Een checklist is een werkblad voor onderzoek
Een bruikbare auditchecklist bevat meer dan ja/nee-vragen. Noteer bij iedere vraag welke eis wordt onderzocht, welk bewijs nodig is en wat de auditor daadwerkelijk heeft vastgesteld. De onderstaande vragen zijn praktische voorbeelden, geen volledige weergave van ISO/IEC 27001. Gebruik de norm en de eigen vastgestelde afspraken om de checklist voor jouw organisatie compleet te maken.
Voorbeeldvragen per onderwerp
| Onderwerp | Toetsvraag | Mogelijk bewijs |
|---|---|---|
| Scope | Past de afbakening nog bij de geleverde diensten? | Scopebesluit en overzicht van gewijzigde diensten |
| Risicobehandeling | Is een geselecteerde maatregel daadwerkelijk uitgevoerd? | Risicoregister, actie en uitvoeringsrecord |
| Toegang | Is een ingetrokken bevoegdheid ook technisch verwijderd? | Uitdienstmelding en accountregistratie |
| Herstel | Is de afgesproken herstelwerkwijze getest? | Testverslag, resultaat en vervolgactie |
| Verbetering | Heeft een eerdere actie het bedoelde effect gehad? | Afwijking, oorzaakanalyse en effectcontrole |
| Leveranciers | Past de beoordeling bij het risico van de dienstverlening? | Risicoclassificatie, afspraken en evaluatie |
| Besturing | Worden besluiten uit de directiebeoordeling opgevolgd? | Besluit, toegewezen actie en resultaatcontrole |
Leg je steekproefkeuze uit
Kies records die de onderzoeksvraag helpen beantwoorden. Neem relevante verschillen mee, zoals reguliere en spoedsituaties of verschillende locaties. Noteer de onderzochte periode en selectie. Er bestaat voor deze voorbeeldchecklist geen universeel juist aantal dossiers. Onderbouw de omvang met het doel, het risico en de beschikbare informatie. Breid onderzoek uit wanneer tegenstrijdige resultaten daar aanleiding toe geven.
Fictief voorbeeld: goedkeuring zonder uitvoering
Een fictieve organisatie heeft een afgerond ticket voor het verwijderen van toegang. De checklist vraagt zowel naar de goedkeuring als naar de uitvoering. In het ticketsysteem staat “gereed”, maar in de applicatie is het account nog actief. De auditor legt beide observaties vast en onderzoekt of de status handmatig is veranderd zonder technische controle. Daarmee ontdekt de checklist meer dan wanneer alleen naar een afgesloten ticket wordt gevraagd.
Gebruik duidelijke uitkomsten
Maak onderscheid tussen aangetoond, niet aangetoond, niet onderzocht en niet van toepassing met reden. Een leeg vak is onduidelijk: ontbrak bewijs of is het onderwerp overgeslagen? Beschrijf bij een afwijking de eis en feiten voordat je een oplossing voorstelt. Houd bevindingen traceerbaar naar het auditrapport en het actieoverzicht. Lees de gids voor interne audits voor planning en rollen, en bewijslast en documentatie voor het beoordelen van bewijs. Richtlijnen voor de auditmethode staan in ISO 19011:2026.