Ja, de auditor komt na de initiële certificering ieder jaar terug. Voor een ISO 27001-certificaat geldt een driejarige cyclus: in het eerste en tweede jaar vindt een jaarlijkse surveillance-audit plaats, en in het derde jaar volgt een volledige hercertificeringsaudit. Zo blijft het certificaat geldig en blijft de organisatie aantoonbaar in control over haar informatiebeveiliging. In dit artikel beantwoorden we de meest gestelde vragen over die terugkerende audits. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en wij helpen je graag verder.
Hoe vaak komt een auditor na de certificering terug?
Na het behalen van een ISO 27001-certificaat bezoekt de auditor de organisatie ieder jaar. De driejarige auditcyclus bestaat uit twee surveillance-audits (in jaar één en jaar twee) en een hercertificeringsaudit in jaar drie. Zonder deze jaarlijkse bezoeken vervalt het certificaat en verliest de organisatie haar gecertificeerde status.
Deze structuur is niet willekeurig. Het idee achter de jaarlijkse terugkeer is dat informatiebeveiliging geen eenmalige prestatie is, maar een doorlopend proces. Organisaties veranderen, systemen worden aangepast, medewerkers komen en gaan. De auditcyclus zorgt ervoor dat het managementsysteem voor informatiebeveiliging actueel blijft en niet veroudert na de eerste certificering.
Het is belangrijk om te weten dat de exacte planning van de audits wordt vastgelegd bij de initiële certificering. De accrediterende instelling stelt eisen aan de frequentie en het tijdstip van de bezoeken, zodat de continuïteit van toezicht gewaarborgd is.
Wat is het verschil tussen een surveillance-audit en een hercertificeringsaudit?
Een surveillance-audit is een tussentijdse controle die nagaat of de organisatie haar managementsysteem actief onderhoudt en verbetert. Een hercertificeringsaudit is een volledige herkeuring aan het einde van de driejarige cyclus, waarbij het certificaat opnieuw wordt verleend. De surveillance-audit is kleiner van scope; de hercertificeringsaudit is vergelijkbaar in diepgang met de initiële certificeringsaudit.
Surveillance-audit: gericht toezicht
Tijdens een surveillance-audit controleert de auditor een selectie van de eisen uit de norm. De focus ligt op de gebieden die bij de vorige audit aandacht verdienden, op de interne auditresultaten en op de werking van het managementsysteem als geheel. Denk aan de behandeling van non-conformiteiten, de betrokkenheid van het management en de voortgang op verbetermaatregelen. De duur van een surveillance-audit is doorgaans korter dan die van een initiële audit.
Hercertificeringsaudit: volledige herkeuring
Na drie jaar beoordeelt de auditor het volledige managementsysteem opnieuw. Alle clausules van de norm komen aan bod, inclusief de context van de organisatie, de risicobeoordeling en het gehele stelsel van beheersmaatregelen. Een succesvolle hercertificeringsaudit resulteert in een nieuw certificaat dat weer drie jaar geldig is. Het is in feite een herstart van de cyclus.
Wat wordt er tijdens een jaarlijkse surveillance-audit gecontroleerd?
Tijdens een surveillance-audit controleert de auditor of het managementsysteem voor informatiebeveiliging nog steeds effectief functioneert. Specifieke aandachtspunten zijn onder andere de afhandeling van eerdere bevindingen, interne audits, directiebeoordeling, incidentbeheer en de doeltreffendheid van genomen maatregelen. De auditor kijkt niet naar elk onderdeel van de norm, maar richt zich op de kern van het systeem.
Concreet kun je verwachten dat de volgende onderwerpen aan bod komen:
- Opvolging van afwijkingen en verbetermaatregelen uit de vorige audit
- Resultaten van interne audits en de directiebeoordeling
- Behandeling van informatiebeveiligingsincidenten
- Wijzigingen in de organisatie, systemen of risico’s
- Voortgang op gestelde doelstellingen voor informatiebeveiliging
- Bewustwording en betrokkenheid van medewerkers
De precieze scope van de surveillance-audit wordt vooraf besproken, zodat de organisatie weet wat er verwacht wordt. Bij onze certificeringstrajecten communiceren we hier altijd transparant over, zodat er geen verrassingen zijn op de auditdag zelf.
Wat gebeurt er als een organisatie de surveillance-audit niet haalt?
Als een organisatie de surveillance-audit niet haalt, ontvangt zij een of meerdere non-conformiteiten. Afhankelijk van de ernst daarvan krijgt de organisatie een termijn om corrigerende maatregelen te treffen. Bij ernstige tekortkomingen kan het certificaat worden geschorst of ingetrokken totdat de situatie aantoonbaar is hersteld.
Er zijn twee soorten bevindingen die de auditor kan opleggen:
- Kleine non-conformiteit: een afwijking die beperkt van omvang is en geen directe bedreiging vormt voor het systeem. De organisatie krijgt doorgaans negentig dagen om dit op te lossen en bewijs aan te leveren.
- Grote non-conformiteit: een ernstige tekortkoming die het managementsysteem fundamenteel ondermijnt. Dit kan leiden tot schorsing van het certificaat. De organisatie moet binnen een afgesproken termijn aantonen dat het probleem is opgelost, waarna een aanvullend bezoek kan volgen.
