NEN 7510 audit in de praktijk: voorbeeld van een auditdag

Een NEN 7510-audit verloopt in de praktijk als een reeks gesprekken, rondleidingen en steekproeven, waarbij de auditor telkens vraagt om bewijs. Het auditproces in algemene stappen staat op de pagina het NEN 7510 auditproces. Deze pagina laat zien hoe zo’n dag er concreet uitziet, met een fictief voorbeeld van een huisartsenpraktijk met twee locaties en één leverancier van het elektronisch patiëntdossier (EPD). Zie ook de checklist om je voor te bereiden.

Het voorbeeld is een werkvorm. Elke certificerende instelling werkt met een eigen auditplan, en de exacte aanpak verschilt per organisatie en per audit.

Voorbereiding de week ervoor

De auditor stuurt meestal vooraf een auditplan en een documentverzoek. Het voorbeeld beschrijft de dag op locatie (fase 2). De documentbeoordeling (fase 1) is dan al gedaan. Dat verzoek vormt de basis van de dag. In het voorbeeld ontvangt de praktijk een lijst met veertien documenten, waaronder de Verklaring van Toepasselijkheid, het activaregister, de risicoanalyse en het verslag van de laatste interne audit.

Maak vooraf een map met de documenten in de volgorde van het auditplan. Dat scheelt zoeken tijdens de dag, en het laat zien dat het systeem op orde is.

Agenda van de auditdag

Tijd	Onderdeel	Wat de auditor doet	Wat de praktijk laat zien
09:00	Opening	Doel en scope bespreken	Scope en uitsluitingen
09:30	Management	Gesprek met de praktijkmanager over beleid en sturing	Beleid, besluitlog, budget
10:30	Risico’s	Steekproef op de risicoanalyse	Risicoregister met eigenaren
11:30	Toegang	Controle van de autorisatiematrix en een recent vertrek	Toegang ingetrokken, logs
13:00	Techniek	Rondleiding en controle van instellingen op de laptops	Versleuteling, updates, schermvergrendeling
14:00	Medewerkers	Gesprek met twee medewerkers van verschillende rollen	Kennis van beleid en incidentproces
15:00	Leveranciers	Controle van de verwerkersovereenkomst en een jaarlijkse check	Contract, auditrapport van de leverancier
15:45	Afsluiting	Eerste bevindingen mondeling	Ruimte voor toelichting

Een voorbeeld van een steekproef

De auditor kiest een recent vertrokken medewerker en vraagt drie dingen te laten zien:

Welke toegang had de medewerker in het EPD?
Wanneer is die toegang ingetrokken, en door wie?
Zijn er logregels van na het vertrek die laten zien dat er geen toegang meer was?

Als de praktijk het antwoord uit het proces kan halen en de logs laat zien, is dit een conformiteit. Als de toegang nog een week actief was, wordt dat een bevinding. Let op: de auditor vraagt meestal ook naar het proces zelf, niet alleen naar één geval.

Een auditor test zelden of alles perfect is. Hij wil zien of het proces werkt en of je weet wat je doet als het misgaat. Een eerlijke toelichting op een zwakke plek helpt meer dan een document dat perfect oogt maar niet klopt.

Voorbeeld van bevindingen

Na de dag geeft de auditor de bevindingen mondeling, en later schriftelijk. In het voorbeeld zijn er drie.

Bevinding	Soort	Reden	Actie van de praktijk
Toegang van een vertrokken stagiaire was nog veertien dagen actief	Kleine afwijking	Proces voor einde dienstverband niet vastgelegd	Procedure aangepast, koppeling met personeelssysteem
Activaregister bevat de oefenapp niet	Kleine afwijking	Nieuwe dienst niet in register opgenomen	Regel toegevoegd, eigenaar benoemd
Geen gedocumenteerde test van de back-up op locatie B	Kleine afwijking	Maatregel in VvT gekozen, bewijs ontbreekt	Testrapport opgesteld en bewaard

Het onderscheid tussen klein en groot is belangrijk: een grote afwijking verhindert de certificering tot hij is opgelost. Een kleine afwijking lost je binnen een afgesproken termijn op, volgens het auditproces vaak 90 dagen.

Veelgemaakte fouten tijdens de dag

Documenten die niet kloppen met de praktijk. Het beleid zegt dat er maandelijks een controle is, maar het logboek is leeg.
Medewerkers die het beleid niet kennen. Dit is een veelvoorkomend punt. Oefen met de medewerkers wat ze zeggen als de auditor vraagt naar het incidentproces.
Te veel willen verdedigen. Erkennen dat iets niet goed loopt, en laten zien wat je eraan doet, is beter dan een uitleg die het probleem groter maakt.
De eigenaar is er niet. Is de verantwoordelijke voor een domein afwezig, dan kan niemand de vraag van de auditor beantwoorden. Wijs een vervanger aan.

Hoe oefen je zelf?

Een interne proefaudit op een ochtend, met een collega die de rol van auditor speelt, is een van de meest effectieve voorbereidingen. Gebruik de checklist als vragenlijst en noteer bij elke vraag waar het bewijs staat. Plan de proefaudit bij voorkeur twee maanden of eerder voor de echte audit, zodat er tijd is om bevindingen op te lossen. De interne audit legt uit hoe je dat aanpakt.

Wat dit betekent voor de planning

De externe audit is meestal de laatste stap van een langer traject. Wie de dag ziet als een moment van waarheid, plant vaak te laat. Volgens de indicatie op kosten en tijdlijn duurt het traject voor een kleine praktijk 3 tot 6 maanden. Voor de rol van de certificerende instelling zie onafhankelijke beoordeling of certificering.

Aanvullend en let op

De agenda, namen en bevindingen in dit voorbeeld zijn fictief.
Auditmethodiek en de classificatie van afwijkingen volgen het auditplan van de certificerende instelling. Bevestig die altijd voordat je je voorbereidt.
Voor de achtergrond van de norm en de paragrafen die worden getoetst, zie de eisen van NEN 7510.