Wat moet een interne audit opleveren voordat je de externe auditor uitnodigt?

Een interne audit moet minimaal alle afwijkingen van de norm documenteren, aantonen dat gevonden tekortkomingen zijn opgevolgd, en een helder beeld geven van de werking van je informatiebeveiligingssysteem. Pas als die resultaten volledig zijn gedocumenteerd en aantoonbaar zijn opgevolgd, is een organisatie klaar om een externe auditor uit te nodigen. Heb je vragen over waar je moet beginnen? Neem gerust contact op en we helpen je verder. In dit artikel beantwoorden we de meest gestelde vragen over wat een interne audit moet opleveren voordat de externe beoordeling van start gaat.

Welke bevindingen moet een interne audit minimaal documenteren?

Een interne audit moet minimaal alle afwijkingen ten opzichte van de norm documenteren, inclusief de ernst van elke bevinding, de betrokken processen of systemen, en de aanbevolen corrigerende maatregel. Daarnaast moet het auditrapport de scope, de gehanteerde methode, de gesproken personen en de auditdatum bevatten.

Concreet betekent dit dat een goed auditrapport de volgende elementen bevat:

• Afwijkingen (non-conformiteiten): situaties waarbij de organisatie niet voldoet aan een specifieke norm-eis, zoals een ontbrekende procedure of een niet-uitgevoerde risicoanalyse.
• Verbeterpunten (observaties): bevindingen die nog geen formele afwijking zijn, maar die het risico lopen dat te worden als er niets verandert.
• Positieve bevindingen: wat werkt goed? Dit is niet alleen motiverend, maar helpt ook om sterke punten te borgen.
• Auditbewijs: de concrete bewijsstukken waarop elke bevinding is gebaseerd, zoals screenshots, logbestanden of gespreksverslagen.

Voor een ISO 27001-audit geldt bovendien dat de interne audit alle relevante beheersmaatregelen uit Annex A moet meenemen die van toepassing zijn op de organisatie. Ontbrekende documentatie of onvolledige bewijsvoering is een van de meest voorkomende redenen waarom organisaties de externe audit niet halen op de eerste poging.

Hoe weet je of de gevonden afwijkingen zijn opgelost?

Je weet dat afwijkingen zijn opgelost wanneer er voor elke bevinding een aantoonbare corrigerende maatregel is uitgevoerd, de effectiviteit van die maatregel is gecontroleerd, en dit alles schriftelijk is vastgelegd. Alleen een beschrijving van de geplande actie is niet voldoende; er moet bewijs zijn dat de maatregel daadwerkelijk werkt.

In de praktijk doorloopt elke afwijking een vaste cyclus:

1. Rootcause-analyse: Wat is de onderliggende oorzaak van de afwijking? Zonder dit te begrijpen, los je het symptoom op maar niet het probleem.
2. Corrigerende maatregel: Welke actie pakt de oorzaak aan? Wie is verantwoordelijk en wat is de deadline?
3. Verificatie: Is de maatregel daadwerkelijk uitgevoerd? Dit wordt aangetoond met bewijs, zoals een gewijzigde procedure, een uitgevoerde training of een technische configuratiewijziging.
4. Effectiviteitsbeoordeling: Werkt de maatregel? Dit kan blijken uit een hercontrole, een nieuwe meting of een interne review.

Al deze stappen horen terug te komen in een registratie van corrigerende maatregelen, ook wel een CAPA-log (Corrective and Preventive Actions) genoemd. Zorg dat dit document up-to-date en volledig is voordat de externe auditor arriveert.

Wat is het verschil tussen een interne audit en een managementbeoordeling?

Een interne audit is een gestructureerde, onafhankelijke beoordeling van de werking van het managementsysteem op procesniveau. Een managementbeoordeling is een periodieke evaluatie door de directie van de algehele prestatie en strategische richting van het systeem. Beide zijn verplicht onder ISO 27001, maar ze vullen elkaar aan in plaats van hetzelfde te zijn.

