Als je het niet eens bent met een bevinding van een auditor, heb je het recht om dit formeel aan te vechten via de klachten- of bezwaarprocedure van de certificerende instelling. Je staat er dus niet alleen voor. Een auditbevinding is geen definitief vonnis: er is altijd ruimte voor dialoog, onderbouwing en, indien terecht, aanpassing. Wil je weten hoe dat precies werkt? Neem gerust contact op als je een specifieke situatie wilt bespreken. In dit artikel beantwoorden we de meest gestelde vragen over het betwisten van auditbevindingen, stap voor stap.
Wat zijn je rechten als je een auditbevinding betwist?
Je hebt als geauditeerde organisatie het recht om een bevinding te betwisten, zowel tijdens als na de audit. Iedere geaccrediteerde certificerende instelling is verplicht een formele klachten- en bezwaarprocedure te hebben. Dit is geen gunst, maar een vastgelegd recht binnen de accreditatienormen van de Raad voor Accreditatie (RvA).
Concreet betekent dit dat je een bezwaar kunt indienen bij de certificerende instelling zelf. Wordt je bezwaar daar niet naar tevredenheid behandeld, dan kun je escaleren naar de RvA. Het is belangrijk om te weten dat het indienen van een bezwaar geen negatieve gevolgen mag hebben voor de verdere behandeling van je certificeringstraject. De procedure is bedoeld als eerlijk correctiemechanisme, niet als obstakel.
Naast het formele bezwaarrecht heb je ook het recht om tijdens de audit mondeling te reageren op bevindingen, aanvullende documentatie in te dienen, en een toelichting te vragen op de norm die van toepassing is. Gebruik die rechten actief: hoe eerder je reageert, hoe groter de kans op een snelle oplossing.
Wat is het verschil tussen een misverstand en een terechte bevinding?
Een misverstand ontstaat wanneer de auditor een onjuiste interpretatie heeft van je situatie, documentatie of werkwijze. Een terechte bevinding is een vastgestelde afwijking van de norm die feitelijk klopt, ook na controle van de beschikbare bewijslast. Het onderscheid bepaalt welke actie je moet ondernemen.
Bij een misverstand is de oplossing relatief eenvoudig: je legt uit wat er werkelijk gebeurt, toont aanvullend bewijs, en de auditor past zijn oordeel aan. Dit komt vaker voor dan je denkt, zeker als processen mondeling zijn vastgelegd of documentatie verspreid over meerdere systemen staat.
Bij een terechte bevinding is de situatie anders. Dan klopt de constatering van de auditor inhoudelijk, ook al voelt dat oneerlijk. In dat geval is het zinvoller om te focussen op een realistische verbetermaatregel dan op het aanvechten van de bevinding zelf. Het is verstandig om eerlijk te zijn in je eigen beoordeling: vraag jezelf af of je bezwaar is gebaseerd op feiten en normbegrip, of op de wens om de bevinding weg te krijgen.
Hoe bespreek je een bevinding met de auditor tijdens de audit?
Bespreek een bevinding tijdens de audit direct en zakelijk: vraag de auditor welk normvereiste van toepassing is, waarop de bevinding is gebaseerd, en of aanvullende informatie het oordeel kan beïnvloeden. Een constructieve houding werkt beter dan een defensieve reactie.
In de praktijk verloopt dit het best in een paar stappen:
- Vraag om toelichting. Laat de auditor uitleggen welke norm of eis is overtreden en op basis van welk bewijs.
- Reageer met feiten. Geef aan als je denkt dat er informatie ontbreekt of verkeerd is geïnterpreteerd. Blijf feitelijk en vermijd emotionele argumenten.
- Bied aanvullend bewijs aan. Als je documentatie hebt die de bevinding weerlegt, laat die dan direct zien. Denk aan beleidsdocumenten, logbestanden, procedures of trainingsregistraties.
- Vraag om vastlegging van je reactie. Zorg dat je bezwaar wordt opgenomen in het auditverslag, ook als de auditor zijn bevinding handhaaft.
Auditors zijn geen tegenstanders. Een goede auditor staat open voor dialoog en past zijn bevinding aan als de feiten daartoe aanleiding geven. Dat is ook hoe wij bij DigiTrust werken: we kijken naar wat er daadwerkelijk is, niet naar wat er op papier ontbreekt.
Wat doe je als de auditor zijn bevinding niet aanpast?
Als de auditor zijn bevinding handhaaft na jouw toelichting, kun je een formeel bezwaar indienen bij de certificerende instelling. Dit bezwaar wordt dan beoordeeld door iemand die niet betrokken was bij de audit zelf, wat de onafhankelijkheid van de procedure waarborgt.
De stappen zijn doorgaans als volgt:
- Dien een schriftelijk bezwaar in bij de certificerende instelling, met een duidelijke omschrijving van de bevinding, jouw argumenten, en de onderbouwing.
- Wacht de behandeltermijn af. De instelling is verplicht het bezwaar binnen een redelijke termijn te behandelen en je schriftelijk te informeren over de uitkomst.
