Wat moet de gemeente doen als uit de audit tekortkomingen blijken?

Binnen drie maanden na de oplevering van het externe auditrapport stelt de werkgever een verbeterrapport (in de praktijk een verbeterplan) op met de maatregelen die worden of zijn getroffen. Binnen een jaar na de datum van het assurancerapport volgt een hercontrole, alleen op de onderdelen die 'niet voldaan' of 'deels voldaan' scoorden. Volgens de NOREA-handreiking toetst de hercontrole in het eerste halfjaar na het assurancerapport alleen opzet en bestaan, en in het tweede halfjaar ook de werking. Het rapport van de hercontrole bevat de volledige tabel met resultaten. De IT-auditor geeft in zijn auditrapport aan of de hercontrole door een externe of een interne auditor moet gebeuren; heeft hij een externe hercontrole geadviseerd, dan moet die ook extern (zie ‘Wanneer moet er een hercontrole (heraudit) komen, en wanneer moet een externe IT-auditor die uitvoeren’). Ook van de hercontrole gaat een afschrift naar de AP. Het verbeterplan zelf hoeft niet naar de AP.