Veelgestelde vragen

Bij ARCAAS werkt u rechtstreeks met ervaren specialisten die inhoud, bestuurlijke context en implementatie verbinden. De lijnen zijn kort en de aanpak wordt niet vanuit een standaardpakket opgelegd. We bepalen eerst wat uw organisatie werkelijk nodig heeft en kiezen daarna een passende combinatie van advies, uitvoering, training en onafhankelijke toetsing. Waar nazorg nodig is, blijven we betrokken.

Wij werken voor organisaties die aantoonbaar grip willen houden op risico’s, beheersing en regelgeving. Daaronder vallen banken, verzekeraars, pensioenfondsen, bemiddelaars, IT- en serviceorganisaties, overheden en andere publieke of private instellingen. De precieze aanpak verschilt per sector, omvang, governance en risicoprofiel.

Ja, waarbij wij onafhankelijkheid per opdracht expliciet beoordelen en vastleggen. Advies en implementatie kunnen dicht bij de organisatie plaatsvinden; een onafhankelijk assurance-oordeel vraagt juist voldoende afstand. Een professional toetst daarom niet zonder passende waarborgen het eigen ontwerp of de eigen implementatie. Eventuele belangen of rolconflicten worden vooraf besproken.

ISAE 3402 is bedoeld voor serviceorganisaties die aan klanten willen aantonen hoe relevante interne beheersmaatregelen zijn ingericht en functioneren. Bij Type I worden ontwerp en implementatie op een specifieke datum beoordeeld. Type II kijkt daarnaast naar de operationele werking gedurende een afgesproken periode. Een goede voorbereiding omvat onder meer scope, systeembeschrijving, control framework, bewijs en duidelijke verantwoordelijkheden.

Dat hangt af van doel, scope, normenkader, aantal processen en systemen, beschikbaarheid van bewijs en de mate waarin de organisatie al is voorbereid. Een afgebakende review kan in enkele weken worden uitgevoerd; een brede audit of Type II-assurancetraject duurt langer en kan een observatieperiode bevatten. Na de intake ontvangt u een realistische planning met mijlpalen en informatieverzoeken.

Ja. Afhankelijk van de vraag combineren we bijvoorbeeld ISO 27001, NIS2, DORA, SOC 2, ISAE 3000/3402 en relevante leveranciers- of sectorspecifieke controls. We kijken niet alleen naar techniek, maar ook naar eigenaarschap, contracten, auditrechten, datastromen, incidenten, continuïteit, subleveranciers en de aansluiting op uw eigen control framework.

DORA is sinds 17 januari 2025 van toepassing op een brede groep financiële entiteiten en bevat eisen voor ICT-risicobeheer, incidenten, testen, leveranciers en informatie-uitwisseling. Of uw organisatie binnen de reikwijdte valt, hangt onder meer af van het type onderneming, vergunning en activiteiten. Wij kunnen de scope bepalen en per verplichting inzichtelijk maken welk proces, bewijs en eigenaarschap nodig is.

De Nederlandse Cyberbeveiligingswet, waarmee NIS2 wordt omgezet, treedt op 15 augustus 2026 in werking. Wij helpen bij scopebepaling, bestuurlijke verantwoordelijkheid, gap-analyse, risico- en leveranciersmanagement, incidentprocessen, continuïteit, training en aantoonbare borging. De uitkomst is geen losse checklist, maar een geprioriteerd implementatieplan met eigenaren, bewijs en monitoring.

Zeker. We vertalen het relevante normenkader eerst naar concrete toetscriteria. Daarna vergelijken we die met beleid, processen, rollen, systemen en bewijs in de praktijk. U ontvangt een overzicht van sterke punten, gaps, risico’s, prioriteiten en acties, inclusief eigenaar en gewenst bewijs. Desgewenst ondersteunen we ook bij implementatie en opvolging.

We beginnen met een vrijblijvend gesprek over uw doel, aanleiding, context, gewenste zekerheid en planning. Vervolgens bepalen we welke stakeholders, documenten en systemen relevant zijn. Daarna ontvangt u een voorstel met scope, aanpak, rollen, resultaten, doorlooptijd en investering. Pas na uw akkoord starten we de opdracht.

Dat verschilt per opdracht. Vaak zijn relevant: organisatie- en procesbeschrijvingen, beleid, normenkaders, risicoanalyses, eerdere audits, incident- en leveranciersinformatie, rapportages, control frameworks en beschikbaar bewijsmateriaal. U hoeft niet vooraf alles compleet te hebben; tijdens de intake maken we een gerichte en proportionele informatievraag.

De investering hangt af van scope, complexiteit, gewenste diepgang, inzet van specialisten en doorlooptijd. Na de intake ontvangt u een transparant voorstel. Afhankelijk van de opdracht werken we met een vaste prijs, dagtarief, incompanytarief, interim-inzet of service-/abonnementsvorm. Wij starten pas nadat scope en kosten helder zijn.

AI-governance is de manier waarop een organisatie richting, verantwoordelijkheid en controle rond AI organiseert. Het gaat over doelen, keuzes, risico’s, menselijk toezicht en de informatie die nodig is om te kunnen bijsturen. Beleid is een onderdeel; de dagelijkse werking van afspraken hoort er net zo goed bij.

AI compliance gaat over het toepassen en aantoonbaar naleven van de eisen die voor uw AI-gebruik gelden. Het verbindt toepasselijke wet- en regelgeving met interne afspraken, verantwoordelijkheden en controles. Welke eisen relevant zijn, hangt af van de toepassing, de rol van de organisatie en de context. Ook gedrag, training en opvolging van afwijkingen horen bij een werkbare aanpak.

AI riskmanagement, ook wel AI-risicomanagement, is het herkennen, beoordelen, beheersen en blijven volgen van risico’s rond AI. Het gaat om gevolgen voor mensen, besluiten, data, processen en leveranciers. U bepaalt passende maatregelen, wie verantwoordelijk is en wanneer bijsturing nodig is. AI-governance verbindt deze risicoaanpak met AI compliance en bestuurlijke besluitvorming.

Hein van den Steenhoven is binnen ARCAAS het inhoudelijke aanspreekpunt voor AI-governance, AI compliance en AI riskmanagement. Hij is auteur van AI Governance in de Praktijk en verbindt dit onderwerp met governance, risicomanagement, compliance, gedrag en bedrijfscontinuïteit. Bekijk zijn profiel voor zijn achtergrond, boeken en publicaties.

AI kan tegelijk invloed hebben op werkprocessen, gegevens, mensen en besluiten. Een aanpak die alleen naar techniek of alleen naar regels kijkt, laat andere vragen open. Hein van den Steenhoven brengt daarom meerdere perspectieven samen: wat wil het bestuur, wat kan de organisatie uitvoeren en hoe wordt duidelijk of de afspraken werken?

Het onderzoek loopt nog. Op de onderzoekspagina leest u waarom ARCAAS het onderzoek uitvoert, voor wie de vragenlijst is bedoeld en hoe u kunt deelnemen. De onderzoeksuitkomsten worden pas na verwerking en analyse gepresenteerd.