Welke documentatiefouten zorgen het vaakst voor vertraging bij een ISO 27001 audit?

De meest voorkomende documentatiefouten die een ISO 27001-audit vertragen zijn: ontbrekend of inconsistent versiebeheer, een verouderd of onvolledig risicoregister, beleidsdocumenten zonder goedkeuringshandtekening en procedures die niet aansluiten op de werkelijke praktijk. Deze fouten klinken klein, maar ze kunnen de certificering weken of zelfs maanden vertragen. Als je twijfelt of jouw documentatie auditklaar is, kun je altijd contact met ons opnemen voor een vrijblijvend gesprek. In dit artikel beantwoorden we de meest gestelde vragen over documentatiefouten bij ISO 27001-audits.

Welke documenten worden het vaakst afgekeurd tijdens een ISO 27001-audit?

De documenten die het vaakst problemen opleveren tijdens een ISO 27001-audit zijn het risicoregister, de Verklaring van Toepasselijkheid (Statement of Applicability), het informatiebeveiligingsbeleid en interne auditrapportages. Deze documenten vormen de kern van het ISMS en worden door auditors intensief beoordeeld op volledigheid, actualiteit en onderlinge samenhang.

Naast deze vier zijn er nog andere documenttypen die regelmatig onvoldoende blijken:

• Procedures en werkinstructies die beschrijven hoe beveiligingsmaatregelen in de praktijk worden uitgevoerd, maar die niet zijn bijgewerkt na organisatorische wijzigingen
• Managementreviewverslagen die ontbreken of te summier zijn om te bewijzen dat het topmanagement actief betrokken is bij het ISMS
• Bewijs van bewustzijnstrainingen, zoals aanwezigheidslijsten of testresultaten, die niet zijn gedocumenteerd
• Contracten en verwerkersovereenkomsten met leveranciers die niet zijn gekoppeld aan de risicobeheersing

Wat veel organisaties onderschatten, is dat het niet alleen gaat om het bestaan van deze documenten. Een auditor beoordeelt ook of ze onderling consistent zijn. Een beveiligingsbeleid dat verwijst naar een procedure die niet bestaat, of een risicoregister dat niet aansluit op de geselecteerde beheersmaatregelen in de Verklaring van Toepasselijkheid, levert direct bevindingen op.

Waarom veroorzaakt ontbrekend versiebeheer zoveel auditvertragingen?

Ontbrekend versiebeheer veroorzaakt auditvertragingen omdat een auditor niet kan vaststellen welke versie van een document geldig is, wanneer het voor het laatst is beoordeeld en wie het heeft goedgekeurd. Zonder deze informatie kan de auditor de betrouwbaarheid van de documentatie niet beoordelen, wat leidt tot aanvullende vragen en herstelrondes.

ISO 27001 vereist expliciet dat gedocumenteerde informatie wordt beheerst. Dat betekent dat elke organisatie moet kunnen aantonen dat documenten worden beoordeeld, goedgekeurd en bewaard op een manier die ongeautoriseerde wijzigingen voorkomt. Ontbreekt een versienummer, een datum of een goedkeuringshandtekening, dan is het voor een auditor onmogelijk om de documentatieketen te volgen.

In de praktijk zien we dat organisaties werken met losse bestanden op gedeelde schijven, zonder duidelijke naamgeving of archivering van oude versies. Dit leidt tot situaties waarbij medewerkers werken met een verouderd beleidsdocument terwijl een nieuwere versie ergens anders staat opgeslagen. Voor een auditor is dit een directe aanleiding voor een bevinding of zelfs een non-conformiteit.

Een eenvoudig maar effectief versiebeheersysteem hoeft niet complex te zijn. Een documentregister met versienummer, datum, eigenaar en goedkeuringsstatus is vaak al voldoende om aan de norm te voldoen.

Hoe verschilt een verouderd risicoregister van een onvolledig risicoregister?

Een verouderd risicoregister bevat risico-informatie die niet meer actueel is, bijvoorbeeld omdat de organisatie is veranderd maar de risicobeoordeling niet is herhaald. Een onvolledig risicoregister mist essentiële elementen zoals risicobehandeling, restrisico of de koppeling met beheersmaatregelen. Beide zijn problematisch, maar om verschillende redenen.

Bij een verouderd risicoregister is de inhoud op zichzelf misschien correct geweest, maar niet meer representatief voor de huidige situatie. Denk aan nieuwe systemen, nieuwe leveranciers of gewijzigde processen die niet zijn meegenomen in de laatste risicobeoordeling. ISO 27001 vereist dat de risicobeoordeling periodiek wordt herhaald en in ieder geval bij significante wijzigingen.

Bij een onvolledig risicoregister ontbreken structurele elementen die de norm vereist. Denk aan risico’s zonder eigenaar, risico’s zonder behandeloptie of risico’s waarbij niet is vastgelegd wat het restrisico is na het treffen van maatregelen. Dit maakt het onmogelijk voor een auditor om te beoordelen of de organisatie haar risico’s daadwerkelijk beheerst.

