> For the complete documentation index, see [llms.txt](https://docs.cerrix.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.cerrix.com/cerrix-documentation-nl/best-practices-en-handleidingen/control-design-and-implementation-execution-and-effectiveness-testing-whats-the-difference.md).

# Ontwerp en implementatie van beheersmaatregelen, uitvoering en effectiviteitstoetsing: wat is het verschil?

Beheersmaatregelen zijn alleen iets waard als u kunt aantonen dat ze goed zijn ontworpen, daadwerkelijk worden uitgevoerd en in de loop van de tijd blijven werken. CERRIX ondersteunt elk van deze drie vragen met eigen functionaliteit, en de namen lijken voldoende op elkaar om verwarring te veroorzaken.

Deze handleiding legt uit wat **Testen voor ontwerp & implementatie (D\&I)**, **Uitvoering beheersmaatregel** en **Effectiviteitstoetsing** elk antwoordt, hoe ze samenhangen en waar u ze in CERRIX vindt.

***

## De drie vragen in één oogopslag

| Activiteit                                     | Vraag die het beantwoordt                                                  | Wie handelt in CERRIX                                                      |
| ---------------------------------------------- | -------------------------------------------------------------------------- | -------------------------------------------------------------------------- |
| **Testen voor ontwerp & implementatie (D\&I)** | *Is de beheersmaatregel goed beschreven en bestaat deze zoals beschreven?* | Uploader van bewijsstukken (eerste lijn), tester (tweede lijn)             |
| **Uitvoering beheersmaatregel**                | *Is de beheersmaatregel deze keer tijdig en met bewijsstukken uitgevoerd?* | Verantwoordelijke (uitvoerder van de beheersmaatregel), optionele reviewer |
| **Effectiviteitstoetsing**                     | *Functioneerde de beheersmaatregel effectief gedurende de hele periode?*   | Uploader van brondocumenten, uploader van bewijsstukken, tester, reviewer  |

Kort gezegd: D\&I-toetsing kijkt naar de beheersmaatregel **zoals ontworpen**, de uitvoering van de beheersmaatregel is de beheersmaatregel die **wordt uitgevoerd**, en effectiviteitstoetsing kijkt terug naar een periode van uitvoeringen om te beoordelen of de beheersmaatregel **betrouwbaar werkt**.

***

## Testen voor ontwerp & implementatie (D\&I)

**Wat het is**\
Een toets of de beheersmaatregel correct is gedefinieerd en daadwerkelijk is ingevoerd. Deze beantwoordt twee vragen tegelijk: is de beschrijving volledig en afgestemd op het risico (opzet), en kan de tester aan de hand van bewijsstukken zien dat de beheersmaatregel bestaat en wordt uitgevoerd zoals beschreven (bestaan)? In het Nederlands staat dit bekend als de *Opzet & Bestaanstest*.

**Voorbeeld**\
Een tester controleert of de beschrijving van een beheersmaatregel voor inkoopgoedkeuring het 5W1H-model volgt, en vraagt om bewijsstukken (bijvoorbeeld een screenshot van de Workflow-configuratie) waaruit blijkt dat de aanvrager en goedkeurder daadwerkelijk verschillende personen zijn.

**In CERRIX**\
D\&I-toetsing wordt ingesteld in de sectie **D\&I-toetsing** van de beheersmaatregel. Er wordt een testplan ingevuld, meestal op basis van een **catalogus Documentatie & Implementatie** (een herbruikbare sjabloon), met een tester, een of meer uploaders van bewijsstukken, een eerste toetsdatum, een toetsfrequentie, de toetsactiviteit en de toetsnorm.

De Workflow heeft twee stappen die bij elke toetscyclus worden herhaald:

1. **Wachten op bewijs**: de uploader van bewijsstukken (eerste lijn) ontvangt een taak en uploadt de gevraagde documenten, en klikt vervolgens op **Klaar voor Assessment**.
2. **Klaar voor Assessment**: de tester (tweede lijn) beoordeelt de bewijsstukken en voegt een toetsresultaat toe met een **documentatiescore** en een **implementatiescore**.

De scores verschijnen in het paneel **Testscores** van de beheersmaatregel als de Opzetscore en Implementatiescore, en de **Volgende toetsdatum (D\&I)** wordt afgeleid van de eerste toetsdatum en toetsfrequentie.

{% content-ref url="/pages/142ea1e38a1f1f883e5e905e103e9b767fe26dd1" %}
[Testen voor ontwerp & implementatie (D\&I)](/cerrix-documentation-nl/cerrix-functionaliteiten/module-overview/controls/design-and-implementation-d-and-i-testing.md)
{% endcontent-ref %}

***

## Uitvoering beheersmaatregel

**Wat het is**\
De uitvoering van een beheersmaatregel is geen toets. Het is de beheersmaatregel zelf die wordt uitgevoerd door de verantwoordelijke persoon of het verantwoordelijke team, met de frequentie en op de wijze die de beschrijving van de beheersmaatregel voorschrijft, waarbij wordt vastgelegd dat dit is gebeurd.

