Indien de aanbieder ISO 27001 is gecertificeerd, volstaat het om dit certificaat inclusief een verklaring van toepasbaarheid (c.q. de scope van het certificaat) aan te leveren. Indien voorgaande wordt aangeleverd, zijn onderstaande kwaliteitseisen (RB1 t/m RB5) alvast voldoende verantwoord.

Kwaliteitseisen

Beslisregel: Om aan deze categorie kwaliteitseisen te voldoen, moeten alle vragen met JA worden beantwoord.

Code | Vragen | Mogelijke antwoorden

RB1 | Heeft de toetsaanbieder een toetsveiligheidsplan opgesteld met daarin opgenomen een risicoanalyse en een PDCA cyclus voor het beschermen van de beschikbaarheid, integriteit en vertrouwelijkheid van informatie (BIV)? | ja/nee

RB1.1 | Zijn de functies en verantwoordelijkheden van de functionarissen van de toetsaanbieder die betrokken zijn bij de inhoud en de beveiliging van de doorstroomtoets beschreven? | ja/nee

RB1.2 | Hebben de functionarissen van de toetsaanbieder die betrokken zijn bij de inhoud en de beveiliging van de doorstroomtoets aantoonbaar een geheimhoudingsverklaring ondertekend? | ja/nee

RB1.3 | Beschermt de toetsaanbieder het toetsconstructieproces door middel van een PDCA cyclus van beveiligingsprocedures, inclusief aantoonbare maatregelen ter voorkoming van het voortijdig uitlekken van de toetsinhoud? | ja/nee

RB1.4 | Is voor het toetsafnameproces een PDCA cyclus van beveiligingsmaatregelen geïmplementeerd, inclusief aantoonbare maatregelen ter voorkoming van het voortijdig uitlekken van de toetsinhoud? | ja/nee

RB1.5 | Zijn de fysieke en elektronische locaties waar de toetsaanbieder examens, systemen en materialen bewaart, aantoonbaar voldoende beveiligd? | ja/nee

RB1.6 | Is de digitale en fysieke informatie omtrent de examenketen zowel tijdens opslag als verzending aantoonbaar voldoende beveiligd? | ja/nee

RB1.7 | Verzorgt de toetsaanbieder periodiek training over beveiligingsbewustheid aan haar functionarissen die betrokken zijn bij de inhoud en de beveiliging van de doorstroomtoets? | ja/nee

RB2 | Waarborgt de toetsaanbieder, met behulp van passende technische en organisatorische beveiligingsmaatregelen, de privacy en persoonsgegevens van de afnemer, leerling en ouder conform de Algemene Verordening Gegevensbescherming (AVG)? | ja/nee

RB3 | Heeft de toetsaanbieder een gedegen en compleet actieplan voor het omgaan met diefstal van (delen van) de toetsinhoud en voor het doen verwijderen van internetpagina’s die (delen van) de toetsinhoud onthullen? | ja/nee

RB4 | Heeft de toetsaanbieder een gedegen en compleet fraudepreventieplan opgesteld met daarin opgenomen een PDCA cyclus voor de beveiliging van het toetsproces en de toetsinhoud? | ja/nee

RB4.1 | Zijn er gedegen en complete procedures voor het ontdekken en evalueren van verdachte toetsresultaten en wijzigingen in kenmerken van toetsonderdelen en toetsscores in de loop van de tijd? | ja/nee

RB4.2 | Controleert de toetsaanbieder regelmatig het internet en andere media op het bekend raken van (delen) van de inhoud van de toets of andere niet-openbare informatie over de doorstroomtoets? | ja/nee

RB5 | Heeft de toetsaanbieder voldoende verantwoord hoe de toets(omgeving) beveiligd wordt? | ja/nee

RB6 | Heeft de toetsaanbieder voldoende verantwoord hoe een leerling tijdens een tweede afnamemoment (omdat die bij de eerste afname was verhinderd) binnen de wettelijke gestelde termijn de toets alsnog kan maken en hoe deze eventueel verschilt van de toets van het eerste afnamemoment? | ja/nee

