Wat doe je als je het niet eens bent met een bevinding van de ISO 27001 auditor?

Als je het niet eens bent met een bevinding van de ISO 27001-auditor, kun je bezwaar maken via een formele klacht- of bezwaarprocedure bij de certificerende instelling. Je hebt het recht om een bevinding te betwisten, zeker als je van mening bent dat de auditor een fout heeft gemaakt of relevante context heeft gemist. In dit artikel beantwoorden we de meest gestelde vragen over hoe je dat aanpakt. Heb je direct een vraag? Neem gerust contact op en we helpen je verder.

Wat kun je doen als je een bevinding wilt betwisten?

Als je het niet eens bent met een auditbevinding, heb je meerdere opties. Je kunt de bevinding mondeling bespreken tijdens de afsluitende vergadering, een formeel bezwaar indienen bij de certificerende instelling, of een klacht neerleggen bij de accreditatie-instantie als je er samen niet uitkomt. De eerste stap is altijd het gesprek aangaan met de auditor zelf.

Veel meningsverschillen ontstaan door miscommunicatie of doordat de auditor onvoldoende context had op het moment van de beoordeling. In de meeste gevallen is een open gesprek al voldoende om tot een gezamenlijk begrip te komen. Geef je standpunt helder weer, onderbouw het met bewijs, en vraag de auditor om zijn of haar redenering nader toe te lichten.

Kom je er in het directe gesprek niet uit, dan kun je gebruikmaken van de officiële klachtenprocedure van de certificerende instelling. Elke geaccrediteerde instelling is verplicht zo’n procedure te hebben. Als accreditatie door de Raad voor Accreditatie (RvA) een rol speelt, kun je in het uiterste geval ook daar een klacht indienen. Wij bij DigiTrust hanteren een transparante procedure waarbij bezwaren serieus worden behandeld en zorgvuldig worden afgewogen.

Wat is het verschil tussen een opmerking, een minor en een major bevinding?

Een opmerking is een suggestie voor verbetering zonder directe gevolgen voor de certificering. Een minor non-conformiteit is een afwijking van de norm die niet direct de werking van het managementsysteem bedreigt, maar wel gecorrigeerd moet worden. Een major non-conformiteit is een ernstige afwijking die de kern van het ISMS raakt en certificering in de weg staat totdat het probleem is opgelost.

Het onderscheid is belangrijk als je overweegt een bevinding aan te vechten, omdat de gevolgen sterk verschillen:

• Opmerking: Geen directe actie vereist, maar het is verstandig er iets mee te doen. Aanvechten heeft zelden prioriteit.
• Minor non-conformiteit: Je hebt tijd om corrigerende maatregelen te treffen, doorgaans voor de volgende audit. Als je het inhoudelijk niet eens bent met de classificatie, is bezwaar zinvol.
• Major non-conformiteit: Blokkeert de certificering. Hier is het des te belangrijker om snel te handelen, hetzij door het probleem op te lossen, hetzij door het bezwaar goed te onderbouwen als je denkt dat de bevinding onjuist is.

Bij twijfel over de juiste classificatie van een bevinding is het verstandig om te vragen hoe de auditor tot zijn oordeel is gekomen en welk normartikel van toepassing is. Een goed onderbouwde bevinding verwijst altijd naar een specifieke eis uit de ISO 27001-norm.

Hoe onderbouw je een bezwaar tegen een auditbevinding?

Een bezwaar onderbouw je door drie elementen te combineren: bewijs dat aantoont dat je wel degelijk aan de norm voldoet, een inhoudelijke argumentatie waarom de interpretatie van de auditor onjuist of onvolledig is, en een verwijzing naar het relevante normartikel. Zonder deze drie elementen is een bezwaar moeilijk te verdedigen.

