Een goede voorbereiding op de eerste dag van de audit begint met overzicht: weet wat de auditor verwacht, zorg dat de juiste mensen beschikbaar zijn en leg alle relevante documentatie klaar. Hoe beter je organisatie is ingericht voor die eerste dag, hoe soepeler het hele certificeringstraject verloopt. In dit artikel beantwoorden we de meest gestelde vragen over de voorbereiding op de auditdag, zodat jij zonder verrassingen aan de start staat. Heb je vragen over jouw specifieke situatie? Neem gerust contact met ons op, we helpen je graag verder.
Wat verwacht een auditor op de eerste auditdag?
Een auditor verwacht op de eerste auditdag een georganiseerde ontvangst, toegang tot de relevante documentatie en een openingsvergadering met de juiste vertegenwoordigers van de organisatie. Het gaat niet om perfectie, maar om aantoonbare voorbereiding en een professionele houding.
Concreet betekent dit dat de auditor wil zien dat jouw organisatie het informatiebeveiligingsbeleid serieus neemt. Tijdens een ISO 27001 audit wordt in de eerste fase getoetst of het managementsysteem op papier klopt: zijn de processen gedocumenteerd, zijn risico’s geanalyseerd en zijn verantwoordelijkheden belegd? De auditor wil geen gladgestreken presentatie, maar een eerlijk beeld van hoe de organisatie werkt. Transparantie en bereidheid om open te communiceren worden positief gewaardeerd.
Welke documenten moet je klaar hebben liggen voor de audit?
Voor een informatiebeveiligingsaudit moet je minimaal het informatiebeveiligingsbeleid, de risicoanalyse, de Statement of Applicability (SoA), procedures, interne auditrapportages en verslagen van managementreviews klaar hebben liggen. Zorg dat deze documenten actueel en makkelijk toegankelijk zijn.
Een handige manier om dit te organiseren is een auditmap, digitaal of fysiek, waarin alle kernstukken gebundeld zijn. Denk daarbij aan:
- Informatiebeveiligingsbeleid en doelstellingen
- Risicobeoordelings- en behandelingsrapport
- Statement of Applicability (SoA) met onderbouwing
- Procedures en werkinstructies voor kritieke processen
- Interne auditresultaten van het afgelopen jaar
- Verslagen van de managementreview
- Registraties van incidenten, nonconformiteiten en verbeteracties
Zorg dat medewerkers weten waar deze documenten staan en dat de versies up-to-date zijn. Niets is zo onnodig vervelend als een auditor die een verouderde procedure aantreft terwijl de nieuwe versie al maanden in gebruik is, maar nergens formeel is vastgelegd.
Wie moet er aanwezig zijn tijdens de openingsvergadering?
Tijdens de openingsvergadering moeten in ieder geval de CISO of informatiebeveiligingsverantwoordelijke, een vertegenwoordiger van het management en de auditcoördinator aanwezig zijn. Bij grotere organisaties sluit ook de proceseigenaar van het auditgebied aan.
De openingsvergadering is het formele startpunt van de auditdag. De auditor legt hier de scope, het programma en de werkwijze uit. Het is belangrijk dat iemand van het hoger management aanwezig is: dit toont betrokkenheid en maakt duidelijk dat informatiebeveiliging geen IT-feestje is, maar een organisatiebrede verantwoordelijkheid. Zorg ook dat de aanwezigen gedurende de dag beschikbaar blijven voor eventuele vervolgvragen.
Hoe zorg je dat medewerkers weten wat ze moeten doen tijdens de audit?
Informeer medewerkers vooraf over het doel van de audit, wat ze kunnen verwachten en hoe ze moeten reageren op vragen van de auditor. Eerlijkheid en directheid zijn daarbij het beste advies: een auditor waardeert authentieke antwoorden boven gerepeteerde scripts.
Praktisch gezien helpt het om een korte briefing te organiseren in de week voor de audit. Bespreek daarin:
- Wat de audit inhoudt en waarom de organisatie dit doet
- Welke medewerkers mogelijk worden gesproken
- Hoe ze moeten omgaan met vragen die ze niet direct kunnen beantwoorden
- Dat ze geen informatie hoeven te verzinnen of te verfraaien
Medewerkers die nerveus zijn voor een audit presteren beter wanneer ze weten dat het geen examen is, maar een gesprek. Leg uit dat de auditor niet op zoek is naar fouten om mensen af te rekenen, maar naar bewijs dat het systeem werkt. Een goed begrip van de informatiebeveiliging binnen de eigen afdeling is voldoende.
Wat zijn veelgemaakte fouten op de eerste auditdag?