Het onderscheid zit in wie het doet, wat er wordt beoordeeld en wat het oplevert:

• Interne audit: uitgevoerd door opgeleide interne of externe auditors, gericht op specifieke processen, beheersmaatregelen en norm-eisen. Het resultaat is een auditrapport met bevindingen en aanbevelingen.
• Managementbeoordeling: uitgevoerd door het management (directie of bestuur), gericht op trends, prestatie-indicatoren, risico’s en strategische beslissingen. Het resultaat is een besluitenlijst met actiepunten voor verbetering.

Een veelgemaakte fout is dat organisaties de interne audit en de managementbeoordeling samenvoegen tot één vergadering. Dat is niet toegestaan onder de norm. De externe auditor zal beide afzonderlijk opvragen en beoordelen. Zorg dus dat je van elk een apart, gedateerd verslag kunt overleggen.

Wanneer is een organisatie klaar voor de externe auditor?

Een organisatie is klaar voor de externe auditor wanneer de interne audit volledig is afgerond, alle gevonden afwijkingen aantoonbaar zijn opgelost, de managementbeoordeling heeft plaatsgevonden, en de vereiste documentatie volledig en actueel is. Er mag geen openstaande, onopgeloste non-conformiteit meer zijn.

Een praktische checklist om gereedheid te beoordelen:

• Het ISMS is minimaal drie maanden operationeel en aantoonbaar in gebruik.
• De interne audit heeft de volledige scope van het ISMS gedekt.
• Alle afwijkingen uit de interne audit zijn afgesloten met bewijs.
• De managementbeoordeling heeft plaatsgevonden na de interne audit, niet ervoor.
• De risicoanalyse is actueel en de risicobehandeling is gedocumenteerd.
• De Verklaring van Toepasselijkheid (VvT) is vastgesteld en goedgekeurd door het management.

Wij zien regelmatig dat organisaties te vroeg een externe audit inplannen, nog voordat de interne cyclus is afgerond. Dit leidt tot onnodige vertraging en extra kosten. Een goede vuistregel: plan de externe audit pas in wanneer je de bovenstaande punten allemaal kunt afvinken.

Welke documenten verwacht de externe auditor op dag één?

De externe auditor verwacht op de eerste auditdag een complete set kerndocumenten die het ISMS onderbouwen. Dit omvat minimaal het interne auditrapport, de managementbeoordeling, de risicoanalyse, de Verklaring van Toepasselijkheid, het informatiebeveiligingsbeleid en de registratie van corrigerende maatregelen.

Volledigheidshalve een overzicht van de meest gevraagde documenten bij een ISO 27001-certificering:

• Informatiebeveiligingsbeleid: vastgesteld en goedgekeurd door de directie.
• Scope-document: een duidelijke afbakening van wat het ISMS dekt.
• Risicoanalyse en risicobehandelingsplan: inclusief de gehanteerde methodiek.
• Verklaring van Toepasselijkheid (VvT): met motivering voor elke opgenomen of uitgesloten beheersmaatregel.
• Intern auditrapport: volledig, gedateerd en ondertekend.
• CAPA-log: overzicht van alle corrigerende maatregelen en hun status.
• Managementbeoordeling: verslag met besluiten en actiepunten.
• Doelstellingen voor informatiebeveiliging: meetbaar en gekoppeld aan het beleid.

Zorg dat alle documenten actueel zijn op de dag van de audit. Een document dat twee jaar geleden is opgesteld en sindsdien niet is herzien, wekt twijfel over de werking van het systeem. Presenteer documenten geordend en toegankelijk; een rommelig documentatiepakket geeft geen vertrouwen, ook al is de inhoud correct.

Een goed voorbereide interne audit is de stevigste basis voor een succesvolle externe beoordeling. Door bevindingen volledig te documenteren, afwijkingen aantoonbaar op te lossen en alle vereiste documenten op orde te hebben, vergroot je de kans op een vlotte certificering aanzienlijk. Wil je zeker weten dat jouw organisatie klaar is? Neem contact op en wij denken graag met je mee over de volgende stap.

Gerelateerde artikelen

• Wat is het tijdsverloop van een fase 2 audit van start tot afronding?
• Hoe pak je het aan als je een NEN 7510 certificering wilt halen?
• Welke norm is het meest relevant voor een organisatie ISO 27001 of NEN 7510?
• Wat zijn de kwalificaties van een goede ISO 27001 auditor?
• Wat gebeurt er tijdens een ISO 27001 audit?