Handen die interviewaantekeningen op een bureau ordenen

Medewerkerinterviews vertalen de organisatiepraktijk naar auditbewijs door te onthullen hoe beheersmaatregelen in het dagelijkse werk werkelijk functioneren, hiaten bloot te leggen tussen schriftelijk beleid en feitelijk gedrag, en risicosignalen aan het licht te brengen die documenten alleen niet kunnen tonen. Dat is de kernrol van medewerkerinterviews in audits, en elke fase van uw opdracht moet dat weerspiegelen.

Drie dingen die interviews doen die niets anders kan:

Het werkelijke proces zichtbaar maken. Medewerkers beschrijven wat ze doen, niet wat het procedurehandboek zegt dat ze zouden moeten doen. In dat verschil bevinden zich vaak de bevindingen.
Risicosignalen en intenties aan het licht brengen. Toon, aarzeling en inconsistentie zijn datapunten. Geautomatiseerde analyses kunnen een stilte niet lezen.
Documentair bewijs bevestigen of weerleggen. Een getekend toegangsbeheerlogboek zegt weinig als de ondertekenaar het proces daarachter niet kan uitleggen.

Wanneer interviews onmisbaar zijn: walkthrough van beheersmaatregelen, fraudeonderzoeken, beoordeling van IT-beheersmaatregelen, ISO 27001-gereedheidsreviews, en elke audit waarbij procesdocumentatie schaars of verouderd is.

Wanneer interviews optioneel maar toch waardevol zijn: routinematige compliancechecks met sterk transactioneel bewijs, reviews van laagrisicoprocessen, of vervolgaudits waarbij eerdere bevindingen al goed zijn gedocumenteerd.

Pro Tip: Schrijf vóór uw volgende opdracht één zin op die aangeeft wat het interview moet bevestigen of uitsluiten. Als u die zin niet kunt schrijven, is het interview nog niet gereed om in te plannen.

Kernpunten

Medewerkerinterviews zijn het meest betrouwbaar wanneer ze gestructureerd en gedocumenteerd zijn, en wanneer ze worden gecorroboreerd door ten minste twee andere typen bewijs voordat een bevinding wordt afgerond.

Punt	Toelichting
Structuur verbetert betrouwbaarheid	Gestructureerde interviews leveren hogere validiteit op dan ongestructureerde; gebruik een schriftelijke vragenlijst voor elk interview.
Driefasenmodel	Voorbereiding vóór het interview, gestructureerde uitvoering en evaluatie binnen 48 uur na het interview leveren consistent en verdedigbaar bewijs op.
Trianguleer vóór u concludeert	Vergelijk elke significante interviewclaim met documenten, systeemlogboeken of een tweede onafhankelijk interview voordat u deze als bewijs beschouwt.
Rode vlaggen vereisen onmiddellijk handelen	Gedragsinconsequenties en niet-gedocumenteerde workarounds dienen woordelijk te worden vastgelegd en te worden geëscaleerd vóór het volgende interview.
Ismscalculator voor ISO 27001-scoping	De gratis gereedheidscheck en de volledige assessment helpen auditteams om interviewdoelstellingen per domeinrisico te prioriteren vóórdat het veldwerk begint.

Inhoudsopgave

Hoe medewerkerinterviews auditplanning en bewijsverzameling vormgeven
Een stapsgewijs auditinterviewmodel dat u bij elke opdracht kunt volgen
Vragen ontwerpen die betrouwbare, verifieerbare antwoorden opleveren
Het interview uitvoeren: vertrouwen opbouwen, bias beheersen en bewijs vastleggen
Rode vlaggen en fraudesignalen om tijdens interviews op te letten
Interviewinformatie omzetten in betrouwbaar auditbewijs
Na het interview: documentatie, opvolging en integratie van resultaten
Praktische hulpmiddelen: vragenbank, checklists en templates die u nu kunt gebruiken
Waarom gestructureerde interviews betrouwbaarder auditbewijs opleveren
Juridische en ethische overwegingen voor Amerikaanse auditors
Wat ervaren auditors in de praktijk doen met interviews tijdens veldwerk
Ismscalculator helpt u ISO 27001-interviewdoelstellingen te bepalen vóór het veldwerk begint
Bronnen

Hoe medewerkerinterviews auditplanning en bewijsverzameling vormgeven

Een effectieve voorbereiding vóór het interview maakt het verschil tussen een gesprek dat bruikbaar bewijs oplevert en één dat alleen gespreksverslagen oplevert. Volgens IIA-richtlijnen voor interviewvoorbereiding verbeteren grondig achtergrondonderzoek en een duidelijke doelomsschrijving de kwaliteit van de informatie die auditors verkrijgen én de werkrelatie met de geïnterviewde aanzienlijk.

