Wat kost een ICT-audit? Factoren die de prijs bepalen
Gepubliceerd op
Er is geen vaste prijs voor een ICT-audit. De kosten hangen vooral af van de reikwijdte, het normenkader, de omvang van uw organisatie en hoeveel bewijs al op orde is. Vraag altijd meerdere offertes met dezelfde reikwijdte op.
Dit artikel hoort bij het thema Cybersecurity in het MKB, onderdeel van ICT-beveiliging voor het MKB.
Wat kost een ICT-audit?
De kosten van een ICT-audit voor een MKB-bedrijf lopen sterk uiteen. Er bestaat geen vaste standaardprijs: de investering hangt volledig af van de omvang van de organisatie, het aantal locaties en systemen, en vooral van de gewenste diepgang van het onderzoek.
Voor een gerichte, afgebakende controle (bijvoorbeeld een review van het back-up- en toegangsbeleid) betaal je aanzienlijk minder dan voor een formele audit conform een normenkader zoals ISO 27001 of ISAE 3402, waarbij steekproeven over een periode van maanden worden beoordeeld.
De belangrijkste prijsbepalende factoren
Wanneer je offertes opvraagt bij IT-auditkantoren of onafhankelijke adviseurs, bepalen de volgende aspecten het totale bedrag:
- Reikwijdte (Scope): Wordt alleen de kantoorautomatisering onderzocht, of vallen ook productielijnen, webapplicaties en maatwerksoftware binnen de audit?
- Infrastructuur: Een pure cloudomgeving (bijvoorbeeld Microsoft 365) is sneller te beoordelen dan een hybride netwerk met eigen fysieke servers op meerdere locaties.
- Diepgang van bewijsvoering: Kijkt de auditor alleen naar de aanwezigheid van beleidsdocumenten (opzet en bestaan), of voert hij ook steekproeven uit op de feitelijke werking over een heel kwartaal?
- Aantal interviews: Hoe meer medewerkers, afdelingshoofden en externe leveranciers geïnterviewd moeten worden, hoe meer uren de auditor kwijt is.
- Kwalificatie van de auditor: Een gecertificeerde RE-auditor (Register IT-Auditor) hanteert een ander uurtarief dan een algemene IT-consultant.
Typische onderdelen van een auditofferte
Een transparante offerte voor een audit is doorgaans opgebouwd uit de volgende fasen:
- Voorbereiding en intake: Afstemmen van scope, planning en het opvragen van documentatie.
- Onderzoek en interviews: Bestuderen van contracten, systeemcontroles en gesprekken met sleutelfiguren.
- Rapportage en validatie: Opstellen van het conceptrapport en een wederhoorgesprek om feitelijke onjuistheden te corrigeren.
- Eindpresentatie: Toelichting van de bevindingen aan directie en IT-partner.
Hoe vergelijk je offertes van auditors?
Let bij het vergelijken van voorstellen goed op wat er buiten de scope valt:
- Is een wederhoor- en toelichtingssessie inbegrepen in de vaste prijs?
- Levert het bureau alleen een lijst met afwijkingen op, of ook een geprioriteerd Plan van Aanpak?
- Bevat het voorstel een hertest (re-audit) nadat de knelpunten zijn opgelost, of moet daar apart voor worden betaald?
Eerst een zelfevaluatie: bespaar op externe adviesuren
Veel MKB-bedrijven schakelen direct een dure externe adviseur in, om er vervolgens achter te komen dat de meest basale zaken (zoals een overzicht van softwarelicenties of een getekende verwerkersovereenkomst) intern nog ontbreken. De auditor besteedt dan kostbare uren aan het constateren van zaken die je zelf eenvoudig had kunnen opmerken.
Door eerst intern een pre-assessment uit te voeren, breng je zelf de bekende aandachtspunten al in kaart. Je lost de voor de hand liggende zaken eerst op met je eigen IT-beheerder. Pas wanneer de basis op orde is, laat je een externe auditor komen voor de onderdelen waar formeel bewijs voor nodig is.
Veelgestelde vragen
Kan een gratis online scan een formele audit vervangen?
Nee. Een online zelfevaluatie geeft een indicatief beeld op basis van je eigen invoer. Als een bank, verzekeraar of toezichthouder formeel om een onafhankelijk auditrapport vraagt, volstaat een zelfevaluatie niet.
Vallen herstelwerkzaamheden onder de auditkosten?
Nee. Een auditor stelt alleen de tekortkomingen vast. Het daadwerkelijk doorvoeren van technische verbeteringen of het aanpassen van instellingen wordt uitgevoerd door je eigen IT-partner of een gespecialiseerde dienstverlener.