Begin bij de auditopdracht
Controleer welk managementsysteem, welke normversie en welke diensten of locaties worden onderzocht. Stem de agenda af met de certificerende instelling en vraag welke informatie vooraf nodig is. Bij een eerste certificering kunnen verschillende auditfasen horen; de precieze aanpak hangt af van de norm en het certificatieproces. NQA beschrijft haar proces voor managementsysteemcertificatie. Gebruik die toelichting als achtergrond en bevestig de afspraken met je eigen instelling.
Maak uitvoering aantoonbaar
Selecteer records waarmee proceseigenaren hun dagelijkse werkwijze kunnen uitleggen. Denk aan besluiten, uitgevoerde controles, beoordelingen en de opvolging van afwijkingen. Leg de relatie met de afgesproken eisen vast. Een procedure beschrijft hoe een proces hoort te verlopen; een uitvoeringsrecord laat zien wat er in een concrete situatie is gebeurd. Houd actuele en historische informatie uit elkaar.
| Voorbereiding | Praktische controle |
|---|---|
| Scope | Zijn grenzen en relevante afhankelijkheden duidelijk? |
| Planning | Zijn proceseigenaren beschikbaar voor hun onderwerpen? |
| Bewijs | Zijn bronnen, perioden en beoordelingen navolgbaar? |
| Open acties | Is duidelijk wat gereed is en wat nog niet? |
| Toegang | Kan bevoegde inzage plaatsvinden zonder onnodige gegevensdeling? |
Bereid mensen voor op het toelichten van hun werk
Bespreek de auditagenda en laat medewerkers weten waar relevante records staan. Oefen met het uitleggen van een echte situatie, inclusief een uitzondering of probleem. Laat antwoorden aansluiten op de feiten. Een ingestudeerd verhaal helpt niet wanneer de uitvoering anders is. Als een antwoord onzeker is, zoek de juiste bron of eigenaar in plaats van te raden.
Fictief voorbeeld: een open herstelactie
Een fictieve dienstverlener heeft een hersteltest uitgevoerd en een ontbrekende systeemafhankelijkheid gevonden. De aanpassing is gepland maar nog niet getest. Voor de audit verzamelt het team het oorspronkelijke verslag, de risicoafweging en de actuele actieplanning. Het presenteert de actie als openstaand. Na uitvoering wordt een nieuwe test gebruikt om het resultaat te beoordelen. Dit voorkomt dat een geplande verbetering ten onrechte als bewezen werking wordt beschreven.
Volg de uitkomsten op
Vraag bij afsluiting om heldere bevindingen en vervolgafspraken. Leg eigenaren en termijnen vast en beoordeel de effectiviteit van correctieve acties. De auditor en de certificatiebeslisser hebben rollen binnen het proces van de instelling; voorbereiding garandeert geen certificaat. ISO geeft zelf geen certificaten af. Voor ISO 27001 vind je verdieping bij fase 1, fase 2 en bewijslast en documentatie.