Een open en eerlijk auditproces kenmerkt zich door onafhankelijkheid, heldere communicatie en een objectieve beoordeling op basis van vastgestelde normen. Een eerlijke auditinstelling legt vooraf uit wat je kunt verwachten, communiceert transparant tijdens het traject en baseert haar oordeel uitsluitend op bewijs, niet op commerciële belangen. Wil je direct weten of jouw situatie in aanmerking komt voor een ISO 27001 certificering? Neem gerust contact op en wij helpen je verder. In dit artikel beantwoorden we de meest gestelde vragen over eerlijk en transparant auditen.
Wat zijn de kenmerken van een transparante auditinstelling?
Een transparante auditinstelling communiceert open over haar werkwijze, tarieven, tijdlijnen en de criteria waarop zij beoordeelt. Ze maakt geen gebruik van onduidelijke contracten, verborgen kosten of vage beloftes over de uitkomst. Transparantie betekent ook dat de auditinstelling haar onafhankelijkheid bewaakt en geen financieel belang heeft bij een positieve of negatieve uitkomst.
Concrete kenmerken van een transparante auditinstelling zijn:
- Duidelijke documentatie: De instelling legt vooraf schriftelijk vast wat de scope van de audit is, welke normen worden gehanteerd en wat de verwachte doorlooptijd is.
- Heldere communicatie: Bevindingen worden begrijpelijk uitgelegd, ook voor mensen zonder technische achtergrond.
- Geen dubbele petten: De auditinstelling adviseert niet over dezelfde onderwerpen waarop zij ook beoordeelt, zodat er geen belangenverstrengeling ontstaat.
- Wederzijds respect: Een goede auditinstelling erkent niet alleen tekortkomingen, maar benoemt ook wat een organisatie goed doet. Dit wordt ook wel waarderend auditen genoemd.
- Toegankelijkheid: Vragen zijn altijd welkom, ook buiten de formele auditronden.
Een transparante auditinstelling ziet de audit niet als een eenmalige keuring, maar als een samenwerking gericht op het versterken van de digitale weerbaarheid van jouw organisatie.
Hoe verloopt een eerlijk auditproces stap voor stap?
Een eerlijk auditproces volgt een vaste, vooraf gecommuniceerde structuur waarbij elke stap helder is voor de organisatie die wordt geauditeerd. Van de eerste intake tot het definitieve certificeringsbesluit weet je als klant wat er van je verwacht wordt en op welke basis de auditor zijn oordeel vormt.
Een eerlijk en transparant auditproces verloopt doorgaans als volgt:
- Intake en scopebepaling: De auditinstelling bespreekt met jou welke onderdelen van de organisatie binnen de audit vallen en welke norm van toepassing is.
- Documentbeoordeling (fase 1): De auditor toetst of de benodigde documentatie aanwezig en volledig is, zoals een informatiebeveiligingsbeleid en risicoanalyse.
- Uitvoeringsaudit (fase 2): De auditor bezoekt de organisatie en toetst of de maatregelen in de praktijk ook daadwerkelijk worden toegepast.
- Bevindingen en rapportage: Alle bevindingen worden gedocumenteerd en teruggekoppeld. Afwijkingen worden onderbouwd met concreet bewijs.
- Certificeringsbesluit: Op basis van de bevindingen wordt een onafhankelijk besluit genomen over het al dan niet verlenen van het certificaat.
- Periodieke herbeoordelingen: Na certificering vinden jaarlijkse surveillance-audits plaats om te borgen dat de organisatie blijft voldoen aan de norm.
Bij elke stap hoort een terugkoppeling. Een eerlijke auditinstelling verrast je niet met onverwachte uitkomsten aan het einde van het traject.
Welke vragen kun je een auditinstelling stellen om eerlijkheid te toetsen?
Je kunt een auditinstelling op eerlijkheid toetsen door gerichte vragen te stellen over haar onafhankelijkheid, werkwijze en accreditatie. Een betrouwbare instelling geeft hierop open en feitelijke antwoorden zonder eromheen te draaien. Als een instelling vaag blijft of uitwijkt, is dat een teken om alert op te zijn.
Stel in ieder geval deze vragen voordat je een keuze maakt:
- Is de auditinstelling geaccrediteerd en door welke accreditatie-instelling?
- Biedt de instelling ook adviesdiensten aan voor dezelfde normen waarop zij auditeert, en hoe wordt belangenverstrengeling voorkomen?
- Hoe worden bevindingen onderbouwd en gedocumenteerd?
- Wat gebeurt er als er afwijkingen worden gevonden? Krijg ik de kans om die te herstellen vóór het certificeringsbesluit?
- Wie voert de audit uit en wat is de achtergrond en ervaring van die auditor?
- Hoe worden klachten of bezwaren behandeld?
Een eerlijke auditinstelling staat open voor al deze vragen. Ze ziet het stellen ervan niet als wantrouwen, maar als een teken dat jij serieus omgaat met het verbeteren van informatiebeveiliging binnen jouw organisatie.
