Oktober 2026. ISO 27001 kent meerdere auditmomenten, en ze worden vaak door elkaar gehaald. De interne audit is verplicht (clausule 9.2) en wordt door of namens uzelf uitgevoerd. De externe audit door de certificerende instelling bepaalt of u het certificaat krijgt of houdt. Dit is het onderscheid, en wat u er van elk van mag verwachten.
De interne audit: uw eigen controle
De interne audit toetst of het ISMS voldoet aan de norm en aan uw eigen eisen, en of het effectief wordt uitgevoerd. De auditor moet onafhankelijk zijn van het onderdeel dat hij beoordeelt; kleine organisaties huren daarom vaak een externe partij in. Plan de audit minstens jaarlijks vóór de externe audit, zodat bevindingen nog kunnen worden opgelost. Zie planning van de interne audit en de interne audit.
Stage 1: is de documentatie op orde?
De eerste fase van de certificeringsaudit toetst de opzet: scope, beleid, risicobeoordeling, Verklaring van Toepasselijkheid en of de organisatie klaar is voor stage 2. Het is vooral een documentenreview, met enkele gesprekken. Uitkomsten zijn aandachtspunten die u moet oplossen voor de tweede fase.
Stage 2: werkt het ook?
In de tweede fase toetst de auditor de uitvoering: bewijs, interviews, steekproeven in systemen en processen. Hij kijkt of wat u beschrijft ook gebeurt, en of controls effectief zijn. Hier komen de bevindingen uit: kleine afwijkingen (minor) en grote afwijkingen (major) die certificering blokkeren totdat ze zijn opgelost.
Surveillance en hercertificering
Een certificaat is drie jaar geldig. In de tussenliggende jaren volgt een surveillance-audit, die een deel van de norm en de opvolging van eerdere bevindingen toetst. Na drie jaar volgt een hercertificering die weer het hele ISMS beslaat. Zie ook ISO 27001-certificering.
Wat u hieruit meeneemt
Behandel de interne audit niet als formaliteit: een goede interne audit vindt wat de externe auditor ook zou vinden. Registreer bevindingen als corrective actions met eigenaar en einddatum, en neem ze mee in de directiebeoordeling. De auditvoorbereiding beschrijft de rest van het traject.