- Escaleer naar de RvA als je bezwaar wordt afgewezen en je van mening bent dat de procedure niet correct is gevolgd of de beoordeling inhoudelijk onjuist is.
Houd er rekening mee dat een bezwaarprocedure tijd kost. Als het gaat om een niet-kritische bevinding, kan het soms praktischer zijn om de bevinding te accepteren en een verbetermaatregel door te voeren, dan om een langdurige procedure te starten. Weeg dat bewust af.
Welke documentatie heb je nodig om een bevinding aan te vechten?
Om een auditbevinding succesvol aan te vechten, heb je bewijs nodig dat aantoont dat je wél voldoet aan de betreffende norm of eis. Denk aan beleidsdocumenten, procesbeschrijvingen, logbestanden, trainingsregistraties, contracten of technische configuraties die de bevinding weerleggen.
Specifiek is het handig om het volgende bij de hand te hebben:
- De exacte tekst van de bevinding uit het auditverslag
- De normtekst of het normvereiste waarop de bevinding is gebaseerd
- Bewijs dat aantoont dat jouw organisatie aan dat vereiste voldoet
- Een tijdlijn als het gaat om een maatregel die al was ingevoerd vóór de audit
- Eventuele eerdere correspondentie of notities uit de audit zelf
Goede documentatie is ook preventief: organisaties die hun informatiebeveiliging goed hebben vastgelegd, hebben minder kans op bevindingen die berusten op misverstanden. Zorg dus dat beleid, procedures en maatregelen aantoonbaar zijn, niet alleen aanwezig.
Hoe voorkom je toekomstige discussies over auditbevindingen?
De beste manier om discussies over auditbevindingen te voorkomen, is door je voorbereiding te verbeteren: zorg voor actuele, aantoonbare documentatie, betrek medewerkers bij de normbewustwording, en stem vooraf af met je auditinstelling over de scope en verwachtingen.
Praktisch gezien helpen de volgende maatregelen:
- Houd documentatie actueel. Verouderde of onvolledige documenten zijn een veelvoorkomende bron van bevindingen. Zorg dat beleidsplannen, risicoanalyses en procedures regelmatig worden herzien.
- Voer interne audits uit. Interne audits helpen je om zwakke plekken te ontdekken vóórdat de externe auditor langskomt. Zo kom je niet voor verrassingen te staan.
- Begrijp de norm. Veel discussies ontstaan door een verschil in norminterpretatie. Zorg dat de verantwoordelijke personen binnen jouw organisatie weten wat de norm vereist en waarom.
- Communiceer proactief met de auditor. Bespreek vooraf de scope, eventuele aandachtspunten en recente wijzigingen in je organisatie. Een goede voorbereiding verkleint de kans op verrassingen.
Een certificeringstraject verloopt soepeler als er wederzijds begrip is over wat er wordt beoordeeld en hoe. Dat begint bij transparante communicatie, zowel van jouw kant als van de auditinstelling. Heb je vragen over jouw specifieke situatie of wil je weten hoe wij omgaan met bevindingen en bezwaren? Neem contact op en we denken graag met je mee.
Veelgestelde vragen
Wat kan ik doen als ik het niet eens ben met een auditbevinding?
V: Wat kan ik doen als ik het niet eens ben met een auditbevinding?nA: Je kunt een formeel bezwaar indienen bij de certificerende instelling, die verplicht is dit onafhankelijk te beoordelen. Wordt je bezwaar niet naar tevredenheid behandeld, dan kun je escaleren naar de Raad voor Accreditatie (RvA), die toeziet op de naleving van de accreditatienormen.
Hoe maak ik onderscheid tussen een misverstand en een terechte bevinding?
V: Hoe maak ik onderscheid tussen een misverstand en een terechte bevinding?nA: Een misverstand ontstaat door een onjuiste interpretatie van je situatie of documentatie en is op te lossen door aanvullend bewijs te tonen; een terechte bevinding klopt inhoudelijk ook na controle van alle bewijslast. Vraag jezelf eerlijk af of je bezwaar is gebaseerd op feiten en normbegrip, of op de wens om de bevinding weg te krijgen.
Welke documentatie heb ik nodig om een auditbevinding succesvol aan te vechten?
V: Welke documentatie heb ik nodig om een auditbevinding succesvol aan te vechten?nA: Je hebt bewijs nodig dat aantoont dat je voldoet aan de betreffende norm, zoals beleidsdocumenten, procesbeschrijvingen, logbestanden of trainingsregistraties, aangevuld met de exacte bevindingstekst en de relevante normtekst. Een heldere tijdlijn is extra waardevol als het gaat om maatregelen die al vóór de audit waren ingevoerd.
Hoe voorkom ik toekomstige discussies over auditbevindingen?
V: Hoe voorkom ik toekomstige discussies over auditbevindingen?nA: Zorg voor actuele en aantoonbare documentatie, voer regelmatig interne audits uit om zwakke plekken vroegtijdig te ontdekken, en communiceer proactief met de auditinstelling over de scope en recente organisatiewijzigingen. Wederzijds begrip over wat er wordt beoordeeld en hoe, is de beste basis voor een soepel certificeringstraject.
