Hoe toets je zelf of de documentatie voldoende is voor de audit?

Je kunt zelf toetsen of je documentatie voldoende is voor een ISO 27001-audit door je ISMS-documentatie systematisch te vergelijken met de verplichte documenten uit de norm en vervolgens te controleren op volledigheid, actualiteit en onderlinge samenhang. Dit doe je het effectiefst via een gestructureerde interne documentatiecheck voordat de externe auditor langskomt. In dit artikel beantwoorden we de meest gestelde vragen over documentatie voor een ISO 27001-audit, zodat je goed voorbereid aan de start staat. Heb je vragen over jouw specifieke situatie? Neem gerust contact met ons op en we helpen je verder.

Welke documenten zijn verplicht voor een ISO 27001-audit?

ISO 27001 schrijft een specifieke set verplichte documenten voor die je ISMS moeten onderbouwen. De norm vereist onder andere een informatiebeveiligingsbeleid, een risicobeoordelingsproces, een risicobeoordeling en risicobehandelingsplan, een Verklaring van Toepasselijkheid (SoA), interne auditresultaten en managementreviewverslagen. Zonder deze documenten kan de audit niet worden afgerond.

Naast deze kerndocumenten zijn er ook aanvullende records die je moet kunnen overleggen. Denk aan gedocumenteerde doelstellingen voor informatiebeveiliging, bewijs van competentie van medewerkers en registraties van incidenten en corrigerende maatregelen. De exacte set hangt deels af van de maatregelen die je in je SoA als van toepassing hebt verklaard.

Een handige manier om overzicht te houden is de verplichte documenten te groeperen naar de clausules van de norm:

• Clausule 4 t/m 6: Context van de organisatie, scope-document, informatiebeveiligingsbeleid, risicobeoordelingsmethodologie
• Clausule 6: Risicobeoordeling, risicobehandelingsplan, Verklaring van Toepasselijkheid
• Clausule 7: Bewijs van competentie, bewustwordingsactiviteiten, communicatieoverzicht
• Clausule 8: Operationele plannen en beheersmaatregelen
• Clausule 9: Monitoringresultaten, interne auditprogramma en -resultaten, managementreviewnotulen
• Clausule 10: Registraties van non-conformiteiten en corrigerende maatregelen

Voor organisaties die ook werken met informatiebeveiliging als bredere strategische prioriteit, loont het om de documentatie niet als losstaand dossier te zien, maar als levend bewijs van hoe de organisatie met risico’s omgaat.

Hoe weet je of je documentatie volledig genoeg is?

Je documentatie is volledig genoeg als elk verplicht document aanwezig is, actueel is, goedgekeurd door de juiste persoon en inhoudelijk aansluit op de werkelijke situatie in je organisatie. Volledigheid gaat dus niet alleen over het hebben van documenten, maar over de kwaliteit en relevantie ervan.

Een veelgemaakte misvatting is dat “meer documentatie” gelijk staat aan “betere documentatie.” Een auditor beoordeelt niet de omvang, maar de samenhang. Stel jezelf bij elk document drie vragen:

1. Is het actueel? Weerspiegelt het document de huidige situatie, processen en verantwoordelijkheden?
2. Is het goedgekeurd? Staat er een versiedatum, autorisatie en eigenaar op?
3. Sluit het aan op andere documenten? Verwijst je risicobehandelingsplan naar de juiste maatregelen in je SoA?

Als je op één van deze vragen “nee” antwoordt, is dat een signaal om actie te ondernemen vóór de audit. Documentatie die intern niet klopt of verouderd is, valt een auditor direct op.

Wat zijn de meest voorkomende documentatiefouten voor een audit?

De meest voorkomende documentatiefouten bij een ISO 27001-audit zijn: ontbrekende of verouderde risicobeoordelingen, een SoA die niet overeenkomt met de daadwerkelijk geïmplementeerde maatregelen, beleidsdocumenten zonder versie- of goedkeuringsdatum en ontbrekend bewijs van interne audits of managementreviews.

