Organisaties moeten steeds vaker aantonen dat hun IT onder controle is. Klanten vragen om een ISAE 3402- of SOC 2-rapport, de accountant wil vertrouwen kunnen stellen op de IT general controls, DORA verplicht financiële instellingen tot interne audit van hun ICT-risicobeheer en de Cyberbeveiligingswet brengt toezicht met zich mee. Een IT auditor, ook wel EDP-auditor genoemd, beoordeelt of uw maatregelen goed zijn opgezet en of ze in de praktijk werken. MVPeople Group is een hyper-niche recruitmentbureau voor cybersecurity in Amsterdam en levert IT-auditors voor de interne auditfunctie, voor de tweede lijn en voor readiness-trajecten richting externe assurance.
In het kort
Een IT auditor inhuren doet u voor onafhankelijke toetsing van IT-beheersing: IT general controls, ISAE 3402- of SOC 2-trajecten, interne ISO 27001-audits en audits op DORA of NIS2. MVPeople Group levert IT-auditors, waaronder RE-auditors en CISA-gecertificeerde specialisten, interim via MVPeople, gedetacheerd via MVProfessionals of in vaste dienst via MVPermanent.
Een IT auditor toetst of de beheersing van informatiesystemen voldoet aan een norm of raamwerk. Dat kan een externe standaard zijn, zoals ISO 27001, COBIT of een wettelijk kader, of het interne control framework van uw organisatie.
Een IT-audit kijkt doorgaans naar drie vragen. Zijn de beheersmaatregelen goed ontworpen? Zijn ze daadwerkelijk ingevoerd? En werken ze over een periode effectief? Typische onderwerpen zijn logische toegangsbeveiliging, change management, back-up en continuïteit, beheer van uitbestede diensten en de beveiliging van kritieke applicaties.
Het resultaat is een rapport met bevindingen en aanbevelingen dat bestuur, auditcommissie of toezichthouder kan gebruiken. Een goede IT auditor schrijft bevindingen zo op dat het management begrijpt welk risico er speelt en wat ermee moet gebeuren, zonder te verdwalen in technische details.
De meest voorkomende aanleiding is capaciteit. Interne auditafdelingen hebben een auditplan dat ze met de vaste bezetting niet rond krijgen, of missen specifieke IT-kennis voor een bepaald onderwerp, zoals cloud of IAM.
Een tweede aanleiding is regelgeving. DORA geldt sinds 17 januari 2025 en bepaalt dat het raamwerk voor ICT-risicobeheer van financiële entiteiten, met uitzondering van micro-ondernemingen, regelmatig door auditors met voldoende kennis van ICT-risico en passende onafhankelijkheid wordt geaudit. Onder NIS2, in Nederland geïmplementeerd via de Cyberbeveiligingswet, kan het toezicht op essentiële entiteiten onder meer regelmatige en gerichte beveiligingsaudits door een onafhankelijke instantie omvatten. Een IT auditor helpt u om vooraf te toetsen of u daar klaar voor bent.
Derde aanleidingen zijn een ISO 27001-certificering, waarbij de norm interne audits voorschrijft, en klanten die om assurance vragen in de vorm van een ISAE 3402- of SOC 2-rapport.
IT auditor en EDP-auditor worden in Nederland door elkaar gebruikt. RE staat voor Register EDP-auditor: een IT auditor die is ingeschreven in het register van NOREA, de beroepsorganisatie van IT-auditors in Nederland. Inschrijving vraagt een erkende postdoctorale IT-auditopleiding, en RE-auditors zijn gebonden aan de beroepsregels en de permanente educatie van NOREA.
CISA, Certified Information Systems Auditor, is een internationale certificering van ISACA. Het examen en de ervaringseisen zijn wereldwijd gelijk, wat CISA vooral nuttig maakt in internationale organisaties.
Voor uw aanvraag is de vraag welke opdracht er ligt. Werkzaamheden waarvoor uitdrukkelijk een RE-auditor wordt gevraagd, vereisen ook een RE. Voor interne audits, readiness-trajecten en tweedelijnswerk is CISA of een vergelijkbare achtergrond vaak voldoende. Wij helpen u om dat vooraf scherp te krijgen.
ISAE 3402 is de internationale standaard voor assurance-rapportages over de beheersing bij serviceorganisaties, gericht op processen die relevant zijn voor de financiële verslaggeving van klanten. SOC 2 is een raamwerk van de Amerikaanse AICPA, gebaseerd op de Trust Services Criteria: security, availability, processing integrity, confidentiality en privacy. Beide kennen een Type I, over de opzet en het bestaan van maatregelen op een moment, en een Type II, waarin ook de werking over een periode wordt getoetst.
De verklaring zelf wordt afgegeven door een externe auditorganisatie. Een ingehuurde IT auditor helpt u in de aanloop: een readiness assessment, het opstellen van het control framework en de systeembeschrijving, het testen van maatregelen voordat de externe auditor komt en het opvolgen van bevindingen.
