In het kort
- Een afwijking betekent dat een controle tijdens de audit niet werkte zoals beschreven, en dat kan het oordeel van de auditor beïnvloeden.
- Veel afwijkingen gaan terug op een beperkt aantal oorzaken, zoals te late toegangsreviews, wijzigingen zonder goedkeuring en ontbrekend bewijs.
- Per oorzaak helpt het om één eigenaar aan te wijzen, de werkzaamheden in de agenda te zetten en bewijs te verzamelen terwijl het werk gebeurt.
- Heb je toch een afwijking, dan helpen open communicatie met de auditor, het herstellen van de oorzaak en een heldere managementreactie.
Wat is een afwijking, en waarom telt die?
Hoe het hele SOC 2-traject verloopt, lees je op het auditproces stap voor stap. Hier gaat het om wat er misgaat en hoe je dat voorkomt.
Tijdens de audit toetst de auditor of je controls werken zoals beschreven. Een control is een maatregel, zoals een periodieke toegangsreview of een goedkeuring voor elke wijziging. Levert een test niet (volledig) het verwachte resultaat op, dan spreekt men van een afwijking. In het Engels heet dat een exception. Auditors gebruiken ook de term testafwijking.
Een afwijking kan in de opzet van een control zitten, of in de werking ervan. Dat verschil hangt samen met het type rapport: een Type 1 toetst vooral de opzet, een Type 2 ook de werking over een periode (zie Type 1 vs. Type 2).
Een afwijking kan het oordeel van de auditor veranderen, maar niet automatisch. De uitkomst hangt af van het aantal afwijkingen en hoe ernstig ze zijn, en serieuze afwijkingen kunnen leiden tot een oordeel met beperking. Wat een afnemer daarmee doet, lees je op Een SOC 2-rapport lezen.
Afwijkingen vallen zelden helemaal uit de lucht. Ze gaan vaak terug op een handvol herkenbare oorzaken.
Acht oorzaken die in de praktijk vaak terugkomen
Deze oorzaken komen uit praktijkervaring, niet uit cijfers over hoe vaak ze voorkomen. Elke organisatie is anders, dus loop ze na tegen je eigen werkwijze.
1. Toegangsreviews die niet of te laat gebeuren
Hoe het misgaat: De review staat op papier, maar schuift weg zodra het druk wordt. Soms dekt ze maar een deel van de gebruikers.
Hoe voorkom je het: Zet de review in een agenda met een vaste eigenaar. Controleer of de lijst volledig is, en voer tussendoor een eigen toets uit zoals een auditor dat zou doen.
Bewijs: de agenda, de ondertekende uitkomsten en de opvolgacties.
2. Offboarding die te laat toegang intrekt
Hoe het misgaat: Een vertrokken medewerker houdt zijn account, of toegang wordt in het ene systeem ingetrokken maar in het andere niet.
Hoe voorkom je het: Koppel het intrekken van toegang aan het vertrekproces, bij voorkeur geautomatiseerd. Laat rechten alleen verlenen na goedkeuring en controleer dat periodiek.
Bewijs: een logboek van verleende en ingetrokken toegang, met datum en goedkeurder, plus de vertrekchecklist.
3. Wijzigingen zonder vastgelegde goedkeuring of test
Hoe het misgaat: Een wijziging gaat naar productie zonder goedkeuring of test. Bij spoedwijzigingen ontbreekt de vastlegging achteraf.
Hoe voorkom je het: Maak goedkeuring en test onderdeel van het uitrolproces, zodat een wijziging er niet langs kan. Leg een procedure voor spoedwijzigingen vast, met een achteraf-goedkeuring binnen een afgesproken termijn. Controleer maandelijks het wijzigingslog op uitrollen die er niet in staan.
Bewijs: goedgekeurde wijzigingsverzoeken met testresultaat, de achteraf-goedkeuringen en de uitkomst van de maandelijkse controle.
4. Monitoring en logging zonder opvolging
Hoe het misgaat: Meldingen staan aan, maar niemand reageert erop, of er zijn er zoveel dat echte signalen verdwijnen. Zo kan een control stilletjes stoppen met werken.
