Wat is het verschil tussen een interne audit en een certificeringsaudit?

Een interne audit en een certificeringsaudit dienen allebei om te controleren of een managementsysteem goed functioneert, maar ze verschillen fundamenteel in doel, uitvoerder en consequenties. De interne audit is een zelfbeoordeling die een organisatie zelf organiseert, terwijl de certificeringsaudit wordt uitgevoerd door een onafhankelijke, geaccrediteerde certificerende instelling. Samen vormen ze de ruggengraat van een goed werkend kwaliteits- of informatiebeveiligingssysteem. De vragen hieronder leggen stap voor stap uit hoe beide auditvormen werken en wat je van elk mag verwachten.

Wat doet een interne audit precies?

Een interne audit is een systematische, onafhankelijke beoordeling van het eigen managementsysteem, uitgevoerd door of namens de organisatie zelf. Het doel is om te toetsen of processen, beleid en maatregelen in de praktijk werken zoals ze zijn bedoeld en of ze voldoen aan de gestelde normen, zoals ISO 27001.

Tijdens een interne audit worden medewerkers geïnterviewd, documenten beoordeeld en werkwijzen getoetst aan de eisen van de norm. De auditor kijkt niet alleen of de juiste procedures op papier staan, maar ook of ze daadwerkelijk worden nageleefd. Afwijkingen en verbeterpunten worden vastgelegd in een auditrapport, dat vervolgens als input dient voor verbeteracties.

Een interne audit richt zich op het opsporen van zwakke plekken voordat een externe partij dat doet. Dat maakt het een waardevol leerinstrument: de organisatie krijgt inzicht in wat al goed gaat en waar nog aanscherping nodig is. Bij interne audits voor informatiebeveiliging komen onderwerpen aan bod als toegangsbeheer, incidentbeheer, risicobeheersing en de naleving van informatiebeveiligingsbeleid.

Wat controleert een certificeringsaudit?

Een certificeringsaudit is een formele beoordeling door een onafhankelijke, geaccrediteerde certificerende instelling. De auditor beoordeelt of het managementsysteem van de organisatie voldoet aan alle eisen van de betreffende norm en of het systeem aantoonbaar effectief is in de praktijk. Bij een positieve uitkomst ontvangt de organisatie een officieel certificaat.

De certificeringsaudit voor ISO 27001 bestaat doorgaans uit twee fasen. In de eerste fase beoordeelt de externe auditor de documentatie: zijn het beleid, de risicoanalyse, de doelstellingen en de beheersmaatregelen aanwezig en volledig? In de tweede fase volgt een diepgaand onderzoek op locatie, waarbij de auditor toetst of de beschreven werkwijzen ook in de dagelijkse praktijk worden toegepast.

Anders dan bij een interne audit heeft de uitkomst van een certificeringsaudit directe gevolgen: een certificaat wordt toegekend, uitgesteld of geweigerd. Gevonden tekortkomingen moeten binnen een vastgestelde termijn worden opgelost. Een ISO 27001-certificaat is drie jaar geldig, met jaarlijkse controle-audits en een volledige hercertificering na drie jaar.

Wat zijn de belangrijkste verschillen tussen beide auditvormen?

Het kernverschil tussen een interne audit en een certificeringsaudit ligt in de uitvoerder, het doel en de consequenties. Een interne audit is een intern verbeterinstrument zonder formeel certificaatgevolg; een certificeringsaudit is een externe toetsing met een officieel oordeel als uitkomst.

De belangrijkste verschillen op een rij:

• Uitvoerder: Een interne audit wordt uitgevoerd door een medewerker of consultant van of namens de organisatie zelf. Een certificeringsaudit wordt altijd uitgevoerd door een geaccrediteerde externe certificerende instelling.
• Doel: De interne audit is gericht op leren en verbeteren. De certificeringsaudit is gericht op het formeel vaststellen of de organisatie voldoet aan de norm.
• Consequenties: Een interne audit leidt tot een verbeterrapport. Een certificeringsaudit leidt tot toekenning, schorsing of weigering van een certificaat.
• Frequentie: Interne audits vinden meerdere keren per jaar plaats. De certificeringsaudit vindt eens per drie jaar plaats, aangevuld met jaarlijkse controle-audits.
• Toon: Een interne audit heeft een coachend karakter. Een certificeringsaudit is formeel en toetsend van aard.

Beide auditvormen zijn onmisbaar voor een goed werkend managementsysteem. Ze vullen elkaar aan: de interne audit bereidt de organisatie voor, de certificeringsaudit bevestigt het resultaat.

Hoe bereidt een interne audit voor op de certificeringsaudit?

