Wat gebeurt er concreet nadat een auditor een afwijking heeft vastgesteld?

Nadat een auditor een afwijking heeft vastgesteld, volgt er een gestructureerd herstelproces. De organisatie ontvangt een formele beschrijving van de afwijking, stelt een correctief actieplan op, voert de benodigde maatregelen door en levert bewijs aan voor verificatie door de auditor. Hoe snel dit moet gebeuren en wat de gevolgen zijn als het niet lukt, hangt af van de ernst van de afwijking. In dit artikel beantwoorden we de meest gestelde vragen over het auditproces rondom afwijkingen. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en we helpen je graag verder.

Wat zijn de directe stappen na het vaststellen van een afwijking?

Direct nadat een auditor een afwijking vaststelt, legt hij of zij de bevinding schriftelijk vast in een auditrapport. De organisatie ontvangt een formele beschrijving van de non-conformiteit, inclusief de bijbehorende normeis waaraan niet wordt voldaan. Vervolgens is de organisatie aan zet om een correctief actieplan op te stellen en de oorzaak van de afwijking te analyseren.

In de praktijk verloopt dit proces langs een vaste lijn:

1. Vastlegging: De auditor documenteert de afwijking met een duidelijke omschrijving van het geconstateerde probleem en de bijbehorende normeis.
2. Overdracht aan de organisatie: De organisatie bevestigt de ontvangst van de bevinding en erkent de afwijking formeel.
3. Oorzaakanalyse: De organisatie onderzoekt de grondoorzaak, niet alleen het symptoom.
4. Correctief actieplan: Op basis van de oorzaakanalyse wordt een plan van aanpak opgesteld met concrete maatregelen en een tijdlijn.
5. Implementatie en bewijs: De maatregelen worden doorgevoerd en gedocumenteerd, zodat de auditor ze later kan verifiëren.

Een goede oorzaakanalyse is cruciaal. Wie alleen het symptoom aanpakt zonder de onderliggende oorzaak te begrijpen, riskeert dat dezelfde afwijking bij een volgende audit opnieuw opduikt.

Wat is het verschil tussen een kleine en grote afwijking?

Bij een afwijking in een audit wordt onderscheid gemaakt tussen een kleine afwijking (minor non-conformiteit) en een grote afwijking (major non-conformiteit). Een kleine afwijking betreft een geïsoleerde tekortkoming die de werking van het managementsysteem niet fundamenteel aantast. Een grote afwijking wijst op een structureel of ernstig tekort dat de kern van het systeem raakt en directe risico’s met zich meebrengt.

Kleine afwijking (minor)

Bij een kleine afwijking is er sprake van een enkelvoudige tekortkoming, zoals een ontbrekende handtekening in een procedure of een log die niet volledig is bijgehouden. Het systeem als geheel functioneert, maar op een specifiek punt wordt niet volledig aan de norm voldaan. De organisatie krijgt de ruimte om dit te herstellen binnen de gestelde termijn, doorgaans voor de volgende controle-audit.

Grote afwijking (major)

Een grote afwijking is ernstiger. Denk aan het volledig ontbreken van een verplicht proces, zoals een risicobeoordelingsproces bij een ISO 27001-certificering, of een structureel falen dat aantoont dat het managementsysteem niet werkt zoals bedoeld. Bij een major non-conformiteit is herstel verplicht vóórdat een certificaat wordt uitgereikt of verlengd. De organisatie moet aantonen dat de grondoorzaak is weggenomen, niet alleen dat het symptoom is verholpen.

Hoe stel je een correctief actieplan op na een afwijking?

Een correctief actieplan na een afwijking beschrijft hoe de organisatie de non-conformiteit structureel oplost. Het plan bestaat minimaal uit een beschrijving van de afwijking, een oorzaakanalyse, de te nemen maatregelen, wie verantwoordelijk is en binnen welke termijn de maatregelen worden doorgevoerd.

Een sterk correctief actieplan bevat de volgende elementen:

• Beschrijving van de bevinding: Herhaal in eigen woorden wat er is vastgesteld en welke normeis dit betreft.
• Oorzaakanalyse: Gebruik een gestructureerde methode, zoals de vijf-keer-waarom-methode, om de werkelijke oorzaak te achterhalen.
• Correctieve maatregelen: Beschrijf concreet welke acties worden ondernomen om de oorzaak weg te nemen.
• Verantwoordelijke persoon: Wijs een eigenaar aan die verantwoordelijk is voor de uitvoering.
• Tijdlijn: Stel een realistische maar strakke deadline vast voor elke maatregel.
• Bewijs van uitvoering: Beschrijf welke documentatie of andere bewijslast wordt aangeleverd ter verificatie.