Hoe voorkom je het: Wijs per type melding een verantwoordelijke aan en leg de afhandeling vast. Stuur alleen meldingen die om een actie vragen, en controleer periodiek of er is opgevolgd.
Bewijs: de meldingen of een export, de afhandelnotitie en het resultaat van de opvolgingscontrole.
5. Leveranciers zonder beoordeling van SOC-rapporten of afspraken
Hoe het misgaat: Een leverancier die een rol speelt in je controls, wordt niet of te laat beoordeeld. Zijn SOC-rapport is verlopen, of er zijn geen beveiligingsafspraken. Gaat het bij hem mis, dan zie je dat terug in jouw rapport.
Hoe voorkom je het: Houd een leverancierslijst bij met eigenaar, laatste beoordeling en vervaldatum van het rapport. Maak beoordeling een vast onderdeel van verlengingen.
Bewijs: de leverancierslijst, de opgevraagde SOC-rapporten of bridge letters, en de vastgelegde beoordelingen. Wat een bridge letter is, staat in de begrippenlijst.
6. Bewijs dat ontbreekt of gaten heeft
Hoe het misgaat: Een control draait, maar laat geen spoor na. De auditor kan die dan niet toetsen en beschouwt de control in de praktijk vaak als niet uitgevoerd. Bewijs dat achteraf uit het geheugen wordt gereconstrueerd, geeft gaten.
Hoe voorkom je het: Laat bewijs ontstaan in de werkwijze, via tickets, goedkeuringen en logs. Controleer halverwege de observatieperiode of er voor elke periodieke control bewijs is.
Bewijs: tickets, logs, ondertekende formulieren en systeemuitdraaien uit de periode, met een overzicht van waar ze staan. Welk bewijs per criterium past, zie de checklist voor bewijs per criterium.
7. Beleid en procedures die verouderd zijn of niet worden opgevolgd
Hoe het misgaat: Het beleid beschrijft iets anders dan wat mensen doen, of de systeembeschrijving blijft staan terwijl de infrastructuur verandert. Dan klopt de documentatie niet meer, en dat kan zelf een afwijking zijn.
Hoe voorkom je het: Laat één persoon verantwoordelijk zijn voor de systeembeschrijving en laat die bij elke relevante verandering bijwerken. Toets regelmatig of de praktijk nog met het beleid overeenkomt.
Bewijs: beleidsdocumenten met versie en goedkeuringsdatum, het wijzigingslog van de systeembeschrijving en het toetsresultaat.
8. Incident- en herstelprocessen die nooit worden geoefend of nagekeken
Hoe het misgaat: Incidenten worden opgelost maar niet geregistreerd of geëvalueerd. Het proces bestaat op papier maar is nooit uitgeprobeerd, en een back-up die nooit is teruggezet, geeft weinig zekerheid.
Hoe voorkom je het: Oefen het incidentproces vóór de observatieperiode, bijvoorbeeld met een tafeloefening. Registreer elk incident en neem hersteltests op als vaste periodieke control.
Bewijs: het incidentregister met evaluatie, het verslag van de tafeloefening en de resultaten van de hersteltests.
Alles op een rij
| Oorzaak | Hoe voorkom je het | Bewijs |
|---|---|---|
| Toegangsreviews niet of te laat | Vaste eigenaar en agenda, volledige lijst controleren | Agenda, ondertekende reviews, opvolgacties |
| Offboarding te laat | Intrekken koppelen aan het vertrekproces | Logboek van verlenen en intrekken, vertrekchecklist |
| Wijziging zonder goedkeuring of test | Goedkeuring en test in het uitrolproces | Goedkeuringen met testresultaat, wijzigingslog |
| Meldingen niet opgevolgd | Verantwoordelijke per melding, minder ruis | Meldingen, afhandelnotities, opvolgingscontrole |
| Leveranciers niet beoordeeld | Leverancierslijst met vervaldatums | Lijst, SOC-rapporten of bridge letters, beoordelingen |
| Bewijs ontbreekt of heeft gaten | Bewijs verzamelen in de werkwijze | Tickets, logs, formulieren, uitdraaien uit de periode |
| Beleid verouderd of niet gevolgd | Eén eigenaar voor de systeembeschrijving | Beleid met versie, wijzigingslog, toetsresultaat |
| Incidenten en herstel niet geoefend | Tafeloefening vóór de observatieperiode | Incidentregister, verslag tafeloefening, testresultaten |
Tip: Geef elke oorzaak één eigenaar die ook het bewijs bijhoudt. Dan is duidelijk wie er aanspreekbaar is als een control niet draait.
