Hangt uw volgende deal af van een compliance-vraag?
Compliance komt bij scale-up ondernemingen als een vraag van een klant, afnemer, investeerder of een certificeerder.
Wij bouwen het dossier waarmee u de vragenlijst van uw klant kunt beantwoorden. Wie liever goed voorbereid is, kan tijdig beginnen met een audit readiness-traject.
Werkt u met AI? Dan is er een apart traject voor de EU AI Act.
Audit Readiness
Kader
De normen in het verwachte dossier worden bepaald door vereisten van de partijen die de compliance check willen. Hieronder zijn de vier die wij in de audit readiness benaderen.
GDPR Welke gegevens worden verwerkt, op welke grondslag en via welke verwerkers. Dit geldt voor zo goed als elke scale-up.
ISO/IEC 27001 Niet wettelijk verplicht. Wel iets wat enterpriseklanten contractueel opleggen.
ISO/IEC 42001 Relevant zodra een organisatie zelf AI ontwikkelt of aanbiedt.
NIS2 (waar van toepassing) Enkel voor organisaties die kwalificeren als essentiële of belangrijke entiteit. Wet van 26 april 2024, van kracht sinds 18 oktober 2024.
Scope
Hoe groot de opdracht is, hangt af van de organisatie. Wij werken met vier scopes.
QUICKSCAN Voor ondernemingen die eerst willen weten wat een vragenlijst van hen vraagt. Wij brengen de vragen in kaart en leveren een werkplan.
BASIS Voor ondernemingen die hun dossier willen opbouwen rond één inhoudelijk kader.
UITGEBREID Voor ondernemingen die meerdere kaders in één dossier willen samenbrengen.
COMPLEX Voor ondernemingen die meerdere vennootschappen of landen onder één dossier willen brengen.
Wat dit oplost
Een vragenlijst van een klant kan een deal stilleggen.
Vaak is niet meteen duidelijk welke regels gelden, waar het bewijs zit, of wie het antwoord mag geven.
Normen worden meestal per stuk aangepakt, terwijl de onderliggende feiten grotendeels dezelfde zijn. Dezelfde systemen, dezelfde leveranciers, dezelfde toegangen.
Wij leggen die feiten één keer vast in één dossier, met per norm een eigen kolom. Wat voor GDPR is vastgelegd, telt ook mee voor ISO 27001 en voor de AI Act.
Voor de Basis-scope staat dat er na ongeveer vier weken. Bij meerdere kaders of meerdere entiteiten duurt het langer. Het blijft één dossier.
Readiness is geen certificaat. Een certificeringstraject loopt over maanden. Wie vandaag een vraag moet beantwoorden, heeft een dossier nodig dat vandaag klaar is. Dat dossier is meteen de voorbereiding als er later toch gecertificeerd wordt.
EU AI Act Readiness
EU AI Act (apart traject) Wetgeving, geen norm. Wat de verordening oplegt, hangt af van wat elk systeem afzonderlijk doet. Dat loopt via EU AI Act readiness.
Terecht en dat verandert ook niet.
De verordening voorziet geen certificaat voor een onderneming als geheel. Zij legt verplichtingen op per systeem, niet per organisatie. Is een conformiteitsbeoordeling nodig, dan gebeurt die per hoogrisicosysteem. Afhankelijk van het systeem verloopt dat via interne controle of via een aangemelde instantie. De verklaring die daaruit volgt, geldt voor dat ene systeem. Komt er volgende maand een nieuw systeem bij, dan verschuift het beeld opnieuw.
Twee verplichtingen gelden intussen al sinds 2 februari 2025. Het gaat om het verbod op bepaalde praktijken en om de zorg voor voldoende AI-geletterdheid. Wat de meeste organisaties vandaag tegenkomen is een vraag van een klant of een investeerder. Het antwoord daarop vraagt een actuele inventaris van de systemen. Dat is precies het deel dat tijd kost.
Vaak wel.
Wie een AI-systeem beroepsmatig inzet is gebruiksverantwoordelijke en heeft eigen verplichtingen, ook zonder zelf iets te ontwikkelen. Hoe zwaar die zijn hangt af van het systeem en van het gebruik. Daarom begint dit traject niet bij de wet maar bij de inventaris, want de meeste organisaties weten niet precies welke AI er binnen hun muren draait.
De onafhankelijkheidsregel
Audit readiness en certificering zijn twee afzonderlijke opdrachten, uitgevoerd door verschillende partijen. DataNerds doet enkel de voorbereiding op een audit.
Wij reiken dan ook geen certificering uit. Dat voorkomt belangenconflicten tussen advies- en auditfuncties.
Meer lezen over de onafhankelijkheidsregel en waarom die regels zo streng zijn?
R&D
Naast onze dienstverlening loopt een eigen onderzoekstraject. Het wordt uitgevoerd door masters in computerwetenschappen en artificiële intelligentie, met een adviesraad die de richting mee bewaakt.
Wij gaan na hoe software compliancewerk betrouwbaar kan ondersteunen.
Wat in ontwikkeling is, maakt geen deel uit van de audit readiness-opdracht. Wij communiceren pas over een resultaat zodra wij het kunnen aantonen.