Hoe overleef je de Wpg audit?

Een enorme verrassing. Anders kun je de reactie op de pas verplicht geworden audit Wet Politiegegevens (Wpg) niet noemen. Duizenden organisaties met BOA's in dienst worstelen om op tijd een externe audit te regelen om deze aan de toezichthouder te kunnen verstrekken. Hoog tijd dus om in actie te komen en die Wpg verplichtingen nu dan ook écht te regelen. Maar waar begin je? En waar leer je hoe je zo'n strenge audit kunt doorstaan? Nou, bij de speciaal hiervoor opgezette basistraining Wet Politiegegevens bijvoorbeeld.

De Wet politiegegevens bestaat al sinds 2007. Maar pas halverwege 2021 werd bekend wat de impact was van één van de regels uit de Wpg: als je een BOA in dienst hebt is het verplicht om voor eind 2021 een externe audit te ondergaan. Ondanks dat deze verplichting al langer bestaat, viel het kwartje bij velen pas halverwege 2021. Inmiddels is dit uitgesteld naar eind 2022, maar nu is het toch wel écht verplicht. De verplichting geldt namelijk voor iedere publieke organisatie (bijvoorbeeld gemeentes, waterschappen en inspectie organisaties) waar opgespoord en beboet wordt door Boa’s.

Langzaam wordt ook de omvang van het werk duidelijk dat de Wpg audit met zich meebrengt. En dat merkt ook hoofddocent Frank van Vonderen van Verdonck, Klooster & Associates (VKA). "Sinds de zomer worden we bestookt met vragen over de Wpg en veel organisaties hebben een kennisachterstand." De vragen van organisaties gaan niet zuiver over de inhoud van de Wet politiegegevens, maar juist over de praktische aanpak. "Wat iedereen het liefst wil weten: hoe regel ik die externe audit zo snel mogelijk?". Immers: eind december komt al een externe auditor langs , wiens rapport maakt naar de Autoriteit persoonsgegevens (AP) moet worden gestuurd.

Maar waar moet je beginnen? Belangrijk is: op welke domeinen zijn de BOA’s actief en welke systemen gebruiken ze. ? Als je verder kunt aantonen dat je goed weet op welke punten je voldoet aan de Wpg en welke punten niet, dan heb je voor 2021 al een belangrijke stap gemaakt. "Zorg daarom voor een goede auditvoorbereiding ", aldus Frank.

De volgende stap is om de auditor en het audit-proces ook écht te begrijpen. "Wij weten hoe er ge-audit wordt en waar een auditor allemaal op let". Online vind je zo ongeveer alles wat je wilt weten over de wet, maar erg praktisch is het niet. "De inhoud van de wet zelf is echt te weinig. Je moet het vertalen naar een goede auditvoorbereiding. En daar horen ook hele menselijke factoren bij. Wat moet je bijvoorbeeld doen als je tijdens de audit het foute antwoord geeft? Hoe ga je om met zenuwen? Soms is het bezoek van een externe auditor best intimiderend. "Die auditor wil natuurlijk veel mensen spreken en documenten inzien". Als alles netjes is voorbereid kun je een externe auditor veel beter meenemen in de stand van zaken. En daarmee vergroot je de kans dat je een soepele audit hebt. "Hoe beter voorbereid, hoe soepeler het loopt is mijn ervaring. Daar is dus alles in de training op gericht."

Zo efficiënt mogelijk voorbereid

En niet onbelangrijk: de factor tijd. "We merken dat de specifieke kennis van de Wpg nog beperkt is. De Wpg lijkt op de AVG maar is toch net even anders. Daarom proberen we in de training de weinige tijd die er is zo praktisch mogelijk te benutten. “Simpel gezegd is het doel van de training om de basiskennis van de Wpg te geven en het voorbereiden op de externe audit. Want dat de AP deze audits serieus neemt is volstrekt helder.

Ondanks dat de Wpg audit voor velen voelt als het eindexamen, is dit feitelijk nog maar het begin. Na de externe audit begint het echte werk pas écht. De training richt zich daarom ook op de vervolgstappen die je moet zetten, zoals het inrichten van de interne audits. Alles moet vervolgens namelijk ook 100% in orde zijn want de verplichte externe audit blijft elke vier jaar terugkeren en er zijn ook jaarlijkse verplichte controles, zoals de interne audits. “Deze training is daarmee een uitstekende basis voor het vervolg.”