In de praktijk komen beide problemen vaak samen voor: een register dat al twee jaar niet is bijgewerkt en ook nooit volledig is ingevuld. Dat is een van de meest voorkomende oorzaken van vertraging bij een ISO 27001-certificering.

Wat is het verschil tussen een bevinding en een non-conformiteit bij documentatiefouten?

Een bevinding is een observatie van een auditor die aandacht verdient maar geen directe blokkade vormt voor certificering. Een non-conformiteit is een vastgestelde afwijking van de norm die gecorrigeerd moet worden voordat een certificaat kan worden afgegeven. Het onderscheid bepaalt hoe urgent en zwaar de gevolgen zijn voor de ISO 27001-certificering.

Bij documentatiefouten geldt globaal het volgende onderscheid:

• Bevinding (opmerking of verbeterpunt): een document mist een versienummer, een procedure is niet helemaal up-to-date maar de kern klopt, of een registratie is onvolledig maar de maatregel is aantoonbaar uitgevoerd. De organisatie krijgt de kans dit te verbeteren zonder dat de certificering wordt geblokkeerd.
• Minor non-conformiteit: een vereist document ontbreekt deels, of er is bewijs dat een procesvereiste niet consistent wordt nageleefd. Dit moet worden opgelost, maar hoeft de certificering niet direct te blokkeren als er een geloofwaardig correctieplan is.
• Major non-conformiteit: een essentieel document ontbreekt volledig, of er is een fundamentele afwijking van de norm. Denk aan het volledig ontbreken van een risicoregister of een Verklaring van Toepasselijkheid. Dit blokkeert de certificering totdat het is opgelost en geverifieerd.

Het is belangrijk te begrijpen dat ook meerdere minor non-conformiteiten samen kunnen leiden tot een ernstigere beoordeling. Wij hanteren bij DigiTrust een transparante aanpak waarbij bevindingen altijd helder worden gecommuniceerd, zodat organisaties precies weten wat er verwacht wordt en waarom.

Hoe voorkom je documentatiefouten vóór de auditdatum?

Documentatiefouten voorkom je door ruim voor de auditdatum een interne documentatiereview uit te voeren, waarbij je systematisch controleert of alle vereiste documenten aanwezig, actueel, goedgekeurd en onderling consistent zijn. Een gestructureerde aanpak in de maanden voor de audit voorkomt de meeste vertragingen.

Concrete stappen die je kunt zetten:

1. Maak een documentregister met alle ISO 27001-vereiste documenten, inclusief eigenaar, versienummer en datum van laatste beoordeling.
2. Controleer de onderlinge samenhang tussen beleid, procedures, risicoregister en Verklaring van Toepasselijkheid. Verwijzingen moeten kloppen.
3. Verifieer goedkeuringshandtekeningen en zorg dat het management aantoonbaar betrokken is bij het ISMS, onder andere via managementreviews.
4. Actualiseer het risicoregister op basis van recente wijzigingen in de organisatie, systemen of het dreigingslandschap.
5. Voer een interne audit uit die specifiek gericht is op documentatiecontrole, bij voorkeur door iemand die niet zelf verantwoordelijk is voor de documentatie.

Meer achtergrond over wat er komt kijken bij een goed ingericht ISMS vind je op onze pagina over informatiebeveiliging. Een goede voorbereiding is de meest effectieve manier om vertraging te voorkomen.

Hoelang vertraagt een documentatiefout de ISO 27001-certificering gemiddeld?

Een documentatiefout kan de ISO 27001-certificering vertragen met enkele weken tot meerdere maanden, afhankelijk van de ernst van de afwijking. Een minor non-conformiteit vereist doorgaans een correctieplan en bewijs van herstel binnen 30 tot 90 dagen. Een major non-conformiteit kan betekenen dat een heraudit nodig is, wat de doorlooptijd aanzienlijk verlengt.

De exacte vertraging hangt af van meerdere factoren:

• De ernst van de non-conformiteit (minor of major)
• Het aantal gelijktijdige bevindingen
• Hoe snel de organisatie corrigerende maatregelen kan implementeren en aantonen
• De beschikbaarheid van de auditor voor een vervolggesprek of heraudit

In de praktijk zien we dat organisaties die goed voorbereid zijn en hun documentatie op orde hebben, de certificeringsprocedure aanzienlijk soepeler doorlopen. Kleine fouten worden dan vaak als bevinding genoteerd en hoeven de afgifte van het certificaat niet te blokkeren. Organisaties die pas tijdens de audit ontdekken dat essentiële documenten ontbreken, lopen het grootste risico op een langdurige vertraging.

Wil je zeker weten dat jouw documentatie klaar is voor de audit? Neem contact op met ons team. Wij denken graag met je mee over een gerichte aanpak die jouw certificeringstraject op schema houdt.

Gerelateerde artikelen

• Wat doe je als een klant een ISO 27001 certificaat eist en jij nog niet gecertificeerd bent?
• Wat is certificeren onder accreditatie en waarom is dat belangrijk?
• Welke informatiebeveiligingsnormen gelden er in de zorg?
• Hoe bereid je je voor op hercertificering?
• Wat zijn de beste tools voor ISO 27001 documentatie?