Het is goed om te weten dat een audit met bevindingen geen ramp is. Een professionele auditor helpt de organisatie te begrijpen wat er verbeterd moet worden en waarom. Het doel is altijd verbetering, niet afstraffing.
Hoe bereidt een organisatie zich voor op een jaarlijkse audit?
Een goede voorbereiding op de surveillance-audit begint niet een week van tevoren, maar is een doorlopend proces. Organisaties die hun managementsysteem actief onderhouden en hun interne audits op orde hebben, hoeven voor de jaarlijkse audit weinig extra te doen. De voorbereiding bestaat in de kern uit het bijhouden van de lopende beheersmaatregelen en het documenteren van verbeteringen.
Praktisch gezien helpt het om voorafgaand aan de audit de volgende zaken te controleren:
- Zijn alle open actiepunten uit de vorige audit afgerond en gedocumenteerd?
- Is de interne audit van het afgelopen jaar uitgevoerd en vastgelegd?
- Heeft de directiebeoordeling plaatsgevonden en zijn de uitkomsten gedocumenteerd?
- Zijn incidenten en afwijkingen correct geregistreerd en afgehandeld?
- Zijn er wijzigingen in de organisatie of systemen die invloed hebben op de risicobeoordeling?
Goede informatiebeveiliging is niet iets dat je oppoetst vlak voor een audit. Organisaties die het systeem gedurende het hele jaar leven inblazen, ervaren de jaarlijkse audit als een bevestiging van wat ze al doen.
Kan een organisatie zelf kiezen wanneer de auditor terugkomt?
Een organisatie heeft beperkte invloed op de timing van de surveillance-audit. De auditcyclus en de maximale intervallen worden bepaald door de accreditatienormen. De surveillance-audit moet plaatsvinden binnen twaalf maanden na de vorige audit. Binnen die grens is er wel ruimte om in overleg een datum te plannen die past bij de organisatie.
In de praktijk stemmen we de planning altijd af met de organisatie. Factoren zoals drukke periodes, grote projecten of organisatorische veranderingen kunnen worden meegewogen bij het inplannen van de auditdatum. Wat niet kan, is de audit structureel uitstellen of overslaan. Dat zou de geldigheid van het certificaat in gevaar brengen.
Het is ook mogelijk dat de auditinstelling op eigen initiatief een extra bezoek inplant als daar aanleiding toe is, bijvoorbeeld bij een ernstig incident of een grote organisatiewijziging. Dit is echter een uitzondering, geen regel.
Wil je weten hoe de auditcyclus eruitziet voor jouw organisatie of heb je vragen over de planning van een komende audit? Neem contact op en we denken graag met je mee.
Veelgestelde vragen
Hoe vaak moet een organisatie een surveillance-audit ondergaan na het behalen van een ISO 27001-certificaat?
V: Hoe vaak moet een organisatie een surveillance-audit ondergaan na het behalen van een ISO 27001-certificaat?nA: Na de initiële certificering vindt er ieder jaar een auditbezoek plaats binnen een driejarige cyclus: in jaar één en jaar twee zijn dit surveillance-audits, en in jaar drie volgt een volledige hercertificeringsaudit die het certificaat opnieuw drie jaar geldig maakt.
Wat is het verschil tussen een surveillance-audit en een hercertificeringsaudit?
V: Wat is het verschil tussen een surveillance-audit en een hercertificeringsaudit?nA: Een surveillance-audit is een gerichte tussentijdse controle waarbij de auditor een selectie van normeisen beoordeelt, terwijl een hercertificeringsaudit na drie jaar het volledige managementsysteem opnieuw toetst en bij een positief resultaat een nieuw certificaat oplevert dat weer drie jaar geldig is.
Wat gebeurt er als een organisatie een non-conformiteit ontvangt tijdens de surveillance-audit?
V: Wat gebeurt er als een organisatie een non-conformiteit ontvangt tijdens de surveillance-audit?nA: Bij een kleine non-conformiteit krijgt de organisatie doorgaans negentig dagen om corrigerende maatregelen te treffen en bewijs aan te leveren, terwijl een grote non-conformiteit kan leiden tot schorsing van het certificaat totdat aantoonbaar herstel heeft plaatsgevonden.
Hoe kan een organisatie zich het beste voorbereiden op een jaarlijkse surveillance-audit?
V: Hoe kan een organisatie zich het beste voorbereiden op een jaarlijkse surveillance-audit?nA: De beste voorbereiding is een doorlopend actief beheer van het managementsysteem gedurende het hele jaar, waarbij interne audits worden uitgevoerd, actiepunten worden gedocumenteerd en incidenten correct worden afgehandeld, zodat de jaarlijkse audit slechts een bevestiging is van de dagelijkse praktijk.
Gerelateerde artikelen
- Hoe beoordeel je of het ISO 27001 certificaat van een leverancier echt geldig is?
- Hoe werkt een gecombineerde audit voor ISO 27001 en NEN 7510?
- Wat doe je als een opdrachtgever om een ISO 27001 certificaat vraagt?
- Hoe voorkom je dat een certificaat vervalt tijdens een heraudit?
- Welke acceptatiecriteria gebruik je voor risico's?
