Hoe toon je de periodieke controle van Suwinet-autorisaties aan?
Om de periodieke controle van Suwinet-autorisaties aan te tonen, heb je concrete bewijsstukken nodig die laten zien dat de controle daadwerkelijk is uitgevoerd en gedocumenteerd. Denk aan een getekend controlerapport, een overzicht van actieve gebruikers met bijbehorende functies en een vastgelegde beslissing over welke autorisaties zijn aangepast of ingetrokken. Voor de ENSIA-audit geldt dat het niet voldoende is om te zeggen dat de controle is uitgevoerd, je moet dit ook aantoonbaar kunnen maken. In dit artikel beantwoorden we de meest gestelde vragen over hoe je dit in de praktijk goed aanpakt.
Wat telt als bewijs voor een periodieke autorisatiecontrole?
Bewijs voor een periodieke controle van Suwinet-autorisaties bestaat uit documenten die aantonen dat iemand binnen de gemeente de autorisaties heeft beoordeeld, een beslissing heeft genomen en dit heeft vastgelegd. Het gaat daarbij om de combinatie van een actueel gebruikersoverzicht, een beoordeling van dat overzicht en een aantoonbare opvolging van die beoordeling.
Concreet zijn de volgende bewijsstukken geschikt:
- Een exportlijst of rapportage uit het systeem met alle actieve Suwinet-gebruikers en hun toegangsrechten
- Een ingevuld en ondertekend controleformulier of checklist waaruit blijkt dat de lijst is doorgenomen
- Aantekeningen of een e-mailwisseling waaruit blijkt dat autorisaties zijn aangepast of bewust zijn gehandhaafd
- Een besluitdocument of akkoordverklaring van de verantwoordelijke functionaris
- Logbestanden of mutatieoverzichten als aanvullend bewijs van doorgevoerde wijzigingen
De auditor beoordeelt niet alleen of de controle heeft plaatsgevonden, maar ook of de gemeente kan aantonen dat maatregelen daadwerkelijk zijn uitgevoerd gedurende de relevante periode. Een lijst zonder datum, handtekening of opvolging is onvoldoende. Zorg dus dat elk bewijsstuk herleidbaar is naar een specifiek moment en een verantwoordelijke persoon.
Hoe vaak moet de autorisatiecontrole worden uitgevoerd?
De periodieke controle van Suwinet-autorisaties moet minimaal eenmaal per jaar worden uitgevoerd. Dit is een vereiste die voortvloeit uit de normen die BKWI stelt aan het gebruik van Suwinet door gemeenten. In de praktijk kiezen veel gemeenten voor een hogere frequentie, bijvoorbeeld elk kwartaal of halfjaarlijks, om risico’s beter te beheersen.
De jaarlijkse controle is het absolute minimum, maar de frequentie die past bij jouw gemeente hangt ook af van het personeelsverloop en de omvang van de gebruikersgroep. Bij een gemeente met veel wisselingen in personeel of tijdelijke medewerkers is een hogere controlefrequentie verstandig. Hoe vaker de controle plaatsvindt, hoe kleiner de kans dat voormalige medewerkers nog actieve toegang hebben tot Suwinet.
Belangrijk is dat de gekozen frequentie ook is vastgelegd in beleid of een procedure. Als je als gemeente zegt dat je elk kwartaal controleert, verwacht de auditor ook vier aantoonbare controlemomenten per jaar. Stem de frequentie dus af op wat je realistisch kunt uitvoeren en documenteren.
Wie is verantwoordelijk voor het uitvoeren en vastleggen van de controle?
De verantwoordelijkheid voor de periodieke controle van Suwinet-autorisaties ligt bij de gemeente zelf. In de praktijk is dit vaak belegd bij de applicatiebeheerder of functioneel beheerder van Suwinet, in samenwerking met de leidinggevenden van de betrokken afdelingen, zoals de afdeling Werk en Inkomen of Burgerzaken.
De leidinggevende van een afdeling is doorgaans het best in staat om te beoordelen of een medewerker nog de juiste toegangsrechten heeft, passend bij de huidige functie. De applicatiebeheerder voert vervolgens de technische wijzigingen door en legt deze vast. Zonder duidelijke taakverdeling ontstaat het risico dat niemand zich verantwoordelijk voelt en de controle niet of onvolledig wordt uitgevoerd.
Leg de verantwoordelijkheden daarom schriftelijk vast, bij voorkeur in een procedure of taakomschrijving. Zorg ook dat er een duidelijk aanspreekpunt is voor de ENSIA-coördinator, zodat bewijsstukken tijdig worden aangeleverd wanneer de audit nadert.
Wat doet een auditor als de bewijslast onvolledig is?