Begin met het vastleggen van de doelstelling. Elk interview moet direct gekoppeld zijn aan een specifieke auditdoelstelling: het verifiëren van de werking van een beheersmaatregel, het begrijpen van de procesflow, of het identificeren van uitzonderingen. Een interview gericht op het verifiëren van de werking stelt andere vragen dan een interview gericht op het in kaart brengen van een proces. Beide doelen vermengen levert antwoorden op die voor geen van beide doelen bruikbaar zijn.

Achtergronddocumenten die u vóór het inplannen moet verzamelen:

Proceskaarten en standaard werkprocedures voor het te beoordelen gebied
Recente managementrapporten, KPI's of dashboards gerelateerd aan het proces
Eerdere auditbevindingen en managementactieplannen
Organogrammen met rapportagelijnen en rolverantwoordelijkheden
Relevante beleidsregels, toegangsbeheermatrices en systeemconfiguratierecords

Selectie en volgorde van geïnterviewden. Kies op basis van functie, niet alleen op basis van titel. Een proceseigenaar en een operationele medewerker beschrijven dezelfde beheersmaatregel anders, en beide perspectieven zijn waardevol. Voer interviews uit van algemeen naar specifiek: begin met proceseigenaren om het beoogde ontwerp te begrijpen, ga daarna naar uitvoerende medewerkers om te toetsen of dat ontwerp in de praktijk wordt gevolgd zoals beschreven. Vermijd het interviewen van ondergeschikten vóór hun managers bij gevoelige onderwerpen, omdat managers onbedoeld antwoorden kunnen sturen.

Checklist voor planning en logistiek:

Stuur minimaal 48 uur van tevoren een korte agenda met de auditdoelstelling en de verwachte duur.
Bevestig de rol van de geïnterviewde en de specifieke processen die hij of zij beheert of uitvoert.
Reserveer een aparte ruimte of een beveiligde videovergadering, geen open werkvloer.
Plan 30–60 minuten per interview; complexe beheersgebieden kunnen 90 minuten vergen.
Wijs vóór de vergadering een notulist aan, los van de hoofdinterviewer, niet tijdens het gesprek.

Een stapsgewijs auditinterviewmodel dat u bij elke opdracht kunt volgen

Een reproduceerbaar driefasenmodel zorgt voor consistente en verdedigbare resultaten, ongeacht welk teamlid het interview uitvoert. De ECA-richtlijn voor auditinterviews definieert drie centrale interviewdoelen: oriëntatie, onderzoek en bevestiging. Uw fasenmodel moet alle drie omvatten.

Fase 1: Voorbereiding

Finaliseer de interviewdoelstelling en koppel deze aan de bijbehorende stap in het auditprogramma.
Bestudeer achtergronddocumenten en stel een gestructureerde vragenlijst op (geen rigide script).
Wijs teamrollen toe: hoofdinterviewer, notulist en, bij complexe interviews, een waarnemer die lichaamstaal observeert en vervolgvragen stil markeert.
Spreek teamsignalen af: een notulist die verduidelijking nodig heeft, kan "DOORVRAGEN?" op een gedeeld notitieblad schrijven zonder te onderbreken.
Bevestig de logistiek, stuur de agenda en verifieer dat de geïnterviewde de reikwijdte begrijpt.

Fase 2: Uitvoering van het interview

Open met een duidelijke toelichting op het doel, de vertrouwelijkheidsverwachtingen en het tijdsbestek.
Doorloop de vragenlijst met de conetechniek: eerst open vragen, dan verdiepende vervolgvragen, tot slot gesloten bevestigingsvragen.
De hoofdinterviewer richt zich op luisteren en doorvragen; de notulist legt waar mogelijk woordelijke citaten vast en koppelt elk antwoord aan de betreffende beheersmaatregel of het risicogebied.
De waarnemer noteert aarzelingen, van onderwerp wisselen of emotionele verschuivingen die een vervolgvraag rechtvaardigen.
Sluit af met een samenvatting van de kernpunten en vraag of de geïnterviewde nog iets wil toevoegen.

