Begin bij activiteiten en veranderingen in het bedrijf
Beschrijf wat de onderneming verkoopt, waar zij actief is en welke rollen zij vervult. Denk aan werkgever, importeur, online verkoper of professionele dienstverlener. Relevante verplichtingen volgen uit die activiteiten en omstandigheden, niet uitsluitend uit een algemene branchebenaming. Een nieuwe verkooproute kan andere eisen meebrengen dan de bestaande bedrijfsvoering.
Benoem de aanleiding voor het onderzoek. Gaat het om groei, een overname, vragen van een opdrachtgever of een incident? Kies vervolgens welke processen worden meegenomen. Neem tevens op welke vestigingen en systemen worden bekeken. Een beoordeling van één locatie mag niet zonder aanvullende informatie worden gepresenteerd als bewijs voor alle vestigingen, vooral wanneer zij andere werkzaamheden of leveranciers hebben. Een gerichte scan kan nuttiger zijn dan een oppervlakkige beoordeling van alle denkbare regels. Leg uitsluitingen en afhankelijkheden vooraf vast, zodat de uitkomst correct wordt gebruikt.
Maak een overzicht van verplichting en bewijs
Koppel ieder onderzocht onderwerp aan een concrete norm of afspraak en aan de feitelijke uitvoering. Een beleidsdocument is één bewijsbron; systeeminstellingen, dossiers en medewerkershandelingen kunnen een ander beeld geven. Onderzoek daarom niet alleen of een document bestaat, maar ook of de beschreven werkwijze herkenbaar wordt uitgevoerd.
Maak onderscheid tussen wettelijke verplichtingen, contractuele eisen en vrijwillige interne standaarden. Dat verschil beïnvloedt prioriteit en mogelijke gevolgen. Noteer bovendien of een conclusie op volledige informatie of een steekproef berust. Een niet aangetroffen fout in enkele dossiers bewijst niet automatisch dat het gehele proces zonder tekortkomingen functioneert.
Een groothandel begint rechtstreeks aan consumenten te verkopen
Het schema laat zien dat één commerciële uitbreiding meerdere processen raakt. De scan behandelt deze onderwerpen in samenhang, maar trekt per onderwerp een eigen conclusie. Een correcte privacyverklaring zegt bijvoorbeeld niets definitiefs over productveiligheid of de uitvoering van consumentenrechten.
| Verandering in het fictieve bedrijf | Onderzoeksvraag | Bewijs dat bij de scan past |
|---|---|---|
| Nieuwe consumentenwebshop | Zijn aanbod, bestelling en afhandeling ingericht voor consumenten? | Productpagina, proefbestelling en voorbeeld van retourbehandeling |
| Eigen import van een productlijn | Welke rol en productverplichtingen draagt de onderneming? | Leveranciersdossier, veiligheidsinformatie en gegevens van verantwoordelijke partijen |
| Nieuwe klantenanalyse | Welke persoonsgegevens worden voor welk doel gecombineerd? | Procesbeschrijving, toegangsrollen en relevante privacyafweging |
| Extra externe klantenservice | Welke bevoegdheden en informatie krijgt de dienstverlener? | Opdracht, instructies en controle van feitelijke accountrechten |
Rangschik bevindingen naar gevolg en afhankelijkheid
Beschrijf een bevinding als een concreet verschil tussen vereiste en praktijk. Vermeld waar het verschil is aangetroffen, welke gevolgen mogelijk zijn en welke informatie nog ontbreekt. Een beoordeling onvoldoende zonder toelichting helpt een proceseigenaar niet bij herstel.
Geef prioriteit aan onderwerpen op basis van ernst, waarschijnlijkheid, wettelijke termijnen en operationele afhankelijkheden. Sommige maatregelen moeten direct worden uitgevoerd; andere vragen eerst een inhoudelijke keuze of aanvullende expertise. Maak dat onderscheid zichtbaar. Een lange lijst met overal dezelfde prioriteit zorgt er vaak voor dat eenvoudige tekstwijzigingen eerder gebeuren dan belangrijke procesaanpassingen.
Vertaal herstel naar eigenaarschap en controle
Wijs per actie een verantwoordelijke aan en beschrijf het beoogde resultaat. Een opdracht verbeter privacy is te algemeen; een afgebakende actie benoemt bijvoorbeeld welke toegang moet worden beperkt en hoe de werking wordt gecontroleerd. Leg vast welke middelen of externe ondersteuning nodig zijn.
Controleer na uitvoering het concrete herstel. Een nieuwe procedure publiceren bewijst niet dat medewerkers deze kunnen volgen. Laat waar passend een proefhandeling of gerichte dossiercontrole uitvoeren. Bewaar de uitkomst en sluit een bevinding pas wanneer voldoende bewijs beschikbaar is. Openstaande juridische vragen moeten herkenbaar blijven en mogen niet als administratief afgerond worden gemarkeerd.
Maak de scan onderdeel van toekomstig beheer
Bepaal welke veranderingen een nieuwe beoordeling activeren, zoals andere producten, landen, leveranciers of klantgroepen. Verbind dit aan bestaande inkoop- en wijzigingsbesluiten. Zo hoeft niet telkens het hele bedrijf opnieuw te worden onderzocht, terwijl relevante nieuwe risico’s wel tijdig worden gezien.
Een eindrapport bevat scope, bronnen, onderzochte voorbeelden, bevindingen en een geprioriteerd actieoverzicht. Voor specifieke onderwerpen sluiten webshop compliance, AVG implementatie en Wwft beleid aan wanneer die werkelijk van toepassing zijn. De scan biedt daarmee een controleerbare basis voor verbetering, met heldere grenzen aan de zekerheid die op grond van het verrichte onderzoek kan worden gegeven.
Bronnen bij dit onderwerp
- EUR-Lex — Algemene verordening gegevensbescherming (2016/679)Geraadpleegd op 2026-09-12
- NVWA — GPSR productveiligheidsverordeningGeraadpleegd op 2026-09-12
- Rijksoverheid — Algemene leidraad WwftGeraadpleegd op 2026-09-12