VCA- en leveranciersdocumenten beheren: van check naar projectvrijgave

Je hebt maandag drie mensen ingepland op een renovatieproject. De leverancier stuurt een VCA-pdf, twee diploma’s en een map met projectstukken. Op papier is alles binnen. Toch kun je nog niet aantonen dat deze leverancier binnen zijn gecertificeerde scope werkt, dat de juiste persoon leidinggeeft of dat de laatste geldigheidsdatum de geplande inzet dekt. Een groene map is geen projectvrijgave.

Deze gids is voor de kwaliteits- of projectverantwoordelijke die vóór de eerste werkdag een leverancier en diens mensen aantoonbaar wil vrijgeven. Je bouwt een keten van leverancier naar scope, persoon, project, datum, afwijking en besluit. Document-AI en RAG versnellen het zoeken naar bewijs. De bevoegde medewerker houdt de eindbeslissing. Een wijziging in een leveranciersdocument moet je ook kunnen doorvertalen naar de juiste werkplek en taak, zoals in een impactmatrix per werkplek en vrijgave-instructie.

Wat je nodig hebt voor een aantoonbare vrijgave

Projectvrijgave op documentbasis is een besluit waarbij je vastlegt dat een specifieke leverancier, een specifieke medewerker en een specifieke activiteit op een specifiek project binnen een afgesproken periode mogen starten. Het besluit verwijst naar gecontroleerde bronnen, open afwijkingen en de persoon die bevoegd was om vrij te geven. Een documentstatus zonder deze relaties is geen vrijgave.

Begin met een datamodel, niet met een mapstructuur. Gebruik stabiele ids die niet afhangen van een bestandsnaam:

Het onderscheid tussen CCR en CDR is praktisch. Het Centraal Certificaten Register (CCR) gebruik je voor het bedrijfscertificaat. Het Centraal Diploma Register (CDR) gebruik je voor persoonsdiploma’s. SSVV beschrijft VCA als een schema voor risicovolle werkzaamheden en noemt VCA*, VCA** en VCA Petrochemie als drie certificatieniveaus. De actuele SSVV-pagina is gecontroleerd op 15 september 2026 in de uitleg over bedrijfscertificering en de CCR-registratie.

Op 15 september 2026 is VCA 2026/6.1 de actuele bedrijfsschema-versie. Die versie geldt sinds 1 juli 2026 voor nieuwe en lopende bedrijfscertificeringen. Persoonsdiploma’s vallen daar niet onder. Sla de schema-versie dus op als bewijscontext, maar keur een leverancier niet af op een bestandsnaam of logo. Controleer de actuele status en scope in het CCR.

Wijs drie rollen aan. De projectverantwoordelijke bepaalt welke activiteit en periode moet worden afgedekt. De VGM-functionaris, preventiemedewerker of andere bevoegde veiligheidsdeskundige beoordeelt de veiligheidsinhoud. De documenteigenaar zorgt dat bronnen, versies en besluiten terug te vinden zijn. Eén persoon kan in een klein bedrijf meerdere rollen hebben, maar leg dat expliciet vast. Dat belang van aantoonbare ketenzichtbaarheid is niet theoretisch: slechts 14 procent van grote organisaties heeft end-to-end zicht op de eigen digitale leveranciersketen.

Een projectdossier heeft ook een bronregister nodig. Bewaar per bestand de oorspronkelijke inhoud, ontvangsttijd, afzender, bestandsnaam, documentdatum, versie, bron-URL en een hash. Voeg voor elke uitgelezen waarde de bronpagina of het bronfragment toe. Een model dat “VCA**” uit een scan haalt, heeft nog geen bewijs geleverd als niemand kan terugvinden waar dat stond.