Als de bewijslast voor de periodieke controle van Suwinet-autorisaties onvolledig is, legt de auditor dit vast als bevinding in de conceptrapportage. De gemeente krijgt vervolgens de gelegenheid om aanvullende informatie of ontbrekende bewijsstukken aan te leveren voordat het rapport definitief wordt.
Lukt het niet om het bewijs alsnog aan te leveren, dan resulteert dit in een negatieve bevinding in de definitieve rapportage. Afhankelijk van de ernst van de tekortkoming kan dit gevolgen hebben voor de uitkomst van de ENSIA-audit. In sommige gevallen kan een heraudit worden opgelegd, waarbij de gemeente de mogelijkheid krijgt om de tekortkoming te herstellen en opnieuw aan te tonen dat de maatregel is ingericht en functioneert.
Het is daarom verstandig om niet te wachten tot de audit begint met het verzamelen van bewijsstukken. Gemeenten die gedurende het jaar al documenteren, lopen veel minder risico op onvolledige bewijslast op het moment dat de auditor de stukken opvraagt.
Hoe leg je de controle goed vast als er geen formeel systeem is?
Veel gemeenten beschikken niet over een geautomatiseerd systeem voor autorisatiebeheer. Dat is geen probleem, zolang de controle maar aantoonbaar en gestructureerd wordt uitgevoerd. Een eenvoudige aanpak met een spreadsheet of een vast documentsjabloon is voor de auditor acceptabel, mits de vastlegging volledig en consistent is.
Een werkbare aanpak zonder formeel systeem ziet er als volgt uit:
- Exporteer een overzicht van alle actieve Suwinet-gebruikers uit het systeem of vraag dit op bij de leverancier
- Leg het overzicht voor aan de verantwoordelijke leidinggevenden van de betrokken afdelingen
- Laat de leidinggevende per medewerker aangeven of de toegang correct is, moet worden aangepast of moet worden ingetrokken
- Voer de benodigde wijzigingen door en documenteer welke aanpassingen zijn gedaan
- Laat de verantwoordelijke functionaris het document ondertekenen en voeg een datum toe
- Sla het document op een vaste, toegankelijke locatie op zodat het bij de audit direct beschikbaar is
De sleutel zit in de herleidbaarheid. Zorg dat uit het document duidelijk blijkt wanneer de controle is uitgevoerd, wie erbij betrokken was en wat er naar aanleiding van de controle is besloten.
Welke fouten maken gemeenten het vaakst bij de autorisatiecontrole?
De meest voorkomende fout bij de periodieke controle van Suwinet-autorisaties is dat de controle wel is uitgevoerd, maar niet of onvoldoende is gedocumenteerd. De auditor kan dan niet vaststellen of de maatregel daadwerkelijk heeft gefunctioneerd, ook al is dat in de praktijk wel het geval geweest.
Andere veelgemaakte fouten zijn:
- De controle wordt pas vlak voor de audit uitgevoerd, waardoor er geen bewijs is van een controle gedurende de relevante periode
- Er is geen duidelijke eigenaar aangewezen, waardoor de controle tussen afdelingen valt
- Vertrokken medewerkers staan nog als actieve gebruiker in het systeem omdat de controle te lang is uitgesteld
- Het bewijsdocument mist een datum, handtekening of vermelding van wie de controle heeft uitgevoerd
- De frequentie in het beleid komt niet overeen met de feitelijk uitgevoerde controles
- Er is geen opvolging gedocumenteerd, waardoor onduidelijk is wat er met de bevindingen is gedaan
Deze fouten zijn goed te voorkomen door het proces structureel in te richten en niet te behandelen als een eenmalige actie vlak voor de audit. Maak de autorisatiecontrole onderdeel van een vaste planning en zorg dat de documentatie direct na elke controle wordt afgerond.
Hoe BKBO B.V. helpt bij Suwinet-autorisatiebeheer
Wij begeleiden gemeenten bij het aantoonbaar maken van de periodieke controle van Suwinet-autorisaties als onderdeel van het ENSIA-assessment. Daarbij helpen we niet alleen met de beoordeling van de bewijsstukken, maar ook met het inzichtelijk maken van wat er ontbreekt en hoe dat praktisch kan worden opgelost.
Wat wij bieden:
- Een gestructureerde aanpak waarbij we vooraf duidelijk maken welke bewijsstukken nodig zijn
- Tussentijdse terugkoppeling zodat gemeenten tijdig kunnen bijsturen
- Een conceptrapportage met concrete aanbevelingen voor het opheffen van tekortkomingen
- Een vaste prijs zonder verborgen kosten, inclusief een eventuele heraudit
- Eén vast aanspreekpunt met korte communicatielijnen
Wij voeren jaarlijks ENSIA-audits uit voor meer dan 70 gemeenten en hebben inmiddels meer dan 2.500 audits achter de rug. Die ervaring maakt dat we precies weten waar gemeenten in de praktijk tegenaan lopen. Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem dan contact op voor een vrijblijvende offerte.
