Een bevinding is alles wat een auditor tijdens een audit waarneemt en vastlegt. Een non-conformiteit is een specifiek soort bevinding: namelijk een situatie waarin de organisatie aantoonbaar niet voldoet aan een eis uit de norm, zoals ISO 27001. Niet elke bevinding leidt dus tot een non-conformiteit. Sommige bevindingen zijn observaties of verbeterpunten zonder formele consequenties voor de certificering. In dit artikel beantwoorden we de meest gestelde vragen over bevindingen, non-conformiteiten en wat ze betekenen voor jouw certificeringstraject. Heb je direct een vraag? Neem gerust contact op en we helpen je verder.
Wat telt als een bevinding tijdens een audit?
Een auditbevinding is elke waarneming die een auditor tijdens een certificeringsaudit vastlegt op basis van verzameld bewijs. Dit kan een positieve constatering zijn, een aandachtspunt, een verbeterkans of een afwijking van de norm. Bevindingen zijn altijd onderbouwd met objectief bewijs, zoals documenten, interviews of technische controles.
Tijdens een informatiebeveiligingsaudit beoordeelt de auditor in hoeverre de organisatie voldoet aan de gestelde eisen. Elke relevante waarneming wordt vastgelegd als bevinding. Dat kan gaan om een goed functionerend proces dat als voorbeeld dient, maar ook om een ontbrekend beleidsdocument of een procedure die in de praktijk niet wordt nageleefd.
Bevindingen vormen samen de basis van het auditrapport. Ze geven een volledig beeld van de situatie binnen de organisatie en bepalen mede de uitkomst van de audit.
Wanneer wordt een bevinding een non-conformiteit?
Een bevinding wordt een non-conformiteit wanneer de auditor vaststelt dat de organisatie niet voldoet aan een specifieke eis uit de norm. Er moet sprake zijn van een aantoonbare afwijking, ondersteund door bewijs. Niet elke tekortkoming leidt automatisch tot een non-conformiteit; de auditor beoordeelt of de afwijking direct in strijd is met een normeis.
Het onderscheid is belangrijk: een bevinding is neutraal van aard en beschrijft een situatie. Een non-conformiteit is een formele classificatie met gevolgen voor de voortgang van het certificeringstraject. Denk aan een situatie waarin een organisatie geen risicobeoordelingsproces heeft gedocumenteerd, terwijl de norm dit expliciet vereist. Dat is een non-conformiteit.
Bevindingen die geen directe normeis schenden, worden doorgaans geclassificeerd als observaties of verbeterpunten. Deze hebben geen formele consequenties, maar geven wel waardevolle signalen over de volwassenheid van het managementsysteem.
Wat is het verschil tussen een minor en major non-conformiteit?
Het verschil tussen een minor en major non-conformiteit zit in de ernst en de impact op het managementsysteem. Een major non-conformiteit is een ernstige afwijking die aantoont dat een deel van het systeem fundamenteel niet werkt of volledig ontbreekt. Een minor non-conformiteit is een beperkte afwijking waarbij de opzet van het systeem wel klopt, maar de uitvoering tekortschiet.
Major non-conformiteit
Een major non-conformiteit wijst op een structureel probleem. Voorbeelden zijn het volledig ontbreken van een risicobeoordeling, het ontbreken van een intern auditprogramma of het aantoonbaar niet naleven van een kernproces. Bij een major non-conformiteit kan de certificering niet worden verleend of verlengd totdat de afwijking is opgelost en geverifieerd.
Minor non-conformiteit
Een minor non-conformiteit is minder ernstig, maar mag niet worden genegeerd. Het gaat bijvoorbeeld om een procedure die niet altijd wordt gevolgd, een logboek dat niet volledig is bijgehouden, of een beleidsdocument dat niet tijdig is herzien. De organisatie moet een correctieve maatregel indienen, maar de certificering kan in veel gevallen wel worden verleend onder voorbehoud van opvolging.
Wat zijn observaties en verbeterpunten in een auditrapport?
Observaties en verbeterpunten zijn bevindingen in een auditrapport die geen directe non-conformiteit vormen, maar wel aandachtspunten signaleren. Ze zijn niet bindend, maar geven de organisatie waardevolle inzichten om het managementsysteem verder te versterken.
Een observatie beschrijft een situatie die de auditor opvallend vindt, maar die nog niet in strijd is met de norm. Het is een vroeg signaal dat iets de aandacht verdient voordat het een groter probleem wordt. Een verbeterpunt gaat een stap verder en wijst op een concrete kans om een proces, maatregel of werkwijze te verbeteren, ook al is er formeel geen normeis geschonden.