Je hebt ten slotte een privacygrens nodig. Voor een CDR-check zijn een diplomanummer of minimaal drie aaneengesloten letters van de achternaam met geboortedatum nodig. Het CDR bevat Nederlandse VCA-, SOG-, SVWOH- en NOGEPA-registraties; buitenlandse of gelijkwaardige diploma’s staan er niet automatisch in. De uitleg over deze zoekmogelijkheden en beperkingen is gecontroleerd op 15 september 2026 in de officiële CDR-uitleg. Bewaar in het gewone projectoverzicht bij voorkeur het resultaat, het diplomatype, de geldigheidsdatum, de zoektijd en de checker. Zet geboortedata en scans met identiteitsgegevens in een beperkt toegankelijke bewijslaag.

Gebruik deze startcontrole voordat je regels bouwt:

0/8

• Het project heeft een unieke id, activiteit, locatie en inzetperiode.
• De vereiste leveranciersscope en persoonskwalificaties zijn in vaste termen vastgelegd.
• CCR- en CDR-checks worden met tijdstip, resultaat en checker bewaard.
• Iedere bron heeft een versie, ontvangsttijd en terugvindbare pagina of passage.
• Leverancier, persoon, project en taak hebben stabiele ids.
• Afwijkingen hebben een eigenaar, maatregel en uiterste datum.
• Een bevoegde medewerker is aangewezen voor het vrijgavebesluit.
• Een vrijgegeven status kan automatisch terugvallen naar review of blokkade.

Concrete stappen: van leveranciersbewijs naar projectstatus

Een documentketen voor projectvrijgave koppelt een bedrijfscertificaat aan de juiste scope, een persoonsbewijs aan de juiste rol en beide aan de activiteit en periode van één project. Harde register- en datumcontroles bepalen of een record door mag. RAG maakt relevante passages zichtbaar. Een bevoegde medewerker beslist over vrijgeven, voorwaardelijk vrijgeven of blokkeren.

Doorloop de volgende acht stappen. Elke stap heeft een controleerbare uitkomst.

1. Leg de inzetbeslissing vast vóór je documenten verzamelt

Maak eerst PRJ-0264 aan met opdrachtgever, werklocatie, activiteit, geplande start en geplande einddatum. Schrijf de activiteit in gecontroleerde termen, bijvoorbeeld kabel- en leidingwerken, werken op hoogte of lassen in bedrijfsinstallatie. Voeg synoniemen alleen toe na goedkeuring van een VGM-deskundige.

Leg ook vast welke bewijsregels gelden:

• het bedrijfscertificaat moet actief zijn op iedere geplande werkdag;
• de geregistreerde scope moet de feitelijke activiteit dekken;
• iedere operationele medewerker moet het vereiste persoonsdiploma hebben;
• de operationeel leidinggevende moet VOL-VCA hebben als die rol op het project nodig is;
• extra kwalificaties, poortinstructies, TRA, V&G-plan of projectinstructie worden per activiteit toegevoegd;
• een ontbrekende, tegenstrijdige of onleesbare bron wordt review nodig, nooit goedgekeurd.

De VCA 2026/6.1-checklist noemt een VGM-projectplan een middel om projectrisico’s gecoördineerd te beheersen. Zij verlangt criteria voor wanneer zo’n plan nodig is, projectspecifieke risico’s en maatregelen, een VGM-organisatie, inspecties, incidentenrapportage en ondertekening door de projectverantwoordelijke. De checklist is een bron voor je controlemodel, niet een automatische vervanging van het projectplan.

2. Maak de bron onveranderlijk en koppel hem aan de leverancier

Laat alle documenten binnenkomen via één intake, bijvoorbeeld een SharePoint-bibliotheek met mappen Binnengekomen, In beoordeling, Vrijgegeven en Geblokkeerd. Een bestand dat opnieuw binnenkomt, krijgt een nieuw ontvangstrecord. Vergelijk de hash met eerdere versies en overschrijf nooit de oude bron.