Wat zijn waarschuwingssignalen van een niet-objectieve audit?
Waarschuwingssignalen van een niet-objectieve audit zijn onder meer het garanderen van een positieve uitkomst vooraf, het ontbreken van een heldere onderbouwing van bevindingen, en een auditinstelling die ook advies verkoopt over de onderwerpen waarop zij beoordeelt. Deze signalen wijzen op een gebrek aan onafhankelijkheid en objectiviteit.
Let op de volgende rode vlaggen bij het kiezen van een auditinstelling:
- Garanties vooraf: Geen serieuze auditinstelling garandeert dat je zeker een certificaat haalt. Een uitkomst hangt altijd af van de werkelijkheid in jouw organisatie.
- Gecombineerde rol van adviseur en auditor: Als dezelfde partij je eerst helpt met implementatie en daarna de audit uitvoert, ontbreekt de onafhankelijkheid.
- Onduidelijke rapportages: Bevindingen die niet worden onderbouwd met specifiek bewijs zijn een teken van een onzorgvuldige of beïnvloede audit.
- Druk om snel te tekenen: Een instelling die haast maakt of kortingen koppelt aan snelle beslissingen, heeft mogelijk een commercieel belang dat boven jouw belang gaat.
- Geen klachtenprocedure: Een professionele instelling heeft een formele procedure voor bezwaar en klachten. Ontbreekt die, dan is er weinig waarborg voor objectiviteit.
Vertrouw op je gevoel. Als een auditinstelling bij jou twijfels oproept over haar objectiviteit, is het verstandig om een tweede mening te vragen of een andere instelling te benaderen.
Wat is het verschil tussen een geaccrediteerde en niet-geaccrediteerde auditinstelling?
Een geaccrediteerde auditinstelling is formeel erkend door een nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland, en voldoet aantoonbaar aan internationale kwaliteitsnormen voor certificerende instellingen. Een niet-geaccrediteerde instelling heeft deze onafhankelijke toetsing niet ondergaan en biedt daarmee minder garanties voor objectiviteit, vakbekwaamheid en betrouwbaarheid.
Het verschil is in de praktijk groot:
- Geaccrediteerde instelling: Wordt periodiek extern beoordeeld op haar werkwijze, onafhankelijkheid en competentie. Certificaten die zij afgeeft, zijn internationaal erkend en worden door opdrachtgevers, aanbesteders en toezichthouders geaccepteerd.
- Niet-geaccrediteerde instelling: Kan zichzelf een “certificaat” noemen, maar dit heeft geen formele status. Klanten of opdrachtgevers die vragen om een erkend certificaat, zoals ISO 27001, zullen dit niet accepteren.
Voor organisaties die een certificering nodig hebben voor aanbestedingen, klantcontracten of wettelijke verplichtingen is accreditatie geen luxe, maar een vereiste. Wij zijn volledig geaccrediteerd door de RvA (C618), wat betekent dat onze audits en certificaten overal in Nederland en internationaal worden erkend.
Twijfel je over welke auditinstelling het beste bij jouw organisatie past of wil je weten wat een eerlijk en transparant auditproces voor jou concreet betekent? Neem contact op en we bespreken het graag met je.
Veelgestelde vragen
Wat maakt een auditinstelling echt transparant en betrouwbaar?
Een transparante auditinstelling communiceert vooraf duidelijk over haar werkwijze, tarieven en beoordelingscriteria, zonder verborgen kosten of vage beloftes. Ze bewaakt haar onafhankelijkheid door advies- en auditrollen strikt te scheiden, zodat haar oordeel altijd gebaseerd is op objectief bewijs en niet op commerciële belangen.
Hoe weet ik of een auditinstelling echt onafhankelijk is?
Je kunt een auditinstelling op onafhankelijkheid toetsen door te vragen naar haar accreditatie, hoe zij belangenverstrengeling voorkomt en of zij ook adviesdiensten aanbiedt voor dezelfde normen waarop zij auditeert. Een betrouwbare instelling geeft hierop open en feitelijke antwoorden en beschikt over een formele klachtenprocedure als extra waarborg.
Waarom is het belangrijk om te kiezen voor een geaccrediteerde auditinstelling?
Een geaccrediteerde auditinstelling wordt periodiek extern beoordeeld op vakbekwaamheid, onafhankelijkheid en werkwijze, waardoor haar certificaten internationaal worden erkend door opdrachtgevers, aanbesteders en toezichthouders. Voor organisaties die een certificering nodig hebben voor aanbestedingen of wettelijke verplichtingen is accreditatie daarom geen luxe, maar een absolute vereiste.
Wanneer moet ik als organisatie alert zijn op waarschuwingssignalen bij een auditinstelling?
Wees alert wanneer een auditinstelling vooraf garanties geeft op een positieve uitkomst, onduidelijke rapportages levert zonder concreet bewijs, of druk uitoefent om snel te tekenen via tijdgebonden kortingen. Deze signalen wijzen op een gebrek aan objectiviteit en het is dan verstandig om een tweede mening te vragen of een andere instelling te benaderen.
