Werken als IT Auditor

Wat doet een IT Auditor?

Een IT Auditor beoordeelt IT in bedrijven en organisaties en adviseert over wat er beter kan. NOREA, de beroepsorganisatie voor IT-auditors, omschrijft het werk zo: een IT-auditor oordeelt en adviseert over IT. De auditor legt een norm naast de werkelijkheid. Die norm kan een wet zijn, een standaard, intern beleid of de eigen risicoanalyse van de organisatie. Daarna toetst de auditor of een beheersmaatregel bestaat, of die werkt en of er bewijs van is. Een bevinding zonder bewijs is een mening.

Een werkweek rond één audit ziet er zo uit. Stel dat de opdracht is om het toegangsbeheer van een administratiesysteem te beoordelen. Op maandag stel je met de opdrachtgever de scope en de criteria vast, en maak je een plan. Dinsdag en woensdag voer je gesprekken met de proceseigenaar en de beheerders, en vraag je een uittreksel op van alle gebruikers met hun rechten.

Op donderdag leg je dat uittreksel naast de lijst van medewerkers. Je ziet een account van een medewerker die vertrokken is, en dat account is nog actief. Je vraagt de logs op, kijkt of het account nog gebruikt is en legt vast wat je ziet en wat je niet kunt vaststellen. Op vrijdag bespreek je de bevinding met de proceseigenaar, want hoor en wederhoor hoort bij het werk. Daarna schrijf je het conceptrapport met bewijs, oorzaak en aanbeveling. Ten slotte volgt de opvolging: is het hersteld?

Onafhankelijkheid maakt het verschil met een collega die de beveiliging inricht. Wie een systeem inricht, toetst het niet zelf. Het werk hoort thuis in het vakgebied compliance en privacy, waar de naleving van wetten en normen centraal staat.

Welke taken horen bij de functie?

ENISA, het Europese cyberbeveiligingsagentschap, beschrijft in het European Cybersecurity Skills Framework twaalf typische beroepsprofielen. Een daarvan is de Cybersecurity Auditor. Dat profiel is een Europees referentiekader en geen functieomschrijving van één werkgever, dus een vacature kan de taken anders verdelen. Het document is van september 2022, zie de rolprofielen van ENISA.

In gewone taal komt het profiel neer op een aantal taken. De auditor ontwikkelt het auditbeleid en de auditprocedures van de organisatie. Per audit bepaalt de auditor de scope, de doelstellingen en de criteria waartegen getoetst wordt. Daarna volgt een auditplan met kaders, normen, methode en tests, dat de auditor uitvoert. Daarbij worden bewijs en metingen verzameld en blijven de auditdossiers intact en beschermd. De auditor toetst de naleving van cybersecuritywetten en -regelgeving en de conformiteit met normen, rapporteert over de uitkomsten en volgt op of risico's daadwerkelijk worden hersteld.

Het profiel noemt twee resultaten: een Cybersecurity Audit Plan en een Cybersecurity Audit Report. Voor de wetgeving is de koppeling met NIS2 relevant. ENISA koppelt in een document van juni 2025 de Cybersecurity Auditor aan NIS2: de rol toetst of een organisatie aan de richtlijn voldoet en zoekt naar verbeterpunten. Zie NIS2 en de Cyberbeveiligingswet voor wat dat in Nederland betekent.

Welke skills heb je nodig?

Het profiel vraagt om systematisch en bewijsgericht werken, en om auditkaders en -methoden toe te passen. Daaronder vallen technische en niet-technische skills. Hieronder staan ze met een voorbeeld uit het werk.

• Begrijpen hoe beheersmaatregelen werken. Denk aan toegangsbeheer, wijzigingsbeheer, back-ups en logging. Bij wijzigingsbeheer zoek je of een wijziging ook getest en goedgekeurd is, en niet alleen of de beheerder zegt dat dat gebeurt.
• Een systeem of proces ontleden. Je zoekt waar een maatregel niet werkt of ontbreekt. Een beheerder zegt dat elke wijziging wordt goedgekeurd, en jij kijkt in de tickets of dat werkelijk zo is.
• Gegevens analyseren. Je vergelijkt een uittreksel uit een systeem met een andere bron, bijvoorbeeld de gebruikerslijst met de personeelslijst.
• Kennis van normen en wetten. Je weet wat een eis betekent en waar je het bewijs voor zoekt.
• Onpartijdig blijven. Als de uitkomst ongemakkelijk is voor een afdeling, blijf je bij het bewijs.
• Feitelijk opschrijven. Een bevinding beschrijft wat je zag, wanneer en met welk bewijs, zonder oordeel over personen. Niet "de beheerder is nalatig", maar "account X is nog actief, terwijl de medewerker volgens de personeelslijst vertrokken is".
• Uitleggen aan wie de audit niet gevraagd heeft. Een directie moet in een paar minuten begrijpen wat er mis is, en een beheerder moet kunnen zien wat hij moet doen.

Welke tools en technologie gebruikt een IT Auditor?

Het werk bestaat vooral uit documenten, uittreksels uit systemen, gesprekken en steekproeven. Je installeert er minder gereedschap voor dan een engineer. Het werk zit in lezen, vergelijken en goed opschrijven.

Veel analyse gebeurt in spreadsheets en met scripts op de uittreksels. Scripttalen als Python en PowerShell helpen om gegevens te filteren en te vergelijken. Bij sommige organisaties worden bevindingen en acties bijgehouden in een ticketsysteem of GRC-platform, zoals ServiceNow. Hoe een werkgever dat inricht, verschilt per organisatie.