Haal met OCR of documentherkenning de volgende velden op:

• juridische naam, certificaatnummer en certificatieschema;
• certificaatniveau en scope;
• uitgiftedatum, geldigheidsduur en status;
• diplomanaam, diplomatype, nummer en examendatum;
• naam, rol en werkgever van de persoon;
• projectnaam, locatie, activiteit, risico’s en maatregelen.

Sla naast de genormaliseerde waarde de ruwe tekst op. VCA is niet hetzelfde als “leverancier goedgekeurd”. De machine moet ook laten zien welke pagina, tabel of regel de waarde droeg.

3. Controleer het bedrijf in het CCR, inclusief scope

Open het CCR en zoek de leverancier op de juridische naam of een andere unieke identificator. Leg de uitkomst vast als een gebeurtenis, bijvoorbeeld:

2026-09-15T09:12+02:00 | leverancier SUP-0042 | CCR | status gecertificeerd | schema VCA 2026/6.1 | geldig tot 2027-02-14 | scope gevonden | gecontroleerd door projectbureau

Controleer vier zaken afzonderlijk:

1. Identiteit: komt de juridische naam uit het contract overeen met de naam in het register? Een handelsnaam of groepsnaam is geen voldoende match.
2. Status: staat het certificaat als gecertificeerd, geschorst, ingetrokken of verlopen geregistreerd? Alleen de eerste status kan naar de volgende stap.
3. Periode: valt de geplande inzet binnen de geregistreerde geldigheid? Een document dat vandaag geldig is, dekt niet vanzelf een werkdag na de vervaldatum.
4. Scope: beschrijft de scope het werk dat jouw leverancier werkelijk uitvoert? Zoek op activiteit en context, niet op het enkele woord “bouw”.

De actuele VCA-checklist verlangt dat certificaatgegevens onder meer bedrijfsnaam, vestigingsadres, toepassingsgebied, type certificaat, uitgiftedatum en geldigheidsduur bevatten. De certificerende instelling registreert wijzigingen volgens het schema. Gebruik daarom de CCR-zoekfunctie voor het actuele bedrijfscertificaat als bron van de check en bewaar de registratie-uitkomst met tijdstip. Een geüploade certificaat-pdf is ondersteunend bewijs, geen vervanging voor de actuele registerstatus.

Maak scope-matching conservatief. Als het project kabels trekken en aansluiten vraagt en de scope alleen algemene bouwkundige onderhoudswerkzaamheden noemt, zet je scope mismatch open. Een RAG-model mag een mogelijke relatie aanwijzen, maar mag een brede omschrijving niet stilzwijgend verbreden.

4. Controleer iedere persoon in het CDR en op de projectrol

Maak de persoonlijke controle pas na de leverancierscheck. Controleer bij een operationeel medewerker minimaal B-VCA of het toegestane gelijkwaardige bewijs. Controleer bij een operationeel leidinggevende VOL-VCA. Leg voor iedere persoon ook vakopleiding, ervaring en activiteitgerichte kwalificaties vast.

SSVV vermeldt in de uitleg over persoonscertificering dat persoonsdiploma’s tien jaar geldig zijn. De VCA 2026/6.1-checklist vraagt voor operationele medewerkers die langer dan drie maanden voor de organisatie werken een geldig B-VCA-diploma en voor operationeel leidinggevenden een geldig VOL-VCA-diploma. De checklist noemt een diploma of registratie in het CDR als documentatie. Controleer deze eisen opnieuw op 15 september 2026 in de actuele checklist.

Leg de zoekwijze vast zonder de uitkomst groter te maken dan hij is:

Een CDR-hit zegt dat een diploma geregistreerd en geldig is. Hij zegt niet dat de persoon de taak kent, de projectinstructie heeft gevolgd of de juiste PBM draagt. Die controles horen bij de projectrelatie.

