Welke informatie staat in een auditrapport die niet op het certificaat zelf terug te vinden is?

Een auditrapport bevat aanzienlijk meer informatie dan het certificaat zelf. Waar het certificaat alleen bevestigt dát een organisatie voldoet aan een norm zoals ISO 27001, legt het auditrapport vast hoe die beoordeling tot stand is gekomen: welke processen zijn onderzocht, welke bevindingen zijn gedaan en welke verbeterpunten zijn geconstateerd. Het rapport is daarmee het inhoudelijke fundament achter het certificaat. In dit artikel beantwoorden we de meest gestelde vragen over de inhoud, vertrouwelijkheid en geldigheid van een auditrapport. Heb je vragen over jouw specifieke situatie? Neem gerust contact op en we helpen je verder.

Wat staat er wél in een auditrapport maar niet op het certificaat?

Een auditrapport bevat de volledige inhoudelijke verslaglegging van de audit, terwijl een certificaat slechts een formele bevestiging is van het behaalde resultaat. Het certificaat vermeldt de naam van de organisatie, de van toepassing zijnde norm, de geldigheidsduur en de accreditatiestatus. Het auditrapport gaat veel verder dan dat.

In het auditrapport vind je onder andere:

• De scope en reikwijdte van de audit: welke onderdelen, locaties en processen zijn beoordeeld
• De gebruikte auditcriteria en de gehanteerde methodiek
• Een overzicht van geïnterviewde medewerkers en bekeken documentatie
• Concrete auditbevindingen per domein of beheersmaatregel
• Geconstateerde tekortkomingen (afwijkingen) en verbeterpunten
• De onderbouwing van het oordeel van de auditor
• Sterke punten en positieve observaties

Kortom: het certificaat is de uitkomst, het auditrapport is de redenering. Voor organisaties die willen begrijpen waarom ze gecertificeerd zijn en hoe ze verder kunnen verbeteren, is het rapport onmisbaar.

Welke bevindingen en tekortkomingen worden in het rapport beschreven?

In een auditrapport worden bevindingen geclassificeerd op basis van ernst en aard. Auditors maken doorgaans onderscheid tussen drie categorieën: afwijkingen (non-conformiteiten), verbeterpunten (observaties) en positieve bevindingen. Dit onderscheid bepaalt welke actie van de organisatie wordt verwacht.

Een afwijking betekent dat een eis uit de norm aantoonbaar niet wordt nageleefd. Afwijkingen moeten verplicht worden opgelost voordat een certificaat wordt afgegeven of verlengd. Ze worden in het rapport concreet beschreven: welke eis is overtreden, welk bewijs is daarvoor gevonden en wat de impact is.

Verbeterpunten en observaties zijn minder zwaar, maar signaleren risico’s of kansen die de organisatie serieus zou moeten overwegen. Ze zijn niet verplicht op te lossen voor certificering, maar worden wel meegenomen in opvolgende audits.

Wij hanteren bij DigiTrust een waarderende aanpak, wat betekent dat het rapport ook expliciet benoemt wat goed gaat. Positieve bevindingen geven organisaties inzicht in hun sterke punten en bieden houvast bij het verder ontwikkelen van hun informatiebeveiliging. Zo is het auditrapport niet alleen een lijst van tekortkomingen, maar een compleet beeld van de volwassenheid van de organisatie.

Hoe wordt de context van de organisatie in het rapport verwerkt?

Een goed auditrapport is geen generiek document, maar beschrijft de specifieke situatie van de beoordeelde organisatie. De context van de organisatie, zoals de sector, de omvang, de risicobereidheid en de relevante wet- en regelgeving, vormt het referentiekader waarbinnen bevindingen worden geïnterpreteerd.

In de praktijk betekent dit dat het rapport beschrijft welke externe en interne factoren van invloed zijn op het informatiebeveiligingsbeleid. Voor een zorginstelling spelen andere risico’s dan voor een ICT-dienstverlener of een overheidsorganisatie. Die sectorspecifieke context bepaalt mede hoe zwaar bepaalde bevindingen wegen en welke beheersmaatregelen als passend worden beschouwd.

Wij werken bij DigiTrust nadrukkelijk contextgericht. Onze auditors combineren technische kennis met sectorspecifieke expertise, zodat het rapport aansluit bij de werkelijkheid van de organisatie. Dit maakt het rapport bruikbaarder als sturingsinstrument en niet alleen als compliancedocument.

Wie mag het auditrapport inzien en hoe vertrouwelijk is het?

Een auditrapport is vertrouwelijk en is primair bestemd voor de gecertificeerde organisatie zelf en de auditinstelling die de audit heeft uitgevoerd. Het rapport bevat gevoelige informatie over interne processen, kwetsbaarheden en beveiligingsmaatregelen, en wordt daarom niet openbaar gemaakt.

In de meeste gevallen geldt het volgende:

• De organisatie zelf heeft volledige toegang tot het rapport
• De accrediterende instantie, in Nederland de Raad voor Accreditatie (RvA), kan het rapport opvragen in het kader van toezicht op de auditinstelling
• Derden, zoals opdrachtgevers of aanbestedende partijen, hebben in principe geen recht op inzage, tenzij de organisatie hier expliciet toestemming voor geeft
• In bepaalde sectoren kan toezichthoudende regelgeving inzage door een toezichthouder vereisen

Het certificaat zelf is wél openbaar en kan worden gedeeld met klanten, partners en aanbestedende partijen als bewijs van certificering. Het verschil tussen auditrapport en certificaat is hier dus ook praktisch relevant: het certificaat deelt u vrijelijk, het rapport bewaart u intern.

Hoe lang blijft een auditrapport geldig en relevant?

Een auditrapport heeft geen formele vervaldatum, maar de inhoud ervan is gekoppeld aan een specifiek moment in de tijd. De bevindingen, conclusies en aanbevelingen in het rapport gelden voor de situatie zoals die was ten tijde van de audit. Naarmate de organisatie verandert, veroudert de informatie in het rapport.

In de praktijk sluit de relevantie van een auditrapport aan bij de certificeringscyclus. Na een initiële certificeringsaudit volgen jaarlijkse controle-audits en na drie jaar een hercertificeringsaudit. Elk van deze audits resulteert in een nieuw rapport dat de actuele stand van zaken vastlegt. De eerdere rapporten blijven waardevol als historisch overzicht en tonen de ontwikkeling van de organisatie door de tijd heen.

Voor interne doeleinden, zoals managementreviews, risicobeoordelingen of verbeterprogramma’s, kan een ouder auditrapport nog steeds nuttige informatie bevatten. Maar als bewijs van de huidige beveiligingsstatus is alleen het meest recente rapport relevant.

Wil je weten hoe een ISO 27001-certificering bij jouw organisatie eruitziet en welke informatie het auditrapport oplevert? Neem contact op met ons team en plan een vrijblijvend gesprek in.

Gerelateerde artikelen

• Is een ISO 27001 certificering de investering waard voor een MKB-bedrijf?
• Wat zijn de overwegingen bij het certificeren van een dochterbedrijf voor ISO 27001?
• Hoe voorkom je een verkeerde keuze in ISO 27001 certificerende instelling?
• Welke normen bestaan er voor informatiebeveiliging in Nederland?
• Hoe identificeer je informatie-assets voor NEN 7510?