Tijdens een fase 2 audit beoordeelt de auditor of jouw informatiebeveiliging in de praktijk werkt zoals op papier beschreven. De auditor toetst niet alleen de documentatie, maar gaat ook het gesprek aan met medewerkers en bekijkt concrete bewijzen van implementatie. Dit maakt de fase 2 audit de kern van het certificeringstraject. In dit artikel beantwoorden we de meest gestelde vragen over hoe een auditor te werk gaat, wat je kunt verwachten en wat er daarna gebeurt. Heb je al vragen voordat je dit artikel uitleest? Neem gerust contact op en wij helpen je graag verder.
Wat controleert een auditor tijdens een fase 2 audit?
Tijdens een fase 2 audit controleert de auditor of het managementsysteem voor informatiebeveiliging daadwerkelijk is geïmplementeerd en effectief werkt. Dat betekent: zijn de beleidsmaatregelen niet alleen gedocumenteerd, maar ook actief in gebruik? Worden procedures gevolgd, begrijpen medewerkers hun rol en zijn risico’s aantoonbaar beheerst?
De focus ligt op drie niveaus. Ten eerste wordt gekeken naar de documentatie: zijn beleidsstukken, risicobeoordelingen en procedures aanwezig en actueel? Ten tweede beoordeelt de auditor de implementatie in de praktijk: worden de procedures ook daadwerkelijk gevolgd? Ten derde toetst de auditor de effectiviteit: leidt het systeem tot de gewenste uitkomsten op het gebied van informatiebeveiliging?
Bij een ISO 27001 audit worden alle relevante beheersmaatregelen uit bijlage A meegewogen, maar de diepgang per maatregel hangt af van de risicocontext van jouw organisatie. Een auditor kijkt dus niet alleen of een maatregel bestaat, maar of die maatregel zinvol is toegepast.
Hoe verloopt een fase 2 audit stap voor stap?
Een fase 2 audit volgt een vaste structuur die begint met een openingsgesprek en eindigt met een slotgesprek. Daartussen wisselen documentreviews, interviews en praktijkobservaties elkaar af. De doorlooptijd is afhankelijk van de omvang van de organisatie, maar een fase 2 audit duurt doorgaans één tot drie dagen.
De stappen zien er in de praktijk als volgt uit:
- Openingsgesprek: De auditor stelt het auditprogramma voor, verduidelijkt de aanpak en beantwoordt eventuele vragen. Dit is ook het moment om de scope te bevestigen.
- Documentreview: De auditor bekijkt beleidsdocumenten, procedures, risicobeoordelingen en interne auditverslagen op volledigheid en actualiteit.
- Interviews met medewerkers: Op verschillende niveaus worden gesprekken gevoerd om te toetsen of medewerkers hun verantwoordelijkheden kennen en uitvoeren.
- Praktijkobservaties: De auditor vraagt om bewijs van implementatie, zoals logs, toegangsrechten, incidentregistraties of trainingsrecords.
- Interne bevindingsbespreking: De auditor verwerkt de verzamelde informatie en stelt vast welke bevindingen er zijn.
- Slotgesprek: De bevindingen worden mondeling toegelicht aan het management. Eventuele afwijkingen worden besproken, samen met de vervolgstappen.
Welke vragen stelt een auditor aan medewerkers?
Een auditor stelt tijdens een fase 2 audit open vragen die gericht zijn op het begrijpen van de dagelijkse praktijk. Het gaat niet om het overhoren van theorie, maar om inzicht te krijgen in hoe medewerkers daadwerkelijk omgaan met informatiebeveiligingsrisico’s in hun werk.
Veelgestelde vragen zijn onder andere:
- Wat doe jij als je een beveiligingsincident signaleert?
- Hoe ga je om met vertrouwelijke klantgegevens?
- Weet je waar het informatiebeveiligingsbeleid te vinden is?
- Hoe worden toegangsrechten bij jou geregeld?
- Ben je getraind op het gebied van informatiebeveiliging en wanneer was dat?
De auditor past de vragen aan op de functie van de medewerker. Een systeembeheerder krijgt andere vragen dan een HR-medewerker. Het doel is altijd hetzelfde: vaststellen of het managementsysteem in de praktijk leeft en werkt, en niet alleen op papier bestaat.
Wat zijn bevindingen en hoe worden ze geclassificeerd?
Bevindingen zijn de conclusies die een auditor trekt op basis van verzameld bewijs tijdens de certificeringsaudit. Ze worden ingedeeld in drie categorieën: conformiteiten, verbeterpunten en afwijkingen. De classificatie bepaalt welke vervolgactie nodig is.
Conformiteiten en verbeterpunten
Een conformiteit betekent dat een eis uit de norm aantoonbaar is ingevuld. Een verbeterpunt (ook wel observatie of aanbeveling genoemd) is een situatie waarbij iets wel werkt, maar waarbij de auditor een risico op verslechtering of een kans op verbetering ziet. Verbeterpunten hoeven niet te worden opgelost voor certificering, maar worden meegenomen in het verbeterproces.