5. Match scope, persoon en projectcontext

Maak nu de driehoek expliciet:

leverancier → gecertificeerde scope → projectactiviteit persoon → rol en kwalificatie → projecttaak

Voeg de tijdsvoorwaarde toe:

geldig_van ≤ geplande_start en geldig_tot ≥ geplande_einddatum

Als jouw beleid een vrijgave per werkdag toestaat, mag je de tweede vergelijking per inzetblok uitvoeren. Leg die keuze vast. Een korte opdracht kan een certificaat gebruiken dat halverwege een groter project verloopt, maar dan moet de workflow de grensdag zichtbaar maken en vóór de volgende inzet opnieuw controleren.

De Nederlandse Arbeidsinspectie beschrijft dat een werkgever een project- of object-RI&E en plan van aanpak aan de coördinator uitvoeringsfase moet geven. Zij beschrijft ook dat de uitvoerende partij het V&G-plan actueel houdt en dat de coördinator alleen bevoegde personen toegang laat hebben. Deze bouwprocesinformatie is gecontroleerd op 15 september 2026 in de FAQ over verantwoordelijkheden in de uitvoeringsfase.

Dat betekent praktisch dat je een leverancier niet vrijgeeft omdat zijn VCA-papier klopt. Je moet ook vastleggen welke projectinstructie, TRA, V&G-maatregel of poortvoorwaarde voor deze inzet geldt. De Nederlandse Arbeidsinspectie beschrijft een RI&E als het document waarin risico’s, blootgestelde medewerkers, blootstellingsduur en maatregelen worden vastgelegd. Die pagina is gecontroleerd op 15 september 2026 in de uitleg over RI&E en plan van aanpak.

6. Laat document-AI signaleren en RAG het bewijs terugbrengen

Gebruik document-AI voor drie soorten werk:

• OCR en veldextractie uit certificaten, diploma’s, scans en projectplannen;
• vergelijking van een ontvangen document met de vorige versie;
• herkenning van namen, activiteiten, data, uitzonderingen en ontbrekende velden.

Gebruik RAG daarna om een reviewer een brongebonden antwoord te geven. Geef de zoeklaag altijd de context mee: project-id, leverancier-id, persoon-id, activiteit, geplande datum en documenttype. Laat het systeem bijvoorbeeld antwoorden:

Voor PRJ-0264 vond ik drie passages die de leveranciersscope raken. De CCR-status staat op gecertificeerd tot 14-02-2027. De projectactiviteit “kabels trekken en aansluiten” komt letterlijk voor in de gecontroleerde scope. Voor medewerker M-011 staat VOL-VCA gevonden in CDR, geldig tot 06-02-2031.

Zo’n antwoord is een reviewkaart, geen vrijgave. Sla de passages met bronpagina, registercheck en modelversie op. Laat het model bij geen bewijs letterlijk niet gevonden teruggeven. Een ontbrekende waarde mag niet worden ingevuld uit een vergelijkbaar dossier.

De technische laag kan eenvoudig starten. In n8n kun je de intake, extractie, registercontroles en afwijkingsqueue als workflow aan elkaar koppelen. De actuele n8n-documentatie beschrijft human-in-the-loop voor gereedschappen: de workflow pauzeert, toont welke actie met welke parameters wordt voorgesteld en gaat pas na goedkeuren verder. De documentatiepagina is gepubliceerd op 23 juni 2026 en gecontroleerd op 15 september 2026 in de n8n-uitleg over menselijke goedkeuring.

7. Maak afwijkingen expliciet en laat de bevoegde medewerker beslissen

Gebruik vaste afwijkingstypen. Daarmee voorkom je dat de reviewbak een tweede inbox wordt:

• identity_conflict: contractnaam en registernaam verschillen;
• scope_mismatch: projectactiviteit valt niet aantoonbaar binnen de scope;
• expired_before_end: bewijs verloopt vóór het geplande einde;
• cdr_not_found: persoonsdiploma kan niet worden bevestigd;
• source_unreadable: scan, tabel of datum is niet betrouwbaar uitgelezen;
• project_requirement_missing: V&G-plan, TRA, poortinstructie of taakbewijs ontbreekt;
• manual_exception: er is een afwijkende route met een bevoegde beslissing.