Fase 3: Evaluatie na het interview

Houd binnen 30 minuten een teambriefing terwijl de herinneringen nog vers zijn. De aantekeningen van de waarnemer worden als eerste besproken.
Classificeer elk antwoord: ondersteunt bestaand bewijs, weerspreekt bestaand bewijs, of introduceert een nieuw risicogebied dat nader onderzoek vereist.
Identificeer vervolgacties: documenten, systeemschermafbeeldingen of een tweede interview.
Stel de interviewnotulen op en stuur ze binnen 48 uur ter beoordeling aan de geïnterviewde.

Pro Tip: Plan uw nabriefing in vóórdat u het gebouw verlaat of de videovergadering beëindigt. Een nabriefing van 15 minuten direct na het interview legt nuances vast die de volgende ochtend verdwenen zijn.

Vragen ontwerpen die betrouwbare, verifieerbare antwoorden opleveren

Vraagontwwerp is de fase waar de meeste auditinterviews tekortschieten. Vage vragen leveren vage antwoorden op; sturende vragen leveren het antwoord op dat u al verwachtte. Geen van beide is bewijs.

Vier vraagtypes en wanneer u ze gebruikt:

Gestructureerde vragen: Vooraf vastgesteld en in dezelfde volgorde gesteld aan elke geïnterviewde over dezelfde beheersmaatregel. Gebruik deze wanneer u vergelijkbare antwoorden nodig heeft over meerdere interviews, of wanneer de bevinding bestand moet zijn tegen kritisch onderzoek.
Gedragsvragen: Vraag wat de persoon daadwerkelijk heeft gedaan in een vroegere situatie ("Loop me door de laatste keer dat u een uitzonderingsverzoek heeft verwerkt"). Gebruik deze om te toetsen of een beheersmaatregel functioneert zoals beschreven.
Situationele vragen: Schets een hypothetisch scenario ("Als u buiten kantooruren een verzoek zou ontvangen voor tijdelijke beheerderstoegang, wat zou u dan doen?"). Gebruik deze om het begrip van beleid en escalatiepaden te beoordelen.
Bevestigingsvragen: Gesloten ja/nee-vragen of vragen naar specifieke waarden, aan het einde van een onderwerp om een feit te verankeren ("Dus de goedkeuring gaat altijd naar de IT-securitymanager vóórdat toegang wordt verleend — klopt dat?"). Gebruik deze om een specifieke bewering vast te leggen voordat u verdergaat.

De conetechniek in de praktijk. Open met een brede vraag zodat de geïnterviewde het proces in eigen woorden beschrijft. Verdiep vervolgens: "U zei dat het verzoek naar uw manager gaat — wie specifiek, en op welke manier?" Bevestig daarna: "Dus elk toegangsverzoek, zonder uitzondering, vereist schriftelijke goedkeuring van de IT-securitymanager vóór provisioning?" Elke laag vernauwt het antwoord en toetst de interne consistentie.

Voorbeeldvraagsjablonen voor auditors om aan te passen:

Effectiviteit van beheersmaatregelen: "Beschrijf hoe u verifieert dat [beheersmaatregel X] is uitgevoerd vóórdat [proces Y] verdergaat."

Functiescheiding: "Wie in uw team heeft de mogelijkheid om [transactietype] zowel te initiëren als goed te keuren zonder een tweede handtekening?"

Toegangsbeheer: "Welke stappen onderneemt u om de systeemtoegang van een medewerker te verwijderen wanneer die uw afdeling verlaat, en hoe snel gebeurt dat?"

Incidentrespons: "Vertel me over het laatste beveiligingsincident waarvan u op de hoogte was. Wat gebeurde er, en wie heeft u ingelicht?"

Te vermijden vragen:

Sturend: "U controleert de logboeken dagelijks, toch?" (geeft het verwachte antwoord aan)
Samengesteld: "Controleert u toegangslogboeken en escaleert u anomalieën?" (twee vragen in één)
Vol jargon: "Voert u een reconciliatie uit van de IAM-provisioningworkflow?" (gebruik eerst begrijpelijke taal, verduidelijk daarna)
Hypothetisch zonder grondslag: "Wat zou u doen in een ideale wereld?" (levert aspirationele, geen operationele antwoorden op)

Onderzoeksgebaseerde principes voor goed interviewen benadrukken het vermijden van gebrekkig vraagontwerp en het gebruik van gestructureerde doorvraagmethoden om consistentie in antwoorden te toetsen, wat bijzonder belangrijk is wanneer meerdere geïnterviewden dezelfde beheersmaatregel beschrijven.

