Een interne audit bij een NEN 7510-certificering moet aantonen dat het informatiebeveiligingsmanagementsysteem (ISMS) daadwerkelijk functioneert en voldoet aan de eisen van de norm. De audit moet onafhankelijk worden uitgevoerd, alle relevante beheersdoelstellingen dekken en worden vastgelegd in een auditrapport met bevindingen en verbeterpunten. Voor zorginstellingen die werken aan hun NEN 7510-certificering is de interne audit een verplichte stap in de certificeringscyclus. In dit artikel beantwoorden we de meest gestelde vragen over wat een interne audit precies moet inhouden.
Welke eisen stelt NEN 7510 aan de auditor zelf?
De interne auditor bij een NEN 7510-traject moet onafhankelijk zijn ten opzichte van het te auditen gebied en aantoonbaar bekwaam zijn op het gebied van informatiebeveiliging en auditmethodiek. Dat betekent concreet: iemand die niet verantwoordelijk is voor de processen die worden geauditeerd, en die de norm begrijpt en kan toepassen.
Onafhankelijkheid is hierbij het sleutelwoord. Een medewerker mag niet zijn eigen werk beoordelen. In de praktijk kiezen veel organisaties voor een collega van een andere afdeling, een externe specialist, of een gecombineerde aanpak. De auditor hoeft geen gecertificeerde lead auditor te zijn, maar moet wel kunnen aantonen dat hij of zij weet wat er getoetst moet worden en hoe bevindingen objectief worden vastgelegd.
Bekwaamheid wordt aangetoond via opleiding, ervaring of een combinatie van beide. Denk aan een afgeronde audittraining, relevante werkervaring in informatiebeveiliging, of aantoonbare kennis van de NEN 7510-norm zelf. Zorg dat je deze bekwaamheid ook documenteert, want de certificerende instelling zal hiernaar vragen.
Wat moet er minimaal worden gedekt in een interne NEN 7510-audit?
Een interne NEN 7510-audit moet minimaal alle processen en beheersdoelstellingen dekken die binnen de scope van het ISMS vallen. Dat omvat zowel de eisen uit de hoofdstukken 4 tot en met 10 van de norm als de van toepassing zijnde beheersmaatregelen uit Annex A van NEN 7510.
In de praktijk betekent dit dat de audit de volgende onderdelen moet omvatten:
- De werking van het ISMS als geheel, inclusief beleid, doelstellingen en risicobeheersing
- De naleving van vastgestelde procedures en processen binnen de scope
- De effectiviteit van geïmplementeerde beheersmaatregelen
- De opvolging van eerder geconstateerde afwijkingen en verbeterpunten
- Specifieke zorgprocessen waarbij patiëntgegevens worden verwerkt, indien van toepassing
Het is niet vereist om alles in één auditmoment te behandelen. Organisaties mogen de interne audit ook over meerdere sessies of periodes verdelen, zolang alle onderdelen binnen de auditcyclus aan bod komen. Wat niet mag, is structureel bepaalde gebieden overslaan omdat ze lastig of gevoelig zijn.
Hoe verschilt een interne audit van een certificeringsaudit bij NEN 7510?
Het belangrijkste verschil tussen een interne audit en een certificeringsaudit is wie de audit uitvoert en wat het doel is. De interne audit wordt uitgevoerd door of namens de eigen organisatie en heeft als doel zelf te beoordelen of het ISMS werkt. De certificeringsaudit wordt uitgevoerd door een geaccrediteerde certificerende instelling en leidt tot een formeel certificaat.
De interne audit is primair een verbeterinstrument. De uitkomsten zijn intern en helpen de organisatie zich voor te bereiden op de externe beoordeling. De certificeringsaudit is een onafhankelijke toetsing door een externe partij, waarvan het resultaat bepalend is voor het al dan niet behalen van het certificaat.
Een ander praktisch verschil zit in de diepgang en het perspectief. Interne auditors kennen de organisatie van binnenuit, wat voordelen biedt bij het begrijpen van de context, maar ook het risico van blinde vlekken met zich meebrengt. Externe auditors brengen een frisse, onafhankelijke blik en toetsen strikt aan de norm. Beide audits zijn noodzakelijk en vullen elkaar aan binnen de NEN 7510-cyclus.
Welke documentatie moet een interne audit opleveren?
Een interne NEN 7510-audit moet minimaal resulteren in een auditrapport met daarin de auditdoelstelling, de scope, de gehanteerde methode, de bevindingen en de conclusies. Daarnaast zijn auditverslagen of werkdocumenten vereist als bewijs dat de audit daadwerkelijk heeft plaatsgevonden.
Concreet gaat het om de volgende documentatie:
- Auditplan: wie wordt geauditeerd, wanneer, door wie en op basis van welke criteria
- Auditrapport: een overzicht van alle bevindingen, inclusief conformiteiten, afwijkingen en verbeterpunten
- Auditbevindingen per beheersmaatregel: aantoonbaar bewijs dat elk relevant onderdeel is beoordeeld
- Actielijst of verbeterplan: opvolging van geconstateerde afwijkingen met verantwoordelijke en deadline
- Bewijs van uitvoering: gespreksverslagen, checklists of andere werkdocumenten
Al deze documenten moeten bewaard worden en beschikbaar zijn voor de certificerende instelling. Goede informatiebeveiligingsdocumentatie is niet alleen een formele eis, maar ook een praktisch hulpmiddel om de voortgang van verbeteringen te bewaken.
