Interne audits, certificeringstrajecten en doorlopende compliance. Dit werk is zo herhaalbaar dat we het geproductiseerd hebben: ons platform loopt de hele route met je af, van scope tot audit-klaar. Certificeren doen we niet, want dat mag een adviseur niet. Wij zorgen dat je klaar bent als de auditor komt.
Een organisatie die audit-klaar is, met Workblock als werkomgeving en de interne audit door een onafhankelijke partij.
Een certificering of een wettelijke verplichting is vooral een kwestie van volgorde. De kennis is zelden het probleem, de vertaling naar werk wel: wie doet wat, wanneer, en waaruit blijkt straks dat het gebeurd is. Wij lopen die route met je af, van de eerste vraag over je scope tot het moment dat je dossier een externe toets aankan. Dat gaat over ISO 27001, NIS2 en de Cyberbeveiligingswet, de AVG, DORA en de EU AI Act, en per sector over NEN 7510 in de zorg en de BIO bij de overheid.
Omdat dat werk bij elke organisatie in grote lijnen hetzelfde is, hebben we het geproductiseerd. Ons platform brengt je in zes runs van scope naar onderhoud en zet per rol een werk-queue klaar in plaats van een adviesrapport. Je ziet per control welk werkblok het afdekt en welk bewijs eronder ligt. Wat overblijft is het deel dat wel om een mens vraagt: de keuzes, de interne audit en het gesprek met je bestuur.
Scope bepalen: welke organisatieonderdelen, systemen en kaders vallen eronder.
Nulmeting per control, met de gaten en de onderbouwing erbij.
Beleid, maatregelen en bewijs op orde brengen in een vaste volgorde.
Interne audit: onafhankelijk uitgevoerd door ons of ondersteund bij je eigen auditor, met bevindingen die werk met een eigenaar worden.
Onderhoud: verlopend bewijs, herhaalde toetsen en wijzigingen komen terug als werk.
Voor organisaties die een certificaat willen halen, die onder een wet vallen of die van een klant moeten aantonen dat het op orde is. De aanleiding bepaalt het tempo, niet de aanpak. Een aanbesteding met een ISO 27001-eis, een sector die onder de Cyberbeveiligingswet valt, een financiële instelling die DORA moet invullen: het werk eronder lijkt sterk op elkaar en dat is precies waarom een vaste route loont.
Het is ook voor organisaties die al een certificaat hebben en merken dat de energie na de audit wegzakt. Compliance is geen project met een einddatum maar een cyclus, en de meeste trajecten stranden in het jaar na de certificering. Wij werken voor onderwijs, overheid, zorg, industrie en finance. Of je begeleiding wilt of alleen het platform mag je zelf bepalen: er hoort geen abonnement bij het advies en geen verplichte begeleiding bij het platform.
Je beschrijft je situatie en hoort binnen één werkdag van ons. Daarna plannen we een intake en zetten we je scope alvast klaar in het platform. Vanaf dat moment werk je in een route in plaats van in een projectplan: het platform zegt steeds welke vraag nu aan de beurt is en houdt bij wat af is en wat nog open staat. Wil je het eerst zelf zien, dan kun je het platform veertien dagen gratis uitproberen, zonder creditcard.
Eerst beschrijf je de organisatie: wat ze doet, welke systemen en vestigingen meedoen en welke kaders van toepassing zijn. Alles daarna hangt aan die keuze, want je ziet verderop uitsluitend controls uit de kaders die je hebt aangezet. Vervolgens geef je per control een score voor waar je nu staat en licht je die kort toe. Dat vraagt tijd, maar het is de stap die al het andere scherp zet: lage scores leveren risico-suggesties op en de toelichting laat zien waar bewijs ontbreekt.
De nulmeting levert werk op in plaats van een rapport. Ieder werkblok is een afgebakende taak, met de rol die hem oppakt en de controls die hij afdekt. Die controls komen uit meerdere kaders tegelijk, dus toegangsbeheer één keer op orde brengen telt mee voor ISO 27001, voor NIS2 en voor de AVG. Beleid, maatregelen en bewijs komen in dezelfde volgorde langs, zodat je niet begint met documenten schrijven voor iets wat nog niet bestaat.