Om de periodieke controle van Suwinet-autorisaties aan te tonen, heb je concrete bewijsstukken nodig die laten zien dat de controle daadwerkelijk is uitgevoerd en gedocumenteerd. Denk aan een getekend controlerapport, een overzicht van actieve gebruikers met bijbehorende functies en een vastgelegde beslissing over welke autorisaties zijn aangepast of ingetrokken. Voor de ENSIA-audit geldt dat het niet voldoende is om te zeggen dat de controle is uitgevoerd, je moet dit ook aantoonbaar kunnen maken. In dit artikel beantwoorden we de meest gestelde vragen over hoe je dit in de praktijk goed aanpakt.
Wat telt als bewijs voor een periodieke autorisatiecontrole?
Bewijs voor een periodieke controle van Suwinet-autorisaties bestaat uit documenten die aantonen dat iemand binnen de gemeente de autorisaties heeft beoordeeld, een beslissing heeft genomen en dit heeft vastgelegd. Het gaat daarbij om de combinatie van een actueel gebruikersoverzicht, een beoordeling van dat overzicht en een aantoonbare opvolging van die beoordeling.
Concreet zijn de volgende bewijsstukken geschikt:
- Een exportlijst of rapportage uit het systeem met alle actieve Suwinet-gebruikers en hun toegangsrechten
- Een ingevuld en ondertekend controleformulier of checklist waaruit blijkt dat de lijst is doorgenomen
- Aantekeningen of een e-mailwisseling waaruit blijkt dat autorisaties zijn aangepast of bewust zijn gehandhaafd
- Een besluitdocument of akkoordverklaring van de verantwoordelijke functionaris
- Logbestanden of mutatieoverzichten als aanvullend bewijs van doorgevoerde wijzigingen
De auditor beoordeelt niet alleen of de controle heeft plaatsgevonden, maar ook of de gemeente kan aantonen dat maatregelen daadwerkelijk zijn uitgevoerd gedurende de relevante periode. Een lijst zonder datum, handtekening of opvolging is onvoldoende. Zorg dus dat elk bewijsstuk herleidbaar is naar een specifiek moment en een verantwoordelijke persoon.
Hoe vaak moet de autorisatiecontrole worden uitgevoerd?
De periodieke controle van Suwinet-autorisaties moet minimaal eenmaal per jaar worden uitgevoerd. Dit is een vereiste die voortvloeit uit de normen die BKWI stelt aan het gebruik van Suwinet door gemeenten. In de praktijk kiezen veel gemeenten voor een hogere frequentie, bijvoorbeeld elk kwartaal of halfjaarlijks, om risico’s beter te beheersen.
De jaarlijkse controle is het absolute minimum, maar de frequentie die past bij jouw gemeente hangt ook af van het personeelsverloop en de omvang van de gebruikersgroep. Bij een gemeente met veel wisselingen in personeel of tijdelijke medewerkers is een hogere controlefrequentie verstandig. Hoe vaker de controle plaatsvindt, hoe kleiner de kans dat voormalige medewerkers nog actieve toegang hebben tot Suwinet.
Belangrijk is dat de gekozen frequentie ook is vastgelegd in beleid of een procedure. Als je als gemeente zegt dat je elk kwartaal controleert, verwacht de auditor ook vier aantoonbare controlemomenten per jaar. Stem de frequentie dus af op wat je realistisch kunt uitvoeren en documenteren.
Wie is verantwoordelijk voor het uitvoeren en vastleggen van de controle?
De verantwoordelijkheid voor de periodieke controle van Suwinet-autorisaties ligt bij de gemeente zelf. In de praktijk is dit vaak belegd bij de applicatiebeheerder of functioneel beheerder van Suwinet, in samenwerking met de leidinggevenden van de betrokken afdelingen, zoals de afdeling Werk en Inkomen of Burgerzaken.
De leidinggevende van een afdeling is doorgaans het best in staat om te beoordelen of een medewerker nog de juiste toegangsrechten heeft, passend bij de huidige functie. De applicatiebeheerder voert vervolgens de technische wijzigingen door en legt deze vast. Zonder duidelijke taakverdeling ontstaat het risico dat niemand zich verantwoordelijk voelt en de controle niet of onvolledig wordt uitgevoerd.
Leg de verantwoordelijkheden daarom schriftelijk vast, bij voorkeur in een procedure of taakomschrijving. Zorg ook dat er een duidelijk aanspreekpunt is voor de ENSIA-coördinator, zodat bewijsstukken tijdig worden aangeleverd wanneer de audit nadert.
Wat doet een auditor als de bewijslast onvolledig is?
Als de bewijslast voor de periodieke controle van Suwinet-autorisaties onvolledig is, legt de auditor dit vast als bevinding in de conceptrapportage. De gemeente krijgt vervolgens de gelegenheid om aanvullende informatie of ontbrekende bewijsstukken aan te leveren voordat het rapport definitief wordt.
