Wanneer moet er een hercontrole (heraudit) komen, en wanneer moet een externe IT-auditor die uitvoeren?
Een hercontrole is verplicht als uit de externe privacyaudit blijkt dat niet aan de Wpg wordt voldaan (artikel 33, derde lid, Wpg). Volgens de NOREA-handreiking gaat het om de beheersingsmaatregelen die bij de externe audit 'niet voldaan' of 'deels voldaan' scoorden; alleen die onderdelen worden opnieuw getoetst.
Wie voert de hercontrole uit?
- De IT-auditor moet in zijn auditrapport aangeven of de hercontrole door een externe of door een interne auditor moet worden uitgevoerd (artikel 2, vijfde lid, onder d, Rpap).
- Heeft de IT-auditor in zijn auditrapport geadviseerd de hercontrole extern te laten uitvoeren, dan moet een externe auditor de hercontrole doen (artikel 4, derde lid, Rpap). In alle andere gevallen voert een interne auditor de hercontrole uit.
- De wet zegt niet waarop de auditor zijn advies baseert. De handreiking noemt de deskundigheid of aanwezigheid van een interne auditfunctie en de ernst (significantie) van de bevindingen.
Tijdlijn:
- binnen drie maanden na het auditrapport: een verbeterplan (in de Rpap 'verbeterrapport') met de maatregelen die zijn of worden getroffen (artikel 4, eerste lid, Rpap); de auditor geeft geen oordeel over dat plan;
- binnen een jaar: de hercontrole (artikel 33, derde lid, Wpg). Startdatum voor die termijn is de datum van het assurance-rapport;
- in het eerste halfjaar na die datum toetst de hercontrole alleen opzet en bestaan; in het tweede halfjaar ook de werking.
Het rapport van de hercontrole bevat de volledige tabel met resultaten, en de werkgever stuurt een afschrift naar de Autoriteit Persoonsgegevens, net als bij de externe audit (artikel 33, tweede en derde lid, Wpg; zie ‘Hoe lever ik het auditrapport aan bij de Autoriteit Persoonsgegevens’).