Van inrichting naar aantoonbare werking
In fase 2 onderzoekt de certificerende instelling hoe het managementsysteem daadwerkelijk is ingevoerd en werkt. Documenten blijven relevant, maar de verbinding met uitvoering is belangrijk: passen medewerkers de afspraken toe en worden resultaten beoordeeld? NQA licht deze fase toe in haar certificatieproces. De audit gebruikt steekproeven; een beoordeling is geen controle van iedere transactie of ieder account.
Maak bewijs navolgbaar
Koppel bewijs aan de activiteit en periode die het ondersteunt. Bij toegangsbeheer kan dat een aanvraag, goedkeuring, inrichting en latere controle zijn. Bij een herstelprocedure kan een uitgevoerde oefening laten zien wat werkte, wat misging en welke verbetering volgde. Een beleidszin bewijst niet dat een handeling is uitgevoerd. Omgekeerd is een losse schermafbeelding zonder context lastig te beoordelen.
Organiseer toegang tot bewijsmateriaal zonder onnodig persoonsgegevens of vertrouwelijke klantinformatie te verspreiden. Bespreek vooraf hoe inzage en afscherming tijdens de audit worden geregeld. Laat betrokken medewerkers hun eigen proces toelichten; antwoorden hoeven niet uit het hoofd op een normtekst te lijken.
Een voorbereiding die de audit helpt
| Voorbereiding | Doel |
|---|---|
| Auditagenda afstemmen | Juiste proceseigenaren en locaties beschikbaar hebben |
| Bewijs vindbaar maken | Actuele records met duidelijke context kunnen tonen |
| Open acties bijwerken | Een eerlijk beeld geven van uitvoering en beperkingen |
| Fase 1 opvolgen | Laten zien hoe aandachtspunten zijn behandeld |
Fictief voorbeeld: een hersteltest met een vervolgactie
Een fictieve dienstverlener heeft een back-upbeleid en voert een hersteltest uit. De data komt terug, maar een afhankelijk systeem blijkt nodig om de applicatie te starten. Het testverslag beschrijft deze beperking, een eigenaar past de procedure aan en een vervolgtest controleert de complete keten. Deze opeenvolging maakt de werking en verbetering inzichtelijker dan alleen een melding dat de back-up succesvol is opgeslagen.
Bevindingen en de certificatiebeslissing
Vraag bij de afsluiting om helderheid over de bevindingen, de onderbouwing en het vervolg. Behandel afwijkingen via correctieve acties. De classificatie en afhandeling volgen het proces van de certificerende instelling; veronderstel niet dat iedere afwijking dezelfde termijn of hetzelfde gevolg heeft. De audituitkomst is ook niet automatisch de formele certificatiebeslissing. Een certificerende instelling, niet ISO zelf, verleent het certificaat.