Het interview uitvoeren: vertrouwen opbouwen, bias beheersen en bewijs vastleggen

De eerste twee minuten van een interview bepalen de toon voor alles wat volgt. Vermeldt het doel van de audit duidelijk, verduidelijk dat het interview geen functioneringsbeoordeling is, en bevestig bij benadering hoe lang het duurt. Die framing vermindert defensiviteit en bevordert openheid.

Vertrouwen opbouwen zonder te coachen. Het interview als samenwerkend presenteren — waarbij u probeert te begrijpen hoe het proces werkt in plaats van iemand te betrappen — leidt consistent tot betere onthullingen. IIA-praktijkrichtlijnen merken op dat auditors die zichzelf positioneren als probleemoplossende partners meer medewerking en kwalitatief betere informatie krijgen. Dat betekent niet dat u uw vragen verzacht. Het betekent dat de geïnterviewde begrijpt dat u er bent om te begrijpen, niet om te vervolgen.

Biasbeheersing. Drie vormen van bias verstoren auditinterviews het vaakst:

Bevestigingsbias: U vermoedt al dat een beheersmaatregel zwak is en weegt onbewust antwoorden die dat bevestigen zwaarder. Tegenmaatregel: stel dezelfde vraag in twee verschillende formuleringen en vergeer de antwoorden.
Verankering: Het eerste antwoord dat u hoort, kleurt hoe u de daaropvolgende antwoorden interpreteert. Houd een teambriefing vóórdat u conclusies trekt.
Vroeg oordeel: Binnen de eerste vijf minuten beslissen dat de geïnterviewde geloofwaardig is of niet. Geloofwaardigheid wordt beoordeeld ná corroboratie, niet tijdens het gesprek.

Noteren en opnemen:

Praktijk	Aanbevolen aanpak
Woordelijke citaten	Leg de exacte bewoordingen vast voor kernbeweringen; markeer parafrases duidelijk
Antwoordlabeling	Koppel elk antwoord aan de beheersmaatregel, het risicogebied of de auditdoelstelling waarop het betrekking heeft
Non-verbale observaties	Noteer aarzelingen, van onderwerp wisselen of emotionele verschuivingen in een aparte kolom
Audio-/video-opname	Vereist expliciete toestemming; vermijd dit tenzij wettelijk noodzakelijk
Gedeelde aantekeningen	De hoofdinterviewer controleert het concept van de notulist vóór de nabriefing, niet erna

In IT-auditcontexten brengen interviews regelmatig tekortkomingen in beheersmaatregelen aan het licht die systeemlogboeken en configuratiereviews niet laten zien, juist omdat operators workarounds beschrijven die zij als routine beschouwen maar die ongedocumenteerde uitzonderingen op het beheersontwerp vormen.

Rode vlaggen en fraudesignalen om tijdens interviews op te letten

Interviews zijn een van de weinige auditprocedures die intentie aan het licht kunnen brengen, niet alleen uitkomst. Een transactielogboek laat zien wat er is gebeurd; een interview kan onthullen waarom, en of de persoon die het beschrijft besefte dat het fout was.

Gedragsmatige rode vlaggen om te noteren:

Inconsistentie tussen wat de geïnterviewde nu zegt en wat hij of zij eerder in hetzelfde interview zei
Ontwijkende antwoorden: van onderwerp wisselen, buitensporige kwalificaties, of een andere vraag beantwoorden dan gesteld
Ongebruikelijke procesworkarounds die als normaal worden beschreven ("We doen het altijd zo omdat het systeem de juiste route niet toestaat")
Onverklaarbare toegangswijzigingen of systeemoverschrijdingen die de geïnterviewde niet aan een specifieke zakelijke behoefte kan koppelen
Terughoudendheid bij het benoemen van specifieke goedkeurders of documenteigenaren

Feitelijke rode vlaggen:

Procesbeschrijvingen die in tegenspraak zijn met gedocumenteerde beheersmaatregelen
Verwijzingen naar goedkeuringen die niet te herleiden zijn tot een systeemrecord of handtekening
Tijdlijnen die niet overeenkomen met transactiegegevens die u al heeft beoordeeld

Onderscheid tussen waarneming en bewering. Een geïnterviewde die zegt "Ik denk dat iemand mogelijk zijn eigen transacties goedkeurt" is een waarneming. Een geïnterviewde die zegt "Ik heb gezien dat Jan op 14 maart zijn eigen onkostendeclaratie heeft goedgekeurd" doet een concrete bewering. Documenteer beide, maar behandel ze anders. Waarnemingen sturen uw testwerk; concrete beweringen vereisen onmiddellijke escalatie en bewijsbehoud.