Concreet kun je de volgende stappen volgen:

1. Verzamel documentatie: Denk aan beleidsdocumenten, logbestanden, risicoanalyses of procesbeschrijvingen die aantonen dat de betreffende maatregel wel aanwezig en werkend is.
2. Analyseer het normartikel: Lees de specifieke eis waarop de bevinding is gebaseerd zorgvuldig door. Soms zijn er meerdere geldige interpretaties mogelijk.
3. Formuleer je tegenargument schriftelijk: Zet je bezwaar op papier, gestructureerd en feitelijk. Vermijd een emotionele toon en blijf bij de inhoud.
4. Vraag om een tweede beoordeling: Bij serieuze geschillen kun je vragen om een tweede auditor de bevinding te laten beoordelen.

Een sterk bezwaar gaat nooit over “wij zijn het er niet mee eens”, maar over “dit is waarom de bevinding niet klopt op basis van de norm en het aanwezige bewijs”.

Wat als de auditor en de organisatie het niet eens worden?

Als de auditor en de organisatie er samen niet uitkomen, is de volgende stap het indienen van een formele klacht bij de certificerende instelling. Die instelling is verplicht de klacht onafhankelijk te beoordelen. Leidt ook dat niet tot een bevredigend resultaat, dan kun je een klacht indienen bij de Raad voor Accreditatie (RvA), de toezichthouder op gecertificeerde instellingen in Nederland.

Het is goed om te weten dat de RvA niet oordeelt over de inhoudelijke juistheid van een individuele bevinding, maar wel over de vraag of de instelling haar procedures correct heeft gevolgd. Als blijkt dat de procedure niet deugdelijk was, kan dat gevolgen hebben voor de geldigheid van de audit.

In de praktijk worden de meeste geschillen opgelost voordat ze escaleren tot een formele klacht bij de RvA. Een open dialoog, waarbij beide partijen bereid zijn naar elkaars argumenten te luisteren, leidt in verreweg de meeste gevallen tot een werkbare uitkomst. Wij bij DigiTrust hechten veel waarde aan die dialoog en nemen bezwaren altijd serieus, ook als we uiteindelijk bij onze bevinding blijven.

Wanneer is een bevinding aanvechten zinvol en wanneer niet?

Een bevinding aanvechten is zinvol als je kunt aantonen dat de auditor een feitelijke fout heeft gemaakt, relevante informatie heeft gemist, of de norm onjuist heeft geïnterpreteerd. Het is niet zinvol als de bevinding inhoudelijk correct is maar ongemakkelijk voelt, of als het enige doel is om tijd te winnen.

Aanvechten is verstandig in deze situaties:

• De auditor heeft bewijs over het hoofd gezien dat jij kunt overleggen.
• De bevinding is gebaseerd op een aantoonbaar onjuiste interpretatie van een normartikel.
• De classificatie (minor versus major) lijkt niet in verhouding te staan tot de ernst van de afwijking.
• Er is sprake van een procedurele fout in de uitvoering van de audit zelf.

Aanvechten is minder zinvol als:

• De bevinding inhoudelijk correct is en je het er alleen mee oneens bent vanwege de impact op de certificering.
• Je geen concreet tegenargument of bewijs hebt.
• Het geschil gaat over een mening of voorkeur, niet over een feitelijke kwestie.

Soms is het verstandiger om de energie te steken in het oplossen van de bevinding dan in het aanvechten ervan. Een corrigerende maatregel is immers ook een kans om je ISMS te versterken en de organisatie daadwerkelijk veiliger te maken. Twijfel je of jouw bezwaar kansrijk is? Neem contact op met ons team en we denken graag met je mee.

Gerelateerde artikelen

• Hoe beoordeel je of het ISO 27001 certificaat van een leverancier echt geldig is?
• Wat zijn de kosten van uitstel van een ISO 27001 certificering?
• Wat is een VVT verklaring van toepasselijkheid bij een ISO 27001?
• Wat is het verschil tussen een ISO 27001 certificaat en een eigen verklaring?
• Hoe bereid je je voor op hercertificering?