Lukt het niet om het bewijs alsnog aan te leveren, dan resulteert dit in een negatieve bevinding in de definitieve rapportage. Afhankelijk van de ernst van de tekortkoming kan dit gevolgen hebben voor de uitkomst van de ENSIA-audit. In sommige gevallen kan een heraudit worden opgelegd, waarbij de gemeente de mogelijkheid krijgt om de tekortkoming te herstellen en opnieuw aan te tonen dat de maatregel is ingericht en functioneert.
Het is daarom verstandig om niet te wachten tot de audit begint met het verzamelen van bewijsstukken. Gemeenten die gedurende het jaar al documenteren, lopen veel minder risico op onvolledige bewijslast op het moment dat de auditor de stukken opvraagt.
Hoe leg je de controle goed vast als er geen formeel systeem is?
Veel gemeenten beschikken niet over een geautomatiseerd systeem voor autorisatiebeheer. Dat is geen probleem, zolang de controle maar aantoonbaar en gestructureerd wordt uitgevoerd. Een eenvoudige aanpak met een spreadsheet of een vast documentsjabloon is voor de auditor acceptabel, mits de vastlegging volledig en consistent is.
Een werkbare aanpak zonder formeel systeem ziet er als volgt uit:
- Exporteer een overzicht van alle actieve Suwinet-gebruikers uit het systeem of vraag dit op bij de leverancier
- Leg het overzicht voor aan de verantwoordelijke leidinggevenden van de betrokken afdelingen
- Laat de leidinggevende per medewerker aangeven of de toegang correct is, moet worden aangepast of moet worden ingetrokken
- Voer de benodigde wijzigingen door en documenteer welke aanpassingen zijn gedaan
- Laat de verantwoordelijke functionaris het document ondertekenen en voeg een datum toe
- Sla het document op een vaste, toegankelijke locatie op zodat het bij de audit direct beschikbaar is
De sleutel zit in de herleidbaarheid. Zorg dat uit het document duidelijk blijkt wanneer de controle is uitgevoerd, wie erbij betrokken was en wat er naar aanleiding van de controle is besloten.
Welke fouten maken gemeenten het vaakst bij de autorisatiecontrole?
De meest voorkomende fout bij de periodieke controle van Suwinet-autorisaties is dat de controle wel is uitgevoerd, maar niet of onvoldoende is gedocumenteerd. De auditor kan dan niet vaststellen of de maatregel daadwerkelijk heeft gefunctioneerd, ook al is dat in de praktijk wel het geval geweest.
Andere veelgemaakte fouten zijn:
- De controle wordt pas vlak voor de audit uitgevoerd, waardoor er geen bewijs is van een controle gedurende de relevante periode
- Er is geen duidelijke eigenaar aangewezen, waardoor de controle tussen afdelingen valt
- Vertrokken medewerkers staan nog als actieve gebruiker in het systeem omdat de controle te lang is uitgesteld
- Het bewijsdocument mist een datum, handtekening of vermelding van wie de controle heeft uitgevoerd
- De frequentie in het beleid komt niet overeen met de feitelijk uitgevoerde controles
- Er is geen opvolging gedocumenteerd, waardoor onduidelijk is wat er met de bevindingen is gedaan
Deze fouten zijn goed te voorkomen door het proces structureel in te richten en niet te behandelen als een eenmalige actie vlak voor de audit. Maak de autorisatiecontrole onderdeel van een vaste planning en zorg dat de documentatie direct na elke controle wordt afgerond.
Hoe BKBO B.V. helpt bij Suwinet-autorisatiebeheer
Wij begeleiden gemeenten bij het aantoonbaar maken van de periodieke controle van Suwinet-autorisaties als onderdeel van het ENSIA-assessment. Daarbij helpen we niet alleen met de beoordeling van de bewijsstukken, maar ook met het inzichtelijk maken van wat er ontbreekt en hoe dat praktisch kan worden opgelost.
Wat wij bieden:
- Een gestructureerde aanpak waarbij we vooraf duidelijk maken welke bewijsstukken nodig zijn
- Tussentijdse terugkoppeling zodat gemeenten tijdig kunnen bijsturen
- Een conceptrapportage met concrete aanbevelingen voor het opheffen van tekortkomingen
- Een vaste prijs zonder verborgen kosten, inclusief een eventuele heraudit
- Eén vast aanspreekpunt met korte communicatielijnen
Wij voeren jaarlijks ENSIA-audits uit voor meer dan 70 gemeenten en hebben inmiddels meer dan 2.500 audits achter de rug. Die ervaring maakt dat we precies weten waar gemeenten in de praktijk tegenaan lopen. Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem dan contact op voor een vrijblijvende offerte.