**Voorbeeld**\
Een IT-beheerder beoordeelt op de eerste maandag van elke maand de lijst met gebruikerstoegangen, voegt de export toe en markeert de taak als voltooid.

**In CERRIX**\
De uitvoering van een beheersmaatregel wordt vastgelegd via **Uitvoeringstaken voor Beheersmaatregel**. Schakel de **Uitvoering van een beheersmaatregel** schakelaar in op de beheersmaatregel en maak vervolgens een **taakreeks** (terugkerende taken op basis van de frequentie van de beheersmaatregel, bijvoorbeeld maandelijks) of een **op Gebeurtenis gebaseerde** taak voor beheersmaatregelen die worden geactiveerd door een gebeurtenis in plaats van door een planning.

Elke taak gaat naar een of meer **verantwoordelijken**, die bewijsstukken toevoegen, optioneel een score en een opmerking geven, en de taak als voltooid markeren. Als er een **Reviewer** wordt toegewezen, gaat de taak eerst naar **Klaar voor beoordeling**, en de reviewer accepteert of wijst deze af. Taken verschijnen in de agenda van de verantwoordelijke en in de taak-Workspace, met automatische meldingen.

Omdat elke uitvoering met de bijbehorende bewijsstukken wordt vastgelegd, bouwt de uitvoering van de beheersmaatregel de populatie op waaruit effectiviteitstoetsing later steekproeven trekt (zie hieronder).

{% content-ref url="/pages/3d4f9e758c0b91836d9564a2abcb5eebebd1628c" %}
[Uitvoeringstaken voor Beheersmaatregel](/cerrix-documentation-nl/cerrix-functionaliteiten/module-overview/controls/control-execution-tasks.md)
{% endcontent-ref %}

***

## Effectiviteitstoetsing

**Wat het is**\
Een toets of de beheersmaatregel gedurende een periode effectief heeft gefunctioneerd. In plaats van naar één uitvoering te kijken, trekt de tester een steekproef uit alle uitvoeringen in de toetsperiode en controleert elke uitvoering aan de hand van de toetsstappen. In het Nederlands is dit de *werkingstest*.

**Voorbeeld**\
Voor de toetsperiode boekjaar 2026 neemt de tester een steekproef van 12 maandelijkse toegangsbeoordelingen en verifieert voor elke steekproef dat de beoordeling tijdig en volledig is uitgevoerd en dat vervolgacties zijn ondernomen.

**In CERRIX**\
Effectiviteitstoetsing wordt ingesteld op het tabblad **Effectiviteitstoetsing** van de beheersmaatregel. U definieert eerst **toetsperioden** (bijvoorbeeld kwartalen of een volledig jaar) en voegt vervolgens een **testplan** toe met de rollen, scope en instructies. CERRIX genereert taken en herinneringen voor alle betrokkenen. Het geavanceerde testplan volgt deze stappen:

1. **Brondocumenten**: de uploader van brondocumenten uploadt de populatie (bijvoorbeeld de volledige lijst met toegangsbeoordelingen in de periode).
2. **Steekproeftrekking**: steekproeven worden gegenereerd op aantal, op datum of vanuit een spreadsheet, met behulp van de [Randomizer](https://docs.cerrix.com/cerrix-functionalities/module-overview/controls/control-advanced-effectiveness-testing/randomizer).
3. **Bewijs**: de uploader van bewijsstukken levert bewijsstukken per steekproef aan, of markeert een steekproef als zonder bewijsstukken met een toelichting.
4. **Testen**: de tester beoordeelt elke toetsstap per steekproef en geeft een eindconclusie.
5. **Beoordeling**: de reviewer accepteert of wijst de conclusie af (wanneer de reviewerstap is ingeschakeld in de instellingen van de Beheersmaatregelmodule).

De status van het plan verandert van **Brondocumenten uploaden om Workflow te starten** via **Wachten op bewijs**, **Beheersmaatregeltoetsing** en **Klaar voor Assessment** in op **Voltooid**. Pas wanneer een plan is voltooid, worden de **Effectiviteitsscore** en **Toetsdatum (effectiviteit)** op de beheersmaatregel ingevuld.

