IT-audit uitbesteden: wat het kost en hoe u zich voorbereidt

Een IT-audit is een onafhankelijke controle van hoe uw IT is ingericht: wie waarbij kan, hoe uw data beschermd is, of updates worden bijgehouden en of u kunt aantonen dat het allemaal klopt. Uitbesteden betekent dat een externe partij die controle uitvoert en er een rapport aan verbindt dat u aan derden kunt laten zien.

Tot een paar jaar geleden was dat iets voor grote organisaties. Inmiddels krijgen ook kleine bedrijven de vraag, en meestal niet uit eigen beweging: een klant eist het in een contract, de verzekeraar wil het zien, of er komt regelgeving om de hoek kijken.

Waarom de vraag naar externe IT-audits toeneemt

Er spelen drie dingen tegelijk. Ten eerste zijn grote opdrachtgevers strenger geworden voor hun leveranciers: als u data van hun klanten verwerkt, willen ze aantoonbaar weten hoe u daarmee omgaat. Ten tweede stellen verzekeraars steeds vaker eisen voordat ze een cyberpolis afgeven — of ze keren minder uit als achteraf blijkt dat de basis niet op orde was.

Ten derde werkt regelgeving door de keten heen. Valt u zelf niet onder een verplichting, dan valt uw grootste klant er misschien wel onder, en die schuift de eisen door naar zijn leveranciers. Zo belandt een audit-verzoek uiteindelijk bij bedrijven die er zelf nooit aan hadden gedacht.

IT-audit of netwerk-audit: wat is het verschil?

Deze twee worden vaak door elkaar gehaald, terwijl ze een ander doel dienen. Een netwerk-audit is technisch: die kijkt naar uw bekabeling, access points, firewall en netwerkinrichting om te zien of alles doet wat het moet doen. Een IT-audit is breder en gaat over beheersing: bestaan er afspraken, worden ze nageleefd, en kunt u dat aantonen?

Simpel gezegd: een netwerk-audit vraagt "werkt het goed?", een IT-audit vraagt "kunt u bewijzen dat het goed geregeld is?". In de praktijk vullen ze elkaar aan — een IT-audit legt vaak bloot dat er technisch iets niet klopt, en een netwerk-audit is dan de logische vervolgstap.

Wilt u eerst weten wat er technisch gecontroleerd wordt? Dat staat in ons artikel over de netwerk-audit en de bijbehorende checklist, inclusief hoe zo een audit in de praktijk verloopt.

Waarom u uw eigen IT niet kunt auditen

De belangrijkste reden om een audit uit te besteden is niet kennis maar onafhankelijkheid. Wie het systeem heeft ingericht, kijkt er anders naar dan iemand die het voor het eerst ziet. Dat is geen kwestie van eerlijkheid — het is hoe mensen werken. U controleert onbewust of het werkt zoals u het bedoeld heeft, in plaats van te zoeken naar wat er mis kan gaan.

Daar komt bij dat een intern rapport voor derden weinig waarde heeft. Een klant die om bewijs vraagt, wil geen document dat u zelf heeft opgesteld over uw eigen werk. Precies daarom vragen ze om een externe partij.

Wat controleert een IT-audit?

De precieze scope verschilt per opdracht, maar deze onderdelen komen vrijwel altijd terug:

• Toegangsbeheer: wie heeft toegang tot welke systemen, en kloppen die rechten nog met de functie?
• Vertrokken medewerkers: zijn accounts van oud-medewerkers daadwerkelijk afgesloten?
• Updates en patches: worden systemen structureel bijgewerkt, en is dat aantoonbaar?
• Back-ups: bestaan ze, draaien ze, en zijn ze ooit teruggezet om te controleren of ze werken?
• Netwerkinrichting: staan gasten, kantoorautomatisering en gevoelige systemen gescheiden?
• Leveranciers: welke externe partijen hebben toegang tot uw omgeving, en op welke basis?
• Documentatie: kunt u laten zien hoe het is ingericht, of zit die kennis in iemands hoofd?

Dat laatste punt is waar de meeste bedrijven op vastlopen. Niet omdat het slecht geregeld is, maar omdat niemand het ooit heeft opgeschreven. Een auditor kan alleen vaststellen wat aantoonbaar is.

Wat kost een IT-audit uitbesteden?

Voor het mkb ligt een eerste, beperkte IT-audit doorgaans tussen de 1.500 en 5.000 euro, afhankelijk van het aantal werkplekken, locaties en de diepgang van het onderzoek. Een lichte scan van de basis zit aan de onderkant; een audit die toewerkt naar een certificering zoals ISO 27001 loopt hoger op omdat er meer bewijsvoering bij komt kijken.

Reken daarnaast op vervolgkosten. Een audit levert bevindingen op, en die moeten worden opgelost — dat is waar het echte werk zit. Een audit die niets kost maar ook niets oplevert, is duurder dan een grondige die u een half jaar werk bespaart.

Zo bereidt u zich voor

U hoeft niet perfect te zijn voordat de auditor komt — dat is juist het punt van een audit. Maar met deze voorbereiding haalt u er aanzienlijk meer uit:

• Maak een lijst van alle systemen en applicaties die u gebruikt, inclusief de kleine die niemand meer noemt.
• Loop de gebruikersaccounts door en verwijder wat niet meer nodig is.
• Zet uw laatste back-up daadwerkelijk terug op een testomgeving en noteer de uitkomst.
• Verzamel contracten met IT-leveranciers op één plek.
• Schrijf op hoe uw netwerk is ingericht, ook als het maar één A4 is.

Alleen al deze voorbereiding lost bij de meeste bedrijven een deel van de bevindingen op voordat de audit begint.

Waar let u op bij het kiezen van een auditor?

Vraag vooraf wat er precies wordt onderzocht en wat u aan het eind krijgt. Een rapport dat alleen constateert dat er risico is, helpt u niet verder — u wilt weten wat er moet gebeuren, in welke volgorde, en wat het ongeveer kost. Vraag ook of de partij zelf de oplossingen levert. Dat hoeft geen bezwaar te zijn, maar het is goed om te weten of het advies neutraal is of tevens een offerte.

Wij combineren de audit met de uitvoering: bekijk hoe wij cybersecurity en netwerkbeveiliging voor bedrijven inrichten, van toegangsbeheer en segmentatie tot monitoring.

Wie na de audit niet alleen de gaten wil dichten maar het beheer structureel wil beleggen, kiest meestal voor een doorlopend contract in plaats van losse projecten. Dan is de volgende audit vooral een bevestiging in plaats van een verrassing.

Meer daarover leest u op onze pagina over IT beheer en cloud uitbesteden, waar audits en structureel onderhoud samenkomen.

Zit uw bedrijf in Vlaanderen? Onze Belgische collega Axeron verzorgt hetzelfde traject voor IT uitbesteden voor kmo's, inclusief audits, cybersecurity en Microsoft 365-beheer.

Kort samengevat

Een IT-audit uitbesteden loont zodra een klant, verzekeraar of regelgeving om bewijs vraagt — en de belangrijkste reden is onafhankelijkheid, niet kennis. Reken op 1.500 tot 5.000 euro voor het mkb, plus de kosten om de bevindingen op te lossen. Bereid u voor door systemen, accounts en back-ups vooraf door te lopen: dat scheelt bevindingen en dus geld. En let er bij het kiezen van een auditor op dat u een rapport krijgt waar concrete stappen in staan, niet alleen constateringen.