Stappenplan - Bewijslast

We zijn inmiddels aangekomen bij het onderdeel Bewijslast. De term heeft misschien een wat negatieve bijklank, maar het dekt in de praktijk de lading goed. Het beantwoordt namelijk de vraag hoe je als organisatie kunt aantonen dat je daadwerkelijk aan alle van toepassing verklaarde normelementen voldoet? En niet onbelangrijk: dat jezelf ook met een gerust hart de audit kunt doorlopen.

Om dit te bereiken, leg je als organisatie per normelement vast welke documentatie relevant is, welke acties en taken je hebt uitgevoerd, welke risico's bij het normelement horen, etc. Hiermee bouw je uiteindelijk een complete set bewijslast op per normelement. Het is met andere woorden een complete set van items per normelement om 'compliancy' aan te tonen. Hiervoor heeft Normity een aparte module.

Voorbereiding

Voordat je gaat beginnen met het vastleggen van de bewijslast, is het vanzelfsprekend nodig om de zogenaamde toepasselijkheid te regelen. Hiermee bepaal je welke normelementen op jouw organisatie van toepassing zijn en welke niet. Bij veel normenkaders kun je namelijk bepaalde normelementen uitsluiten, bijvoorbeeld omdat je geen fysiek kantoor hebt, geen software ontwikkelt etc. Meer informatie over het instellen van de toepasselijkheid vind je hier.

Bewijslast

Nu is het tijd om bewijslast te gaan vaststellen en beoordelen. Die bewijslast kan bestaan uit alle items die je aan Normity hebt toegevoegd, dus documenten, risico's, acties, taken, verbeterregister items en meer. Dit gaat als volgt in zijn werk:

• Klik in het hoofdmenu op 'Norm'
• Klik in het submenu op 'Bewijslast'

Op de hoofdpagina krijg je meteen een goed beeld van de huidige stand van zaken. Bij ieder normelement zie je namelijk meteen de status, maar ook het aantal bewijslast elementen. En mocht de planning van een gekoppeld item zijn verlopen, dan zie je dat meteen middels een rood kruis.

Bewijslast vastleggen

Maar goed, tijd om bewijslast daadwerkelijk te gaan koppelen. Hiervoor klik je op een individueel normelement. Het scherm dat je nu krijg is ingedeeld in een aantal blokken. Bovenin het scherm zie je altijd de tekst van het normelement zelf. Daaronder zie je een blok met daarin navigatiepijltjes voor volgende en vorige normelementen, maar eventueel ook met gerelateerde normelementen. Hieronder zie je een balk met tabbladen en daaronder zie je de daadwerkelijke bewijslast.

Het eerste tabblad (genaamd Status) is voor jouw organisatie. Die is bedoeld om jullie te ondersteunen bij een soepele audit en grip op bewijslast.Hier kun je tekstueel toelichten hoe jouw 'compliancy' is geregeld. Ook kun je hier andere informatie opnemen die jou helpt om de bewijslast te doorgronden en de audit voor jou zo soepel mogelijk te laten verlopen. Bijvoorbeeld een opsomming van alle bewijslast met een korte toelichting, wat jou maar helpt. Afhankelijk van het normenkader vind je hier de volgende velden:

• Status
• Toelichting
• Wijze van voldoen
• Volwassenheidsscore
• Verantwoordelijke
• Beoordeling

Bewijslast koppelen

De tabbladen die volgen zijn tabbladen naar de bewijslast zelf. Daar is met andere woorden jouw bewijs te vinden dat je inderdaad compliant bent. Als de norm vraagt om beleid op te stellen, dan verwacht je hier ook het bijbehorende document te vinden. En wanneer je het beleid moet communiceren, verwacht je hier misschien een communicatieplan, een verslag van bijeenkomsten, of wat je dan ook maar aan bewijslast hiervoor hebt.

Die bewijslast is niet beperkt tot documenten. Gelukkig maar. Eigenlijk kun je alles wat je aan Normity hebt toegevoegd koppelen als bewijslast. Denk aan taken, acties, processen, risico's, kansen, doelstellingen, processen, applicaties, vragenlijsten en meer! Zo heb je altijd alles bij elkaar om per normelement 'compliancy' aan te kunnen tonen.

Het koppelen van nieuwe items aan een normelement als bewijslast is supereenvoudig. Ga naar het tabblad en koppel een bestaand item aan het normelement, of voeg een nieuw item toe.

Gekoppelde normelementen

Ben je aan de slag met meerdere normen, dan zijn mogelijkerwijs normelementen onderling met elkaar verbonden. Zo heeft bijvoorbeeld de NIS2 normelementen die samenhangen met normelementen uit de ISO 27001. Deze koppelingen worden door Normity zelf onderhouden. Is er sprake van één of meerdere koppelingen, dan zie je deze hier terug. In dat geval vind je onderaan het overzicht ook de bewijslast terug van de gekoppelde normelementen. Ideaal!

Dit geldt overigens niet alleen voor documenten als bewijslast. Dit geldt voor alle bewijslast, dus ook taken, acties, risico's, applicaties en meer!

Status bewijslast

We hebben hierboven al aangegeven dat je in het eerste tabblad kunt aangeven wat de status is van de bewijslast. Dit geeft je direct inzicht in welke onderdelen al gereed zijn en welke nog aandacht nodig hebben. Het is ook een mooie basis om te kijken hoe vergevorderd je bent met het (aantoonbaar) implementeren van de norm(en). Wil je nu in één oogopslag weten hoe je er voor staat, doe dan het volgende:

• Klik in het hoofdmenu op 'Norm'
• Klik in het submenu op 'Status'

Je krijgt dan een overzicht (per norm) te zien van de status van de verschillende hoofdstukken.

Misschien valt het je op, maar in het screenshot hierboven is te zien dat er meerdere tabbladen zijn. Je kunt namelijk hetzelfde overzicht ook bekijken op aantal (dus niet op percentage). En mocht er een normenkader tussen zitten waarbij de maturiteit / volwassenheid van de bewijslast ook wordt vastgelegd, dan levert dit altijd een extra grafiek op waarbij ook de maturiteit direct inzichtelijk is. Dit kan natuurlijk een erg mooie basis zijn voor verbeterplannen!

Eigenaarschap

Wellicht vind je het prettig om individuele normelementen toe te wijzen aan individuele medewerkers. Bijvoorbeeld alvast ter voorbereiding op een audit, waarbij de aangewezen medewerkers de toelichting gaan geven op die normelementen. Geen probleem, dit is in Normity een instelling die je zelf kiest. Doe hiervoor het volgende:

• Klik in het linkermenu op 'Beheer'
• Klik op de tegel 'Instellingen'
• Kies het tabblad 'Klant' (standaard)
• Zet de optie 'Eigenaar bij normelementen' op 'Ja'

Even uit- en weer inloggen en je zult zien dat je een extra veld hebt gekregen bij het normelement (op het tabblad Status). Hier kun je de verantwoordelijke medewerker selecteren. Je kunt daar bovendien op selecteren bij het overzicht van bewijslast.

Bewijslast exporteren

Een belangrijk aandachtspunt bij jouw voorbereiding voor de audit is om alle bewijslast op de status Compleet te hebben staan. Dat is immers een mooie indicatie dat jouw organisatie er klaar voor is! In de praktijk wordt de soep niet zo heet gegeten (je bent immers continu aan het verbeteren!), maar het is een goed uitgangspunt.