Tijdens een fase 1 audit beoordeelt een auditor of jouw organisatie klaar is om door te gaan naar de daadwerkelijke certificeringsaudit (fase 2). De auditor kijkt hierbij niet of alles al perfect is ingericht, maar of het managementsysteem voldoende volwassen en gedocumenteerd is om een zinvolle fase 2 audit mogelijk te maken. Heb je vragen over hoe dit proces er voor jouw organisatie uitziet? Neem gerust contact op en we helpen je verder.
Wat controleert een auditor tijdens een fase 1 audit?
Tijdens een fase 1 audit controleert de auditor primair de documentatie en het ontwerp van het managementsysteem voor informatiebeveiliging. Het gaat er niet om of alle maatregelen al volledig werken, maar of de organisatie begrijpt wat de norm vereist en of de basis op papier en in de praktijk aanwezig is om door te gaan naar fase 2.
Concreet kijkt de auditor naar de volgende aspecten:
- De scope van het informatiebeveiligingsmanagementsysteem (ISMS): is duidelijk afgebakend wat er wel en niet onder valt?
- Het informatiebeveiligingsbeleid en de doelstellingen van de organisatie
- De risicobeoordelingsmethodiek en de resultaten van de risicoanalyse
- De Verklaring van Toepasselijkheid (Statement of Applicability), waarin de organisatie aangeeft welke ISO 27001-beheersmaatregelen van toepassing zijn
- Of de interne auditcyclus is opgezet en of directiebeoordeling heeft plaatsgevonden
- Of de organisatie de wettelijke en contractuele eisen in kaart heeft gebracht
De auditor vormt zich op basis van deze documentatie een beeld van de volwassenheid van het ISMS en bepaalt of de organisatie gereed is voor de fase 2 audit.
Hoe verloopt een fase 1 audit stap voor stap?
Een fase 1 audit volgt een vaste structuur die begint met een openingsgesprek en eindigt met een rapportage van bevindingen. De audit duurt doorgaans één dag, afhankelijk van de omvang en complexiteit van de organisatie. Hieronder volgt een overzicht van de stappen.
- Openingsgesprek: De auditor legt het doel en de werkwijze van de fase 1 audit uit en bespreekt de planning van de dag.
- Documentatiebeoordeling: De auditor bestudeert de kernstukken van het ISMS, zoals het beleid, de risicoanalyse en de Verklaring van Toepasselijkheid.
- Gesprekken met verantwoordelijken: De auditor voert gesprekken met de CISO, de information security officer of andere betrokkenen om te begrijpen hoe het systeem in de praktijk werkt.
- Beoordeling van de locatie en omgeving: Soms maakt de auditor een beperkte rondgang door de organisatie om de fysieke en technische context te begrijpen.
- Analyse en voorbereiding van bevindingen: De auditor verwerkt de verzamelde informatie en formuleert bevindingen en aandachtspunten.
- Slotgesprek: De auditor bespreekt de bevindingen mondeling en geeft aan of de organisatie klaar is voor de fase 2 audit, en zo ja, welke aandachtspunten er zijn.
Na de audit ontvangt de organisatie een schriftelijk rapport met de bevindingen en de conclusie over de gereedheid voor fase 2.
Welke documenten moet een organisatie aanleveren voor de fase 1 audit?
Voor een fase 1 audit moet de organisatie een set kernstukken aanleveren die het ISMS beschrijven en onderbouwen. Zonder deze documenten kan de auditor niet beoordelen of het systeem voldoende is uitgewerkt om door te gaan naar de certificeringsaudit.
De meest essentiële documenten zijn:
- Informatiebeveiligingsbeleid: het overkoepelende beleidsdocument dat de doelstellingen en uitgangspunten beschrijft
- Scopedocument: een heldere beschrijving van de grenzen van het ISMS
- Risicobeoordelingsrapport: een overzicht van geïdentificeerde risico’s en de bijbehorende behandelplannen
- Verklaring van Toepasselijkheid (VvT): een gedocumenteerde verantwoording van welke beheersmaatregelen zijn geselecteerd of uitgesloten
- Interne auditrapportage: bewijs dat er minimaal één interne audit heeft plaatsgevonden
- Directiebeoordelingsverslag: documentatie van de beoordeling door het management
- Procedure voor corrigerende maatregelen: een werkwijze voor het afhandelen van afwijkingen
Hoe beter deze documenten zijn uitgewerkt, hoe soepeler de fase 1 audit verloopt. Een onvolledig dossier leidt vrijwel altijd tot extra bevindingen en vertraging richting de fase 2 audit.
Wat zijn veelvoorkomende bevindingen na een fase 1 audit?
Na een fase 1 audit komen organisaties regelmatig dezelfde tekortkomingen tegen. De meest voorkomende bevindingen zijn geen harde afkeuringen, maar aandachtspunten die vóór of tijdens de fase 2 audit moeten worden opgelost.
