BDO Advisory

Ondernemen is inspelen op de kansen die zich voordoen. Het liefst bent u altijd goed op de hoogte van de mogelijkheden, zodat u zich op de juiste dingen kunt focussen en een scherpe keuze kunt maken. In een voortdurend veranderende markt worden organisaties uitgedaagd om innovatief, veerkrachtig en wendbaar te zijn om resultaten te behalen. Onze adviseurs helpen u hier graag bij. Als brede adviesorganisatie kijken wij vanuit verschillende invalshoeken naar de kansen binnen uw organisatie.

Gepubliceerd: 20 januari 2026 | 

Auteur(s): Jeroen van Schajik

AI assurance in een SOC-rapport

Met de opkomst van AI binnen bedrijfsprocessen groeit de noodzaak om AI-systemen op een verantwoorde en controleerbare manier te beheren. Hiervoor zal uiteindelijk binnen de markt (maar ook vanuit de AI Act) assurance over uw processen worden gevraagd. Om deze assurance te bewerkstelligen kan BDO ondersteunen; in het afgelopen verslagjaar hebben wij reeds assurance afgegeven over AI-processen. Om tot een verklaring rondom AI-processen te komen, heeft u als organisatie een interne beheersing rondom uw AI-systeem nodig, ook indien u enkel AI in uw processen hebt geïntegreerd en het niet direct zelf bouwt. Dit AI-systeem kunt u bijvoorbeeld inrichten door middel van de ISO42001 Onderstaand gaan wij in op de ISO42001 als structuur voor uw informatie management systeem (ISMS), en daarna op de wettelijke vereisten van de AI Act. 

ISO42001: Structuur voor AI Management Systemen 

ISO42001 is de eerste internationale standaard die specifiek gericht is op AI Management Systemen (AIMS). De norm biedt richtlijnen voor het ethisch en transparant ontwikkelen, implementeren en beheren van AI-systemen. Denk hierbij aan risicobeoordelingen, governance, documentatie en continue verbetering. Deze richtlijnen kunnen geïntegreerd worden in bestaande beheersingsmaatregelen van de organisatie, maar vereisen wel een goede risicoanalyse en mapping ten opzichte van de ISO42001 voor governance-handvaten. De beheersingsmaatregelen van de organisatie kunnen worden geïntegreerd met een SOC2(+), en zo kan de organisatie rapporteren over het AI management systeem. 

De AI Act: Wettelijk kader voor AI in Europa 

De AI Act, die als deels van kracht is sinds februari 2025, introduceert een risicogebaseerde benadering voor AI-systemen. Hoog-risico toepassingen, zoals algoritmes voor CV-screening of gezichtsherkenning, moeten voldoen aan strikte eisen op het gebied van transparantie, data governance en conformiteit. Organisaties die AI inzetten dienen hun interne beheersing hierop af te stemmen. ISO42001 biedt een operationeel raamwerk dat direct aansluit op deze wettelijke verplichtingen. 

AI als onderdeel van SOC2+ assurance 

Hoewel SOC2(+) traditioneel gericht is op IT-systemen en databeveiliging, wordt AI steeds vaker meegenomen in de scope van assurance-verklaringen. Er is een groeiende behoefte om AI-risico’s expliciet te adresseren en betreft een grote opgave voor organisaties. Hierbij kan BDO de organisatie van dienst zijn, hiervoor kunt u contact opnemen met onze Technology Risk Assurance afdeling.