Hieronder de fouten die we in de praktijk het vaakst tegenkomen:

• De SoA klopt niet met de praktijk: Maatregelen staan als “van toepassing” aangemerkt, maar er is geen bewijs dat ze zijn geïmplementeerd.
• Risicobeoordelingen zijn nooit bijgewerkt: Een risicobeoordeling die drie jaar oud is en geen wijzigingen weerspiegelt, is een rode vlag.
• Beleid zonder eigenaar: Documenten die niemand formeel heeft goedgekeurd of waarvoor geen beheerder is aangewezen.
• Ontbrekend bewijs van bewustwording: Geen registraties van trainingen of bewustwordingssessies voor medewerkers.
• Incidentregistraties ontbreken: Geen enkel incident gedocumenteerd, wat ongeloofwaardig overkomt.
• Scope-document is vaag: De scope beschrijft niet concreet welke systemen, locaties en processen vallen binnen het ISMS.

Het goede nieuws: al deze fouten zijn te herstellen als je ze tijdig ontdekt. Dat maakt een interne documentatiecheck zo waardevol.

Hoe voer je een interne documentatiecheck stap voor stap uit?

Een interne documentatiecheck voer je uit door systematisch alle verplichte ISMS-documenten langs te lopen, te beoordelen op volledigheid en actualiteit en de samenhang tussen documenten te controleren. Plan hier minimaal twee tot vier weken voor de audit voldoende tijd voor in.

Volg deze stappen voor een effectieve documentatiecheck:

1. Maak een inventarislijst: Zet alle verplichte documenten op een rij, gebaseerd op de clausules van ISO 27001 en je eigen SoA.
2. Controleer aanwezigheid: Ga na of elk document daadwerkelijk bestaat en vindbaar is voor de auditor.
3. Controleer versie en goedkeuring: Elk document moet een versienummer, datum en naam van de goedkeurder bevatten.
4. Controleer actualiteit: Zijn er organisatiewijzigingen, nieuwe systemen of incidenten geweest die nog niet zijn verwerkt?
5. Controleer samenhang: Kloppen de verwijzingen tussen documenten? Staan de risico’s in je risicobeoordeling ook in je risicobehandelingsplan?
6. Simuleer de auditorvraag: Stel jezelf voor elk document de vraag: “Wat zou een auditor hierover willen weten?” en controleer of het antwoord in het document staat.
7. Documenteer je bevindingen: Leg vast wat je hebt gecontroleerd, wat ontbreekt en welke acties je hebt uitgezet.

Door deze stappen te volgen, kom je niet voor verrassingen te staan tijdens de certificeringsaudit. Wij zien bij organisaties die dit proces serieus nemen dat de audit aanzienlijk soepeler verloopt.

Wanneer is je documentatie goed genoeg voor de auditor?

Je documentatie is goed genoeg voor de auditor wanneer alle verplichte documenten aanwezig en actueel zijn, de inhoud overeenkomt met de werkelijkheid in je organisatie en de samenhang tussen documenten aantoonbaar is. Er bestaat geen perfecte documentatie, maar de norm verwacht wél dat je kunt laten zien dat je ISMS daadwerkelijk werkt en wordt onderhouden.

Een auditor beoordeelt documentatie niet als een eindproduct, maar als bewijs van een levend systeem. Dat betekent dat een goed bijgehouden risicoregister met een paar kleine onvolkomenheden overtuigender is dan een perfect opgemaakt document dat duidelijk nooit wordt gebruikt.

Praktische signalen dat je documentatie auditklaar is:

• Je kunt voor elk verplicht document direct aangeven waar het staat en wie de eigenaar is.
• Je risicobeoordelingsproces is in het afgelopen jaar uitgevoerd en gedocumenteerd.
• Je interne audit heeft plaatsgevonden en de resultaten zijn vastgelegd, inclusief eventuele bevindingen.
• Je managementreview is gehouden en er zijn notulen beschikbaar.
• Je SoA is consistent met de geïmplementeerde maatregelen.
• Medewerkers zijn aantoonbaar getraind en bewust gemaakt van het informatiebeveiligingsbeleid.

Als je op al deze punten “ja” kunt antwoorden, staat je documentatie er goed voor. Twijfel je of je er klaar voor bent? Neem contact met ons op en plan een gesprek in. We denken graag met je mee over de laatste stappen richting een succesvolle audit.

Gerelateerde artikelen

• Wat gebeurt er als je scope wijzigt na een ISO 27001 certificering?
• Hoe beoordeel je of het ISO 27001 certificaat van een leverancier echt geldig is?
• Hoe gaat een auditor te werk tijdens een fase 2 audit?
• Welke sector-specifieke risico's dek je af met ISO 27001?
• Hoe rapporteer je over informatiebeveiliging prestaties?