Om tijdens een audit aan te tonen dat oude IT-apparatuur veilig is verwerkt, heb je gecertificeerde documentatie nodig: minimaal een vernietigingscertificaat per apparaat of batch en een gedetailleerd verwerkingsrapport van de ITAD-partner. Zonder deze documenten kan een auditor de keten van datavernietiging niet sluitend beoordelen, wat directe risico’s oplevert voor AVG-compliance. De secties hieronder beantwoorden de meest gestelde vragen over ITAD-auditdossiers, bewijsdocumenten en partnercertificeringen.
Welke documenten bewijzen veilige verwerking tijdens een audit?
Bewijs van veilige IT-verwerking tijdens een audit bestaat uit drie kernstukken: een vernietigingscertificaat per apparaat of batch, een gedetailleerd verwerkingsrapport van de ITAD-leverancier en een transportverklaring die de keten van overdracht documenteert. Samen vormen deze documenten een aantoonbare audit trail van het moment van ophalen tot en met de definitieve verwerking.
Een vernietigingscertificaat vermeldt minimaal het serienummer van het apparaat, de gehanteerde wismethode, de datum van verwerking en de naam van de uitvoerende partij. Het verwerkingsrapport gaat een stap verder en beschrijft het volledige proces: welke apparaten zijn aangeboden, hoe de logistiek is verlopen, welke data-wissoftware is ingezet en wat de eindbestemming van elk apparaat is. De transportverklaring bevestigt dat de apparatuur veilig is overgedragen en dat ongeautoriseerde toegang onderweg is voorkomen.
Organisaties die werken met de TEQBOX ophaaloplossing beschikken bovendien over een traceerbaar ophaalproces: de gesloten, met GPS uitgeruste kar registreert de verplaatsing van apparatuur van het bedrijfspand tot aan de verwerkingslocatie, wat als aanvullend bewijs dient tijdens een audit.
Wat is uw oude hardware nog waard?
Wij bepalen de restwaarde van uw IT-apparatuur en verzorgen veilige datavernietiging met certificaat.
Wat controleert een auditor precies bij IT-afvoer?
Een auditor controleert bij IT-afvoer primair of de keten van bewaring aantoonbaar sluitend is: van het moment dat een apparaat intern wordt afgeschreven tot het moment van definitieve vernietiging of hergebruik. Concreet kijkt de auditor naar de aanwezigheid van documentatie op serienummerniveau, de kwalificaties van de ITAD-leverancier en het bewijs dat datavernietiging heeft plaatsgevonden voordat apparatuur het pand verliet of werd overgedragen.
Naast de documenten zelf toetst de auditor ook het interne proces. Zijn er interne procedures vastgelegd voor IT-afvoer? Wie heeft toestemming gegeven voor de overdracht? Is er een registratie van alle afgeschreven activa in het IT-assetbeheersysteem? Ontbreken deze interne controlepunten, dan is een extern certificaat alleen onvoldoende om compliance aan te tonen.
Bij AVG-audits ligt de nadruk specifiek op het bewijs van datavernietiging. De auditor wil zien dat persoonsgegevens op de afgeschreven apparatuur aantoonbaar onherstelbaar zijn vernietigd. Een gecertificeerd datavernietigingsproces dat per apparaat rapporteert, geeft de auditor de zekerheid die nodig is om compliance vast te stellen.
Hoe verschilt een vernietigingscertificaat van een verwerkingsrapport?
Een vernietigingscertificaat is een beknopt, formeel bewijs dat data op een specifiek apparaat onherstelbaar is gewist of vernietigd. Een verwerkingsrapport is een uitgebreid overzichtsdocument dat het volledige ITAD-traject beschrijft, inclusief logistiek, inventarisatie, toegepaste methoden en eindbestemming van alle aangeboden apparatuur. Het certificaat bewijst het resultaat; het rapport bewijst het proces.
Voor een audit heb je beide nodig. Het vernietigingscertificaat is het directe bewijs richting de toezichthouder of interne compliance-officer dat data niet langer toegankelijk is. Het verwerkingsrapport geeft de auditor inzicht in hoe het proces is verlopen en of er op enig moment risico op ongeautoriseerde toegang heeft bestaan. Veel organisaties maken de fout alleen het certificaat te bewaren en het rapport niet te archiveren. Bij een gedetailleerde audit schiet dat tekort.
Kwalitatieve ITAD-partners leveren standaard beide documenten op. Teqser stelt na elke verwerking zowel een gedetailleerd verwerkingsrapport als officiële certificaten op, zodat organisaties beschikken over een compleet auditdossier zonder daar zelf achteraan te hoeven gaan.
Wanneer schiet een eigen verklaring van de leverancier tekort?
