Een minor non-conformiteit is een geïsoleerde of beperkte afwijking van een norm die geen directe bedreiging vormt voor het informatiebeheersysteem als geheel. Een major non-conformiteit daarentegen is een fundamentele tekortkoming die aantoont dat een vereiste van de norm structureel niet wordt nageleefd of volledig ontbreekt. Het verschil tussen een minor en major non-conformiteit bepaalt rechtstreeks of een organisatie haar certificering behoudt, uitgesteld krijgt of verliest. In dit artikel beantwoorden we de meest gestelde vragen over auditbevindingen, zodat je precies weet waar je aan toe bent. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en we helpen je verder.
Wat bepaalt of een bevinding minor of major is?
De classificatie van een auditbevinding als minor of major hangt af van de omvang, de impact en de structurele aard van de afwijking. Een major non-conformiteit treedt op wanneer een eis van de norm volledig ontbreekt, stelselmatig niet wordt nageleefd, of wanneer meerdere gerelateerde minors samen een patroon vormen dat op een fundamenteel probleem wijst. Een minor non-conformiteit is een incidentele of beperkte afwijking zonder directe systeembrede gevolgen.
Auditors beoordelen bevindingen op basis van een aantal concrete criteria:
- Volledigheid: Is een vereiste maatregel volledig afwezig, of is er sprake van een onvolledige implementatie?
- Frequentie: Is de afwijking eenmalig of terugkerend?
- Reikwijdte: Betreft het één afdeling of één medewerker, of geldt het voor de gehele organisatie?
- Risico: Welk risico brengt de afwijking met zich mee voor de informatiebeveiliging?
- Samenhang: Zijn er meerdere kleinere bevindingen die samen op een structureel probleem wijzen?
Bij een ISO 27001 certificeringsaudit geldt bijvoorbeeld dat het volledig ontbreken van een risicobeoordelingsproces direct als major wordt aangemerkt, terwijl één ontbrekende handtekening op een toegangsaanvraagformulier doorgaans als minor wordt geclassificeerd. De context en het oordeel van de auditor spelen hierbij een belangrijke rol.
Wat zijn de gevolgen van een major non-conformiteit voor de certificering?
Een major non-conformiteit betekent dat een certificaat niet wordt verleend of niet wordt verlengd totdat de bevinding is opgelost en geverifieerd. Bij een initiële certificeringsaudit leidt een major ertoe dat de certificering wordt uitgesteld. Bij een her- of bewakingsaudit kan een major leiden tot schorsing of intrekking van het bestaande certificaat.
De organisatie krijgt na een major non-conformiteit doorgaans een termijn om een correctieve maatregel door te voeren. De auditinstelling bepaalt of verificatie op afstand (via documentatie) voldoende is, of dat een aanvullend bezoek ter plaatse nodig is. Pas na succesvolle verificatie kan het certificaat worden afgegeven of hersteld.
Wat dit in de praktijk betekent:
- De organisatie moet een grondige oorzaakanalyse (root cause analysis) uitvoeren.
- Er moet een aantoonbare correctieve actie worden doorgevoerd, niet alleen een snelle oplossing.
- Bewijs van de maatregel moet worden aangeleverd binnen de afgesproken termijn.
- De auditor beoordeelt of de maatregel de onderliggende oorzaak daadwerkelijk wegneemt.
Een major non-conformiteit is serieus, maar zeker geen eindpunt. Met een gerichte aanpak en heldere communicatie met de auditinstelling is herstel goed mogelijk.
Wat zijn de gevolgen van een minor non-conformiteit voor de certificering?
Een minor non-conformiteit blokkeert de certificering niet. De organisatie ontvangt het certificaat wel, maar is verplicht om de bevinding binnen een afgesproken termijn op te lossen en bewijs van de correctieve maatregel aan te leveren. Doorgaans wordt dit bij de eerstvolgende bewakingsaudit gecontroleerd.
Hoewel een minor geen directe bedreiging vormt voor het certificaat, mag het belang ervan niet worden onderschat. Een minor non-conformiteit geeft aan dat er een verbeterpunt is dat aandacht verdient. Wordt een minor structureel niet opgelost, dan kan dit bij een volgende audit zwaarder worden beoordeeld.
Praktisch gezien geldt voor minors het volgende:
- De organisatie legt een correctief actieplan vast.
- De maatregel wordt gedocumenteerd en bij de volgende audit getoetst.
- Meerdere niet-opgeloste minors kunnen bij een volgende audit worden samengevoegd tot een major.
Kan een minor non-conformiteit veranderen in een major?
