Mag mijn klant een audit bij mij eisen?

Kort antwoord: de wet geeft uw klant dat recht niet, maar het contract kan dat wel. En omdat uw klant verplicht is zijn leveranciers te beoordelen, komt de vraag steeds vaker langs.

Wat de wet wel en niet zegt

De Cyberbeveiligingswet verplicht uw klant om de beveiliging van zijn leveranciers te beoordelen. Hoe hij dat doet, staat er niet bij. Er is dus geen wettelijk auditrecht dat over uw contract heen gaat.

Wel bestaat er een wettelijk auditrecht in de AVG, maar dat geldt alleen voor de verwerking van persoonsgegevens en alleen als u verwerker bent. Zie verwerkersovereenkomst.

Wat uw klant redelijkerwijs kan vragen

De eerste drie regelt u in een dag. De vierde kost u structureel tijd, zeker als tien klanten dat allemaal willen.

Hoe u het afbakent in het contract

• Maximaal één audit per jaar, tenzij er een incident is geweest
• Aankondiging vooraf, bijvoorbeeld dertig dagen
• Onder werktijd en met geheimhouding
• Kosten voor de klant, tenzij er ernstige tekortkomingen worden gevonden
• Een alternatief: u levert een recent certificaat of rapport, en dan vervalt de audit

Dat laatste punt is de belangrijkste onderhandeling. Wie een certificaat of een goed onderbouwde verklaring kan overleggen, houdt vrijwel altijd de audit van tafel.

Draai het om: maak het een verkoopargument

Als u toch bevraagd wordt, kunt u dat maar beter voorbereid doen. Leg één set klaar: uw verklaring, uw certificaat als u dat heeft, een korte beschrijving van uw maatregelen en uw meldtermijn. Wanneer een klant erom vraagt en u levert binnen een dag, bent u de makkelijke keuze.

Wie er drie weken over doet, wordt in het dossier van uw klant een risico. Dat is precies het moment waarop hij naar een alternatief gaat kijken.

Bereid één set voor en hergebruik hem

Als tien klanten allemaal iets anders vragen, kost dat u tien keer werk. Het alternatief: stel één set samen die de gebruikelijke vragen afdekt en stuur die proactief mee bij offertes. Uw verklaring, een beschrijving van uw maatregelen in twee pagina's, uw meldtermijn en uw certificaten met reikwijdte.

In de praktijk stopt daarmee bij de meeste opdrachtgevers de discussie, en houdt u de audit van tafel zonder dat u erover hoeft te onderhandelen.

Wanneer een audit wél redelijk is

Er zijn situaties waarin een opdrachtgever terecht meer wil zien: u beheert zijn kernsystemen, u verwerkt bijzondere persoonsgegevens, of er is bij u een incident geweest dat hem raakte. Zet dat ook zo in het contract: geen audit als routine, wel een auditrecht na een significant incident.

Dat is een redelijke positie die de meeste opdrachtgevers accepteren, en het voorkomt dat u jaarlijks dagen kwijt bent aan controles zonder aanleiding.

Wat voor leverancier u bent, bepaalt de inzet

• Kleine, vervangbare leverancier. Een vragenlijst en een verklaring volstaan vrijwel altijd. Een audit ter plaatse eisen staat niet in verhouding tot het risico dat u vertegenwoordigt.
• Kritieke leverancier met toegang tot kernsystemen. Hier is een zwaardere vorm wel te verdedigen. Onderhandel dan niet over of het gebeurt, maar over frequentie en aankondigingstermijn.
• U heeft al een certificaat of recent auditrapport. Gebruik dat als ruilmiddel: bijna elke klant accepteert een geldig certificaat in plaats van een eigen controle.
• U begint helemaal bij nul. Zeg dat eerlijk en geef een datum waarop de verklaring klaar is. Een concrete toezegging werkt beter dan uitstellen zonder uitleg.

Wat het kost als u dit verkeerd inschat

Leveranciers die een auditverzoek negeren of vaag beantwoorden, belanden op de risicolijst van hun klant, ook als er inhoudelijk niets mis is. Dat leidt zelden meteen tot beëindiging, maar wel tot een tweede leverancier die erbij wordt gezocht voor de volgende opdracht. Andersom: leveranciers die elke audit zonder onderhandeling toestaan, verliezen structureel dagen per jaar aan controles die met een verklaring net zo goed hadden gekund.

De volgorde als het verzoek binnenkomt

1. Vraag eerst wat de klant precies wil zien: een vragenlijst, een verklaring, of daadwerkelijk toegang tot uw omgeving.
2. Bied uw bestaande verklaring of certificaat aan als alternatief voordat u akkoord gaat met een audit ter plaatse.
3. Leg pas daarna een datum, scope en geheimhoudingsafspraak vast als een audit toch nodig blijkt.
4. Verwerk de uitkomst in uw eigen dossier, zodat de volgende klant met minder werk hetzelfde antwoord krijgt.

De denkfout: audit toestaan is hetzelfde als falen

Sommige leveranciers ervaren een auditverzoek als een blijk van wantrouwen en reageren defensief. Dat is de verkeerde interpretatie. Een klant die zijn keten beoordeelt, doet gewoon wat de wet van hem vraagt, ook bij leveranciers waar niets mis is. Wie dat ziet als een normale zakelijke vraag in plaats van een aanval, onderhandelt rustiger en komt sneller tot een werkbare afspraak.

Veelgestelde vragen

Moet ik een audit toestaan als het in het contract staat?

Ja, dan bent u eraan gebonden. Onderhandel daarom vooraf over voorwaarden en over het alternatief.

Mag ik kosten in rekening brengen?

Als dat contractueel is afgesproken wel. Zonder afspraak is het lastig achteraf.

Wat als ik geen certificaat heb?

Dan is een goed onderbouwde leveranciersverklaring in de praktijk vrijwel altijd voldoende.

Mag mijn klant mijn onderaannemers ook beoordelen?

Alleen als u dat contractueel toestaat. Gebruikelijker is dat u zelf verklaart uw keten te beoordelen.

Kan ik een audit weigeren als die niet in het contract staat?

Ja, zonder contractuele grondslag bent u niet verplicht. Bied dan wel iets aan, zoals een vragenlijst, om de relatie niet te schaden.

Mag ik een audit combineren voor meerdere klanten tegelijk?

Dat kan alleen als beide klanten daarmee instemmen en de scope overeenkomt. In de praktijk gebeurt dit zelden vanzelf, u moet het zelf voorstellen.

Wat als de audit dingen blootlegt die niet kloppen?

Meld dat direct en kom met een hersteltermijn. Een gevonden gebrek met een concreet plan erbij is beter te verdedigen dan een verborgen gebrek dat later alsnog boven water komt.