Een auditor mag tijdens een certificeringsaudit geen advies geven over hoe een organisatie haar beveiliging moet inrichten of verbeteren. Dit klinkt misschien streng, maar het heeft alles te maken met onafhankelijkheid: een auditor die ook adviseert, beoordeelt uiteindelijk zijn eigen werk. Toch betekent dit niet dat een audit een kil en afstandelijk proces hoeft te zijn. Neem gerust contact op als je vragen hebt over wat je van een audit kunt verwachten.
Wat is het verschil tussen auditen en adviseren?
Auditen is het objectief beoordelen of een organisatie voldoet aan een bepaalde norm, zoals ISO 27001. Adviseren is het aandragen van oplossingen en verbeterrichtingen. Het verschil zit in de rol: een auditor stelt vast wat er is, een adviseur helpt bepalen wat er moet komen. Die twee rollen zijn bewust gescheiden.
Een auditor kijkt naar de feiten: zijn er processen gedocumenteerd, worden maatregelen daadwerkelijk uitgevoerd, klopt de risicoanalyse met de praktijk? De auditor toetst dit aan de eisen van de norm en legt zijn bevindingen vast. Een adviseur of consultant doet iets fundamenteel anders: die helpt de organisatie bij het ontwerpen van beleid, het implementeren van maatregelen en het inrichten van een managementsysteem voor informatiebeveiliging.
Wanneer dezelfde persoon beide rollen op zich neemt, ontstaat er een belangenconflict. De auditor zou dan zijn eigen adviezen beoordelen, wat de objectiviteit ondermijnt. Accreditatie-instellingen en normen zoals ISO 17021 schrijven daarom voor dat deze rollen strikt gescheiden moeten blijven.
Wat mag een auditor wel en niet zeggen tijdens een audit?
Een auditor mag bevindingen benoemen, vragen stellen en tekortkomingen signaleren. Wat een auditor niet mag, is vertellen hoe een organisatie een tekortkoming moet oplossen. De grens ligt bij het verschil tussen observeren en voorschrijven.
Wat een auditor wel mag zeggen:
- Constateren dat een maatregel niet aantoonbaar is geïmplementeerd
- Aangeven dat een bepaald onderdeel niet voldoet aan de norm
- Vragen stellen om bewijs of onderbouwing te verzamelen
- Verwijzen naar de tekst van de norm zelf
- Positieve bevindingen benoemen en sterke punten erkennen
Wat een auditor niet mag zeggen:
- “U kunt dit het beste oplossen door…”
- “Ik zou in uw situatie kiezen voor…”
- Specifieke leveranciers, tools of werkwijzen aanbevelen
- Een voorkeur uitspreken voor een bepaalde aanpak of structuur
De auditor mag dus wel zeggen dat iets ontbreekt of niet voldoet, maar laat het aan de organisatie over om te bepalen hoe dat wordt opgelost. Dat is niet onvriendelijk, maar juist professioneel en eerlijk.
Waarom mag een auditor geen advies geven?
Een auditor mag geen advies geven omdat dit de onafhankelijkheid en objectiviteit van de audit in gevaar brengt. Als een auditor advies geeft over hoe iets ingericht moet worden, en later diezelfde inrichting beoordeelt, is er geen sprake meer van een onpartijdige toetsing. Dit principe heet auditeuronafhankelijkheid en is de hoeksteen van elke betrouwbare certificeringsaudit.
De regels rondom onafhankelijkheid zijn vastgelegd in internationale normen voor certificatie-instellingen, waaronder ISO 17021. Deze norm stelt duidelijke eisen aan het voorkomen van belangenconflicten. Een certificatie-instelling die ook adviesdiensten verleent aan dezelfde klant, riskeert haar accreditatie.
Daarnaast is er een praktisch argument: als een auditor advies geeft, verschuift de verantwoordelijkheid. De organisatie is dan niet meer volledig eigenaar van haar eigen beveiligingssysteem. Dat is onwenselijk, zowel voor de organisatie zelf als voor de waarde van het certificaat. Een certificaat moet aantonen dat de organisatie haar beveiliging zelf op orde heeft, niet dat ze de aanwijzingen van een auditor heeft opgevolgd.
Wat is ‘waarderend auditen’ en hoe verhoudt zich dat tot advies?
Waarderend auditen is een auditbenadering waarbij de auditor niet alleen tekortkomingen signaleert, maar ook expliciet benoemt wat een organisatie goed doet. Het is geen advies geven, maar het erkennen van sterke punten naast de bevindingen. De focus ligt op een volledig en eerlijk beeld, niet alleen op wat ontbreekt.
