Auditervaring van binnenuit
Jan Willem voert als lead auditor certificeringsaudits uit voor NEN 7510 en ISO 27001 en weet waar een certificerende instelling op let.
Dienst
Interne audit NEN 7510, ISO 27001 en ISO 9001
Een interne audit NEN 7510 of ISO 27001 laat zien of je managementsysteem werkt voordat de certificerende instelling dat doet. Wil je de interne audit uitbesteden of een interne auditor inhuren? VeeHa voert interne audits uit zoals een lead auditor dat bij een certificeringsaudit doet: onafhankelijk, met bewijs en met bevindingen waar je mee verder kunt.
Intern auditprogramma
Wat NEN 7510 en ISO 27001 vragen van de interne audit
NEN 7510, ISO 27001 en ISO 9001 eisen een intern auditprogramma (clausule 9.2). Binnen de certificeringscyclus van drie jaar moet het hele managementsysteem worden geaudit. De auditor moet objectief en onpartijdig zijn ten opzichte van wat hij beoordeelt; wie het systeem zelf heeft ingericht, kan het niet goed zelf auditeren.
Een goede interne audit is meer dan een verplicht nummer. Hij laat zien waar de praktijk afwijkt van wat er op papier staat, voordat een externe auditor daar een afwijking over schrijft.
Aanpak
Zo verloopt een interne audit
Auditprogramma
We maken een risicogericht programma dat binnen drie jaar het hele managementsysteem afdekt, met de belangrijkste processen en risico's eerst.
Voorbereiding
We bepalen scope, criteria en de mensen die we spreken, en vragen vooraf de relevante documenten en registraties op.
Uitvoering
Interviews, steekproeven en het bekijken van bewijs in je eigen omgeving, zoals een certificerende instelling dat ook doet.
Rapportage
Een helder rapport met afwijkingen, observaties en verbeterkansen, gekoppeld aan de clausules en maatregelen van de norm.
Opvolging
We helpen bij de oorzaakanalyse en controleren of de verbetermaatregelen effectief zijn.
Uitbesteden of zelf doen?
Interne audit uitbesteden of zelf doen?
Beide mogen volgens de norm, zolang de auditor objectief en onpartijdig is.
| Afweging | Zelf doen | Uitbesteden aan VeeHa |
|---|---|---|
| Onafhankelijkheid | Lastig in een kleine organisatie: wie het ISMS heeft ingericht, kan het niet objectief auditen | Een externe auditor zonder belang bij de uitkomst |
| Kennis van de norm | Vraagt een opgeleide interne auditor en bijhouden van normwijzigingen | Lead auditor die de norm en de certificeringsaudit van binnenuit kent |
| Tijd | Gaat af van de tijd van je eigen mensen | Je team levert alleen de gesprekken en het bewijs aan |
| Waarde van de bevindingen | Risico op blinde vlekken | Bevindingen zoals een certificerende instelling ze ook zou zien |
| Wanneer logisch | Grotere organisaties met een getrainde auditor die niet betrokken is bij het ISMS | Mkb, eerste certificeringsjaar, of als je zeker wilt zijn vóór de externe audit |
Waarom VeeHa
Kennis van de audittafel
Onafhankelijk
Organisaties die VeeHa als certificerende auditor beoordeelt, adviseert VeeHa niet, en andersom. Bij een eigen adviestraject richten we het programma zo in dat we nooit ons eigen werk auditeren.
Eén audit voor meerdere normen
Heb je NEN 7510, ISO 27001 en ISO 9001? Dan combineren we de audits, zodat je organisatie één keer wordt bevraagd.
Over ISO 9001 over Eén audit voor meerdere normenVeelgestelde vragen
Beantwoord door Jan Willem van Hoorn, lead auditor NEN 7510 en ISO 27001. Staat je vraag er niet bij? Stel hem gerust; je krijgt binnen 24 uur een reactie.
Wat kost een interne audit NEN 7510 of ISO 27001?
Dat hangt af van de scope, het aantal locaties en processen en of je normen combineert, zoals NEN 7510, ISO 27001 en ISO 9001. Na een korte intake krijg je een vaste offerte per audit of per jaarprogramma. Een overzicht van alle kosten van certificering vind je op de pagina kosten NEN 7510- en ISO 27001-certificering.
Hoe lang duurt een interne audit?
De duur hangt af van de scope en het aantal mensen dat we spreken. Een audit bestaat uit voorbereiding, de auditgesprekken en steekproeven, en de rapportage, die je binnen een week ontvangt. In de intake stemmen we de planning af op je organisatie.
Hoe vaak moet een interne audit plaatsvinden?
De norm schrijft geen vaste frequentie voor, wel dat je met geplande tussenpozen auditeert en binnen de certificeringscyclus het hele systeem afdekt. In de praktijk plannen de meeste organisaties één of twee auditmomenten per jaar.
Mag mijn adviseur ook de interne audit doen?
Ja, zolang de auditor objectief en onpartijdig is ten opzichte van wat wordt geaudit. VeeHa richt het programma zo in dat we nooit ons eigen werk beoordelen.
Wat is het verschil met de certificeringsaudit?
De interne audit is van jezelf en bedoeld om te leren en te verbeteren. De certificeringsaudit wordt uitgevoerd door een geaccrediteerde certificerende instelling, die beslist over het certificaat.
Kunnen jullie ook alleen de interne audit doen?
Ja. Interne audits zijn los af te nemen, ook als je ISMS door een ander bureau is ingericht.
Een interne audit inplannen?
Plan een vrijblijvend kennismakingsgesprek; je krijgt binnen 24 uur een reactie. Jan Willem kijkt met je naar je situatie, je deadline en de beschikbare tijd, en vertelt eerlijk wat haalbaar is.