Wat is er gebeurd met de bevindingen van vorig jaar? Het is een begrijpelijke vraag van een accountant of raad van commissarissen. Het antwoord vraagt meer dan een lijst met afgeronde acties. Je wilt laten zien welke afwegingen zijn gemaakt, wie ermee aan de slag is gegaan en wat de maatregelen hebben opgeleverd. Dat overzicht helpt ook gedurende het jaar, wanneer je bepaalt welke risico’s aandacht verdienen en waar je capaciteit voor vrijmaakt.
Thomas de Ruiter, managing partner bij WMIP en CSS, ziet in de praktijk hoeveel tijd het kost om dat beeld bij elkaar te brengen:
De privacy officers en security officers die ik spreek, weten heel goed wat er moet gebeuren. Hun tijd gaat alleen voor een groot deel op aan zoeken en verzamelen. En als een collega vertrekt, gaat een deel van die kennis mee. Dat maakt een organisatie kwetsbaarder dan nodig is.
Bij WMIP en CSS vinden we dat verantwoording moet voortkomen uit de manier waarop je dagelijks werkt. Als beoordelingen, besluiten en acties met elkaar verbonden blijven, ligt de verantwoording er al wanneer iemand ernaar vraagt. Wocofort helpt corporaties om privacy, informatiebeveiliging en risicomanagement zo te organiseren.
Het verhaal achter een bevinding
Neem de gegevensuitwisseling met een leverancier. Uit een beoordeling blijkt dat aanvullende afspraken nodig zijn. Om dat zorgvuldig op te volgen, moet duidelijk zijn welke gegevens het betreft, welk risico speelt en wie de afspraken met de leverancier bespreekt. Een jaar later moet terug te vinden zijn wat er is besloten en of het risico daarmee voldoende is beperkt.
Die samenhang maakt informatie bruikbaar. De contractverantwoordelijke weet wat er moet gebeuren, de privacyprofessional kan gericht adviseren en het management ziet of extra aandacht nodig is. Bij de volgende evaluatie is het eerdere werk het vertrekpunt, ook als de collega die het destijds deed inmiddels is vertrokken. Zo blijft niet alleen de kennis bewaard, maar ook de reden achter een keuze.
Samenhang in het dagelijkse werk
Wocofort brengt privacy en informatiebeveiliging samen in één omgeving, met de BIC, ISO 27001 en de AVG als kader. Het verwerkingsregister, leveranciersafspraken, datalekken en inzageverzoeken staan in verbinding met beoordelingen, risico’s en maatregelen.
In het voorbeeld van de leverancier beoordeel je vanuit de geregistreerde verwerking of een DPIA nodig is. Risico’s die daaruit volgen, koppel je aan acties met een verantwoordelijke en een termijn. Via koppelingen met Microsoft 365, Teams en Planner pakken collega’s die taken op in de omgeving waarin zij al werken. Beoordeling en opvolging blijven zo bij elkaar, ook als de situatie verandert.
Het platform organiseert de samenwerking, de inhoudelijke afweging blijft bij mensen. Privacy- en securityprofessionals houden zicht op de voortgang en richten hun aandacht op de vraagstukken die hun expertise echt nodig hebben.
Voortbouwen op kennis uit de sector
Veel corporaties gebruiken vergelijkbare systemen en werken met dezelfde leveranciers. Een beoordeling die elders al is uitgevoerd, is dan een waardevol vertrekpunt.
“Het zou zonde zijn als iedere corporatie dezelfde DPIA opnieuw schrijft,” vertelt Thomas. “Door kennis te delen, wordt de hele sector sterker. Daarom hebben we Wocofort samen met corporaties ontwikkeld.”
Wocofort bevat een kennisbank met DPIA’s uit de sector en sectorspecifieke templates. Professionals besteden hun tijd zo aan de vraag wat een beoordeling betekent voor de eigen organisatie, want de inrichting, het gebruik van gegevens en de gemaakte afspraken bepalen welke afweging past. Een AI-assistent, die binnen de EU draait, maakt een eerste versie van een DPIA, beleidsstuk of verwerkersovereenkomst. De professional beoordeelt en vult aan, en het advies van de functionaris gegevensbescherming blijft onderdeel van het DPIA-proces. In het AI-register leggen corporaties bovendien vast welke AI-toepassingen zij zelf gebruiken.
Toetsen aan de praktijk
Een actueel beeld vraagt om nieuwe informatie. Daarom is Wocofort verbonden met Wocoguard en Wocosense. Een technische bevinding uit Wocoguard wordt gekoppeld aan de juiste norm en opgevolgd als actie met een eigenaar. Inzichten uit Wocosense over risicomomenten in het dagelijkse werk geven aanleiding om werkafspraken of maatregelen opnieuw te bekijken. Zo blijft zichtbaar of de aanpak past bij wat er werkelijk gebeurt.
Dat levert iedereen iets op. Professionals winnen de tijd terug die nu naar zoeken en verzamelen gaat. Het management ziet welke onderwerpen aandacht vragen en welke acties nog lopen. De controller heeft minder dubbel werk en minder externe inhuur voor verantwoording die elk jaar opnieuw moet. En wanneer de accountant of raad van commissarissen naar de voortgang vraagt, vormen de vastgelegde beoordelingen, besluiten en resultaten het antwoord. Ook wat nog openstaat, krijgt daarin een plek.
Thomas vat het samen:
Aantoonbaar in control zijn is geen eindpunt. Het betekent dat je op elk moment weet waar je staat, en dat je dat ook kunt laten zien. Dat is grip.
