---
Version: "2022"
---

# Beoordelen van de implementatie (audit)

De standaard heeft 3 bouwblokken:
- **het managementsysteem**: focus op procesbeheersing – moet passend zijn bij de organisatie
- **de AVG**: focus op rechtmatigheid – goed of fout
- **de IB-norm**: focus op bescherming – risicogebaseerd, technisch

*Zie: sheet op p.3, 'Ieder bouwblok zijn eigen benadering'.*

## Opzet, bestaan en werking

Implementaties worden beoordeeld op opzet, bestaan en werking.

- Opzet: is de uitwerking van de implementatiecriteria passend bij de organisatie? *-> zie sheet p. 4*
- Bestaan: is de opzet goed geïmplementeerd? Is duidelijk wat er moet gebeuren? Zijn er templates, registers en stappenplannen? *-> zie eerste sheet p. 5*
- Werking: is de implementatie goed geoperationaliseerd? Wordt het ook uitgevoerd? Is er verslaglegging? Zijn de registers up-to-date? *-> Zie tweede sheet p. 5*

*Zie ook de Checklist op p.6*

### Focus bij beoordelingen

- Bij de **Implementatie** ligt de focus op Werking
- Bij de **interne audit** ligt de focus op Bestaan en Werking
- Bij de **certificatie audit** ligt de focus op Opzet, Bestaan en Werking.

De certificatie audit bestaat uit twee fasen. In Fase 1 wordt vooral gekeken naar de Opzet. In Fase 2 wordt gekeken naar Bestaan en Werking.
Als Fase 1 teveel fouten laat zien, wordt niet gestart met Fase 2.

*Zie ook sheets p.8*

### Twee niveaus van fouten

Fout-A: handelen of nalaten in strijd met de AVG of andere van toepassing zijnde wet- en regelgeving, en direct van invloed op rechten en vrijheden van betrokkenen

Fout-B: idem, maar *niet* direct van invloed op ...

### Twee niveaus van afwijkingen

NC-A: afwijking is van invloed op het vermogen van de organisatie om de beoogde resultaten te behalen.

NC-B: een afwijking die *niet* van invloed is op ...

## Productcertificering

*Sheets op pp. 12 en 13*

Dat de BC 5701 een productcertificering is, heeft gevolgen voor de audit.

De wetgever wil een hoge mate van zekerheid m.b.t. compliance t.a.v. alle uitvoeringseisen, in alle gevallen. Hiervoor is een statistisch onderbouwde steekproef nodig.

Als de Opzet (de uitwerking van de implementatiecriteria) van hoge kwaliteit is, d.w.z. aan alle wettelijke eisen voldoet, kan de steekproef kleiner zijn. Bij een perfecte opzet is n=1 theoretisch voldoende.