RB7.1 | Heeft de toetsaanbieder voldoende verantwoord hoe wordt voorzien in een terugvaloptie, die in het geval van kleine incidenten op leerling-, klas- of schoolniveau volgens een bijbehorend calamiteitenplan kan worden ingezet? | ja/nee

RB7.2 | Heeft de toetsaanbieder voldoende verantwoord hoe wordt omgegaan met binnengekomen incidenten van scholen en hoe deze meldingen worden geëvalueerd? | ja/nee

RB7.3 | Heeft de toetsaanbieder voldoende verantwoord hoe er richting het onderwijsveld gecommuniceerd wordt over eventuele incidenten (d.w.z. via welke kanalen en welke inhoud)? | ja/nee

Toelichting RB1 t/m RB5: De aanbieder moet overzichtelijk per kwaliteitseis aangeven hoe daar aan is voldaan. Een voorbeeld daarvan is de verwijzing naar een verwerkersovereenkomst, waar op de kwaliteitseisen RB1 t/m RB5 wordt ingegaan. Daarbij moet bewijslast worden overlegd van de bij BI.2, BI.3 en BI.4 gevraagde documenten, processen, contracten en protocollen.

De verantwoordelijkheid voor het goed gebruik van de toets en de daarmee verzamelde informatie in de dagelijkse praktijk ligt bij de school / de eindgebruiker zelf.

Toelichting RB6: De toetsaanbieder beschrijft helder hoe een leerling tijdens een tweede afnamemoment (omdat die bij de eerste afname was verhinderd) binnen de wettelijke gestelde termijn alsnog de toets kan maken. De toetsaanbieder vermeldt daarnaast adequaat hoe eventueel deze toets verschilt van de toets van het eerste afnamemoment en waarom de toetsaanbieder hiervoor wel/niet kiest. Dit is informatie die niet per se in het toetsreglement en/of de afnamehandleiding wordt opgenomen en daarom extra is voor de adviseur t.o.v. de verantwoording van kwaliteitseis A1.

Toelichting RB7.1: Het doel van de terugvaloptie is dat in het geval van een incident of onregelmatigheid de toetsaanbieder tijdig een terugvaloptie beschikbaar heeft zodat de leerling toch een doorstroomtoets van de initiële toetsaanbieder kan afnemen tijdens de afname- of inhaalperiode.

De toetsaanbieder beschrijft in een bijbehorend calamiteitenplan de procedure ter voorbereiding op incidenten en calamiteiten. Hierin moet in ieder geval vastgelegd worden hoe de door de aanbieder geboden terugvaloptie van de doorstroomtoets eruitziet: bijvoorbeeld een itembank waaruit kan worden gekozen voor verschillende digitale versies of verschillende versies van een papieren toets. Ook moet het risico dat iteminhoud openbaar komt worden afgedekt.

Toetsaanbieders zijn bovendien zelf verantwoordelijk voor het in de gaten houden van signalen vanuit scholen, het onderwijsveld en sociale media dat hun doorstroomtoets mogelijk niet aan de voorwaarden voor doorgang vinden voldoet.

Toelichting RB7.2: De toetsaanbieder beschrijft in een calamiteitenplan hoe scholen incidenten bij de toetsaanbieder kunnen melden en welke procedures klaarliggen om hiermee om te gaan. En hoe eventuele incidenten intern beoordeeld worden. Daarbij wordt ook vermeld hoe deze meldingen gearchiveerd worden, in het kader van evaluatie (en indien mogelijk openbaarheid).

Toelichting RB7.3: De toetsaanbieder beschrijft in een calamiteitenplan hoe er richting het onderwijsveld gecommuniceerd wordt over eventuele incidenten (d.w.z. via welke kanalen en welke inhoud)?