Elke afwijking krijgt een eigenaar, een concrete actie, een deadline en een beslisstatus. In behandeling is geen inzettoestemming. Gebruik bijvoorbeeld:

AFW-2026-014 | cdr_not_found | eigenaar leverancier | actie diplomanummer aanleveren | vervaldatum 2026-09-17 | status geblokkeerd

De reviewer krijgt één kaart met:

1. de projectactiviteit en geplande periode;
2. de leverancier en CCR-uitkomst;
3. de persoon, rol en CDR-uitkomst;
4. de relevante bronpassages;
5. open afwijkingen;
6. voorgestelde uitkomst;
7. een veld voor motivatie en naam van de beslisser.

De uitkomsten zijn vrijgegeven, voorwaardelijk vrijgegeven of geblokkeerd. Gebruik voorwaardelijk alleen als je de voorwaarde, grensdatum, eigenaar en herbeoordeling invult. Laat een conditionele status automatisch verlopen. Een model, parser of workflow kan de kaart vullen. Alleen de aangewezen persoon maakt van die kaart een inzetbesluit.

8. Publiceer de vrijgave en bewaak wijzigingen

Na een positieve beslissing schrijf je de status op de relatie persoon ↔ taak ↔ project, met de leverancierskaart als aanvullende verwijzing. Toon op de werkplek of in het planningssysteem minimaal:

• project-id en taak;
• leverancier en persoon;
• vrijgegeven door en op welk tijdstip;
• geldig tot welke datum;
• eventuele voorwaarde;
• link naar de actuele projectinstructie;
• blokkade-indicatie als een bewijs intrekt of verloopt.

Plan automatische hercontroles voor vervaldatums, gewijzigde certificaten, nieuwe projectactiviteiten en personeelswissels. De VCA-checklist noemt jaarlijkse controle-audits en reviews van veranderingen binnen het certificatieproces. Gebruik een vaste kalender daarom als één van de controlemomenten, naast controles bij wijzigingen in de inzet. Controleer ook bij een wijziging in scope, contract, projectplan of leidinggevende.

In Microsoft 365 kun je dit laagdrempelig opzetten met SharePoint en Power Automate. Microsofts voorbeeld maakt een Incoming- en Reviewed-map, haalt bestandsinhoud op, start Start and wait for an approval, toont de bron als link en verwerkt de goedgekeurde of afgewezen tak. De instructie is bijgewerkt op 10 april 2025 en gecontroleerd op 15 september 2026 in de Microsoft-handleiding voor SharePoint-goedkeuringen. Pas het voorbeeld aan: verplaats nooit zomaar een document naar Reviewed; schrijf eerst jouw project-, scope-, persoons- en besluitvelden mee.

Een positieve vrijgave is pas compleet wanneer je ook de negatieve beslissingen bewaart. Leg vast waarom een tweede projectlocatie, een oude leverancier of een persoon buiten scope viel. Zo hoef je bij een audit niet te raden of iemand vergeten is.

Valkuilen die een groene status onbetrouwbaar maken

Je controleert een certificaat-pdf in plaats van de actuele registratie. Een bestand kan oud zijn, een certificaat kan geschorst zijn en een logo kan op de verkeerde juridische entiteit staan. Gebruik CCR als actuele check, bewaar de pdf als bronstuk en leg het controlemoment vast.

Je leest “VCA” als bewijs dat elk werk mag worden uitgevoerd. VCA is geen onbeperkte taakvergunning. De scope moet passen bij de activiteit, de projectrisico’s en de contractuele rol. Zet een scope zonder duidelijke match op review nodig.

Je zet één groen vinkje op de leverancier. De bedrijfsvrijgave en de persoonsvrijgave zijn verschillende relaties. Een geldig bedrijfscertificaat maakt een ontbrekend VOL-VCA-diploma of een verlopen taakkwalificatie niet groen.