Normen zijn het gereedschap om tegen te toetsen. ISO 27001 is de norm voor informatiebeveiliging, ITIL beschrijft IT-dienstverlening en SOX gaat over de betrouwbaarheid van financiële verslaggeving. Voor wet- en regelgeving kom je bij NIS2 en AVG uit, en soms is de eigen risicoanalyse van de organisatie de norm waartegen je toetst. Welke normen en systemen gelden, staat in de vacature.

Welke opleiding en certificeringen passen bij een IT Auditor?

De RE-titel is een Nederlandse beroepstitel die via NOREA loopt. NOREA beheert het register van RE's, het Register EDP-Auditor. Voor inschrijving vraagt NOREA een diploma van een erkende postgraduate IT-auditopleiding, minimaal drie jaar relevante werkervaring en een Verklaring Omtrent het Gedrag. Een ingeschreven RE verbindt zich aan de gedrags- en beroepsregels van NOREA. Volgens de veelgestelde vragen van NOREA zijn de erkende opleidingen die van de UvA, de EUR, TIAS en de VU. Die lijst kan veranderen, dus controleer de veelgestelde vragen van NOREA.

De CISA is een certificering van ISACA, bedoeld om de vaardigheden te valideren voor de uitdagingen en verantwoordelijkheden van een moderne IT-auditor. Ze bestrijkt vijf domeinen, waaronder governance van IT en de bescherming van informatiebezit. Eisen en kosten staan in het kennisbankartikel over de CISA en op de ISACA-pagina voor de CISA. Vacatures die de CISA noemen staan op de skillpagina voor CISA.

Voor wie audits op een informatiebeveiligingsmanagementsysteem leidt, bestaat de ISO 27001 Lead Auditor. Het is een opleiding en certificering, zie de pagina over de ISO 27001 Lead Auditor-opleiding. Meer over de norm zelf staat in ISO 27001: wat is het. Vacatures met deze eis vind je op de skillpagina voor ISO 27001 Lead Auditor.

Geen van deze routes vervangt ervaring. Of een werkgever er waarde aan hecht, verschilt, en de vacature zegt wat er gevraagd wordt. Twijfel je tussen certificeringen, lees dan CISSP, CISM of CISA: welke certificering past.

Hoe word je IT Auditor?

Een gangbare basis is een hbo- of wo-opleiding in ICT, informatica, bedrijfskunde of accountancy. Een deel stroomt in via een traineeship of een eerste functie bij een auditteam. Anderen komen uit systeembeheer, security of risicomanagement en stappen over naar auditing. Dan leer je er de auditmethode bij.

Voor de RE-titel gelden de voorwaarden uit het vorige onderdeel. Volgens NOREA telt als relevante ervaring onder meer werk aan assurance-rapportages zoals ISAE 3402 en SOC-rapportages, ISO-audits op informatiebeveiliging, interne audits van IT-processen en complianceaudits zoals NIS2, BIO en AVG. Ook data-analyse en penetratietesten kunnen meetellen. Begin je net, dan zoek je eerst een functie waarin je die ervaring opdoet.

Wat je kunt laten zien telt. Een goed opgeschreven bevinding laat zien hoe je werkt. Laat ook zien dat je een eigen kleine controle kunt opzetten, bijvoorbeeld toegangsrechten in een oefenomgeving naast een lijst leggen. Begrip van een norm en een nieuwsgierige houding over hoe een proces echt loopt, vallen daar ook onder.

Waar werk je als IT Auditor?

IT-auditors werken bij auditorganisaties en accountantskantoren, bij adviesbureaus, in interne auditafdelingen van grotere organisaties en bij overheidsinstellingen. Sectoren waar audits en toezicht een grote plek hebben, zijn onder meer financiële dienstverlening, verzekeringen en pensioenen, de rijksoverheid en zorg en life sciences. Bij adviesgerichte werkgevers past consultancy en data services. Zie ook werkgevers voor IT-auditors.

Waar groei je naartoe?

Dit is een overzicht van routes, geen belofte over wat of wanneer. Welke route openstaat, hangt af van de organisatie en van je ervaring.

• Senior IT Auditor of auditmanager. Je leidt grotere en complexere audits en begeleidt andere auditors.
• IT Risk Manager. Je beheert risico's in plaats van ze alleen te toetsen. Lees werken als IT Risk Manager.
• GRC Consultant. Je helpt organisaties om aan normen en eisen te voldoen. Lees werken als GRC Consultant.
• Information Security Officer. Je coördineert de beveiliging in de organisatie zelf. Lees werken als Information Security Officer.
• Compliance Officer. Je bewaakt de naleving van wet- en regelgeving. Lees werken als Compliance Officer.

IT Auditor of Information Security Officer?

Beide rollen raken aan beveiliging, maar ze staan aan verschillende kanten. De tabel laat zien waar de verschillen zitten.

Kies auditing als je graag onderzoekt en toetst, en de rol van Information Security Officer als je ook wilt inrichten en sturen. Lees de rolgids Information Security Officer en het artikel Information Security Officer of CISO: het verschil.

Vacatures en werkgevers

Bekijk de vacatures voor IT-auditors en lees op werkgevers voor IT-auditors welke organisaties dit werk inrichten.