De mail komt meestal op een vrijdagmiddag: de opdrachtgever laat een audit uitvoeren en heeft over twee weken een overzicht nodig van de uitgevoerde rondes, de aanwezigheid op de posten, de gemelde incidenten en de kwalificaties van het ingezette personeel. Over een periode van een jaar. Wie dan begint met auditgegevens exporteren beveiliging-breed uit losse bestanden, mappen en mailboxen, is een week kwijt — en levert uiteindelijk een stapel aan die er zorgvuldig uitziet maar niet controleerbaar is.
Het korte antwoord: de audit is geen verzamelklus maar een filterklus. Als de gegevens tijdens het werk zijn vastgelegd, is de vraag alleen nog welke periode, welk object en welke categorie. Als ze dat niet zijn, kun je de klus niet winnen — je kunt hem alleen zo goed mogelijk reconstrueren, met alle onzekerheid van dien.
Wat een auditor vrijwel altijd opvraagt
De precieze vraag verschilt per opdrachtgever en per norm, maar de categorieën zijn opvallend stabiel.
Uitgevoerde controles. Welke rondes waren gepland, welke zijn uitgevoerd, wanneer, en door wie. Bij niet-uitgevoerde rondes wil de auditor de reden zien, niet een leeg vakje.
Aanwezigheid op de posten. Wie stond er, van wanneer tot wanneer, op welk object. Aangesloten op wat er gepland stond, zodat de afwijkingen zichtbaar zijn.
Meldingen en incidenten. Wat is er vastgelegd, wanneer, wat is ermee gedaan en wie is geïnformeerd. Met de afhandeling erbij, niet alleen de melding.
Kwalificaties van het personeel. Welke mensen zijn op dit object ingezet en welke vereiste documenten en aantekeningen hadden zij op dat moment. Dit is het blok waar de meeste bedrijven struikelen, omdat het personeelsdossier los staat van de inzet.
Sporen van wijzigingen. Is er achteraf iets aangepast, door wie en wanneer. Een auditor die geen enkele wijziging aantreft in een jaar operatie, wordt daar eerder achterdochtig van dan gerustgesteld.
Waarom de handmatige route zo lang duurt
Niet omdat er veel gegevens zijn, maar omdat ze in verschillende talen zijn opgeschreven. Rondes staan in een schrift op het object, aanwezigheid in een presentielijst en deels in het rooster, incidenten in mailtjes en chatberichten, documenten van medewerkers in een map op kantoor.
Om daar één overzicht van te maken, moet iemand ze niet alleen verzamelen maar ook op elkaar leggen: klopt de naam op de presentielijst met de naam in het rooster, is dit dezelfde melding als die in de mail, was dit document op die datum nog geldig. Dat is het echte werk, en het is precies het werk dat niet controleerbaar is achteraf. Een auditor die vraagt hoe je aan een regel komt, wil geen antwoord horen dat begint met “dat hebben we samengesteld uit”.
Planning en werkelijke aanwezigheid horen aan elkaar te hangen; het verschil ertussen is wat de auditor onderzoekt.
Auditgegevens exporteren beveiliging: wat een bruikbare export bevat
Een export is meer dan een lijst met regels. Vier dingen bepalen of hij standhoudt.
Een filter dat de auditor zelf kan navertellen. Periode, object, en categorie. Als je kunt zeggen “dit zijn alle uitgevoerde rondes op dit object tussen deze twee data”, is dat een controleerbare uitspraak. “Dit is wat wij hebben gevonden” is dat niet.
Herkomst bij elke regel. Bij een ronde: wie hem uitvoerde en wanneer hij is vastgelegd. Bij een melding: wie hem maakte. Bij een aanwezigheid: het tijdstip van aanmelden op de post. Zonder die kolommen is elke regel een bewering.
Wie de export maakte en wanneer. Dit klinkt formeel maar is praktisch: als er drie versies rondgaan, wil je weten welke de laatste is en wie hem heeft aangeleverd.