Je vergelijkt alleen met de projectstart. Een certificaat of poortinstructie kan tijdens de opdracht verlopen. Controleer de hele inzetperiode of maak een aantoonbare vrijgave per blok met een nieuwe check vóór de volgende inzet.

Je behandelt een lege CDR-zoekopdracht als ongeldig persoon. Een voorvoegsel, typefout, buitenlandse registratie of verkeerd ingevoerde geboortedatum kan een vals negatief geven. De uitkomst is eerst niet gevonden, daarna menselijke controle. Niet automatisch fraude of afgekeurd.

Je laat RAG synoniemen tot een scopebesluit maken. “Installatiewerk” en “middenspanningsaansluiting” kunnen in jouw bedrijf verschillende bevoegdheden en risico’s betekenen. Gebruik een goedgekeurde termenlijst en laat twijfel naar de VGM-reviewer gaan.

Je indexeert documenten zonder broncontext. Een fragment “geldig tot 2027” zonder document-id, pagina en leverancier is onbruikbaar. Bewaar elk fragment met bron, versie, datum en relatie naar het object waarop het antwoord slaat.

Je laat de reviewer alleen op goedkeuren klikken. Een knop zonder motivatie toont dat iemand klikte, niet waarom de inzet verantwoord was. Vraag minstens om uitkomst, reden, naam, rol, datum en eventuele voorwaarde.

Je maakt van een afwijkingsqueue een wachtkamer. Een afwijking zonder eigenaar en datum blijft liggen tot de werkdag begint. Blokkeer de inzet, wijs de actie toe en escaleer volgens een vooraf afgesproken termijn.

Je verwart projectvrijgave met instructie aan de medewerker. Ook na een positieve documentencheck moet de medewerker de projectregels, risico’s en maatregelen kennen. Registreer de briefing, toolbox of poortinstructie apart.

Je negeert een schemawijziging. VCA 2026/6.1 geldt sinds 1 juli 2026 voor bedrijfscertificering, terwijl persoonsdiploma’s een eigen geldigheidslogica houden. Bewaar schema-versie en persoonsbewijs als afzonderlijke velden.

Je bewaart te veel persoonsgegevens in de zoeklaag. Maak de RAG-index niet tot een tweede personeelsdossier. Indexeer wat nodig is voor de vrijgave, beperk toegang tot identiteitsgegevens en laat een privacyverantwoordelijke de bewaartermijnen bevestigen.

Beslis-kader: welke aanpak past bij jouw keten?

Kies de aanpak op basis van de moeilijkste relatie, niet op basis van het aantal pdf’s. Tien leveranciers met één standaardactiviteit zijn eenvoudiger dan twee leveranciers die ieder met vier teams, drie projectlocaties en wisselende kwalificaties werken.

Gebruik vijf criteria:

1. Bronnen: één mailbox en één documentbibliotheek passen bij een eenvoudige workflow. Portalen, e-mail, spreadsheets en registers vragen integratie.
2. Relaties: tel leveranciers maal projecten maal personen maal taken. Dit is de echte complexiteit.
3. Besluitzwaarte: administratieve volledigheid kan een workflow controleren. Scope, taakbevoegdheid en uitzonderingen vragen deskundige beoordeling.
4. Vervaldatumdruk: een maandelijkse controle volstaat niet als mensen dagelijks wisselen of bewijzen kort geldig zijn.
5. Beheer: self-hosted software vraagt back-ups, updates, toegangsbeheer en foutopvolging. SaaS vraagt export, gegevenslocatie, retentie en exit-afspraken.

