Een auditor begint bijna altijd met dezelfde kern van documenten: het informatiebeveiligingsbeleid, de risicoanalyse, de Verklaring van Toepasselijkheid (VvT) en de procedures rondom toegangsbeheer en incidentbeheer. Deze documenten vormen het fundament van elk informatiebeveiligingssysteem en geven de auditor direct inzicht in de opzet en het volwassenheidsniveau van de organisatie. In dit artikel beantwoorden we de meest gestelde vragen over documentcontrole, zodat je precies weet wat je kunt verwachten. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en we helpen je verder.
Welke documenten staan altijd bovenaan de auditlijst?
De documenten die een auditor als eerste opvraagt, zijn het informatiebeveiligingsbeleid, de risicoanalyse, de Verklaring van Toepasselijkheid, het interne auditrapport en de managementreview. Deze vijf documenten zijn bij een ISO 27001-audit verplicht en laten samen zien of het managementsysteem voor informatiebeveiliging daadwerkelijk werkt.
Naast deze vijf komen al snel aanvullende documenten aan bod, afhankelijk van de scope van de certificering. Denk aan:
- Procedures voor toegangsbeheer en autorisatiebeheer
- Incidentregistratie en responsplannen
- Business continuity- en herstelplannen
- Contracten en verwerkersovereenkomsten met leveranciers
- Bewustwordingsprogramma’s en trainingsregistraties
De auditor gebruikt deze documenten om te beoordelen of de organisatie niet alleen op papier voldoet aan de norm, maar ook aantoonbaar in de praktijk werkt volgens de afgesproken werkwijzen.
Waarom beginnen auditors met beleidsdocumenten?
Auditors beginnen met beleidsdocumenten omdat deze de kaders vastleggen waarbinnen alle andere maatregelen en processen moeten passen. Het beleid is als het ware de kapstok: als dat ontbreekt of niet klopt, heeft het weinig zin om dieper in de technische maatregelen te duiken.
Het informatiebeveiligingsbeleid geeft de auditor antwoord op fundamentele vragen: Wat wil de organisatie beschermen? Wie is verantwoordelijk? Welke risico’s worden geaccepteerd? Zonder heldere antwoorden op die vragen is het onmogelijk om te beoordelen of de rest van het systeem logisch en samenhangend is opgebouwd.
Daarnaast toont een goed beleidsdocument aan dat het management betrokken is. ISO 27001 stelt expliciete eisen aan managementbetrokkenheid, en een ondertekend, actueel beleid is daarvoor een eerste bewijs. Een verouderd of generiek beleid dat duidelijk niet is afgestemd op de organisatie, is voor een auditor direct een signaal om kritischer te kijken naar de rest van de documentatie.
Wat is het verschil tussen verplichte en ondersteunende documenten?
Verplichte documenten zijn documenten die de norm expliciet voorschrijft en die altijd aanwezig moeten zijn bij een audit. Ondersteunende documenten zijn aanvullende registraties en procedures die aantonen dat de verplichte maatregelen ook daadwerkelijk worden uitgevoerd in de dagelijkse praktijk.
Bij een ISO 27001 certificering zijn de verplichte documenten onder andere:
- De scope van het ISMS
- Het informatiebeveiligingsbeleid
- De risicobeoordelingsmethodiek en risicoanalyse
- De Verklaring van Toepasselijkheid
- Doelstellingen voor informatiebeveiliging
- Interne auditresultaten en managementreviews
Ondersteunende documenten zijn bijvoorbeeld logbestanden van toegangsbeheer, verslagen van beveiligingstrainingen, wijzigingsregistraties en testresultaten van back-ups. Ze zijn niet altijd verplicht op papier, maar ze zijn wel essentieel als bewijs dat de organisatie de afgesproken maatregelen ook écht uitvoert. Een auditor die alleen verplichte documenten ziet maar geen ondersteunende bewijslast, zal kritische vragen stellen over de werking van het systeem in de praktijk.
Hoe controleert een auditor of documenten actueel zijn?
Een auditor controleert de actualiteit van documenten door te kijken naar versienummers, revisiedata en goedkeuringshandtekeningen. Daarnaast vergelijkt de auditor de inhoud van documenten met de huidige situatie in de organisatie om te beoordelen of de documentatie nog aansluit bij de werkelijkheid.
Concrete signalen dat documenten verouderd zijn:
- Functies of afdelingen die in de documentatie worden genoemd maar niet meer bestaan
- Systemen of applicaties die zijn vervangen maar nog wel in het risicobeheer staan
- Een beleid dat voor het laatst is herzien vóór een grote organisatieverandering
- Procedures die niet meer overeenkomen met hoe medewerkers vertellen dat ze werken
Een goede vuistregel is dat beleidsdocumenten minimaal jaarlijks worden herzien en dat elke significante organisatieverandering, zoals een overname, een nieuwe dienst of een grote systeemmigratie, aanleiding is voor een tussentijdse update. In 2026 zien we steeds vaker dat auditors ook vragen naar een formeel reviewproces: niet alleen het resultaat, maar ook het bewijs dat de review daadwerkelijk heeft plaatsgevonden.
Welke veelgemaakte fouten zorgen voor problemen bij documentcontrole?
De meest voorkomende fout bij documentcontrole is dat documenten wel bestaan maar niet worden nageleefd. Een perfect uitgewerkt beleid dat niemand kent of toepast, biedt geen waarde en leidt tijdens een audit direct tot bevindingen.