Het actieplan is geen formaliteit. Een goed onderbouwd plan toont aan dat de organisatie de afwijking serieus neemt en het managementsysteem structureel wil verbeteren. Bij informatiebeveiliging is dit des te belangrijker, omdat afwijkingen vaak directe risico’s voor gegevensbeveiliging of bedrijfscontinuïteit blootleggen.

Hoelang heeft een organisatie om een afwijking op te lossen?

De termijn om een afwijking op te lossen hangt af van de ernst ervan. Voor een kleine afwijking geldt doorgaans een termijn van drie tot zes maanden, vaak afgestemd op de volgende geplande controle-audit. Voor een grote afwijking is de termijn korter en strikter, meestal dertig tot negentig dagen, afhankelijk van de afspraken met de auditinstelling.

In de praktijk worden de termijnen vastgelegd in het auditrapport en bevestigd in overleg met de auditor. Het is belangrijk dat de organisatie de termijn serieus neemt en niet wacht tot de deadline nadert. Tijdig beginnen met de oorzaakanalyse en het opstellen van het correctief actieplan vergroot de kans op een succesvolle verificatie aanzienlijk. Wanneer een organisatie merkt dat de termijn niet haalbaar is, is het verstandig dit proactief te communiceren met de auditinstelling. Transparante communicatie voorkomt misverstanden en laat zien dat de organisatie verantwoordelijkheid neemt.

Wat gebeurt er met het certificaat als een afwijking niet wordt opgelost?

Als een afwijking niet binnen de gestelde termijn wordt opgelost, heeft dit directe gevolgen voor het certificaat. Bij een openstaande grote afwijking kan het certificaat worden opgeschort of ingetrokken. Bij een kleine afwijking die herhaaldelijk terugkeert of niet wordt aangepakt, kan dit alsnog leiden tot een majorbevinding bij de volgende audit.

Voor organisaties die ISO 27001 of een vergelijkbare norm nastreven, zijn de gevolgen van een ingetrokken certificaat ingrijpend. Klanten, aanbestedende diensten en samenwerkingspartners verwachten een geldig certificaat als bewijs van een werkend informatiebeveiligingsmanagementsysteem. Het verlies van certificering kan leiden tot het mislopen van opdrachten of het schenden van contractuele verplichtingen. Het is dus in het belang van de organisatie om afwijkingen niet te laten liggen, maar ze snel en grondig aan te pakken.

Hoe verifieert de auditor of een afwijking correct is hersteld?

De auditor verifieert het herstel van een afwijking door het ingediende correctief actieplan te beoordelen en het aangeleverde bewijs te toetsen aan de normeis. Dit bewijs kan bestaan uit herziene procedures, trainingsregistraties, systeemlogboeken, screenshots of andere documentatie die aantoont dat de maatregel daadwerkelijk is doorgevoerd en werkt.

Bij een kleine afwijking vindt de verificatie vaak schriftelijk plaats, op basis van de aangeleverde documentatie. Bij een grote afwijking is een aanvullende audit ter plaatse soms noodzakelijk, waarbij de auditor controleert of de maatregelen in de praktijk ook echt worden nageleefd. De auditor beoordeelt niet alleen of de actie is uitgevoerd, maar ook of de grondoorzaak structureel is weggenomen. Alleen aantonen dat het symptoom is verholpen, is onvoldoende. Wij hanteren bij DigiTrust een transparante en constructieve aanpak bij de verificatie van afwijkingen, waarbij we organisaties begeleiden bij het aanleveren van de juiste bewijslast. Zo wordt het herstelproces zo soepel mogelijk doorlopen.

Heb je te maken met een afwijking na een audit en wil je weten hoe je dit het beste aanpakt? Neem contact op met ons team en we denken graag met je mee over de volgende stappen.

Gerelateerde artikelen

• Wat gebeurt er als je scope wijzigt na een ISO 27001 certificering?
• Hoe wordt een hybride werkomgeving meegenomen in een ISO 27001 audit?
• Wat zijn auditoverwegingen voor SaaS-bedrijven bij ISO 27001?
• Wat zijn de overwegingen bij het certificeren van een dochterbedrijf voor ISO 27001?
• Hoe implementeer je een ISMS?