Bewijslast bij IT-audits: wat verwacht de auditor en hoe organiseer je het?

Auditbewijs (evidence) is de kern van elke IT-audit. De auditor baseert zijn oordeel op het bewijs dat de organisatie aandraagt. Zonder voldoende en geschikt bewijs kan de auditor niet vaststellen of controls effectief zijn. In de praktijk is het verzamelen, organiseren en aanleveren van auditbewijs een van de meest tijdrovende onderdelen voor organisaties die een audit ondergaan.

Wat is auditbewijs?

Auditbewijs is elk document, record, screenshot, log of andere informatie die aantoont dat een control bestaat, is uitgevoerd en effectief werkt. De auditor beoordeelt bewijs op vier kenmerken: relevantie (het bewijs moet betrekking hebben op de control die wordt getest), betrouwbaarheid (het bewijs moet afkomstig zijn uit een betrouwbare bron), voldoende omvang (er moet genoeg bewijs zijn om een conclusie te ondersteunen), en tijdigheid (het bewijs moet betrekking hebben op de auditperiode).

Typen bewijs per control

De aard van het bewijs verschilt per type control. Voor governance controls (beleid, rollen, risicomanagement) verwacht de auditor documenten als het informatiebeveiligingsbeleid, de risicoanalyse, notulen van managementreviews, en organisatieschema's met beveiligingsrollen.

Voor operationele controls (change management, incident management, access management) verwacht de auditor transactioneel bewijs: change tickets met goedkeuringen, incident logs met opvolging, access review resultaten, en onboarding/offboarding checklists.

Voor technische controls (firewalls, encryptie, monitoring) verwacht de auditor configuratiescreenshots, scan rapporten, alerting configuraties, en log voorbeelden die aantonen dat monitoring actief is.

Veelgemaakte fouten

De eerste veelgemaakte fout is bewijs achteraf reconstrueren. Een access review die in april had moeten plaatsvinden maar pas in augustus wordt uitgevoerd nadat de auditor erom vraagt, is geen geldig bewijs van een werkende control in april. Bewijs moet worden verzameld op het moment dat de control wordt uitgevoerd.

De tweede fout is onvoldoende detail. Een screenshot van een firewallregel zonder context (welke firewall? wanneer genomen? door wie?) is lastig te beoordelen. Goed bewijs bevat altijd context: datum, bron, en de relatie tot de control.

De derde fout is versnippering. Bewijs dat verspreid staat over e-mails, gedeelde mappen, ticketsystemen en lokale schijven is moeilijk terug te vinden en te verifiëren. Een centrale opslaglocatie voor auditbewijs bespaart veel tijd.

Efficiënt organiseren

De meest efficiënte manier om bewijslast te organiseren is door het te koppelen aan de control matrix. Per control definieer je vooraf welk bewijs nodig is, wie verantwoordelijk is voor het aanleveren, en wat de frequentie is (eenmalig, maandelijks, per kwartaal).

Het Secure Audit Platform is specifiek ontworpen voor dit proces. De auditor stelt per control informatieverzoeken op met een duidelijke omschrijving van het verwachte bewijs. De klant levert het bewijs aan via het platform, waar het direct wordt gekoppeld aan de juiste control. De auditor kan het bewijs beoordelen, goedkeuren of aanvullend bewijs opvragen, alles vanuit een overzichtelijke interface.

Dit vervangt de traditionele werkwijze van e-mails met bijlagen, gedeelde mappen met onduidelijke mapstructuren, en Excel-trackers die na twee weken verouderd zijn. Het resultaat is een efficiënter auditproces voor zowel de klant als de auditor.

Secure Audit helpt organisaties bij het opzetten van een gestructureerd bewijsverzamelingsproces. Neem contact op om te zien hoe ons platform het auditproces vereenvoudigt.