Audit van sleutelbeheer: klopt het register met de werkelijkheid?

1. Bepaal scope en auditdatum

Leg vast welke gebouwen, deuren, sleuteltypes, kasten en digitale systemen worden meegenomen. Kies een peildatum, zodat mutaties tijdens de controle apart worden bijgehouden. Begin bij buitendeuren en kritieke zones wanneer een volledige inventaris niet tegelijk haalbaar is. Benoem wie gegevens mag aanleveren en wie bevindingen beslist.

• Locaties en deurcategorieën in scope.
• Mechanische, programmeerbare en noodmiddelen opnemen.
• Eén auditcoördinator en zone-eigenaars.

2. Verifieer de deurinventaris fysiek

Loop de locatie door met de actuele plattegrond. Controleer deurcode, functie, slot, cilinder en eventuele groepsrelatie. Noteer verdwenen, dubbel benoemde of nieuw geplaatste deuren. Een sluitplan gebaseerd op een verouderde deurstaat kan rechten verkeerd voorstellen, zelfs wanneer iedere sleutel administratief is ingevuld.

• Deur bestaat en code is eenduidig.
• Zone en eigenaar zijn actueel.
• Technische wijzigingen teruggekoppeld naar documentatie.

3. Tel voorraad en uitgegeven sleutels

Vergelijk sleutelkast, reserves, noodsets en medewerkersuitgifte met het register. Gebruik codes, niet alleen aantallen. Onderzoek onbekende sleutels en administratieve exemplaren zonder fysieke tegenhanger. Vermijd tijdens de audit nieuwe informele uitgifte; registreer noodzakelijke mutaties in een apart log.

• Fysiek aanwezig, uitgegeven, verloren of ingetrokken.
• Reservevoorraad per sleutelcode.
• Hoofd- en noodsleutels afzonderlijk bevestigen.

4. Toets rechten aan huidige rollen

Vraag zone-eigenaars te bevestigen welke functies toegang nodig hebben. Controleer medewerkers die van team of locatie veranderden, externe partijen en langdurige tijdelijke rechten. Een sleutel die ooit terecht is uitgegeven kan vandaag overbodig zijn. Neem digitale rechten en mechanische sleutels in dezelfde beoordeling mee.

• Standaardrol versus individuele uitzondering.
• Vertrokken gebruikers en verlopen contracten.
• Brede toegang met expliciete zakelijke reden.

5. Test kernprocessen met voorbeelden

Selecteer recente onboarding, functiewijziging, vertrek en verliesincidenten. Controleer of aanvraag, goedkeuring, uitgifte, retour en technische opvolging aantoonbaar zijn. Een procedure op papier is zwak bewijs wanneer praktijksituaties buiten het proces om gingen. Vraag beheerders een wijziging zelf uit te voeren.

• Van aanvraag tot registratie traceerbaar.
• Verlies leidt tot scope- en risicobeoordeling.
• Offboarding omvat alle fysieke en digitale middelen.

6. Beoordeel opslag, duplicatie en noodtoegang

Controleer wie bij reserve- en hoofdsleutels kan, hoe veiligheidspassen worden bewaard en wie duplicaten bestelt. Kijk ook naar noodmiddelen: zijn ze bereikbaar voor bevoegde hulp zonder algemeen beschikbaar te zijn? Test periodiek of verzegeling, kaststatus en contactgegevens nog kloppen.

• Kast of kluis passend geplaatst en beperkt toegankelijk.
• Bestelkaarten gescheiden en gecontroleerd.
• Noodprocedure actueel, getest en gedocumenteerd.

7. Rangschik bevindingen op risico en herstelbaarheid

Niet ieder verschil vraagt een nieuw sluitsysteem. Maak onderscheid tussen snelle administratieve correcties, procedureproblemen en technische tekortkomingen. Geef iedere actie een eigenaar, deadline en bewijs van afronding. Plan een hercontrole op de belangrijkste punten. Kies nieuwe techniek pas nadat de oorzaak van de afwijkingen duidelijk is.

• Direct corrigeren: register, labels en verlopen rechten.
• Proces verbeteren: aanvraag, retour en escalatie.
• Technisch onderzoeken: onbekende scope, zwakke opslag of onbeheerbare sleutelhiërarchie.

8. Sluit de audit pas na aantoonbaar herstel

Vraag voor iedere belangrijke bevinding bewijs: bijgewerkt register, teruggenomen sleutel, goedgekeurde rolmatrix, foto van aangepaste opslag of test van een ingetrokken recht. Controleer vervolgens een steekproef opnieuw. Rapporteer openstaande acties apart aan de verantwoordelijke leiding en spreek een nieuwe controledatum af. Noteer ook welke restrisico’s bewust zijn aanvaard en door wie. Zonder deze afsluiting verschuift dezelfde lijst naar de volgende audit en blijft het werkelijke risico ongewijzigd.