Ja, een minor non-conformiteit kan bij een volgende audit worden opgewaardeerd naar een major. Dit gebeurt wanneer dezelfde bevinding opnieuw wordt aangetroffen, wanneer de eerder afgesproken correctieve maatregel niet is doorgevoerd, of wanneer meerdere samenhangende minors samen een structureel patroon laten zien dat op een systeemfout wijst.
Dit is een belangrijk punt dat organisaties regelmatig onderschatten. Een minor die bij twee opeenvolgende audits terugkeert, signaleert aan de auditor dat de organisatie onvoldoende grip heeft op haar informatiebeveiligingsbeheer. Dat patroon rechtvaardigt een zwaardere classificatie.
De omgekeerde beweging, van major naar minor, is ook mogelijk. Als een organisatie aantoont dat de kern van een major is opgelost maar er nog een klein restpunt overblijft, kan een auditor besluiten dit als minor te registreren. Dit vereist wel een gedegen correctief actieplan en aantoonbaar bewijs van verbetering.
Hoe bereidt een organisatie zich voor op het oplossen van non-conformiteiten?
Een organisatie bereidt zich voor op het oplossen van non-conformiteiten door direct na de audit een grondige oorzaakanalyse uit te voeren, een concreet correctief actieplan op te stellen en de voortgang actief te monitoren. Het gaat niet alleen om het dichten van de geconstateerde tekortkoming, maar om het wegnemen van de onderliggende oorzaak.
Een effectieve aanpak volgt deze stappen:
- Analyseer de oorzaak: Vraag jezelf af waarom de afwijking is ontstaan, niet alleen wat er mis is gegaan. Gebruik technieken zoals de vijf-waarom-methode om de kern te vinden.
- Stel een actieplan op: Beschrijf welke maatregelen worden genomen, wie verantwoordelijk is en binnen welke termijn de actie is afgerond.
- Documenteer alles: Zorg voor aantoonbaar bewijs van de doorgevoerde maatregel. Denk aan bijgewerkte procedures, trainingsregistraties of gewijzigde configuraties.
- Toets de effectiviteit: Controleer intern of de maatregel daadwerkelijk het probleem oplost voordat de auditor terugkomt.
- Bewaak terugkeer: Neem de bevinding op in interne audits of managementreviews om herhaling te voorkomen.
Organisaties die non-conformiteiten proactief en gedegen aanpakken, laten zien dat hun managementsysteem volwassen en lerend is. Dat is precies het signaal dat een auditinstelling wil zien. Wil je weten hoe wij je begeleiden bij het oplossen van auditbevindingen of hoe een certificeringstraject bij ons eruitziet? Neem contact op en we plannen vrijblijvend een kennismaking.
Veelgestelde vragen
Wat is het verschil tussen een minor en een major non-conformiteit?
Een minor non-conformiteit is een geïsoleerde afwijking zonder directe gevolgen voor het systeem als geheel, terwijl een major een fundamentele tekortkoming is waarbij een normvereiste volledig ontbreekt of structureel niet wordt nageleefd. De classificatie bepaalt direct of een organisatie haar certificering behoudt, uitgesteld krijgt of verliest.
Hoe lang heeft een organisatie de tijd om een major non-conformiteit op te lossen?
De auditinstelling stelt na het vaststellen van een major non-conformiteit een concrete termijn vast waarbinnen de organisatie een correctieve maatregel moet doorvoeren en aantonen. De exacte termijn verschilt per situatie en auditinstelling, maar vereist altijd een grondige oorzaakanalyse en aantoonbaar bewijs van de doorgevoerde verbetering.
Waarom is het belangrijk om een minor non-conformiteit serieus te nemen?
Een minor non-conformiteit blokkeert de certificering niet, maar wanneer dezelfde bevinding bij een volgende audit opnieuw wordt aangetroffen of meerdere minors samen een patroon vormen, kan de auditor deze opwaarderen naar een major. Structureel onopgeloste minors laten zien dat een organisatie onvoldoende grip heeft op haar informatiebeveiligingsbeheer.
Wanneer wordt een correctieve maatregel als voldoende beschouwd door een auditor?
Een correctieve maatregel wordt als voldoende beschouwd wanneer de organisatie niet alleen de zichtbare tekortkoming heeft opgelost, maar ook de onderliggende oorzaak heeft weggenomen en dit met aantoonbaar bewijs kan onderbouwen, zoals bijgewerkte procedures of trainingsregistraties. De auditor beoordeelt of de maatregel herhaling van de bevinding structureel voorkomt.