Mijn praktische grens:

• Handmatige matrix in SharePoint of een spreadsheet: geschikt voor een klein aantal projecten, één intakekanaal en weinig uitzonderingen. Gebruik vaste keuzelijsten en maak een reviewer verplicht.
• SharePoint + Power Automate: geschikt als Microsoft 365 al de plek is waar documenten en gebruikers leven. Laat de workflow bronbestanden innemen, checks klaarzetten, goedkeuring vragen en statussen schrijven. Voeg voor OCR en RAG een gecontroleerde aparte laag toe.
• n8n + PostgreSQL of een andere relationele database: geschikt wanneer leveranciersportalen, mailboxen, CCR/CDR-checks en een eigen afwijkingsqueue samenkomen. Jij beheert dan ook de credentials, foutmeldingen, logging en back-ups.
• Een gespecialiseerd VCA- of HSE-systeem: geschikt als risicobeoordeling, medewerkers, kwalificaties en werkplekinstructies al in één toepassing zitten. Controleer vooraf of projectrelaties, bronpassages, CCR/CDR-resultaten en exporteerbaar auditbewijs echt aanwezig zijn.
• Maatwerk document-AI met RAG: geschikt wanneer projecten veel varianten hebben, de bronstroom groot is en je een eigen regels- en bewijslaag nodig hebt. De meerwaarde zit in het datamodel, de uitzonderingen en de koppelingen, niet in een chatbot boven op een map.

Gebruik deze korte keuzehulp als eerste route door dat kader:

Waar komen leveranciers- en projectdocumenten binnen?

Eén Microsoft 365-omgevingMeerdere portalen en systemen

De keuzehulp kiest een startarchitectuur, geen veiligheidsuitkomst. Als je huidige register geen relatie tussen leverancier, persoon, taak en project kan bewaren, ligt daar eerst het ontwerpwerk. Een documentbibliotheek alleen maakt die relaties niet vanzelf.

Uitgewerkt voorbeeld: één leverancier, drie personen en één project

Dit is een synthetische testcasus. De namen, ids, datums en registeruitkomsten zijn bedacht om de workflow te laten zien. CCR, CDR, VCA 2026/6.1 en de genoemde projectdocumenten zijn echte begrippen en bronnen, maar deze casus beweert niet dat de fictieve bedrijven in de registers staan.

Project PRJ-0264 Kabeltracé Noord loopt in deze fictieve casus van 21 september tot en met 6 november 2026. De activiteit is het leggen en aansluiten van kabels langs een openbare weg. Het projectdossier bevat een V&G-plan, een TRA voor werken nabij verkeer en een poortinstructie van de opdrachtgever. De interne regel is: iedere operationele medewerker heeft B-VCA, de operationeel leidinggevende VOL-VCA en iedere persoon heeft de projectinstructie vóór de eerste werkdag gevolgd.

Leverancier NoordInfra Montage B.V. krijgt id SUP-0042. De ingestuurde pdf noemt VCA**, certificaatnummer CERT-88421 en een geldigheid tot 14 februari 2027. De synthetische CCR-check op 15 september geeft gecertificeerd, dezelfde juridische naam, dezelfde scope en dezelfde vervaldatum. De scope-mapping naar kabel- en leidingwerken is door de VGM-functionaris goedgekeurd.

De drie personen krijgen in deze casus deze records:

De workflow loopt als volgt:

08:40, intake. De drie scans, het certificaat en het V&G-plan krijgen een bron-id en hash. OCR leest VCA, VOL-VCA, de namen en de datums uit. De bronkaart bewaart de pagina’s waarop die waarden staan.

08:43, CCR. De leverancier wordt op juridische naam gecontroleerd. Status, schema, scope en vervaldatum worden vastgelegd. De workflow vergelijkt kabel- en leidingwerken met de projectactiviteit. Omdat de mapping vooraf is goedgekeurd, gaat de leverancier door naar persoonscontrole.

08:47, CDR. Voor M. de Vries en S. Jansen wordt een geldig resultaat vastgelegd. Voor A. El Amrani ontbreekt een betrouwbaar diplomanummer en de ingevoerde gegevens leveren geen resultaat op. De workflow maakt AFW-2026-014 aan met eigenaar NoordInfra Montage B.V., actie diplomanummer of aanvullende registergegevens aanleveren en deadline 17 september.