{% content-ref url="/pages/482aece8fffbdfc8031668fe513656874b7db368" %}
[Geavanceerde Effectiviteitstoetsing van Beheersmaatregel](/cerrix-documentation-nl/cerrix-functionaliteiten/module-overview/controls/control-advanced-effectiveness-testing.md)
{% endcontent-ref %}

***

## Hoe de drie samenhangen

Beschouw ze als een reeks in plaats van drie afzonderlijke functies:

1. **D\&I-toetsing** bevestigt dat de beheersmaatregel de moeite waard is om uit te voeren: deze is goed beschreven en bestaat werkelijk.
2. **Uitvoering van een beheersmaatregel** is de dagelijkse uitvoering van de beheersmaatregel, waarbij onderweg bewijsstukken worden verzameld.
3. **Effectiviteitstoetsing** kijkt terug naar een periode van uitvoeringen en concludeert of de beheersmaatregel heeft gewerkt.

De koppeling tussen stap 2 en 3 is expliciet in CERRIX. Met **uitvoeringsgebaseerde beheersmaatregeltoetsing**, schakelt u **Uitvoering van beheersmaatregel gebruiken** in op het testplan, en CERRIX gebruikt automatisch alle uitvoeringstaken van beheersmaatregelen in de toetsperiode als populatie. Bewijsstukken die aan deze taken zijn gekoppeld, worden naar de steekproeven gekopieerd, zodat de uploader van bewijsstukken deze niet opnieuw hoeft te verzamelen. Als er in de periode geen uitvoeringstaken bestaan, gaat CERRIX ervan uit dat de beheersmaatregel niet heeft plaatsgevonden.

{% content-ref url="/pages/bc9124667dfaf16ee7ce6a9e66d95192bc8fdce3" %}
[Uitvoeringsgebaseerde test van Beheersmaatregelen](/cerrix-documentation-nl/cerrix-functionaliteiten/module-overview/controls/control-advanced-effectiveness-testing/execution-based-control-testing.md)
{% endcontent-ref %}

***

## Veelvoorkomende verwarringen

**Frequentie van de beheersmaatregel versus toetsfrequentie**\
Het **frequentie beheersmaatregel** op de beheersmaatregel (bijvoorbeeld maandelijks) geeft aan hoe vaak de beheersmaatregel wordt *uitgevoerd*. De **toetsfrequentie** op een D\&I-testplan en de **toetsperioden** in effectiviteitstoetsing beschrijven hoe vaak de beheersmaatregel wordt *getoetst*. Een maandelijkse beheersmaatregel wordt doorgaans één of enkele keren per jaar getoetst.

**Vereist monitoring**\
Het **Vereist monitoring** selectievakje op de beheersmaatregel markeert beheersmaatregelen die formeel worden getoetst. Toetsdata en scores in Workspaces en voorinstellingen worden alleen ingevuld voor gemonitorde beheersmaatregelen, dus vink dit aan voor elke beheersmaatregel die u wilt toetsen.

**Eigenaar versus verantwoordelijke versus tester**\
Het **eigenaar** van een beheersmaatregel is als geheel verantwoordelijk ervoor. De **verantwoordelijke** bij een uitvoeringstaak van een beheersmaatregel voert de beheersmaatregel uit. De **tester** bij D\&I- of effectiviteitstoetsing beoordeelt deze, idealiter vanuit de tweede lijn. Door deze gescheiden te houden, krijgt uw toetsing onafhankelijkheid.

**Scores**\
De scores waaruit u kunt kiezen (bijvoorbeeld Effectief, Gedeeltelijk effectief, Ineffectief) komen uit de Basisgegevens van Beheersmaatregelen en kunnen dus per organisatie verschillen. Stem de betekenis ervan af voordat u met toetsen begint.

***

## Best practices

* Schakel **uitvoering beheersmaatregel** op beheersmaatregelen die u op effectiviteit wilt toetsen, en vraag verantwoordelijken om bij elke taak bewijsstukken toe te voegen. Dit maakt uitvoeringsgebaseerde effectiviteitstoetsing mogelijk en voorkomt dat populaties handmatig moeten worden verzameld.
* Wijs de **tester** en **Reviewer** rollen toe aan personen die onafhankelijk zijn van de verantwoordelijke die de beheersmaatregel uitvoert.
* Stel in **toetsperioden** die aansluiten bij uw toetsritme en pas voor alle beheersmaatregelen dezelfde naamgevingsconventie toe (bijvoorbeeld K1 2026, boekjaar 2026).
* Gebruik **Kopiëren uit bestaand testplan** om testplannen naar een nieuwe periode door te rollen, zodat roltoewijzingen en instructies worden overgenomen.
* Koppel elke beheersmaatregel aan de **risico's** die deze beperkt en aan de relevante **frameworkdimensies**, zodat toetsresultaten traceerbaar zijn in dashboards en Auditrapporten.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.cerrix.com/cerrix-documentation-nl/best-practices-en-handleidingen/control-design-and-implementation-execution-and-effectiveness-testing-whats-the-difference.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.