Als fraude wordt vermoed tijdens een interview:

Confronteer de geïnterviewde niet en onthul niet wat u vermoedt.
Ga het interview normaal voort en documenteer antwoorden woordelijk.
Breng direct na het interview uw auditsupervisor of chief audit executive op de hoogte.
Bewaar alle aantekeningen, opnames (indien aanwezig) en tot dan toe verzamelde documenten.
Bespreek de kwestie niet met andere geïnterviewden totdat u instructies heeft ontvangen.

Checklist voor rode vlaggen na het interview in werkdossiers:

Waren er antwoorden die inconsistent waren met eerder bewijs? (J/N, beschrijf)
Heeft de geïnterviewde niet-gedocumenteerde workarounds beschreven? (J/N, beschrijf)
Werden er escalatie- of goedkeuringsstappen beschreven die niet kunnen worden gecorroboreerd? (J/N, beschrijf)
Wezen gedragsindicatoren op ontwijking of ongemak bij specifieke onderwerpen? (J/N, beschrijf)

Interviewinformatie omzetten in betrouwbaar auditbewijs

Een interviewantwoord is op zichzelf geen bewijs. Het wordt bewijs wanneer het is gecorroboreerd, gedocumenteerd en beoordeeld op betrouwbaarheid. Auditrichtlijnen over interviewbewijs zijn duidelijk: interviews zijn een belangrijke bron voor het sturen van auditinspanningen, maar worden doorgaans aangevuld met ander bewijs voordat een bevinding wordt afgerond.

Triangulatie in de praktijk. Vergelijk elke significante interviewclaim met ten minste twee andere typen bewijs:

Documenten: Stemt het proces dat de geïnterviewde beschreef overeen met de schriftelijke procedure en de transactierecords?
Systeemlogboeken: Komt de toegangs- of goedkeuringsvolgorde die zij beschreven voor in het systeemauditspoor?
Andere interviews: Beschrijft een tweede geïnterviewde, onafhankelijk, dezelfde beheersmaatregel op dezelfde manier?

Betrouwbaarheidsfactoren om per interview te beoordelen:

Factor	Hogere betrouwbaarheid	Lagere betrouwbaarheid
Onafhankelijkheid	Geïnterviewde heeft geen belang bij de bevinding	Geïnterviewde is de eigenaar van de te toetsen beheersmaatregel
Directe observatie	Beschrijft wat hij/zij persoonlijk doet	Beschrijft wat hij/zij denkt dat anderen doen
Motief om onjuist te verklaren	Geen zichtbare prikkel	Mogelijk disciplinaire of financiële gevolgen
Hedendaagse registraties	Antwoord sluit aan bij gedateerde records	Antwoord berust volledig op geheugen

Documentatiechecklist voor werkdossiers:

Datum, tijd, locatie en deelnemers van het interview
Vermeld doel en auditdoelstelling die het interview ondersteunt
Woordelijke citaten voor kernbeweringen, duidelijk als citaat gelabeld
Geparafraseerde antwoorden, duidelijk als parafrase gelabeld
Bewijskoppelingen: documenten, logboeken of eerdere bevindingen die het antwoord bevestigen of weerspreken
Betrouwbaarheidsbeoordeling: één zin per significante bewering
Vervolgacties: wat nog corroboratie behoeft

Voor ISO 27001-audits zijn interviews bijzonder waardevol voor het beoordelen van hoe beheersmaatregelen functioneren over de vier Annex A-beheerthema's, aangezien veel beheersmaatregelen afhankelijk zijn van menselijk gedrag dat documentatie alleen niet kan verifiëren.

Na het interview: documentatie, opvolging en integratie van resultaten

De 48 uur na een interview zijn net zo belangrijk als het interview zelf. Vertraagde documentatie tast de nauwkeurigheid aan; niet-gedocumenteerde vervolgacties verdwijnen.