08:50, RAG-reviewkaart. De zoeklaag haalt de projectactiviteit uit het V&G-plan, de scopepassage uit het bedrijfscertificaat en de relevante VCA-eisen uit de checklist. De kaart zegt niet dat alle drie personen mogen starten. Hij toont dat de leverancier past, dat twee diploma’s zijn gevonden en dat één persoon bewijs mist.

09:10, menselijke beslissing. De VGM-functionaris geeft M. de Vries vrij nadat de projectinstructie is geregistreerd. S. Jansen krijgt een voorwaardelijke vrijgave tot en met 30 september. De eigenaar moet vóór 1 oktober een nieuwe poortinstructie of een nieuw geldig bewijs vastleggen. A. El Amrani blijft geblokkeerd totdat het CDR-resultaat of een geaccepteerde alternatieve route is gecontroleerd.

De projectstatus is dus gedeeltelijk vrijgegeven, niet groen. De leverancier mag voor dit project worden ingepland binnen de gecontroleerde scope. Eén monteur mag starten. De leidinggevende mag alleen tot de grensdatum starten. De derde persoon mag niet worden ingepland. Dat onderscheid is de reden dat de relatie naar taak en persoon in je model hoort.

Het auditrecord bevat PRJ-0264, SUP-0042, de drie medewerker-id’s, CCR- en CDR-checktijdstippen, bronhashes, scope-mapping, projectinstructie, afwijking, eigenaren, de beslissing van de VGM-functionaris en de volgende hercontroledatum. Test daarna vier foutgevallen: een identieke herupload met dezelfde hash, een verlopen certificaat, een scope zonder match en een CDR-zoekopdracht met een typefout. Geen van die vier mag vanzelf vrijgegeven worden.

Vergelijkingstabel: welke route draagt jouw documentketen?

Prijzen, limieten en productfuncties in deze tabel zijn gecontroleerd op 15 september 2026. Microsoft toont de Power Automate-lijstprijzen in Amerikaanse dollars en waarschuwt dat lokale prijzen en voorwaarden kunnen verschillen. Licentiekosten bevatten geen ontwerp van je VCA-regels, deskundige beoordeling, gegevensopschoning of beheer van afwijkingen.

n8n rekent Cloud Starter en Pro per volledige workflowuitvoering, ongeacht het aantal stappen. De actuele prijspagina noemt voor Starter 2.500 uitvoeringen met vijf gelijktijdige uitvoeringen en voor Pro 10.000 met twintig. Zij vermeldt ook dat de Community Edition self-hosted beschikbaar is. Deze productdetails zijn gecontroleerd op 15 september 2026 in n8n Plans and Pricing.

Voor een kleine stroom is SharePoint met een vaste lijst vaak genoeg. Voor meerdere bronnen is n8n praktisch als je het beheer aankunt. Een gespecialiseerd systeem wint wanneer het jouw bestaande HSE-proces al goed modelleert. Maatwerk is pas verstandig als je de uitzonderingen, registerchecks en projectrelaties nergens betrouwbaar kwijt kunt.

De Nederlandse Arbeidsinspectie zegt dat een werkgever zijn eigen risico’s, instructies en maatregelen moet organiseren en dat werkgevers eerstverantwoordelijk blijven voor hun eigen werknemers. De software kan dat werk zichtbaar en controleerbaar maken. Die verantwoordelijkheid blijft bij de werkgever.

Een project start pas echt veilig wanneer je drie vragen met hetzelfde dossier kunt beantwoorden: welke organisatie levert het werk, welke persoon voert welke taak uit en welk bevoegd besluit de inzet voor deze datum vrijgeeft. De pdf, het vinkje en de modeluitkomst zijn slechts onderdelen. Het sterke proces is de traceerbare verbinding ertussen.