De meest voorkomende fouten op de eerste auditdag zijn: ontbrekende of verouderde documentatie, de verkeerde mensen aanwezig hebben, te weinig tijd inplannen voor de openingsvergadering en medewerkers die niet weten waar ze informatie kunnen vinden.
Andere valkuilen die we regelmatig tegenkomen:
- Documentatie die wel bestaat maar niet gevonden wordt. Zorg voor een logische structuur en test vooraf of iedereen de stukken snel kan openen.
- Overmatig poetsen. Snel dingen aanpassen of bijschrijven vlak voor de audit wekt achterdocht. Een auditor ziet dit aan versiebeheer en metadata.
- Sleutelmedewerkers die niet beschikbaar zijn. Plan de auditdag ruim in en blokkeer agenda’s tijdig.
- Geen duidelijk aanspreekpunt voor de auditor. Wijs één persoon aan als contactpersoon voor de dag.
Een goede voorbereiding op de auditdag draait voor een groot deel om rust en overzicht. Wie alles op orde heeft, hoeft niet te improviseren.
Hoe verschilt een eerste certificeringsaudit van een herbeoordelingsaudit?
Bij een eerste certificeringsaudit toetst de auditor of het managementsysteem volledig is opgezet en geïmplementeerd. Bij een herbeoordelingsaudit staat de vraag centraal of het systeem nog steeds effectief werkt en of de organisatie zich heeft verbeterd. De voorbereiding verschilt daarin wezenlijk.
Tijdens een eerste certificeringsaudit wordt er in twee fasen gewerkt. In fase 1 beoordeelt de auditor de documentatie en de gereedheid van de organisatie. In fase 2 wordt getoetst of de praktijk overeenkomt met wat op papier staat. Voor een eerste ISO 27001 audit is het dus cruciaal dat het systeem niet alleen beschreven is, maar ook aantoonbaar in gebruik is.
Bij een herbeoordelingsaudit, die doorgaans na drie jaar plaatsvindt, ligt de nadruk op continuïteit en verbetering. De auditor wil zien dat nonconformiteiten zijn opgelost, dat interne audits zijn uitgevoerd en dat het management het systeem actief heeft bijgestuurd. Organisaties die dit goed bijhouden hoeven zich bij een herbeoordeling veel minder te haasten, omdat de bewijslast al gedurende het hele certificeringsjaar is opgebouwd.
Wil je zeker weten dat jouw organisatie goed voorbereid is op de auditdag, of heb je vragen over wat er in jouw situatie specifiek verwacht wordt? Neem contact op en plan een vrijblijvend gesprek met een van onze auditors.
Veelgestelde vragen
Wat moet ik als eerste regelen om goed voorbereid te zijn op de auditdag?
Zorg dat alle kernstukken zoals het informatiebeveiligingsbeleid, de risicoanalyse en de Statement of Applicability gebundeld zijn in een overzichtelijke auditmap, en dat de juiste mensen beschikbaar zijn. Een goede voorbereiding begint met overzicht: weet wat de auditor verwacht en test vooraf of iedereen de documenten snel kan vinden.
Hoe bereid ik mijn medewerkers voor op vragen van de auditor?
Organiseer een korte briefing in de week voor de audit waarin je uitlegt wat de audit inhoudt, wie mogelijk wordt gesproken en hoe medewerkers eerlijk en direct kunnen antwoorden. Benadruk dat het geen examen is maar een gesprek, en dat authentieke antwoorden altijd de voorkeur hebben boven gerepeteerde scripts.
Waarom is de aanwezigheid van het management tijdens de openingsvergadering zo belangrijk?
De aanwezigheid van iemand uit het hoger management toont aan dat informatiebeveiliging een organisatiebrede verantwoordelijkheid is en niet alleen een IT-aangelegenheid. Dit geeft de auditor vertrouwen dat het managementsysteem serieus wordt genomen en actief wordt ondersteund vanuit de top van de organisatie.
Wanneer is mijn organisatie toe aan een herbeoordelingsaudit in plaats van een eerste certificeringsaudit?
Een herbeoordelingsaudit vindt doorgaans plaats na drie jaar en is bedoeld om te toetsen of het systeem nog steeds effectief werkt en of de organisatie zich aantoonbaar heeft verbeterd. Organisaties die gedurende het hele certificeringsjaar bewijs hebben opgebouwd van interne audits en verbeteracties, staan hier veel sterker voor.
Gerelateerde artikelen
- Wat gebeurt er als je scope wijzigt na een ISO 27001 certificering?
- Wat zijn de kwalificaties van een goede ISO 27001 auditor?
- Hoe verhouden de jaarlijkse ISO 27001 auditkosten zich tot de baten van certificering?
- Wat is het verschil tussen een initiële ISO 27001 certificering en een hercertificering?
- Hoe weet je of de informatiebeveiliging van je organisatie op orde is?