Consistente interviewnotulen produceren:

Stel notulen op binnen 24 uur, met de woordelijke vastleggingen van de notulist als basis.
Structureer de notulen als: doel, deelnemers, behandelde kernonderwerpen, significante antwoorden (geciteerd of geparafraseerd met duidelijke labeling), vervolgacties en betrouwbaarheidsnoten.
Stuur de notulen binnen 48 uur ter feitelijke beoordeling aan de geïnterviewde. Verduidelijk dat dit een controle op feitelijke juistheid is, geen gelegenheid om inhoudelijke onthullingen te herzien.
Verkrijg een ondertekende bevestiging of e-mailbevestiging voordat het werkdossier wordt gesloten.
Sla de notulen op samen met de bewijskoppelingen, niet in een aparte map.

Vervolgacties:

Stuur documentverzoeken binnen 24 uur na het interview, met verwijzing naar de specifieke bewering die ze ondersteunen.
Als een vervolginterview nodig is, plan dit in vóórdat u de veldwerklocatie verlaat.
Markeer onopgeloste punten direct in het auditrisicoadministratie, niet aan het einde van het veldwerk.

Interviewbevindingen in de audit integreren:

Elke significante interviewbevinding moet worden gekoppeld aan een risicoadministratie-item, een teststap of een bevindingsconcept.
Als een interview een nieuw risico onthult dat buiten de oorspronkelijke reikwijdte valt, escaleer dit naar de auditmanager vóórdat u het testen zelfstandig uitbreidt.
Gebruik interviewresultaten om steekproefomvangen bij te stellen: als meerdere geïnterviewden dezelfde uitzondering beschrijven, vergroot uw transactiesteekproef voor die beheersmaatregel.

Werkdossiervelden voor traceerbaarheid:

Citaat of parafrase → beheersmaatregel of risicogebied → corroboreend bewijsreferentie → bevindingsnummer of teststapnummer

Praktische hulpmiddelen: vragenbank, checklists en templates die u nu kunt gebruiken

Eénpagina-checklist voor interviewplanning:

[ ] Auditdoelstelling die het interview ondersteunt: ___
[ ] Interviewtype (oriëntatie / onderzoek / bevestiging): ___
[ ] Bestudeerde achtergronddocumenten: ___
[ ] Rol en functie van de geïnterviewde bevestigd: ___
[ ] Vragenlijst opgesteld en beoordeeld door de auditverantwoordelijke: ___
[ ] Teamrollen toegewezen (hoofdinterviewer, notulist, waarnemer): ___
[ ] Agenda minimaal 48 uur van tevoren verzonden: ___
[ ] Aparte ruimte of beveiligde verbinding bevestigd: ___
[ ] Beslissing over opname genomen en toestemming verkregen indien van toepassing: ___

Voorbeeldvragenbank per doelstelling:

Effectiviteit van beheersmaatregelen: "Loop me door de laatste keer dat u [beheersmaatregel X] heeft uitgevoerd. Wat controleerde u, en wat deed u als er iets niet klopte?"
Functiescheiding: "Is er iemand in uw team die [transactietype] zowel kan aanmaken als goedkeuren zonder een tweede handtekening?"
Toegangsbeheer: "Hoe gaat uw team om met het verwijderen van toegang wanneer iemand van afdeling wisselt of het bedrijf verlaat?"
Incidentrespons: "Beschrijf de laatste keer dat u een mogelijk beveiligingsprobleem signaleerde of meldde. Welke stappen heeft u gevolgd?"
Beleidsbewustzijn: "Waar zou u naartoe gaan als u het huidige beleid voor [specifiek proces] wilt raadplegen? Wanneer heeft u er voor het laatst naar gekeken?"
Afhandeling van uitzonderingen: "Wat gebeurt er wanneer een transactie of verzoek buiten het normale goedkeuringspad valt? Kunt u een recent voorbeeld geven?"
Wijzigingsbeheer: "Hoe wordt u geïnformeerd wanneer een systeem- of proceswijziging wordt doorgevoerd, en welke training ontvangt u daarvoor?"