Wat de oorzaken gemeen hebben
Bij veel van deze oorzaken speelt hetzelfde: een control heeft geen duidelijke eigenaar, of hij gebeurt alleen als iemand eraan denkt. Bewijs achteraf reconstrueren levert in de praktijk vaak gaten op.
Voor de bredere voorbereiding, van nulmeting tot auditdossier, schreef 2-Control, de initiatiefnemer van deze site, een artikel: bereid u voor op een SOC 2-audit.
Als er toch een afwijking is
Ook met goede voorbereiding kan er een afwijking komen. Wat je daarna doet, telt mee. Drie stappen helpen:
- Communiceer open met de auditor. Meld de afwijking zodra je haar kent, met de feiten: wat er gebeurde, welke periode en welke systemen.
- Herstel de oorzaak. Zoek waarom de control faalde en pas die aan, niet alleen het incident zelf. Documenteer de correctie en laat zien dat de control weer werkt.
- Zorg voor een heldere managementreactie. Het management legt vast hoe het de afwijking oppakt. Een feitelijke reactie met een corrigerende actie en een termijn werkt beter dan een verkleinende verklaring.
Let op: Een afwijking verzwijgen of verkleinen helpt niet: de auditor stelt vast wat er is gebeurd. Wat je wel zelf in de hand hebt, is hoe snel je de oorzaak herstelt en hoe duidelijk je dat vastlegt.
Elke afwijking levert ook een les op: welke control faalde, waarom, en wat je in de volgende observatieperiode anders doet.
Veelgestelde vragen
Betekent een afwijking dat ons rapport is afgekeurd?
Nee, niet automatisch. De uitkomst hangt af van het aantal afwijkingen en hoe ernstig ze zijn, en kleine afwijkingen hebben vaak weinig effect. Serieuze afwijkingen in de opzet of werking van controls kunnen wel leiden tot een oordeel met beperking.
Kun je afwijkingen volledig voorkomen?
Volledig uitsluiten is lastig, omdat controls door mensen worden uitgevoerd en systemen veranderen. Je kunt het risico wel verkleinen door de oorzaken vooraf na te lopen en ze in je dagelijkse werkwijze te verankeren.
Moet je compliance-software gebruiken om afwijkingen te voorkomen?
Nee, dat is geen eis. Automatisering kan helpen bij het vastleggen van bewijs en het monitoren van controls. Een handmatig proces met een vaste eigenaar, een agenda en een goede bewijsmap kan ook goed werken. Waar het om gaat, is dat de control aantoonbaar werkt.
Wanneer moet je afwijkingen intern al signaleren?
Zo vroeg mogelijk, bij voorkeur al tijdens de observatieperiode. Een interne toets halverwege helpt om gaten te vinden voordat de auditor dat doet. Dan kun je de oorzaak nog herstellen en laten zien dat je er actie op hebt ondernomen.
Bronnen
- AICPA, overzicht van de SOC-rapporten: de vijf categorieën van SOC 2 en de rol van het assurance-rapport.
- NOREA, Handreiking voor SOC 2 en SOC 3 op basis van ISAE 3000 (december 2021): hoe Nederlandse IT-auditors SOC 2-opdrachten uitvoeren en rapporteren.
- Achtergrond over typische oorzaken: publieke uitleg van aanbieders van compliance-software, onder meer Secureframe en Drata. Dit zijn commerciële pagina's; de acht oorzaken hierboven zijn in eigen woorden en als praktijkervaring beschreven, niet als statistiek.