Veelgehoorde bevindingen zijn:
- Onvolledige Verklaring van Toepasselijkheid: beheersmaatregelen zijn geselecteerd maar de onderbouwing ontbreekt of is te summier
- Risicoanalyse is te globaal: risico’s zijn wel geïdentificeerd, maar de beoordeling mist diepgang of is niet gekoppeld aan concrete behandelmaatregelen
- Scope is onduidelijk afgebakend: de grenzen van het ISMS zijn vaag, waardoor onduidelijk is wat er wel en niet onder de ISO 27001 certificering valt
- Ontbrekende interne audit of directiebeoordeling: de cyclus is nog niet volledig doorlopen voordat de fase 1 audit plaatsvindt
- Beleidsdocumenten zijn niet goedgekeurd of gedateerd: documenten missen een formele vaststelling door het management
- Bewustzijn bij medewerkers is onvoldoende aangetoond: er is geen bewijs van bewustzijnstraining of communicatie over het informatiebeveiligingsbeleid
Het goede nieuws is dat deze bevindingen in de meeste gevallen goed op te lossen zijn in de periode tussen fase 1 en fase 2. Een ervaren auditor geeft hierbij duidelijke toelichting zodat de organisatie precies weet wat er moet worden verbeterd.
Wat gebeurt er na de fase 1 audit?
Na de fase 1 audit ontvangt de organisatie een auditrapport met bevindingen en een aanbeveling over de gereedheid voor de fase 2 audit. Op basis van dit rapport beslist de organisatie samen met de auditinstelling wanneer de fase 2 audit ingepland wordt.
Er zijn drie mogelijke uitkomsten na een fase 1 audit:
- Klaar voor fase 2: het ISMS is voldoende uitgewerkt en de fase 2 audit kan worden ingepland, doorgaans binnen drie tot twaalf maanden na fase 1.
- Klaar voor fase 2 met aandachtspunten: de organisatie kan doorgaan naar fase 2, maar moet een aantal punten eerst oplossen of aantonen dat ze worden opgepakt. De auditor volgt dit op aan het begin van fase 2.
- Fase 1 herhalen: in uitzonderlijke gevallen, wanneer het ISMS onvoldoende volwassen is, adviseert de auditor om de fase 1 audit op een later moment te herhalen.
De periode tussen fase 1 en fase 2 is waardevol. Gebruik deze tijd om de geconstateerde aandachtspunten op te lossen, de interne auditcyclus te vervolledigen en de bewustzijnstraining van medewerkers te borgen. Hoe beter de organisatie deze tussenperiode benut, hoe groter de kans op een succesvolle fase 2 audit en uiteindelijke certificering.
Wil je weten hoe wij jouw organisatie begeleiden door het volledige certificeringstraject? Neem contact op en we plannen een vrijblijvend kennismakingsgesprek in.
Veelgestelde vragen
Wat is het verschil tussen een fase 1 en een fase 2 audit?
V: Wat is het verschil tussen een fase 1 en een fase 2 audit?nA: Een fase 1 audit beoordeelt of de documentatie en het ontwerp van je managementsysteem voldoende zijn uitgewerkt om door te gaan naar de certificeringsaudit. Bij een fase 2 audit controleert de auditor of de maatregelen ook daadwerkelijk worden toegepast en effectief zijn in de dagelijkse praktijk van je organisatie.
Hoe lang duurt het gemiddeld om je voor te bereiden op een fase 1 audit?
V: Hoe lang duurt het gemiddeld om je voor te bereiden op een fase 1 audit?nA: De voorbereidingstijd varieert per organisatie, maar de meeste organisaties hebben drie tot zes maanden nodig om alle benodigde documentatie op orde te krijgen, een risicoanalyse uit te voeren en een interne audit te voltooien. Hoe eerder je begint met het uitwerken van de kernstukken, hoe soepeler de fase 1 audit verloopt.
Wat gebeurt er als de fase 1 audit negatief uitvalt?
V: Wat gebeurt er als de fase 1 audit negatief uitvalt?nA: Als het ISMS onvoldoende volwassen is, adviseert de auditor om de fase 1 audit op een later moment te herhalen nadat de tekortkomingen zijn opgelost. Dit is een uitzonderlijke situatie, want de meeste bevindingen zijn aandachtspunten die je in de periode tussen fase 1 en fase 2 kunt oplossen zonder het hele traject opnieuw te starten.
Waarom is de Verklaring van Toepasselijkheid zo belangrijk voor de fase 1 audit?
V: Waarom is de Verklaring van Toepasselijkheid zo belangrijk voor de fase 1 audit?nA: De Verklaring van Toepasselijkheid laat zien welke ISO 27001-beheersmaatregelen je organisatie heeft geselecteerd of uitgesloten, inclusief de onderbouwing daarvan. Het is een van de meest beoordeelde documenten tijdens de fase 1 audit, omdat het direct aantoont of je organisatie de norm begrijpt en bewust keuzes maakt die passen bij de eigen risicoanalyse.
Gerelateerde artikelen
- Hoe kies je de juiste certificerende instelling voor ISO 27001?
- Wat is het tijdsverloop van een fase 2 audit van start tot afronding?
- Hoe gaat een auditor te werk tijdens een fase 2 audit?
- Hoe herken je een phishingaanval gericht op je organisatie?
- Hoe pak je het aan als je een NEN 7510 certificering wilt halen?