Velden voor een template voor interviewnotulen:

Datum, tijd, locatie, duur
Naam en referentienummer van de auditopdracht
Deelnemers (naam, titel, rol in het proces)
Vermeld doel van het interview
Kernantwoorden (woordelijke citaten tussen aanhalingstekens; parafrases gemarkeerd als "P:")
Vervolgacties (actie, verantwoordelijke, vervaldatum)
Betrouwbaarheidsnoten
Handtekening en datum van de auditor

Aanpassing voor op afstand versus persoonlijk. Bij interviews op afstand: bevestig vóór de start dat de geïnterviewde zich in een privéruimte bevindt. Gebruik schermdelen om documenten samen te bekijken in plaats van ze van tevoren te e-mailen, zodat het risico op voorbereide antwoorden wordt verminderd. Noteer technische onderbrekingen in de notulen.

Pro Tip: Bouw uw vragenbank op in een gedeeld document dat uw team na elke opdracht kan bijwerken. Vragen die consequent nuttige antwoorden opleveren, zijn het bewaren waard; vragen die consequent "Ik weet het niet" of ontwijking opleveren, verdienen vervanging.

Waarom gestructureerde interviews betrouwbaarder auditbewijs opleveren

Het pleidooi voor gestructureerde interviews berust niet alleen op de voorkeur van beoefenaars. Meta-analytisch onderzoek van McDaniel et al. toont aan dat gestructureerde interviews over het algemeen hogere validiteit opleveren dan ongestructureerde interviews voor beoordelingsdoeleinden, een bevinding die direct vertaalbaar is naar auditcontexten waar betrouwbaarheid van bewijs de maatstaf is.

De op FAINT gebaseerde gestructureerde interviewaanpak (Forensic Assessment Interview Technique) toont aan dat een gestructureerd driefasenproces het percentage bruikbare, betrouwbare gegevens in complexe beoordelingen vergroot. In fraude- of hoogrisicointerviews vermindert FAINT's nadruk op open narratief gevolgd door gerichte doorvraagmethoden het risico dat de framing van de auditor de verklaring van de geïnterviewde beïnvloedt.

Richtlijnen van de U.S. Merit Systems Protection Board bevelen gestructureerde interviews aan voor beoordelingsfuncties, omdat structuur de kans op betrouwbare en verdedigbare beslissingen vergroot. De parallel met interne audit is direct: wanneer interviewbewijs een bevinding of risicoclassificatie onderbouwt, moet het interviewproces voldoende gestructureerd zijn om bestand te zijn tegen betwisting.

Praktische implicaties voor auditteams:

Gebruik een schriftelijke vragenlijst voor elk interview, ook bij informele walkthroughs.
Beoordeel of waardeer antwoorden aan de hand van vooraf vastgestelde criteria wanneer u meerdere geïnterviewden over dezelfde beheersmaatregel vergelijkt.
Documenteer de basis voor betrouwbaarheidsbeoordelingen, niet alleen de conclusie.
Train nieuwere auditors in de conetechniek voordat zij zelfstandig interviews uitvoeren.

Kernbevinding: Gestructureerde interviews maken gesprekken niet rigide. Ze maken het bewijs verdedigbaar. Een geïnterviewde kan nog steeds vrijuit spreken; de structuur zorgt ervoor dat u wat zij zeggen consistent vastlegt en beoordeelt.

Juridische en ethische overwegingen voor Amerikaanse auditors

Opnamewetten in de Verenigde Staten variëren per staat. Federale wetgeving en de meeste staten staan opname met toestemming van één partij toe, wat betekent dat slechts één deelnemer hoeft in te stemmen. Een aanzienlijk aantal staten, waaronder Californië, Florida en Illinois, vereist echter toestemming van alle partijen. De praktische richtlijn: tenzij u de toepasselijke staatswet heeft bevestigd en expliciete toestemming heeft verkregen van alle deelnemers, maakt u geen opname.

