Voor mijn werkgever ben ik bezig met de implementatie van de ISO27001. Deze vereist ook dat er - op een bepaalde wijze, rekening houdend met de AVG - screening plaatsvindt. Dit willen we middels een Verklaring Omtrent Gedrag (VOG) realiseren voor rollen die over veel rechten beschikken, met gevoelige data werken, financiële transacties kunnen verrichten, etc. Nu vraag ik me alleen of of we dit ook met terugwerkende kracht moeten doen. ISO27001 zegt wel dát je aan screening moet doen maar niet op welke wijze waardoor er natuurlijk de vrijheid is om er zelf invulling aan te geven. Mijn vraag is of dit tijdens een audit een major finding zou kunnen zijn als we het niet met terugwerkende kracht doen (of bijvoorbeeld alleen voor C-level). PS. Daarnaast twijfel ik aan of terugwerkende kracht überhaupt zin heeft omdat ik twijfel of je er opvolging aan wil geven (die werknemer heeft wellicht al 10 jaar aangetoond dat hij te vertrouwen is, wat natuurlijk niet alles zegt, maar toch..) of kan geven (vanuit een ...