Wat zijn veelgemaakte fouten bij interne NEN 7510-audits?
De meest voorkomende fout bij interne NEN 7510-audits is dat ze te oppervlakkig worden uitgevoerd, waarbij alleen op papier wordt getoetst of een procedure bestaat, zonder te controleren of die procedure in de praktijk ook werkt. Dit levert een vals gevoel van zekerheid op en wordt bij de certificeringsaudit direct zichtbaar.
Andere veelgemaakte fouten zijn:
- Gebrek aan onafhankelijkheid: iemand auditeert zijn of haar eigen werkgebied, waardoor objectiviteit ontbreekt
- Onvolledige scope: bepaalde afdelingen, systemen of processen worden niet meegenomen, terwijl ze wel binnen de certificeringsscope vallen
- Geen opvolging van bevindingen: afwijkingen worden geconstateerd maar niet daadwerkelijk opgelost voor de certificeringsaudit
- Slechte documentatie: de audit heeft plaatsgevonden, maar er is onvoldoende schriftelijk bewijs van wat er is beoordeeld en hoe
- Audit als formaliteit behandelen: de interne audit wordt gezien als een verplicht nummertje in plaats van een echte kwaliteitscheck
Wij zien in onze praktijk als auditinstelling regelmatig dat organisaties de interne audit onderschatten. Een goed uitgevoerde interne audit is juist de beste voorbereiding op een soepel certificeringstraject.
Wanneer moet een interne audit plaatsvinden binnen de NEN 7510-cyclus?
Een interne audit bij NEN 7510 moet minimaal één keer per jaar plaatsvinden. Bij de initiële certificering moet de interne audit zijn afgerond voordat de certificerende instelling de Stage 2-audit uitvoert. Daarna is de jaarlijkse herhaling een vaste eis binnen de driejarige certificeringscyclus.
De timing is strategisch belangrijk. Plan de interne audit ruim voor de externe audit, zodat er voldoende tijd is om gevonden afwijkingen op te lossen. Een gangbare aanpak is de interne audit zes tot tien weken voor de certificerings- of surveillance-audit in te plannen. Zo heb je als organisatie de ruimte om verbeteringen door te voeren en te documenteren.
Naast de jaarlijkse cyclus kan het nodig zijn een extra interne audit uit te voeren bij ingrijpende wijzigingen, zoals een fusie, een nieuwe vestiging, of een significante aanpassing van de IT-infrastructuur. De norm verwacht dat de auditfrequentie wordt afgestemd op het risiconiveau en de status van het ISMS.
Heb je vragen over hoe je de interne audit het beste kunt inrichten, of wil je weten wat wij als auditinstelling van je verwachten? Neem contact op en we helpen je op weg naar een succesvolle NEN 7510-certificering.
Veelgestelde vragen
Wat zijn de belangrijkste eisen waaraan een interne auditor bij NEN 7510 moet voldoen?
V: Wat zijn de belangrijkste eisen waaraan een interne auditor bij NEN 7510 moet voldoen?nA: Een interne auditor moet onafhankelijk zijn van de processen die worden geauditeerd en aantoonbare kennis hebben van informatiebeveiliging en de NEN 7510-norm. Deze bekwaamheid moet je documenteren via opleiding of werkervaring, omdat de certificerende instelling hier tijdens de externe audit expliciet naar zal vragen.
Hoe zorg ik ervoor dat mijn interne audit alle verplichte onderdelen dekt?
V: Hoe zorg ik ervoor dat mijn interne audit alle verplichte onderdelen dekt?nA: Zorg dat je auditplan alle processen en beheersmaatregelen uit de scope van je ISMS omvat, inclusief de eisen uit hoofdstukken 4 tot en met 10 en de relevante maatregelen uit Annex A. Je mag de audit over meerdere sessies verdelen, maar elk onderdeel binnen de certificeringsscope moet binnen de auditcyclus aan bod komen.
Wanneer plan ik de interne audit het beste in ten opzichte van de certificeringsaudit?
V: Wanneer plan ik de interne audit het beste in ten opzichte van de certificeringsaudit?nA: Plan de interne audit bij voorkeur zes tot tien weken vóór de certificerings- of surveillance-audit, zodat je voldoende tijd hebt om gevonden afwijkingen op te lossen en te documenteren. Bij de initiële certificering geldt als harde eis dat de interne audit volledig is afgerond voordat de externe Stage 2-audit van start gaat.
Welke documentatie moet ik bewaren als bewijs van een uitgevoerde interne audit?
V: Welke documentatie moet ik bewaren als bewijs van een uitgevoerde interne audit?nA: Je bewaart minimaal een auditplan, een auditrapport met bevindingen en conclusies, werkdocumenten zoals checklists of gespreksverslagen, en een actielijst met de opvolging van geconstateerde afwijkingen. Al deze documenten moeten beschikbaar zijn voor de certificerende instelling en helpen je tegelijkertijd om de voortgang van verbeteringen structureel te bewaken.
