Wat moet een e-signature audittrail bewijzen?

Direct antwoord: een audittrail is pas bruikbaar wanneer een buitenstaander kan reconstrueren welk document door wie, via welke route en met welke gebeurtenissen is behandeld. Een loglijst alleen bewijst niet automatisch identiteit, bevoegdheid of de juiste documentversie. Gebruik het Europese eIDAS-kader om termen rond elektronische handtekeningen en vertrouwensdiensten correct te plaatsen.

Definieer eerst wat het dossier moet bewijzen

Schrijf per documenttype op welke vragen later beantwoord moeten kunnen worden. Welke versie is aangeboden? Wie kreeg het verzoek? Welke identityroute is gebruikt? Was er een weigering, intrekking of verlopen uitnodiging? Wie heeft een correctie gestart? Het antwoord bepaalt welke gebeurtenissen in de audittrail noodzakelijk zijn.

Neem bevoegdheid apart op. Een technisch herkende tekenaar kan nog steeds niet bevoegd zijn om namens een organisatie te handelen. Leg vast wie dat vooraf controleert en waar die beslissing wordt bewaard. De audittrail ondersteunt het proces, maar vervangt de inhoudelijke controle niet.

Test versie-integriteit met een ingetrokken verzoek

Maak een proefdocument en stuur bewust een verkeerde bijlage mee. Trek het verzoek in, wijzig de bijlage en start opnieuw. Controleer of het eerste dossier herkenbaar ongeldig blijft en het tweede bewijs ondubbelzinnig bij de gecorrigeerde versie hoort. Laat een collega de bestanden buiten het platform openen.

De uitleg van de Rijksoverheid over elektronische handtekeningen helpt het team om techniek, identiteit en integriteit niet door elkaar te halen. Noteer in de proef welke eigenschap door welk bestand of procesonderdeel wordt ondersteund.

Lees de audittrail zonder leveranciersuitleg

Exporteer een afgerond, geweigerd en verlopen verzoek. Geef de bestanden aan iemand die de demo niet heeft gezien. Deze persoon moet tijdlijn, status, tekenaars en definitieve versie kunnen uitleggen. Onduidelijke codes of ontbrekende context worden als open risico genoteerd.

Controleer ook tijdzone, volgorde en relatie tussen gebeurtenissen. Een reeks tijdstippen is nutteloos als niet duidelijk is welke actie bij welke rol hoort. Bewaar het originele bewijsbestand; kopieer niet alleen een schermweergave naar een intern verslag.

Controleer gebruikte vertrouwensdiensten

Wanneer de audittrail verwijst naar een gekwalificeerde vertrouwensdienst of een gekwalificeerd certificaat, controleer de betrokken dienst via de EU/EEA Trusted List Browser. Leg entiteit, dienst, controledatum en documenttype vast. Neem een commercieel label niet automatisch over als bewijs van de werkelijk gebruikte route.

Plan hercontrole wanneer identityinstellingen of onderaannemers veranderen. Een oud selectiedossier mag niet stilzwijgend blijven gelden voor een aangepast proces. Wijs daarom een eigenaar aan voor de broncontrole.

Bewaar bewijs buiten de dagelijkse inbox

Koppel het ondertekende document, de audittrail, de gekozen documentcategorie en eventuele bevoegdheidscontrole in één dossier. Beperk toegang op basis van rol en voorkom dat de enige kopie in een persoonlijke inbox of leveranciersaccount blijft. Test een personeelswissel: een nieuwe dossierbeheerder moet de historie kunnen vinden zonder hulp van de oorspronkelijke verzender.

De selectie slaagt wanneer de audittrail de afgesproken bewijsdoelen ondersteunt, uitzonderingen uitlegbaar blijven en export ook bij vertrek bruikbaar is.

Leg ook vast welke aanname de uitkomst het sterkst beïnvloedt en bij welke verandering opnieuw getest moet worden.