Belangrijke juridische en ethische verplichtingen:

Vertrouwelijkheid: Informeer geïnterviewden aan het begin wat er met hun antwoorden wordt gedaan, wie de notulen te zien krijgt en hoe gevoelige onthullingen worden behandeld.
Klokkenluidersverklaringen: Als een geïnterviewde een beschermde melding doet, documenteer deze nauwkeurig, escaleer naar juridisch adviseur of de auditcommissie waar passend, en neem maatregelen om de identiteit van de geïnterviewde in werkdossiers te beschermen.
Gevoelige persoonsgegevens: Neem geen persoonsidentificerende informatie in werkdossiers op buiten wat noodzakelijk is ter onderbouwing van de bevinding.
Toestemming voor opname: Verkrijg schriftelijke of per e-mail bevestigde toestemming vóór het opnemen van een interview, ongeacht de staatswet, als een kwestie van professionele praktijk.
Reikwijdtegrenzen: Breid het interview niet uit naar gebieden buiten de vermelde auditreikwijdte zonder de geïnterviewde te informeren en autorisatie te verkrijgen van de auditmanager.
Regelgevende noot: Bij formele onderzoeken of regelgevende audits kan interviewbewijs onderhevig zijn aan inzage of dagvaarding. Behandel alle interviewdocumentatie als potentieel te beoordelen door externe partijen.

Wat ervaren auditors in de praktijk doen met interviews tijdens veldwerk

De volgorde die consistent het beste bewijs oplevert is niet ingewikkeld, maar vereist discipline. Begin het veldwerk met oriëntatieinterviews: proceseigenaren, afdelingshoofden en beheersmaatregelenontwerpers. Gebruik die gesprekken om uw beheerskaart op te bouwen en te identificeren waar het gedocumenteerde ontwerp en de beschreven realiteit uiteenlopen. Dat uiteenlopen vertelt u waar u de onderzoeksinterviews op moet richten.

Onderzoeksinterviews gaan naar de uitvoerenden: de mensen die het proces dagelijks uitvoeren. Stel gedragsvragen. Vraag om recente voorbeelden. Wanneer een antwoord in tegenspraak is met de beheerskaart die u in de oriëntatiefase heeft opgebouwd, heeft u een potentiële bevinding. Wanneer het die bevestigt, heeft u corroboratie.

Auditor die een fysiek beveiligingsslot inspecteert

Bevestigingsinterviews komen als laatste. Op dat moment beschikt u over transactiebewijs, systeemlogboeken en twee lagen interviewgegevens. Een kort bevestigingsinterview met de beheersmaatregel-eigenaar, waarbij u presenteert wat u heeft gevonden en hem of haar vraagt dit toe te lichten, sluit de bevinding af of verdiept die.

Eén gewoonte die de kwaliteit van elk interview verbetert: plan de ochtend van een belangrijk interview een voorbriefing van 15 minuten met uw team. Bestudeer de achtergronddocumenten opnieuw, bevestig de vragenlijst en spreek af hoe een bevredigend antwoord op elke kernvraag eruitziet. Auditors die dit consequent doen, melden minder "we vergaten te vragen"-momenten in de nabriefing.

Interviews dienen ook een doel buiten bewijs. Auditors die interviews gebruiken om relaties op te bouwen met proceseigenaren krijgen betere medewerking gedurende de gehele opdracht, snellere reacties op documentverzoeken en meer openhartige onthullingen wanneer er iets mis is. Dat is geen zachte baat. Het is een materiële factor in auditkwaliteit.

Handen die koffie inschenken tijdens een professioneel gesprek

Ismscalculator helpt u ISO 27001-interviewdoelstellingen te bepalen vóór het veldwerk begint

Ismscalculator

Wanneer uw audit ISO 27001-beheersmaatregelen omvat, laat het weten welke domeinen het grootste implementatierisico dragen u precies zien waar u uw interviews op moet richten. De gratis gereedheidscheck van 2 minuten van Ismscalculator brengt in minuten de huidige volwassenheid van uw organisatie in kaart over alle vier ISO/IEC 27001:2022-beheerthema's en geeft u een domein-voor-domein risicoprofiel waarmee u interviewdoelstellingen en bewijsverzameling kunt prioriteren vóórdat het veldwerk begint.

De volledige gereedheidsassessment gaat verder: het benchmarkt uw volwassenheid ten opzichte van modelreferentiewaarden, markeert de domeinen die waarschijnlijk de meeste beheerstekortkomingen vertonen, en produceert een rapport dat u kunt gebruiken als planningsinput voor uw interviewprogramma. Beschouw de uitvoer als een scopinghulpmiddel, niet als vervanging voor de interviews zelf. Het instrument vernauwt uw focus; uw interviews leveren het bewijs.

Bronnen

Aanbevolen

Dit artikel is automatisch vertaald met AI. Het Engelse origineel blijft de gezaghebbende versie.

Hoe medewerkerinterviews betrouwbaar auditbewijs opleveren