Bij waarderend auditen stelt de auditor vragen als: “Hoe hebben jullie dit zo goed voor elkaar gekregen?” en “Wat zijn de succesfactoren achter deze aanpak?” Dit levert waardevolle inzichten op voor de organisatie, zonder dat de auditor de rol van adviseur op zich neemt.
Het verschil met advies geven is subtiel maar belangrijk. Een waarderende auditor zegt: “Ik zie dat jullie incidentbeheer goed is uitgewerkt en breed gedragen wordt in de organisatie.” Een adviseur zou zeggen: “Jullie zouden dit model ook moeten toepassen op jullie leveranciersbeheer.” De eerste observatie is een bevinding, de tweede is een aanbeveling buiten de scope van de audit.
Wij werken bij DigiTrust vanuit dit principe van waarderend auditen. Dat maakt het auditproces constructiever en menselijker, zonder de onafhankelijkheid te compromitteren.
Wanneer moet een organisatie een aparte adviseur inschakelen?
Een organisatie moet een aparte adviseur inschakelen zodra ze hulp nodig heeft bij het inrichten, verbeteren of implementeren van haar beveiligingsmaatregelen. Dit geldt zowel voor de voorbereiding op een audit als voor het oplossen van bevindingen na een audit. Een adviseur en een auditor vullen elkaar aan, maar mogen niet dezelfde persoon zijn.
Typische momenten waarop een adviseur meerwaarde biedt:
- Bij de start van een certificeringstraject, om het managementsysteem op te bouwen
- Na een audit met non-conformiteiten, om te bepalen hoe die opgelost worden
- Bij een grote organisatieverandering die impact heeft op de beveiliging
- Wanneer intern de kennis of capaciteit ontbreekt om de norm zelfstandig te implementeren
Het is verstandig om bij het kiezen van een adviseur te letten op sectorkennis en ervaring met de relevante norm. Een adviseur die goed thuis is in ISO 27001 of NEN 7510 kan het verschil maken tussen een vlot certificeringstraject en een langdurig proces met veel correctierondes.
Heb je vragen over de rol van een auditor, of wil je weten hoe een certificeringsaudit bij jouw organisatie eruitziet? Neem contact op en we denken graag met je mee over de volgende stap.
Veelgestelde vragen
Wat is het verschil tussen een auditor en een adviseur bij een ISO 27001-certificering?
Een auditor beoordeelt objectief of jouw organisatie voldoet aan de norm en legt bevindingen vast, terwijl een adviseur helpt bij het ontwerpen en implementeren van beveiligingsmaatregelen. Deze rollen zijn bewust gescheiden om belangenconflicten te voorkomen en de onafhankelijkheid van de audit te waarborgen.
Waarom mag een auditor tijdens een certificeringsaudit geen oplossingen aandragen?
Als een auditor advies geeft over hoe iets ingericht moet worden en later diezelfde inrichting beoordeelt, is er geen sprake meer van een onpartijdige toetsing. Dit principe van auditeuronafhankelijkheid is vastgelegd in internationale normen zoals ISO 17021 en beschermt zowel de objectiviteit van de audit als de waarde van het certificaat.
Hoe weet ik wanneer ik naast een auditor ook een adviseur moet inschakelen?
Zodra je hulp nodig hebt bij het inrichten, verbeteren of implementeren van beveiligingsmaatregelen — bijvoorbeeld bij de start van een certificeringstraject of na een audit met non-conformiteiten — is een adviseur de aangewezen persoon. Een auditor en adviseur vullen elkaar aan, maar mogen vanwege onafhankelijkheidseisen nooit dezelfde persoon zijn.
Wat houdt waarderend auditen in en verschilt dat van advies geven?
Bij waarderend auditen benoemt de auditor naast tekortkomingen ook expliciet wat een organisatie goed doet, zodat er een volledig en eerlijk beeld ontstaat. Dit is geen advies geven: de auditor observeert en erkent sterke punten, maar doet geen aanbevelingen over hoe die aanpak elders toegepast zou moeten worden.
Gerelateerde artikelen
- Welke escalatiemogelijkheden heb je bij een omstreden auditbevinding?
- Hoe plan je een realistisch tijdpad naar een ISO 27001 certificering?
- Wat zijn de risico's van vertrouwen op een certificaat zonder verificatie bij een leverancier?
- Wat zijn kritieke afwijkingen bij een NEN 7510 certificering?
- Wat zijn de ISO 27001 vereisten voor cloud werken?