Bij DigiTrust geloven we in waarderend auditen: we signaleren niet alleen wat beter kan, maar ook wat goed gaat. Observaties en verbeterpunten zijn daarin een belangrijk instrument om organisaties verder te helpen groeien in hun informatiebeveiliging, zonder dat dit direct gevolgen heeft voor de certificering.
Hoe worden non-conformiteiten opgelost na een audit?
Na een audit stelt de organisatie voor elke non-conformiteit een correctieve maatregel op. Dit is een plan van aanpak dat beschrijft wat de oorzaak is van de afwijking, welke actie wordt ondernomen en binnen welke termijn. De auditor beoordeelt vervolgens of de maatregel afdoende is en of de implementatie is aangetoond.
Het proces verloopt doorgaans in drie stappen:
- Oorzaakanalyse: De organisatie onderzoekt waarom de afwijking is ontstaan, niet alleen wat er mis ging.
- Correctieve actie: Er wordt een concrete maatregel genomen om de afwijking op te lossen en herhaling te voorkomen.
- Verificatie: De auditor controleert of de maatregel effectief is uitgevoerd, via documentatie of een vervolgbezoek.
Voor minor non-conformiteiten geldt doorgaans een termijn van enkele weken tot drie maanden. Major non-conformiteiten vereisen een grondiger aanpak en worden vaak geverifieerd via een extra auditbezoek voordat de certificering wordt verleend.
Wat betekent een non-conformiteit voor je certificering?
Een non-conformiteit betekent niet automatisch dat een certificeringstraject mislukt. De impact hangt af van het type non-conformiteit. Bij een minor non-conformiteit kan de certificering in veel gevallen alsnog worden verleend, mits de organisatie een acceptabele correctieve maatregel indient. Bij een major non-conformiteit wordt de certificering uitgesteld totdat de afwijking aantoonbaar is opgelost.
Het is belangrijk om non-conformiteiten serieus te nemen, maar niet te dramatiseren. Ze zijn een normaal onderdeel van een volwassen auditproces en bieden de organisatie de kans om het managementsysteem structureel te verbeteren. Een goed opgezette correctieve maatregel laat ook zien dat de organisatie in staat is om te leren en te verbeteren, wat op zichzelf een teken van volwassenheid is.
Wil je weten hoe wij omgaan met bevindingen en non-conformiteiten in onze audits, of heb je vragen over jouw specifieke situatie? Neem contact op en we denken graag met je mee.
Veelgestelde vragen
Wat is het verschil tussen een bevinding en een non-conformiteit?
V: Wat is het verschil tussen een bevinding en een non-conformiteit?nA: Een bevinding is elke waarneming die een auditor vastlegt tijdens een audit, zoals een aandachtspunt of verbeterkans. Een non-conformiteit is een specifieke bevinding waarbij de organisatie aantoonbaar niet voldoet aan een eis uit de norm, met formele gevolgen voor het certificeringstraject.
Hoe los ik een non-conformiteit op na een audit?
V: Hoe los ik een non-conformiteit op na een audit?nA: Na de audit stel je voor elke non-conformiteit een correctieve maatregel op, waarin je de oorzaak beschrijft, de actie die je onderneemt en de termijn waarop dit gebeurt. De auditor beoordeelt vervolgens of de maatregel afdoende is en of de uitvoering aantoonbaar is gemaakt via documentatie of een vervolgbezoek.
Wat betekent een major non-conformiteit voor mijn certificering?
V: Wat betekent een major non-conformiteit voor mijn certificering?nA: Een major non-conformiteit wijst op een structureel probleem in je managementsysteem, waardoor de certificering niet kan worden verleend of verlengd totdat de afwijking aantoonbaar is opgelost en door de auditor is geverifieerd. Na een grondige correctieve aanpak en verificatie kan het certificeringstraject alsnog succesvol worden afgerond.
Waarom zijn observaties en verbeterpunten belangrijk, ook al hebben ze geen formele gevolgen?
V: Waarom zijn observaties en verbeterpunten belangrijk, ook al hebben ze geen formele gevolgen?nA: Observaties en verbeterpunten geven vroege signalen over zwakke plekken in je managementsysteem voordat ze uitgroeien tot echte non-conformiteiten, waardoor je proactief kunt verbeteren. Ze helpen je organisatie te groeien in informatiebeveiliging en laten zien waar processen, maatregelen of werkwijzen verder versterkt kunnen worden.
Gerelateerde artikelen
- Hoeveel tijd krijg je om een afwijking op te lossen na een ISO 27001 audit?
- Hoe vaak leiden kritieke afwijkingen daadwerkelijk tot het mislopen van certificering?
- Waarom is de keuze voor een ISO 27001 certificerende instelling meer dan alleen de prijs?
- Hoe voorkom je ISO 27001 certificeringsproblemen?
- Is ISO 27001 een vereiste voor overheidsopdrachten?
