Veelgemaakte fouten bij de NEN 7510 audit
Een veelvoorkomend patroon bij een NEN 7510 audit is het verschil tussen wat op papier staat en wat in de praktijk gebeurt. De auditor test dat verschil. Hieronder staan acht fouten die we in de praktijk van audits vaak zien, met per fout wat de auditor wil zien en hoe je het voorkomt. Het auditproces zelf staat op de auditpagina, een voorbeeld van een dag op auditdag in de praktijk en een lijst om mee te oefenen in de checklist. Fouten bij de implementatie zelf staan in het stappenplan.
1. Een scope die niet klopt met de werkelijkheid
Wat er misgaat: de scope in de Verklaring van Toepasselijkheid (VvT) noemt twee locaties, maar een derde locatie werkt met hetzelfde EPD en is niet meegenomen.
Wat de auditor wil zien: een scopebesluit met de onderbouwing van elke uitsluiting, en een bewijs dat de uitgesloten onderdelen ook echt gescheiden zijn.
Oplossing: loop de scope een keer na met de lijst van systemen en locaties uit het activaregister. Elk systeem dat patiëntgegevens verwerkt, hoort in de scope of heeft een onderbouwde uitsluiting.
2. Een risicoanalyse die te algemeen is
Wat er misgaat: de risicoanalyse noemt “phishing” en “diefstal” maar niet de risico’s van de eigen zorgprocessen, zoals het verzenden van een verkeerd patiëntdossier.
Wat de auditor wil zien: een risicoregister met zorgspecifieke dreigingen, eigenaren per risico en een besluit per risico.
Oplossing: werk met de zorgprocessen als uitgangspunt. Zie de risicoanalyse voor NEN 7510 voor een werkwijze.
3. Een Verklaring van Toepasselijkheid zonder bewijs
Wat er misgaat: de VvT zegt dat een maatregel is toegepast, maar er is geen document, log of verslag dat dat aantoont.
Wat de auditor wil zien: per gekozen maatregel een verwijzing naar bewijs, en per uitgesloten maatregel een reden.
Oplossing: houd bij elke regel van de VvT een kolom “bewijs” bij. De verklaring van toepasselijkheid met voorbeeld laat zien hoe.
4. Beleid dat niet bij het werk aansluit
Wat er misgaat: het beleid beschrijft dat elke nieuwe medewerker een beveiligingsinstructie krijgt, maar het onboardingformulier bevat die stap niet.
Wat de auditor wil zien: dat het beleid en de praktijk met elkaar overeenkomen. Hij vraagt dat vaak door aan een medewerker.
Oplossing: laat bij elke beleidsregel één medewerker vertellen hoe het in de praktijk gaat. Verschil is het punt waar je moet werken.
5. Geen gedocumenteerde controle van leveranciers
Wat er misgaat: de verwerkersovereenkomst is getekend in 2022, maar niemand heeft sindsdien gecontroleerd of de leverancier nog aan de afspraken voldoet.
Wat de auditor wil zien: een jaarlijkse controle, bijvoorbeeld via een auditrapport of een vragenlijst, met de bevindingen en de opvolging.
Oplossing: zet de controle in de jaarplanning, en bewaar het resultaat in de leveranciersmap.
6. Logs die niet worden gecontroleerd
Wat er misgaat: het systeem logt alles, maar niemand kijkt ernaar. Bij een datalek blijkt dat de logs wel bestaan maar nooit zijn geanalyseerd.
Wat de auditor wil zien: een vaste controle van logs, met een steekproef en een verslag.
Oplossing: plan een maandelijkse steekproef. De technische eisen van logging staan op NEN 7513 logging.
7. Interne audit die niets oplevert
Wat er misgaat: de interne audit is uitgevoerd door een collega die het systeem goed kent en vindt daardoor niets.
Wat de auditor wil zien: een interne audit door iemand die onafhankelijk is van het onderdeel dat wordt gecontroleerd (ISO 27001 vraagt objectiviteit en onpartijdigheid van de interne auditor), met bevindingen en een actieplan.
Oplossing: wissel de auditor per onderdeel. Lees de interne audit voor de eisen aan onafhankelijkheid en het verslag.
8. Afwijkingen die niet worden opgelost
Wat er misgaat: een kleine afwijking uit de vorige audit staat nog open, en er is geen bewijs van een oplossing.
Wat de auditor wil zien: per afwijking een oorzaakanalyse, een corrigerende maatregel en bewijs dat die is uitgevoerd.
Oplossing: houd een afwijkingenregister bij, en sluit een afwijking pas als het bewijs er is.
Drie of meer kleine afwijkingen op hetzelfde onderdeel kunnen samen een grote afwijking vormen, zie het auditproces. Een patroon weegt zwaarder dan een losse fout.
Tabel: fout, bewijs en oplossing
| Fout | Bewijs dat de auditor wil | Oplossing |
|---|---|---|
| Scope klopt niet | Scopebesluit met onderbouwing | Vergelijk met activaregister |
| Risico’s te algemeen | Zorgspecifiek risicoregister | Werk vanuit zorgprocessen |
| VvT zonder bewijs | Verwijzing per maatregel | Kolom bewijs toevoegen |
| Beleid past niet | Gesprek met medewerker | Beleid en praktijk naast elkaar leggen |
| Leveranciers niet gecontroleerd | Jaarlijkse controle | Vaste planning |
| Logs niet gecontroleerd | Steekproefverslag | Maandelijkse controle |
| Interne audit zonder onafhankelijkheid | Verslag van een onafhankelijke auditor | Wissel auditor per onderdeel |
| Afwijkingen open | Oorzaakanalyse en bewijs | Afwijkingenregister |
Hoe gebruik je deze lijst?
Loop de lijst een maand voor de audit door met de eigenaren van de maatregelen. Vraag per punt: wat is het bewijs, en waar staat het? Als het antwoord onduidelijk is, is dat het punt om eerst op te lossen. Gebruik ook de checklist en de voorbeeldauditdag om te oefenen.
Aanvullend en let op
- Dit overzicht is gebaseerd op veelvoorkomende patronen en niet op een statistiek van een certificerende instelling. De voorbeelden zijn fictief.
- De exacte eisen en de manier waarop afwijkingen worden geclassificeerd, volgen de norm en het auditplan van je certificerende instelling.
- Voor de algemene achtergrond van de norm en de paragrafen die worden getoetst, zie de eisen van NEN 7510.