Externe Auditor & Management Review: Meegeven of Niet?

Krijg je als voedingsbedrijf wel eens de vraag van een externe auditor om een kopie van de management review mee naar huis te nemen? Hoewel dit onschuldig klinkt, brengt het aanzienlijke risico’s met zich mee. In dit artikel leg ik uit waarom je hier best kritisch mee omgaat en hoe je jouw bedrijfsgegevens optimaal beschermt.

De nucleaire test: Zou Doel dit toestaan?

Stel je even de volgende situatie voor: je bent auditor van nucleaire installaties en je gaat op bezoek bij de kerncentrale in Doel. Als jij daar zou vragen: “Mag ik een kopie van de plannen meenemen naar huis om rustig door te nemen?”, welk antwoord verwacht je dan?

Ik laat de vraag even insijpelen…

We zijn het er waarschijnlijk over eens dat het antwoord een stevige “njet” zal zijn. Niet omdat ze jou als auditor niet vertrouwen, of omdat ze niet begrijpen dat je inzage nodig hebt in relevante documenten. Neen. Het risico dat vertrouwelijke informatie in de verkeerde handen valt, is simpelweg te reëel. Denk maar aan:

• De laptop van een (freelance) auditor die gehackt wordt.

• Een papieren kopie die de auditor verliest.

• Documenten die bij het oud papier belanden en zo via het containerpark op straat terechtkomen.

Hanteer dezelfde filosofie in jouw voedingsbedrijf

Als een externe auditor de vraag stelt aan jou, als voedingsbedrijf, om de management review mee te nemen naar huis om eens “rustig door te lezen”, wat moet je dan doen? Het antwoord is simpel: hanteer dezelfde filosofie als de mensen in Doel. Ook jouw bedrijfsinformatie kan uiterst gevoelig zijn.

De belangrijkste stelregel

Stel jezelf altijd die ene kritische vraag: “Wil ik dergelijke informatie open en bloot op het wereldwijde web terugvinden?”.

• Is het antwoord JA? Go ahead, geef de informatie gerust mee.

• Is het antwoord NEE? Dan is mijn advies om dit verzoek vriendelijk te weigeren.

Laten we eerlijk zijn: de voornaamste reden dat een auditor een management review “rustig thuis wil doorlezen”, is om de informatie makkelijk te gebruiken bij het samenstellen van het auditrapport.

Inzage vs. meenemen: Een cruciaal verschil

Wil dit zeggen dat de auditor geen toegang meer mag hebben tot de management review? Bijlange niet.

De externe auditor heeft absoluut het recht (én de plicht trouwens) om dit verslag in te kijken tijdens de audit. Het document daadwerkelijk meenemen naar huis is echter een heel andere zaak.

Wat als de externe auditor tóch aandringt?

Staat jouw auditor erop om de documenten toch mee te krijgen? In dat geval kan je de volgende noodprocedure volgen om jezelf in te dekken:

1. Stel een gedetailleerde lijst op met alle documenten die je meegeeft.

2. Laat deze lijst ondertekenen door beide partijen.

3. Bezorg een kopie van de ondertekende lijst aan de certificerende instantie (de werkgever van de auditor dus)

Belangrijke kanttekening: Doe dit enkel als je écht met je rug tegen de muur staat. In de praktijk zou deze situatie zich normaliter nooit mogen voordoen. Jouw dataveiligheid staat altijd voorop.

Wil je meer handige tips om jouw volgende GFSI-audit vlekkeloos én veilig te laten verlopen? Abonneer je op onze nieuwsbrief of neem contact op

Alexander Platteeuw