Volledigheid, inclusief het negatieve. Een export die alleen uitgevoerde rondes bevat, is verdacht. Toon ook wat niet is uitgevoerd, met reden. Dat is minder mooi en veel geloofwaardiger. Een auditor zoekt geen perfectie; hij zoekt of je weet wat er is gebeurd.
De vorm van de aanlevering
Lever aan in een vorm waarin de ontvanger kan filteren en sorteren — een tabelbestand doet dat prima. Een reeks losse rapporten als document is voor de auditor onwerkbaar en levert altijd aanvullende vragen op.
Splits per categorie in plaats van alles in één bestand te proppen: rondes, aanwezigheid, meldingen, kwalificaties. Elke categorie met dezelfde periode en dezelfde objecten, zodat ze naast elkaar te leggen zijn.
En zorg dat de kolomnamen zonder toelichting te begrijpen zijn. Interne codes en afkortingen die alleen jouw planners kennen, kosten je een extra vragenronde.
Meldingen met hun afhandeling zijn per periode en per object te filteren zonder handmatig verzamelwerk.
Voorbereiden voordat de vraag komt
De beste voorbereiding is dat de audit niets bijzonders is. Drie gewoontes helpen daarbij.
Leg vast tijdens het werk, niet erna. Als de uitvoering van de surveillancerondes op het moment zelf wordt geregistreerd en de aanwezigheid via de tijdregistratie op de post ontstaat, is de export een selectie in plaats van een reconstructie.
Koppel het personeelsdossier aan de inzet. Een lijst met geldige documenten is niet genoeg; de auditor wil weten of iemand geldig was op de dag dat hij stond. Dat lukt alleen als beide kanten in hetzelfde systeem bekend zijn.
Doe één keer per jaar een proefexport. Kies zelf een object en een kwartaal, en maak de vier overzichten alsof het gevraagd is. Wat je daarbij tegenkomt aan gaten, kun je nog rustig oplossen. Onder tijdsdruk lukt dat niet.
Als de opdrachtgever bovendien via een portaal doorlopend zijn eigen gegevens kan inzien, wordt de audit vaak kleiner: veel van wat de auditor vraagt, heeft de klant dan al gezien.
Let op de grenzen
Twee dingen om vooraf te regelen. Ten eerste: niet alles wat je hebt, hoort in een export naar een derde partij. Persoonsgegevens van medewerkers deel je zo beperkt als het doel toelaat — vaak volstaat de bevestiging dat een vereiste kwalificatie geldig was, zonder het onderliggende document mee te sturen. Spreek af wat er nodig is voordat je verstuurt.
Ten tweede: wat je moet aanleveren en wat je juist niet mag delen, hangt af van de privacyregels, de norm waarop wordt getoetst en het contract met de opdrachtgever. Die kaders wijzigen en worden per geval uitgelegd. Leg je aanleverwijze eenmalig voor aan een eigen adviseur en leg de afspraken schriftelijk vast. Dit artikel is geen juridisch advies.
Veelgestelde vragen
Hoe ver terug moet je kunnen exporteren? Dat volgt uit je contract, de toegepaste norm en je eigen bewaarbeleid. Belangrijker dan de lengte is dat de termijn bewust is gekozen en dat het opruimen daarna ook echt gebeurt.
Wat als een ronde destijds niet is uitgevoerd? Neem hem op met de reden. Een export waarin nooit iets misgaat, roept meer vragen op dan een export met een eerlijke verklaring.
Mag de auditor rechtstreeks meekijken in het systeem? Dat kan werken, mits beperkt tot de objecten en de periode waar het over gaat. Spreek de reikwijdte vooraf af; geef geen algemene toegang omdat dat sneller lijkt.
Hoe voorkom je dat er meerdere versies van de export rondgaan? Zet op elke aanlevering wie hem maakte en wanneer, en lever nieuwe versies alleen als volledige vervanging aan, nooit als losse aanvulling.
Wil je weten hoe lang een audit-export van een van je eigen objecten zou kosten? Vraag een korte demonstratie aan en neem een periode mee die je onlangs handmatig hebt moeten samenstellen.