Andere veelgemaakte fouten zijn:
- Generieke templates gebruiken zonder aanpassing: Documenten die duidelijk zijn gekopieerd van internet en niet zijn afgestemd op de eigen organisatie, vallen bij een auditor direct op.
- Ontbrekende goedkeuringen: Een document zonder handtekening of formele vaststelling door het management is niet aantoonbaar goedgekeurd.
- Geen versiebeheer: Zonder versienummers en revisiedata is onduidelijk welke versie geldig is en wanneer het document voor het laatst is bijgewerkt.
- Documenten die niet met elkaar kloppen: Als de risicoanalyse andere systemen noemt dan de scope, of als de VvT maatregelen uitsluit die in de praktijk wel worden toegepast, ontstaan inconsistenties die vragen oproepen.
- Geen bewijs van uitvoering: Procedures beschrijven wat er moet gebeuren, maar registraties tonen aan dat het ook is gebeurd. Het ontbreken van logboeken, verslagen of andere bewijslast is een veelgehoord knelpunt.
Hoe bereid je je documentatie voor op een eerste audit?
De beste voorbereiding op een eerste audit is een gestructureerde documentencheck waarbij je de verplichte documenten inventariseert, de actualiteit controleert en bewijslast verzamelt die aantoont dat de processen ook in de praktijk werken. Begin ruim voor de audit, zodat je tijd hebt om hiaten te dichten.
Een praktische aanpak in stappen:
- Maak een documentenregister: Zet alle relevante documenten op een rij met versienummer, eigenaar en datum van laatste review.
- Toets aan de norm: Controleer voor elke verplichte documenteis of je een actueel document hebt dat aan de inhoudelijke eisen voldoet.
- Verzamel bewijslast: Zoek registraties op die aantonen dat procedures worden gevolgd, zoals trainingslijsten, incidentlogs en auditverslagen.
- Laat documenten intern reviewen: Vraag een collega of interne auditor om de documenten te lezen vanuit het perspectief van de norm.
- Sluit hiaten: Ontbreekt er iets? Maak een actieplan en los het op vóór de auditdatum.
Een eerste audit hoeft geen verrassing te zijn. Wie de documentatie op orde heeft en begrijpt waarom elk document er is, staat sterk. Wil je weten hoe wij organisaties begeleiden bij de voorbereiding op een certificeringstraject? Neem contact op en we kijken samen naar wat jouw organisatie nodig heeft.
Veelgestelde vragen
Wat zijn de meest essentiële documenten die ik moet voorbereiden voor een ISO 27001-audit?
V: Wat zijn de meest essentiële documenten die ik moet voorbereiden voor een ISO 27001-audit?nA: De vijf verplichte documenten die een auditor altijd als eerste opvraagt, zijn het informatiebeveiligingsbeleid, de risicoanalyse, de Verklaring van Toepasselijkheid, het interne auditrapport en de managementreview. Zorg er daarnaast voor dat je ondersteunende bewijslast hebt, zoals toegangslogboeken, trainingsregistraties en incidentverslagen, die aantonen dat je processen ook in de praktijk worden gevolgd.
Hoe vaak moet ik mijn beleidsdocumenten herzien om problemen tijdens een audit te voorkomen?
V: Hoe vaak moet ik mijn beleidsdocumenten herzien om problemen tijdens een audit te voorkomen?nA: Beleidsdocumenten moeten minimaal eenmaal per jaar worden herzien, en ook na elke grote organisatieverandering zoals een overname, nieuwe dienst of systeemmigratie. Auditors vragen steeds vaker niet alleen naar het herziene document zelf, maar ook naar bewijs dat het reviewproces daadwerkelijk heeft plaatsgevonden, zoals een goedkeuringshandtekening met datum.
Waarom is het gebruik van generieke templates zonder aanpassing een risico bij een audit?
V: Waarom is het gebruik van generieke templates zonder aanpassing een risico bij een audit?nA: Generieke templates die niet zijn afgestemd op jouw organisatie, vallen bij een auditor direct op omdat ze niet aansluiten bij de werkelijke processen, systemen en verantwoordelijkheden binnen jouw bedrijf. Een auditor beoordeelt niet alleen of een document bestaat, maar ook of de inhoud logisch en samenhangend aansluit op hoe de organisatie in de praktijk werkt.
Wanneer is het verstandig om externe hulp in te schakelen bij de voorbereiding op een certificeringstraject?
V: Wanneer is het verstandig om externe hulp in te schakelen bij de voorbereiding op een certificeringstraject?nA: Het is verstandig om externe hulp in te schakelen zodra je merkt dat er structurele hiaten zijn in je documentatie, dat processen niet aantoonbaar worden uitgevoerd, of dat je onvoldoende kennis hebt van de specifieke eisen van de norm. Een externe specialist kan je helpen om snel de juiste prioriteiten te stellen en onnodige vertraging of bevindingen tijdens de audit te voorkomen.
Gerelateerde artikelen
- Wat moet een interne audit opleveren voordat je de externe auditor uitnodigt?
- Welke officiële registers gebruik je om een ISO 27001 certificaat te verifiëren?
- Wat zijn de risico's van vertrouwen op een certificaat zonder verificatie bij een leverancier?
- Hoe voorkom je een verkeerde keuze in ISO 27001 certificerende instelling?
- Wat zijn kritieke afwijkingen bij een NEN 7510 certificering?