Een interne audit fungeert als generale repetitie voor de certificeringsaudit. Door dezelfde onderwerpen en normeisen intern te doorlopen, ontdekt een organisatie tekortkomingen op een moment dat er nog tijd is om ze te herstellen, zonder dat er direct certificaatgevolgen aan kleven.

Concreet helpt een interne audit de organisatie op de volgende manieren voor te bereiden:

• Medewerkers raken vertrouwd met het auditproces en weten wat hen te wachten staat bij de externe beoordeling.
• Ontbrekende of verouderde documentatie wordt tijdig gesignaleerd en aangevuld.
• Afwijkingen van de norm worden opgespoord en gecorrigeerd voordat de externe auditor langskomt.
• Het managementsysteem wordt in zijn geheel getoetst, waardoor blinde vlekken zichtbaar worden.

Een goed uitgevoerde interne audit verkleint daarmee de kans op verrassingen tijdens de certificeringsaudit aanzienlijk. Organisaties die hun interne audit serieus nemen, staan doorgaans sterker in het externe auditgesprek omdat ze aantoonbaar grip hebben op hun eigen systeem.

Wie mag een interne audit uitvoeren?

Een interne audit mag worden uitgevoerd door een medewerker van de eigen organisatie of door een externe consultant, mits de auditor onafhankelijk is ten opzichte van het te auditen proces of de te auditen afdeling. Iemand mag niet zijn eigen werk beoordelen; dat zou de objectiviteit ondermijnen.

De norm stelt geen verplichting tot een formeel auditeurscertificaat voor interne auditors, maar vakkennis en een gestructureerde aanpak zijn wel vereist. Een interne auditor moet de norm kennen, begrijpen hoe processen zijn ingericht en in staat zijn om objectief te beoordelen of de praktijk overeenkomt met het beleid.

Veel organisaties kiezen ervoor om de interne audit te laten uitvoeren door een externe partij, juist om de onafhankelijkheid te waarborgen en te profiteren van specialistische kennis. Dit is met name waardevol als de eigen organisatie nog weinig ervaring heeft met auditprocessen of als de interne audit als directe voorbereiding op de certificeringsaudit dient.

Hoe vaak moeten interne audits worden uitgevoerd?

ISO 27001 vereist dat interne audits met geplande tussenpozen worden uitgevoerd. De norm schrijft geen vaste frequentie voor, maar in de praktijk geldt minimaal één volledige interne audit per jaar als standaard. Organisaties met een hogere risicobereidheid of een complexer systeem kiezen vaak voor meerdere auditmomenten per jaar.

De frequentie hangt af van factoren zoals:

• De omvang en complexiteit van de organisatie en het ISMS
• De uitkomsten van eerdere interne en externe audits
• Significante wijzigingen in processen, systemen of de organisatiestructuur
• De cyclus van de certificeringsaudit en de jaarlijkse controle-audits

Het is verstandig om de planning van interne audits af te stemmen op de externe auditcyclus. Door de interne audit ruim voor de jaarlijkse controle-audit of de hercertificering in te plannen, blijft er voldoende tijd om gevonden verbeterpunten op te pakken. Een goed gepland auditprogramma is daarmee geen administratieve last, maar een actief sturingsinstrument voor continue verbetering van de informatiebeveiliging.

Hoe wij helpen met interne audits en certificeringsvoorbereiding

Kwinzo ondersteunt organisaties in zorg, ICT en onderwijs bij het volledige audittraject, van de eerste interne audit tot en met de voorbereiding op de externe certificeringsaudit. Onze aanpak is concreet en praktisch:

• Interne audits worden altijd uitgevoerd door een onafhankelijke consultant, niet door de begeleider die het implementatietraject heeft begeleid. Dat garandeert een objectief oordeel.
• We toetsen het managementsysteem aan de eisen van de norm en leveren een helder auditrapport met concrete verbeterpunten.
• We begeleiden de opvolging van auditbevindingen, zodat tekortkomingen daadwerkelijk worden opgelost voor de externe beoordeling.
• Via onze eigen ISMS-tool en maandelijkse workshops voor Security Officers houden we het systeem tussen audits door op orde.
• We stemmen de diepgang en frequentie van de interne audit af op de situatie van de organisatie, waarbij factoren als organisatieomvang, complexiteit van het ISMS, eerdere audituitkomsten en de fase in de certificeringscyclus bepalen welke aanpak het beste past: van een volledig begeleide audit tot een meer zelfstandige werkwijze.

Wil je weten hoe een interne audit er voor jouw organisatie uit zou zien of hoe we de voorbereiding op de certificeringsaudit kunnen ondersteunen? Neem dan contact met ons op voor een vrijblijvend gesprek.