarde ontstaat in de samenhang. Wanneer uitleg, registratie en dagelijkse praktijk hetzelfde beeld geven, wordt de uitvoering beter verifieerbaar. Wanneer beleid iets anders zegt dan medewerkers uitleggen of registraties niet aansluiten op de praktijk, ontstaan juist nieuwe vragen.

Eén bewijsstuk hoeft daarom zelden het volledige verhaal te vertellen.

Waarom meer verzamelen niet automatisch helpt

Wanneer twijfel ontstaat, is de logische reactie vaak om meer te bewaren. Extra screenshots, exports, notulen en bevestigingen moeten voorkomen dat er bij een volgende audit iets ontbreekt.

Daarmee groeit de hoeveelheid informatie, maar niet automatisch de waarde als auditbewijs.

Tien losse bestanden kunnen minder zeggen dan één duidelijke registratie waarin zichtbaar is wat is beoordeeld, door wie, wanneer en met welke uitkomst. Het gaat niet om hoeveel materiaal beschikbaar is, maar om de relatie tussen de informatie en wat je ermee wilt aantonen.

Zodra die relatie ontbreekt, moet achteraf worden gereconstrueerd wat bestanden waarschijnlijk betekenen. Precies dat probleem staat centraal in Waarom bewijs verzamelen achteraf altijd faalt.

Bewijs gaat ook over je eigen grip

Dit probleem wordt niet pas zichtbaar wanneer een auditor langskomt.

Zeker wanneer compliance naast andere verantwoordelijkheden wordt uitgevoerd, zit veel context bij enkele mensen. Als je voor de status van een maatregel telkens degene nodig hebt die “nog weet hoe het zat”, wordt het ook intern moeilijker om vast te stellen waarom iets als afgerond, acceptabel of voldoende wordt beschouwd.

Daarmee raakt bewijsvoering aan een bredere vraag: weet je zelf waarop je oordeel is gebaseerd?

Dat sluit aan op Uitlegbaarheid ontstaat niet achteraf. Zodra alleen de uitkomst van een keuze overblijft en de oorspronkelijke afweging verdwijnt, wordt uitleg later onnodig moeilijk.

Structuur maakt bewijs begrijpelijk

Goede bewijsvoering vraagt daarom niet in de eerste plaats om meer documentatie. Het vraagt om voldoende samenhang in wat tijdens het werk wordt vastgehouden.

Bij een maatregel moet bijvoorbeeld herkenbaar blijven wie verantwoordelijk was en waarop de status is gebaseerd. Bij een risicoacceptatie is vooral de afweging relevant. Bij een periodieke controle moet zichtbaar zijn dat de afgesproken activiteit daadwerkelijk heeft plaatsgevonden.

Dat hoeft geen uitgebreid dossier op te leveren. Juist wanneer informatie op het juiste moment wordt vastgehouden, is achteraf minder herstelwerk nodig.

Tooling kan helpen om zulke relaties herkenbaar te houden, maar maakt informatie niet vanzelf betekenisvol. Zonder duidelijke samenhang blijft ook een centraal systeem vooral een verzameling registraties.

Tot slot

Een auditor zoekt uiteindelijk geen indrukwekkende verzameling bestanden. Er moet voldoende betrouwbare informatie zijn om vast te stellen of wat is afgesproken ook herkenbaar terugkomt in de praktijk.

Daarom is “hoeveel bewijs hebben we?” zelden de interessantste vraag.

Relevanter is: als we zeggen dat iets is uitgevoerd, afgerond of onder controle is, kunnen we dan zonder reconstructie laten zien waarop we dat baseren?

Wie die vraag gemakkelijk kan beantwoorden, is niet alleen beter voorbereid op een audit. Die organisatie begrijpt ook zelf beter waarom zij denkt dat iets op orde is.

Verder lezen

• Waarom bewijs verzamelen achteraf altijd faalt
  Over waarom bewijs zijn betekenis verliest wanneer de samenhang pas achteraf moet worden gereconstrueerd.
• Uitlegbaarheid ontstaat niet achteraf
  Over waarom de reden achter keuzes moet worden vastgehouden zolang de context nog beschikbaar is.
• De auditor zei niets. Tot hij deze vraag stelde.
  Een praktijksituatie waarin beleid en maatregelen aanwezig zijn, maar de uitvoering onvoldoende aantoonbaar blijkt.