---
Version: "2022"
---
# 9 Managementsysteem

Zie:
- [Cursusmap tab 3](BC5701_Training_Tab_03_MS.md) - Managementsysteem
- [Cursusmap tab 5](BC5701_Training_Tab_05_RM.md) - Risicomanagement

**Algemeen**
Privacy Information Management System (PIMS) opzetten, documenteren, implementeren en onderhouden (§9.1)

- mechanisme voor borging van conformiteit (PDCA cyclus) (§9.1.a)

## 9.2 Gedocumenteerde informatie

Algemeen (§9.2.1):
- informatie vereist door de BC 5701
- informatie de de organisatie nodig acht voor de doeltreffendheid van het PIMS.

- beleid, procedures, processen en werkinstructies (§9.2.1.a)
- registers (§9.2.1.b)
- logbestanden (§9.2.1.c)
- verslagen (§9.2.1.d)

**Creëren en actualiseren** (§9.2.2)
Documentatie moet geschikt zijn, d.w.z. toereikend en aantoonbaar actueel, en beheerd.
- verantwoordelijkheden (§9.2.2.a)
- eisen aan de documentatie (§9.2.2.b)
- consulteren van de FG (§9.2.2.c)
- goedkeuring door vastgestelde verantwoordelijken (§9.2.2.d)
- onderhouden: actueel houden en minimaal eens per jaar beoordelen, versiebeheer, archivering (§9.2.2.e)
- communiceren: informeren, trainen en instrueren m.b.t. de documentatie (§9.2.2.f)


**Beheersing van gedocumenteerde informatie** (§9.2.3)
Informatie moet beschikbaar en afdoende beveiligd zijn.
- Documentmanagementsysteem (§9.2.3.a)
- identificeren en opnemen van externe informatie (§9.2.3.b)

## 9.3 Monitoren, meten, analyseren en evalueren

De organisatie moet bepalen:
a. wat moet worden gemonitord en gemeten;
b. wie de doelwaarden vaststelt;
c. welke methodes nodig zijn voor monitoren, meten, analyseren en evalueren om valide resultaten te bewerkstelligen;
d. wanneer moet worden gemonitord en gemeten;
e. wie moet monitoren en meten;
f. wanneer de resultaten van het monitoren en meten moeten worden geanalyseerd en geëvalueerd;
g. wie deze resultaten moet analyseren en evalueren.

- beleid (§9.3.a)
- performance indicatoren (§9.3.b)
- controleren van logbestanden (§9.3.c)
- analyseren van afwijkingen (§9.3.d)
- rapporteren en evalueren (§9.3.e)

## 9.4 Interne audit

*Zie ook [Cursusmap tab 6](BC5701_Training_Tab_06_BI.md#Beoordelen%20van%20de%20implementatie%20(audit))*

De organisatie moet gepland interne audits uitvoeren om vast te stellen dat verwerking, bescherming en PIMS voldoen aan:

a. de eisen van de verordening;
b. de eigen eisen van de organisatie;
c. de eisen van deze standaard;
d. het PIMS doeltreffend is en wordt onderhouden.

- auditbeleid (§9.4.a)
- auditprogramma (§9.4.b)
- competentie auditoren (§9.4.c)
- uitvoering audits (§9.4.d)
- rapporteren (§9.4.e)
- archiveren rapportages (§9.4.f)

## 9.5 Directiebeoordeling

De verwerking en bescherming van persoonsgegevens en het PIMS moeten met geplande tussenpozen door de directie beoordeeld worden.

- informeren van de directie over incidenten, belangentegenstellingen en effectiviteit (§9.5.a)
- elementen van de directiebeoordeling (§9.5.b)
- verslaglegging (§9.5.c)


## 9.6 Afwijkingen en corrigerende maatregelen

Afwijkingen ten opzichte van de verordening, deze standaard en haar eigen doelstellingen moeten worden behandeld.

- procedure voor behandeling van afwijkingen (§9.6.a)


## 9.7 Continue verbetering

Beleid voor het stelselmatig benutten van afwijkingen en kansen voor verbetering (§9.7.a).

Verbeteractiviteiten moeten ten minste worden geïnitieerd vanuit:

a. incidenten;
b. klachten;
c. monitoring;
d. audits;
e. leveranciersevaluaties;
f. implementatie- en evaluatietests;
g. evaluatie van de rechten van betrokkenen;
h. beleid- en procedure evaluaties;
i. FG-rapportages;
j. directiebeoordeling.

