H9 — Evaluatie
ISO/IEC 42001:2023 §9 | Harborn AI-managementsysteem
9.1 KPI-rapportage verantwoord AI
De AI Officer rapporteert kwartaals aan de Directie over de volgende AI-prestatie-indicatoren:
9.1.1 KPI-dashboard
| KPI | Meting | Streefwaarde | Rapportagefrequentie |
|---|---|---|---|
| Training afgerond | % medewerkers dat AI-bewustwordingstraining heeft voltooid | ≥ 90% | Kwartaal |
| Goedgekeurde tools | % actieve AI-tools dat in AI-inventaris staat met status "goedgekeurd" | 100% | Kwartaal |
| AI-incidenten | Aantal gemelde AI-incidenten per kwartaal | Registratie 100% | Kwartaal |
| Incidentafhandeling | % AI-incidenten afgehandeld binnen 30 dagen | ≥ 95% | Kwartaal |
| Impact assessments | % nieuwe AI-tools met voltooide impact assessment vóór ingebruikname | 100% | Kwartaal |
| Leveranciersbeoordelingen | % AI-leveranciers met actuele beoordeling (max. 12 maanden oud) | 100% | Jaarlijks |
| Verwerkersovereenkomsten | % AI-leveranciers die persoonsgegevens verwerken met getekende DPA | 100% | Jaarlijks |
9.1.2 Rapportageformat
De kwartaalrapportage bevat minimaal: - Voortgang op alle KPIs ten opzichte van streefwaarden - Overzicht van AI-incidenten (geanonimiseerd) - Wijzigingen in de AI-inventaris (nieuwe goedkeuringen, intrekkingen) - Relevante externe ontwikkelingen (EU AI Act updates, nieuwe AI-tools in de markt) - Actiepunten voor het komende kwartaal
9.2 Interne audit AI-track
9.2.1 Scope en frequentie
De AI-track van het interne auditirogramma wordt jaarlijks uitgevoerd, als onderdeel van of aansluitend op de ISO 27001 / ISO 9001 interne audit. De scope omvat:
- Naleving van de AI Management Policy
- Compleetheid en actualiteit van de AI-inventaris
- Uitvoering en kwaliteit van impact assessments
- Naleving van procedures H8 (acceptable use, incidentprotocol, leveranciersbeoordeling)
- Effectiviteit van het AI-bewustwordingsprogramma
- Actualiteit van het AI-risicoregister
9.2.2 Wie voert de audit uit?
De interne audit wordt uitgevoerd door een interne auditor die onafhankelijk is van de AI Officer-functie (conform ISO 42001 §9.2). Dit kan zijn: - Een interne auditor van een andere afdeling (met voldoende AI-kennis) - Een externe auditor of adviseur
De AI Officer bereidt de audit voor en levert documentatie aan, maar voert de audit niet zelf uit.
9.2.3 Auditplanning
De AI-interne audit wordt opgenomen in de GMS-auditkalender. Planning:
| Activiteit | Timing | Verantwoordelijke |
|---|---|---|
| Vaststellen auditscope | 6 weken voor audit | AI Officer + Directie |
| Documenten aanleveren | 2 weken voor audit | AI Officer |
| Uitvoering audit | Conform kalender | Interne auditor |
| Auditrapport | 2 weken na audit | Interne auditor |
| Opvolging bevindingen | 4 weken na rapport | AI Officer |
9.3 Directiebeoordeling — AI-component
De jaarlijkse directiebeoordeling (management review) bevat een AI-specifiek agendapunt. De AI Officer bereidt dit voor en presenteert:
Agenda-items directiebeoordeling AI
| Agendapunt | Input |
|---|---|
| Resultaten KPI-rapportage (jaar) | Jaarlijkse KPI-overzicht |
| Bevindingen interne audit AI | Auditrapport + opvolgstatus |
| AI-incidenten en geleerde lessen | Incidentoverzicht + analyse |
| Wijzigingen in AI-risicoprofiel | Actueel AI-risicoregister |
| Status Annex A controls | Voortgang implementatie |
| Ontwikkelingen wet- en regelgeving | EU AI Act, AVG updates |
| Voortgang doelstellingen | KPI vs. streefwaarden |
| Beslispunten | Nieuwe tools, beleidswijzigingen, resource-aanvragen |
De directiebeoordeling resulteert in vastgelegde beslissingen en actiepunten, die worden opgevolgd in H10 Verbetering.