Let op onafhankelijkheid. Iemand die uw maatregelen mede heeft ontworpen, kan diezelfde maatregelen niet onafhankelijk auditen. Wij houden daar bij de voordracht rekening mee.
In het Three Lines Model van het IIA is interne audit de derde lijn: onafhankelijk van het management dat de risico's beheert. Een IT auditor in de derde lijn rapporteert idealiter aan de auditcommissie en voert het auditplan uit.
Veel organisaties zoeken daarnaast IT-auditkennis in de tweede lijn, bijvoorbeeld in een IT-risk- of compliancefunctie die maatregelen monitort en toetst; zie /expertise/it-risk-management en /expertise/grc-compliance. Het profiel lijkt op dat van een IT auditor, maar de rol en de rapportagelijn zijn anders.
Via MVPeople huurt u een interim IT auditor in voor een audit of een piek in het auditplan. Via MVProfessionals detacheren wij IT-auditors in loondienst bij MVPeople voor langere inzet. En via MVPermanent werven wij een IT auditor of IT audit manager voor een vaste positie; zie /services/mvpermanent.
Wij toetsen IT-auditors op vakinhoud en op schrijf- en gespreksvaardigheid. Vakinhoudelijk kijken wij naar de normen en raamwerken waarmee de kandidaat heeft gewerkt, de omvang van eerdere audits en de sectoren, bijvoorbeeld financiële dienstverlening, overheid of IT-dienstverleners.
Daarnaast vragen wij naar de manier van werken: hoe stelt de kandidaat een auditprogramma op, hoe bepaalt hij of zij de steekproef, en hoe wordt een lastige bevinding met het management besproken? Een IT auditor die technisch sterk is maar geen draagvlak krijgt voor zijn bevindingen, levert weinig op.
Na uw aanvraag reageren wij binnen 4 uur. Passende profielen stellen wij doorgaans binnen 5 tot 10 werkdagen voor, en een interim IT auditor kan vaak binnen 2 weken starten.
Een RE-auditor is ingeschreven in het register van NOREA, de Nederlandse beroepsorganisatie van IT-auditors, en heeft daarvoor een erkende postdoctorale IT-auditopleiding afgerond. CISA is een internationale certificering van ISACA op basis van een examen en werkervaring. Als een opdracht uitdrukkelijk om een RE vraagt, is een CISA niet voldoende.
Nee, de verklaring wordt afgegeven door een externe auditorganisatie. Een ingehuurde IT auditor bereidt u daarop voor met een readiness assessment, het control framework, de systeembeschrijving en het vooraf testen van maatregelen. Daarmee verkleint u de kans op bevindingen in het externe rapport.
Een Type I-rapport beoordeelt de opzet en het bestaan van maatregelen op een bepaald moment. Een Type II-rapport toetst daarnaast of de maatregelen gedurende een periode effectief hebben gewerkt. Klanten vragen meestal om Type II, omdat dat meer zekerheid geeft.
Ja, DORA vereist dat het raamwerk voor ICT-risicobeheer van financiële entiteiten, met uitzondering van micro-ondernemingen, regelmatig intern wordt geaudit. De auditors moeten voldoende kennis van ICT-risico hebben en passend onafhankelijk zijn. Veel instellingen huren hiervoor tijdelijk IT-auditkennis in.
Een interim IT auditor kan vaak binnen 2 weken starten. Wij reageren binnen 4 uur op uw aanvraag en stellen passende profielen doorgaans binnen 5 tot 10 werkdagen voor. Aan het einde van het jaar, rond de jaarrekeningcontroles, is de beschikbaarheid krapper, dus tijdig aanvragen loont.
Leid een groeiend team in informatiebeveiliging, kwaliteit en privacy bij een toonaangevende organisatie in de gezondheidszorg. Je stuurt de strategische koers aan en bouwt een sterke veiligheidscultuur.
Je bewaakt naleving van de Baseline Informatiebeveiliging Overheid in een overheidsorganisatie. Je adviseert management, implementeert beveiligingsmaatregelen en documenteert compliance.
Jij bent het gezicht van security binnen een toonaangevende organisatie. Je ontwikkelt beveiligingsstrategieën, beheert risico's en zorgt ervoor dat security niet alleen technisch, maar ook organisatorisch verankerd is.
Jij bent dé vertrouwenspersoon voor informatiebeveiliging binnen een organisatie. Je ontwikkelt security-strategie, coördineert naleving van regelgeving en zorgt dat alle afdelingen veilig werken.
Benieuwd hoe wij werven en selecteren? Lees meer over onze cyber security recruitment. Ben je zelf specialist en zoek je een freelance opdracht? Bekijk de cybersecurity opdrachten voor zzp'ers.
Laatst bijgewerkt op door Mathijs Visser, Co-founder en Lead Consultant MVPeople Group.
Vertel ons welke audit of welk traject er ligt. Wij reageren binnen 4 uur met passende beschikbaarheid.