Een eigen verklaring van de leverancier schiet tekort zodra een auditor vraagt naar onafhankelijk verifieerbare bewijzen van datavernietiging of wanneer de organisatie opereert in een sector met strikte compliance-eisen, zoals de financiële sector, de zorgsector of de publieke sector. Een leverancier die alleen verklaart dat data is vernietigd zonder traceerbare documentatie per apparaat, biedt geen afdoende bewijs voor AVG-compliance of sectorspecifieke regelgeving.
Een eigen verklaring mist twee cruciale elementen: onafhankelijke verifieerbaarheid en granulariteit op apparaatniveau. Zonder een aan een serienummer gekoppeld vernietigingscertificaat kan de auditor niet vaststellen welk specifiek apparaat wanneer is verwerkt. Dit maakt de verklaring in juridische zin onvoldoende als bewijs bij een datalek of onderzoek door de Autoriteit Persoonsgegevens.
Bovendien geldt: hoe gevoeliger de verwerkte data, hoe hoger de bewijslast. Organisaties die werken met medische dossiers, financiële gegevens of persoonsgegevens van grote aantallen betrokkenen, kunnen bij een audit niet volstaan met een generieke leveranciersverklaring. Zij hebben gecertificeerde documentatie nodig die per apparaat aantoont wat er is gebeurd.
Hoe bouw je een auditklaar ITAD-dossier op?
Een auditklaar ITAD-dossier bouw je op door voor elke IT-afvoercyclus vier documentlagen samen te brengen: de interne afschrijvingsregistratie, de overdrachtsbevestiging aan de ITAD-partner, het verwerkingsrapport en de vernietigingscertificaten per apparaat. Al deze documenten worden gearchiveerd per batch en minimaal bewaard gedurende de wettelijk vereiste bewaartermijn.
Begin intern met een actueel IT-assetregister. Elk apparaat dat wordt afgeschreven, moet traceerbaar zijn vanuit het assetbeheer naar het ITAD-dossier. Vervolgens documenteer je de overdracht: wanneer is de apparatuur opgehaald, door wie en via welke methode. De TEQBOX biedt hierbij een voordeel, omdat het gesloten transportsysteem met GPS-registratie het overdrachtsmoment automatisch vastlegt.
Na verwerking archiveer je het verwerkingsrapport en de certificaten direct in het ITAD-dossier, gekoppeld aan de betreffende assetregistratie. Stel intern vast wie verantwoordelijk is voor dit archiveringsproces, zodat bij een audit snel de juiste documenten beschikbaar zijn. Organisaties die periodiek grote batches apparatuur afvoeren via IT-hardware opkoop, profiteren van een gestandaardiseerde rapportagestructuur die per batch direct auditgereed is.
Wat is uw oude hardware nog waard?
Wij bepalen de restwaarde van uw IT-apparatuur en verzorgen veilige datavernietiging met certificaat.
Welke ITAD-partnercertificeringen zijn het meest relevant voor Nederlandse audits?
Voor Nederlandse audits zijn de meest relevante ITAD-partnercertificeringen die aantonen dat datavernietiging en milieucompliance structureel geborgd zijn in het werkproces van de leverancier. Concreet gaat het om een gecertificeerd dataverwerkingsproces, aantoonbare naleving van de AVG-wetgeving en gecertificeerde recyclingprocessen voor elektronisch afval. Een ITAD-partner zonder aantoonbare certificering biedt onvoldoende garantie voor compliance bij een externe audit.
Bij het beoordelen van een ITAD-partner voor auditdoeleinden let je op de volgende elementen:
- Gecertificeerd dataverwerkingsproces: De partner moet kunnen aantonen dat het datavernietigingsproces structureel is geaudit en goedgekeurd door een erkende instantie.
- Apparaatniveau-rapportage: Certificaten en rapporten worden per serienummer gegenereerd, niet alleen op batchniveau.
- Transparante keten van bewaring: De partner documenteert elk moment in de logistieke keten, van ophalen tot definitieve verwerking.
- AVG-compliancebewijs: De partner levert documentatie waarmee de opdrachtgever aantoonbaar kan voldoen aan de meldplicht en verantwoordingsplicht onder de AVG.
- Gecertificeerde recyclingverwerking: Voor apparatuur die wordt gerecycled, moet de partner kunnen aantonen dat de verwerking voldoet aan de geldende milieuwetgeving voor elektronisch afval.
Teqser voldoet aan deze eisen met een gecertificeerd dataverwerkingsproces, uitgebreide rapportage per apparaat en een volledig gedocumenteerd IT-recyclingproces. Voor organisaties die zich moeten verantwoorden bij een interne of externe audit, biedt een partner met deze aantoonbare kwalificaties de sterkste basis voor een sluitend ITAD-dossier.