Afwijkingen: minor en major
Een afwijking geeft aan dat een eis uit de norm niet of onvoldoende is ingevuld. Er zijn twee soorten. Een minor afwijking is een beperkte tekortkoming waarbij de systematische werking van het managementsysteem niet in gevaar is. Een major afwijking is een ernstige tekortkoming die de kern van het systeem raakt, of een opeenstapeling van minor afwijkingen die samen een structureel probleem vormen.
Wat gebeurt er als er een afwijking wordt gevonden?
Als de auditor een afwijking vaststelt, betekent dat niet automatisch dat de certificering mislukt. Bij een minor afwijking ontvang je de kans om een correctieve actie in te dienen en aan te tonen dat het probleem is opgelost. Bij een major afwijking is een heraudit of aanvullend onderzoek nodig voordat het certificaat kan worden afgegeven.
De procedure bij een afwijking ziet er als volgt uit:
- De afwijking wordt vastgelegd in het auditrapport met een duidelijke omschrijving en de bijbehorende normeis.
- De organisatie analyseert de oorzaak en stelt een correctieve actie op.
- De correctieve actie wordt ingediend bij de auditor, doorgaans binnen dertig tot negentig dagen.
- De auditor beoordeelt of de actie voldoende is en de afwijking is opgeheven.
- Bij een major afwijking volgt een aanvullend auditbezoek om de effectiviteit van de correctie te verifiëren.
Het is belangrijk om afwijkingen serieus te nemen, maar niet als falen te zien. Een auditor die een afwijking benoemt, helpt de organisatie om het systeem duurzaam te versterken.
Wanneer ontvang je het certificaat na de fase 2 audit?
Na een succesvolle fase 2 audit zonder major afwijkingen ontvang je het ISO 27001 certificaat doorgaans binnen twee tot vier weken. De exacte doorlooptijd hangt af van de afhandeling van eventuele minor afwijkingen en de interne verwerkingstijd van de certificeringsinstelling.
De stappen na de audit zijn als volgt:
- De auditor rondt het auditrapport af en dient dit in bij de certificeringsinstelling.
- Een onafhankelijke reviewer beoordeelt het rapport en de bevindingen.
- Eventuele minor afwijkingen worden afgehandeld voordat de certificeringsbeslissing wordt genomen.
- Na goedkeuring wordt het certificaat opgesteld en aan de organisatie verstrekt.
Het certificaat is drie jaar geldig. Gedurende die periode vinden jaarlijkse surveillance-audits plaats om te controleren of het managementsysteem blijft voldoen aan de norm. Na drie jaar volgt een hercertificeringsaudit.
Heb je vragen over wat jou te wachten staat tijdens een fase 2 audit, of wil je weten hoe wij het certificeringstraject aanpakken? Neem contact op en wij plannen graag een vrijblijvend gesprek in.
Veelgestelde vragen
Wat is het verschil tussen een minor en een major afwijking tijdens een fase 2 audit?
Een minor afwijking is een beperkte tekortkoming die de werking van je managementsysteem niet fundamenteel aantast, terwijl een major afwijking een ernstig probleem aangeeft dat de kern van het systeem raakt. Bij een minor afwijking kun je een correctieve actie indienen; bij een major afwijking is een aanvullend auditbezoek vereist voordat je het certificaat ontvangt.
Hoe kan ik mijn medewerkers het beste voorbereiden op de interviews tijdens de fase 2 audit?
Zorg dat medewerkers weten waar het informatiebeveiligingsbeleid te vinden is, hoe ze incidenten moeten melden en welke verantwoordelijkheden bij hun functie horen. Een korte interne voorbereiding of bewustwordingssessie vóór de audit helpt medewerkers zelfverzekerd en helder te antwoorden, zonder dat ze specifieke antwoorden uit het hoofd hoeven te leren.
Wanneer is het verstandig om een fase 1 audit te laten uitvoeren voordat je start met de fase 2 audit?
Een fase 1 audit is altijd verstandig als je voor het eerst een ISO 27001 certificering doorloopt, omdat de auditor dan beoordeelt of je documentatie en managementsysteem klaar zijn voor de praktijktoets. Dit voorkomt onnodige verrassingen tijdens de fase 2 audit en geeft je de kans om eventuele hiaten tijdig te dichten.
Wat gebeurt er na de drie jaar dat mijn ISO 27001 certificaat geldig is?
Na drie jaar vervalt je certificaat tenzij je een hercertificeringsaudit succesvol doorloopt, waarbij opnieuw wordt beoordeeld of je managementsysteem nog volledig voldoet aan de norm. Daarnaast vinden er jaarlijks surveillance-audits plaats om te controleren of je systeem gedurende de certificeringsperiode blijft werken zoals vereist.
Gerelateerde artikelen
- Welke indruk telt het meest tijdens de eerste kennismaking met een auditor?
- Wat is een open en eerlijk auditproces en hoe herken je dat?
- Hoe bereid je een organisatie voor op de eerste dag van de audit?
- Hoe werkt een gecombineerde audit voor ISO 27001 en NEN 7510?
- Waarom is ISO 27001 certificering belangrijk voor bedrijven?
