Voor de auditor
IRMA voor de interne en externe auditor
Een audit begint bij de planning en is pas klaar als de corrigerende maatregel aantoonbaar werkt. Daartussen zitten het bewijs, de bevindingen, de afwijkingen en de termijnen. IRMA houdt die hele lus bij, met per maatregel het oordeel over opzet, bestaan en werking, en een audittrail die niet achteraf te wijzigen is.
Vanaf € 149 per maand. Proefomgeving op aanvraag.
Het auditprogramma, met scope, periode en status
Clausule 9.2 van ISO/IEC 27001 vraagt een auditprogramma met geplande interne audits. In IRMA heeft elke audit een titel, een scope, een periode, een leider en een status: gepland, bezig of afgerond. Interne en externe audits staan in hetzelfde programma, net als een ICT-beveiligingsassessment voor DigiD.
U begint bij de context van de organisatie: één beschrijving van wat de organisatie is en doet, de tekst die een auditor als eerste leest. Daaronder staan de contextpunten per norm, de belanghebbenden en de organisatiestructuur.
Van bevinding tot effectiviteitstoets
Elke bevinding heeft een ernst en een status. Een bevinding die een tekortkoming is, wordt een afwijking met een eigen lus: vastgesteld, oorzaakanalyse, corrigerende maatregel gepland, in uitvoering, effectiviteitstoets en gesloten. Sluiten kan pas als de effectiviteit is bevestigd. Elke afwijking heeft een eigenaar en een deadline, en wat over de deadline gaat, staat als te laat in het register.
Auditoren leveren hun bevindingen vaak in een eigen format. U koppelt dat document aan de bevinding, zodat de lijst bevindingen altijd naar de bron wijst. Vanuit een bevinding start u een verbetering.
- AfwijkingenregisterAlle afwijkingen met ernst, eigenaar, deadline en de stand van de corrigerende maatregel.
- VerbeterregisterVerbeteringen uit audits en uit de directiebeoordeling op één plek.
Uw oordeel per maatregel blijft van u
Per maatregel legt u het oordeel vast over opzet, bestaan en werking: voldoet, voldoet gedeeltelijk of voldoet niet, met het bewijsstuk per stadium. IRMA kan met één knop een interne audit uitvoeren over alle maatregelen die aan ISO/IEC 27001 zijn gekoppeld en een oordeel voorstellen. Een oordeel van een auditor overschrijft IRMA nooit: wijkt het voorstel af, dan staat het ernaast, zodat u zelf beslist.
Wie in een terminal werkt, vraagt de stand op met de opdrachtregel irma. Een samenvatting van de auditchecks per normenkader noemt bij elk antwoord de logische volgende stap.
Een audittrail die u kunt controleren
De audittrail van IRMA legt vast wie wat wanneer deed: wijzigingen in de registers, besluiten in de workflow en gevoelige inzagen zoals exports, rapporten en verklaringen. Regels kunnen niet worden gewijzigd of verwijderd. Elke regel is cryptografisch aan de vorige gekoppeld, en met de knop Ketting verifiëren rekent u na of er iets is aangepast of tussenuit gehaald.
Gegenereerde rapporten blijven bewaard zoals ze zijn gemaakt, met de gegevens waarmee ze zijn opgesteld. Een latere wijziging in het register herschrijft een eerder rapport niet.
Verbijzonderde interne controle voor gemeenten
Voor de verbijzonderde interne controle (VIC) werkt IRMA per controlejaar. Twee jaren kunnen naast elkaar lopen, en een afgesloten jaar blijft raadpleegbaar. Per controlepunt plant u de omvang en de methode van de steekproef; IRMA telt de uitgevoerde deelwaarnemingen en laat de voortgang zien. Het stoplicht per maatregel volgt uit het percentage geslaagde waarnemingen.
Een VIC-bevinding draagt de aanbeveling van de interne controle en, apart, die van de accountant. Vanuit de bevinding zet u een actie uit bij de proceseigenaar, en het logboek houdt de reactie bij. Bestaande controlepunten en deelwaarnemingen leest u in.
Normen en wetgeving
- ISO/IEC 27001:2022, clausule 9.2
- ISO/IEC 27001:2022, clausule 10.1 en 10.2
- BIO2
- ENSIA en DigiD
Vragen
Veelgestelde vragen.
IRMA heeft een vaste rol Auditor naast onder meer Bestuurder, CISO en FG. De rechten stelt u per onderdeel in, zodat een auditor kan lezen en zijn eigen audits en bevindingen bijhoudt.
IRMA doorloopt alle maatregelen die aan ISO/IEC 27001:2022 zijn gekoppeld en beoordeelt per maatregel de opzet, het bestaan en de werking. Wat niet klopt, wordt een bevinding: een afwijking voor de corrigerende maatregelen of een verbeterpunt, telkens met een taak voor de eigenaar. Een oordeel van een auditor blijft staan.
Regels in de audittrail kunnen niet worden gewijzigd of verwijderd, en elke regel is aan de vorige gekoppeld. Met Ketting verifiëren rekent IRMA de hele ketting na en ziet u of er iets is veranderd.
Nee. IRMA stelt voor en legt vast. Het oordeel over een maatregel en de conclusie van een audit blijven van de auditor.
Verder lezen
Hoort hierbij.
- WerkwijzenInterne auditEen auditprogramma, een interne audit die opzet, bestaan en werking per maatregel nagaat, en bevindingen die doorlopen naar afwijking, verbetering en taak.
- FunctiesAudits en bevindingenHet auditprogramma, bevindingen met ernst en eigenaar, en corrigerende maatregelen die pas sluiten als hun werking is bevestigd.
- FunctiesMaatregelen en bewijsElke maatregel getoetst op opzet, bestaan en werking, met bewijs per stadium en een overzicht van bewijs dat binnenkort verloopt.
- WerkwijzenCertificeringsaudit voorbereidenElke verplichte clausule een eigen plek in IRMA, de gereedheid per norm met uitleg, actueel bewijs en de certificeringscyclus met aftellen naar de volgende audit.
- FunctiesChat, opdrachtregel, API en MCPDe IRMA-chat, de opdrachtregel irma, de API en MCP voor AI-agents: dezelfde registers, met bij elk antwoord wat erin zit en wat de logische volgende stap is.
Plan een demo
Begin bij een leeg register.
In een demo laten wij zien hoe IRMA uw risico's, maatregelen en bewijs in één keten brengt, gebaseerd op uw eigen documenten. Daarna zetten wij op aanvraag een proefomgeving klaar met voorbeeldinhoud van uw eigen organisatie. Vanaf € 149 per maand.
Verwerking & naleving
Prudai is gecertificeerd volgens ISO/IEC 27001:2022 en NEN 7510-1:2024