AVG en toegangsbeheer bij boekhoudsoftware

Direct antwoord: beoordeel boekhoudsoftware niet op één veiligheidslabel. Vraag bewijs voor rollen, aanmelding, wijzigingshistorie, export, verwerkersafspraken, incidentroute en beëindiging. Test vooral wat een gewone gebruiker, beheerder en externe adviseur werkelijk kunnen zien en veranderen.

Breng gegevens en verantwoordelijkheden in kaart

Noteer welke klant-, leveranciers-, bank-, factuur- en medewerkersgegevens in de administratie komen. Leg per gegevensgroep doel, bron, eigenaar en benodigde gebruikers vast. Het KVK-onderzoek naar digitalisering biedt algemene bedrijfscontext; gebruik die alleen als vertrekpunt om techniek aan een concreet bedrijfsproces te koppelen.

Teken ook de partijen rond het pakket: ondernemer, medewerkers, boekhouder, leverancier en eventuele koppeldienst. Vraag wie welke handeling uitvoert en welke overeenkomst of instelling daarvoor relevant is. Trek geen juridische conclusie uit alleen een schema; laat de eigen inrichting passend beoordelen.

Test rollen met echte uitzonderingen

Maak fictieve gebruikers voor dagelijkse invoer, controle en beheer. Probeer per rol een document te openen, bankregel te verwerken, boeking te corrigeren, gebruiker toe te voegen en export te maken. Een rolnaam bewijst niet dat de onderliggende rechten passend zijn.

Controleer toegang met de algemene uitgangspunten van de AVG. Test intrekken van toegang bij een vertrekkende medewerker en tijdelijke toegang voor een adviseur. Noteer welke stap intern gebeurt en waarvoor ondersteuning nodig is.

Controleer aanmelding en herstel

Doorloop uitnodiging, eerste aanmelding, wachtwoordherstel en herstel na verlies van een toestel. Gebruik uitsluitend testaccounts. Vraag hoe een beheerder een actieve sessie beëindigt en hoe de identiteit van een gebruiker bij herstel passend wordt gecontroleerd.

Leg vast welke mogelijkheden in de geteste versie zichtbaar zijn en welke alleen zijn beschreven. Publiceer geen certificering, hostinglocatie of veiligheidsclaim zonder een specifieke, gedateerde bron. Een verkoopantwoord blijft onbewezen totdat documentatie of testbewijs beschikbaar is.

Volg wijziging naar gebruiker en bron

Voer een foutieve boeking in, wijzig een leveranciersrekening en corrigeer een document. Controleer of tijd, gebruiker, oude situatie en nieuwe situatie voldoende herleidbaar zijn voor de eigen controle. Test daarna of een gewone gebruiker dezelfde historie kan wissen of overschrijven.

De Belastingdienst beschrijft de bewaarplicht voor administratie. Plaats wijzigingshistorie en bronstukken in dat bredere administratieve kader. Laat bewaartermijn en concrete dossierinhoud voor de eigen situatie afzonderlijk vaststellen.

Vraag afspraken en incidentroute op

Controleer welke afspraken gelden voor verwerking, ondersteuningstoegang, subverwerkers, wijziging van voorwaarden en melding van een incident. Noteer documentnaam, datum en versie. Behandel een standaardantwoord niet automatisch als passend voor het werkelijke gebruik en de aangesloten diensten.

Simuleer een vermoeden van ongewenste toegang. Leg vast wie intern beslist, welke leverancierroute wordt gebruikt, welk bewijs behouden blijft en hoe getroffen toegang wordt beperkt. Deze oefening beoordeelt bereikbaarheid en duidelijkheid, niet de incidenthistorie van een leverancier.

Test beëindiging vóór aankoop

Vraag een export van transacties, documenten, relaties, open posten en relevante historie. Open bestanden buiten de toepassing en controleer of verwijzingen begrijpelijk blijven. Vraag vervolgens wat met accounts, back-ups, koppelingen en ondersteuningskopieën gebeurt na contracteinde, maar verifieer elk antwoord in gedateerde voorwaarden.

De vragen, labels en conclusie blijven onafhankelijk; betaling levert geen AVG-conformiteitsstempel op. Bewaar testdatum, productversie, bronnen en open punten en herhaal de controle bij nieuwe koppelingen, rollen of contractvoorwaarden.