Voordat een externe auditor komt, toets je jezelf. Elke bevinding wordt een werkblok waar een eigenaar en een datum aan hangen, en juist dat wil een auditor zien: dat je je eigen gaten vindt en dichtmaakt. Run 5 (audit-klaar) wordt pas groen wanneer het werk af is, het bewijs de drempel haalt en geen enkele kritieke voorwaarde nog open staat. Dat is streng met opzet, want een groen vinkje met een gat eronder is precies de verrassing die je in de auditweek niet wilt.
Je krijgt een dossier dat een externe toets doorstaat: per norm zie je de controls, en per control het bewijs plus de route ernaartoe. Daarbovenop krijg je wat een adviesrapport niet biedt, een cyclus die blijft draaien. Bewijs dat verloopt, periodieke toetsen en veranderingen in je organisatie melden zich vanzelf als nieuw werk in de queue, zodat het volgend jaar niet opnieuw bij nul begint. Wat het abonnement op het platform kost staat op de prijzenpagina.
De overdracht is geen laatste hoofdstuk maar de opzet zelf. Het werk staat in jouw omgeving, op naam van jouw mensen, met de onderbouwing erbij. Wij kunnen ernaast lopen zolang dat helpt en er daarna uit stappen zonder dat er een gat valt. Geen dossier dat alleen de adviseur begrijpt, geen kennis die met een factuur de deur uit gaat. Als wij weg zijn, weet je organisatie nog steeds waarom een control op groen staat en wat er volgend jaar moet gebeuren.
Het uitgangspunt per onderdeel. Bij de ene organisatie schrijven wij mee, bij de andere kijken we alleen mee. Wat het platformabonnement zelf kost staat op de prijzenpagina, los van deze dienst.
| Onderdeel | Jij | Middlemen |
|---|---|---|
| Scope en kaderkeuze | Beslist wat eronder valt | Stelt de vragen en toetst de keuze |
| Zelfbeoordeling | Levert de feiten per control | Scoort mee en bewaakt de onderbouwing |
| Beleid en maatregelen | Wijst een eigenaar per maatregel aan | Schrijft mee en houdt het kort genoeg om te gebruiken |
| Bewijs verzamelen | Levert de stukken uit de eigen omgeving | Koppelt bewijs aan de controls die het dekt |
| Interne audit | Zet bevindingen om in werk | Voert de audit uit en rapporteert |
| Certificeringsaudit | Koopt die los in bij een certificerende instelling | Doet dit niet |
Een organisatie moet binnen een jaar ISO 27001 halen omdat een grote opdrachtgever het eist. Er is een map met beleid uit een eerdere poging, een risicoregister dat twee jaar stilstaat en een projectleider die er een dag per week voor heeft. De eerste vraag is niet welke maatregel ontbreekt maar wat er precies onder het certificaat moet vallen, want de helft van het werk verdwijnt zodra de scope scherp is.
Na de scope volgt de nulmeting per control. Daaruit blijkt dat techniek grotendeels staat en dat de gaten in beleid, leveranciersbeheer en bewijsvoering zitten. Dat werk gaat als werkblokken naar de mensen die het horen te doen, verdeeld over rollen in plaats van allemaal naar de projectleider. Bij de interne audit komen nog bevindingen boven, die als werk terugkomen. Als de certificerende instelling langskomt, is er niets meer te reconstrueren.
Met meerdere normen of meerdere vestigingen loopt hetzelfde traject run voor run, per norm of per vestiging een eigen resultaat met een eigen vaste prijs. Een organisatie die eerst ISO 27001 haalt en daarna NIS2 en ISO 27701 erbij neemt, hergebruikt de scope, het risicoregister en het bewijs uit de eerste ronde en betaalt alleen voor wat er per norm bijkomt. Het onderhoud daarna is een eigen, kleiner resultaat per jaar.
Vertel kort wat er speelt, dan reageren we binnen één werkdag.
Verder lezen: Interne audit · ISO 27001-implementatie · Prijzen van het platform