Wie mag een interne audit uitvoeren bij ISO 27001?

Een interne audit bij ISO 27001 mag worden uitgevoerd door elke persoon die voldoende kennis heeft van de norm en die onafhankelijk staat ten opzichte van het te auditen proces of de afdeling. Dit hoeft geen externe partij te zijn, maar de auditor mag niet zijn of haar eigen werk beoordelen. Hieronder beantwoorden we de meest gestelde vragen over wie de interne audit mag uitvoeren en hoe je dat goed organiseert.

Wat zijn de eisen die ISO 27001 stelt aan een interne auditor?

ISO 27001 stelt dat een interne auditor bekwaam moet zijn en onpartijdig moet handelen. De norm schrijft geen specifiek diploma of certificaat voor, maar vereist wel dat de auditor voldoende kennis heeft van de ISO 27001-eisen, auditvaardigheden bezit en onafhankelijk is ten opzichte van de processen die worden beoordeeld.

Concreet betekent dit dat een interne auditor in staat moet zijn om:

• De eisen uit ISO 27001 te begrijpen en toe te passen in een auditcontext
• Objectief bewijs te verzamelen via interviews, documentbeoordeling en observatie
• Bevindingen helder te rapporteren, inclusief non-conformiteiten en verbeterpunten
• Een auditplan op te stellen dat alle relevante onderdelen van het managementsysteem dekt

De norm spreekt over “competentie” als overkoepelend begrip. Hoe die competentie is opgebouwd, staat de organisatie vrij te bepalen: via opleiding, werkervaring, training of een combinatie daarvan. Wat telt, is dat de organisatie kan aantonen dat de auditor in staat is de audit op een betrouwbare manier uit te voeren. Dit moet ook worden gedocumenteerd, zodat het aantoonbaar is tijdens de externe certificeringsaudit.

Mag een medewerker van de eigen organisatie de interne audit uitvoeren?

Ja, een medewerker van de eigen organisatie mag de interne audit uitvoeren bij ISO 27001, mits die medewerker voldoende bekwaam is en niet zijn of haar eigen werkzaamheden beoordeelt. Het principe van onpartijdigheid is hierbij doorslaggevend: de auditor mag geen directe verantwoordelijkheid hebben voor de processen of systemen die worden geauditeerd.

In de praktijk betekent dit dat een Security Officer of IT-manager best een andere afdeling kan auditen, maar niet de eigen afdeling. Kleine organisaties lossen dit soms op door medewerkers over en weer elkaars processen te laten auditen, of door een collega van een zusterorganisatie in te schakelen. Zolang de onpartijdigheid aantoonbaar is en de competentie geborgd is, accepteert de certificerende instelling deze aanpak.

Een intern uitgevoerde audit heeft als voordeel dat de auditor de organisatie al kent en daardoor gerichter kan doorvragen. Het risico is dat interne betrokkenheid de objectiviteit onder druk zet. Goede documentatie van het auditproces en een kritische rapportage zijn daarom essentieel om de geloofwaardigheid van de interne audit te waarborgen.

Wat is het verschil tussen een interne en externe auditor bij ISO 27001?

Een interne auditor voert audits uit namens de eigen organisatie, gericht op verbetering en voorbereiding op externe toetsing. Een externe auditor is verbonden aan een geaccrediteerde certificerende instelling en beoordeelt onafhankelijk of de organisatie voldoet aan de ISO 27001-norm, met als uitkomst een certificeringsbeslissing.

De verschillen zijn op meerdere vlakken zichtbaar:

• Doel: de interne audit is gericht op verbetering en inzicht; de externe audit is gericht op onafhankelijke toetsing en certificering
• Frequentie: interne audits vinden minimaal jaarlijks plaats; externe audits volgen een driejarige certificeringscyclus met jaarlijkse surveillance-audits
• Onafhankelijkheid: een externe auditor heeft geen enkele binding met de organisatie; een interne auditor mag dat wel hebben, zolang die onpartijdig handelt
• Uitkomst: de interne audit leidt tot verbetermaatregelen; de externe audit leidt tot een certificaat of een beslissing tot afwijzing

De interne audit fungeert in feite als generale repetitie voor de externe audit. Wie de interne audit serieus neemt en bevindingen consequent opvolgt, staat bij de externe certificering veel sterker. Meer over de rol van interne en externe audits in het certificeringsproces lees je op onze dienstenpagina.

