Inzichten
Hoe vaak moet een interne audit voor ISO 27001 plaatsvinden? Voor de meeste organisaties is het korte antwoord: één keer per jaar. Of die audit iets oplevert, hangt van een andere vraag af: wanneer.
ISO 27001 legt geen vaste frequentie op. De norm vraagt interne audits op geplande intervallen, in een auditprogramma dat rekening houdt met het belang van de processen en met de resultaten van vorige audits. In de praktijk kiezen de meeste organisaties voor één keer per jaar.
Voor een kleinere organisatie zou ik het daarbij houden: één interne audit per jaar, ongeveer zes weken voor de certificatieaudit. Dat vraagt hooguit een week werk, en dat blijft behapbaar.
Grotere organisaties raad ik aan om de interne audit over het jaar te spreiden, met dezelfde auditor voor het hele managementsysteem. Zo kan één persoon nog altijd een rapport opleveren met een volledig overzicht.
Het loopt zelden mis op de frequentie, wel op de timing.
Ik zag dat bij een kleinere organisatie uit de technologiesector die op weg was naar haar eerste certificaat. Bij een eerste certificatie is er meestal nog heel wat werk om alles op niveau te krijgen. De maatregelen moeten nog verder uitgewerkt worden, en ook de bewijzen moeten er liggen.
De interne audit vond een week voor de eerste fase van de certificatieaudit plaats.
De organisatie oordeelde dat de bevindingen te zwaar waren om nog tijdig op te lossen en stelde de certificatieaudit uit. Anders had ze met lapmiddelen geprobeerd om de lat toch te halen.
Uitstellen was de juiste keuze, en de certificatie verliep daarna goed. Zonder dat uitstel was het hoogstwaarschijnlijk op te veel major non-conformities uitgedraaid. Dat is zonde als een organisatie haar certificaat echt op een correcte manier wil halen.
Waarom volstaat een week niet? Omdat de certificatieaudit niet bij de documenten stopt.
De eerste fase kijkt vooral naar de documentatie en gaat na of de organisatie klaar is voor de volgende stap. De tweede fase toetst of het managementsysteem ook werkt zoals beschreven. Wat in de documenten staat, moet u daarna in de praktijk aantonen.
Dat bewijs komt uit de werking van de organisatie. Een proces dat pas opgestart is, draait nog niet lang genoeg om aan te tonen dat het werkt. En staat alles nog in beweging, dan wordt het een zeer lastige evenwichtsoefening om tussen beide fases nog zaken aan te passen of in te voeren.
Ook de interne audit en de directiebeoordeling zijn geen keuze. In de verklaring van toepasselijkheid kiest u welke maatregelen van toepassing zijn. Over de eisen aan het managementsysteem zelf valt niets te kiezen, en die twee horen daarbij. Certificatie-instellingen gaan doorgaans in de eerste fase na of beide uitgevoerd zijn. Is de organisatie niet klaar, dan stopt de audit daar. De directiebeoordeling bouwt bovendien voort op de resultaten van de interne audit, dus ook die moet in dezelfde weken passen.
Het probleem is dus niet dat de interne audit vóór de certificatie valt. Daar hoort ze net. Het probleem is een interne audit vlak ervoor.
Ligt de audit enkele weken eerder en houdt u die weken bewust vrij om de bevindingen aan te pakken, dan dient ze een heel ander doel dan een audit de week ervoor. In die laatste week is die tijd er niet meer.
Zes weken geeft ruimte om bevindingen correct op te lossen. Soms houdt u dan tijd over. Maar legt de audit een echt groter probleem bloot, dan lost u dat niet in minder tijd op.
Een interne audit die u vlak voor de certificatie nog inpast, wordt een generale repetitie. Ze vertelt u of u waarschijnlijk slaagt, maar verbeteren doet u er niet meer mee.
Zo gaat veel verloren van waar een interne audit voor dient. Een goede interne audit kijkt dieper naar hoe het er werkelijk aan toegaat, zodat de verbetercyclus ook op het vlak van governance echt kan draaien. Iemand met een andere blik bekijkt de manier van werken en geeft commentaar in de vorm van verbetervoorstellen.
Die voorstellen worden zoveel mogelijk afgestemd op de geauditeerde organisatie. Toch oordeelt altijd de organisatie zelf of een voorstel bij haar werkwijze past. Dat een organisatie de verbetervoorstellen van de interne auditor afwijst, is normaal, zolang ze die afwijzing goed onderbouwt vanuit haar manier van werken en haar cultuur, en goed documenteert.
Een audit de week voor de certificatie laat zelfs geen tijd om ze af te wegen. Laat die kans niet liggen.
Staat er een certificatieaudit gepland, plan de interne audit dan tijdig: liefst zes weken tot twee maanden voor de eerste dag van de certificatieaudit. Hou de weken daarna vrij voor wat de audit oplevert.
Deel ook alles met uw interne auditor. Heeft die voldoende ervaring en vakkennis, dan kan dat alleen maar helpen. Vanuit een andere invalshoek ziet die misschien net wat uw beveiliging echt vooruithelpt.
De vraag hoe vaak heeft een kort antwoord. De vraag wanneer bepaalt of de interne audit iets verbetert of alleen repeteert, en dat ligt meestal al vast zodra iemand de datum in de agenda zet.