Aantoonbaarheid: wat een auditor wil zien

In sectoren met een keurmerk, een certificering of toezicht komt er vroeg of laat iemand die vraagt om bewijs. Dat kan een auditor van een certificerende instelling zijn, een inspecteur, een opdrachtgever die je systeem doorlicht of een verzekeraar na een incident. Wat die persoon wil zien is opvallend prozaïsch: een lijst, met namen, data en handtekeningen of een equivalent daarvan.

Aantoonbaar is iets anders dan aanwezig

Materiaal hebben is niet hetzelfde als kunnen aantonen dat mensen het hebben doorlopen. Veel organisaties hebben het eerste uitstekend geregeld en het tweede niet. Een map met instructies bewijst dat je iets hebt opgeschreven, niet dat het bij de mensen terecht is gekomen.

De vier vragen die je in elke controle moet kunnen beantwoorden zijn steeds dezelfde:

1. Wie heeft de instructie gehad? Met naam, functie en indien van toepassing het onderdeel waar iemand werkt.
2. Wat heeft die persoon precies gehad? Welke versie van welke module of instructie.
3. Wanneer was dat en wanneer is het toe aan herhaling?
4. Hoe weet je dat het is begrepen? Een toets, een aftekening door een leidinggevende, een praktijkbeoordeling.

De eerste drie zijn administratie. De vierde is de vraag waar de meeste organisaties op vastlopen.

Bewaar de versie, niet alleen de datum

Er is één punt dat vrijwel altijd wordt overgeslagen en dat later voor problemen zorgt: welke versie iemand heeft gehad. Als je materiaal actueel houdt (dat hoor je te doen), verandert de inhoud in de loop der tijd. De registratie dat iemand in maart de instructie heeft doorlopen, zegt weinig als je niet weet wat er in maart in stond.

Werk daarom met versienummers en bewaar oude versies in een archief. Bij een incident is de vraag namelijk niet of iemand ooit iets heeft gehad, maar of hij op dat moment geïnstrueerd was over de werkwijze die toen gold. Dat is precies de reden waarom onderhoud en aantoonbaarheid niet los van elkaar te regelen zijn.

Het verschil tussen doorlopen en beheersen

Een systeem dat registreert dat iemand een module heeft afgerond, registreert dat er op een knop is gedrukt. Voor administratieve verplichtingen kan dat genoeg zijn. Voor risicovolle handelingen is het dat niet. Een auditor die zijn werk goed doet zal daarop doorvragen.

Er zijn drie manieren om die stap wel te zetten, oplopend in bewerkelijkheid:

• Een toets met vragen die niet te raden zijn. Nuttig voor kennis, ongeschikt voor vaardigheden.
• Aftekening door een leidinggevende dat de handeling onder toezicht correct is uitgevoerd. Weinig werk en veel waard, mits het echt gebeurt en niet achteraf massaal wordt afgevinkt.
• Een praktijkbeoordeling met een korte lijst van punten waarop wordt gelet. Het meest bewerkelijk en het meest overtuigend.

Kies per onderwerp wat past bij het risico. Alles op het hoogste niveau beoordelen is niet vol te houden. Dan wordt het bij niets meer gedaan.

Waar de registratie hoort te staan

Een leeromgeving registreert automatisch en dat is de belangrijkste reden waarom organisaties er een aanschaffen. Het kan ook met een spreadsheet, mits die goed wordt bijgehouden. Dat is bij kleine aantallen een verdedigbare keuze. Waar het spaak loopt is bij de combinatie: een deel in het systeem, een deel op papier in een ordner bij de afdeling en een deel in de mailbox van een teamleider. Dan is de vraag "wie heeft dit gehad" niet in één handeling te beantwoorden en dat is precies wat een auditor test.

Spreek dus af waar de administratie staat, ook voor instructies die op de werkvloer worden gegeven. Een korte toolboxbespreking van tien minuten hoort net zo goed geregistreerd te worden als een module van twee uur.

Persoonsgegevens: bewaren met mate

Een opleidingsadministratie bevat persoonsgegevens en valt onder de AVG. Dat betekent dat je een grondslag nodig hebt om ze te verwerken, dat je niet meer vastlegt dan nodig is en dat je niet langer bewaart dan noodzakelijk.

Voor gegevens die je nodig hebt om aan een wettelijke of contractuele verplichting te voldoen, is de bewaartermijn te onderbouwen vanuit die verplichting. Voor de rest is de vraag scherper: toetsresultaten van drie jaar geleden van een medewerker die allang ergens anders werkt, hebben geen doel meer. Leg de bewaartermijnen vast in je verwerkingsregister en houd je eraan. Algemene informatie staat bij de Autoriteit Persoonsgegevens.

Let ook op wie erbij kan. Een leidinggevende hoort te zien wie in zijn team welke verplichte instructie nog moet doen. Of iemand een toets in één keer haalde, is een ander soort informatie.

Voorbereiden op een audit kost een middag, of een maand

Het verschil tussen die twee zit in wat je tijdens het jaar hebt gedaan. Als de registratie op één plek staat, de versies bewaard zijn en per module vaststaat wie verantwoordelijk is, is een audit een kwestie van een export maken en een paar vragen beantwoorden.

Is dat niet zo, dan begint het reconstrueren: mailtjes zoeken, presentielijsten opvragen bij afdelingen, uitzoeken welke versie er toen stond. Dat werk kost meer uren dan het bijhouden zou hebben gekost. Het levert een dossier op met gaten. Dat is de nuchtere reden om de administratie meteen goed in te richten, ook als niemand er dit jaar naar vraagt. Wat de wet zelf van verplichte scholing vindt, staat in Verplichte scholing: wat de wet erover zegt.