Wanneer is het verstandig om een externe partij de interne audit te laten doen?

Het is verstandig om een externe partij de interne audit te laten uitvoeren als de organisatie te klein is om intern voldoende onpartijdigheid te borgen, als er onvoldoende interne auditexpertise aanwezig is, of als een frisse blik van buiten gewenst is om blinde vlekken op te sporen.

Specifieke situaties waarbij een externe interne auditor meerwaarde biedt:

• De organisatie heeft minder dan tien medewerkers en kan de onpartijdigheidseis intern moeilijk invullen
• Er is geen medewerker met voldoende kennis van ISO 27001 beschikbaar voor de auditrol
• De organisatie staat voor haar eerste externe certificeringsaudit en wil zekerheid dat het managementsysteem klaar is
• Eerdere interne audits hebben weinig bruikbare bevindingen opgeleverd, wat kan wijzen op een gebrek aan kritisch vermogen

Een externe partij die de interne audit uitvoert, blijft formeel een “interne audit” in de zin van de norm, omdat het gaat om een audit in opdracht van de organisatie zelf, niet door de certificerende instelling. Het inschakelen van een gespecialiseerde consultant voor deze rol is dan ook volledig in lijn met de ISO 27001-vereisten.

Hoe bereid je een interne auditor voor op een ISO 27001-audit?

Een goede voorbereiding van een interne auditor omvat het vergroten van kennis van de norm, het ontwikkelen van auditvaardigheden en het opstellen van een gestructureerd auditplan. De auditor moet weten wat er getoetst wordt, hoe bewijs verzameld wordt en hoe bevindingen worden gerapporteerd.

Een effectieve voorbereiding bestaat uit de volgende stappen:

1. Normstudie: de auditor verdiept zich in de eisen van ISO 27001, met bijzondere aandacht voor de clausules die betrekking hebben op het te auditen gebied
2. Audittraining: een gerichte training in audittechnieken leert de auditor hoe interviews worden afgenomen, hoe documentatie wordt beoordeeld en hoe non-conformiteiten worden vastgesteld
3. Auditplan opstellen: het plan beschrijft de scope, de te auditen processen, de planning en de verantwoordelijkheden
4. Checklists en vragenlijsten voorbereiden: gestructureerde hulpmiddelen zorgen voor een volledige en consistente uitvoering
5. Droogloop of shadowing: een onervaren auditor kan een eerste keer meelopen met een ervaren collega of externe auditor om praktijkervaring op te doen

Organisaties die hun interne auditors structureel willen ontwikkelen, kunnen ook gebruikmaken van gerichte ISO-trainingen en workshops. Kennis bijhouden is geen eenmalige activiteit: de norm evolueert, en de omgeving van de organisatie verandert mee.

Hoe Kwinzo helpt bij de interne audit ISO 27001

Wij begrijpen dat de interne audit voor veel organisaties een uitdaging is, zeker als de interne expertise beperkt is of als onpartijdigheid moeilijk te borgen valt. Kwinzo biedt concrete ondersteuning op maat, zodat de interne audit bijdraagt aan echte verbetering in plaats van een papieren exercitie te worden.

Wat wij bieden:

• Uitvoering van de interne audit door ervaren auditoren die onpartijdig en deskundig te werk gaan
• Heldere rapportage met concrete bevindingen, non-conformiteiten en verbeterpunten die direct bruikbaar zijn
• Voorbereiding op de externe certificeringsaudit, zodat de organisatie weet waar ze staat
• Trainingen en workshops voor medewerkers die zelf de auditrol willen oppakken
• Maandelijkse workshops voor Security Officers die hun kennis van ISO 27001 willen verdiepen

Of je nu voor het eerst een interne audit laat uitvoeren of je bestaande aanpak wilt versterken: wij denken graag met je mee. Neem contact op voor een vrijblijvend gesprek over de mogelijkheden.