Dienst
Uw managementsysteem moet standhouden, ook lang na de certificatieaudit. Een onafhankelijke interne audit toetst of dat zo is en geeft u onderbouwde bevindingen en aanbevelingen waarmee u aan de slag kunt. Deze audit is bedoeld voor organisaties van 10 tot 100 medewerkers, waar het systeem over meerdere teams verspreid is.
Een certificaat toont dat uw managementsysteem werkte op de dag van de audit. Het toont niet of het volgend jaar nog werkt. Komt een systeem pas tot leven in de weken voor een audit, dan betekent elke cyclus een week of twee alle hens aan dek, met de extra kosten en het verlies aan focus op het werk waarvoor uw organisatie eigenlijk bestaat.
Bij een organisatie van deze omvang kijk ik daarom eerst naar één ding: is het systeem zo opgezet dat uw eigen mensen het draaien, als deel van hun gewone werk? Is dat zo, dan wordt de volgende certificatieaudit routine. Is dat nog niet zo, dan toont de audit u waar u kunt beginnen.
Ook in een organisatie van twintig mensen levert een interne audit heel wat bevindingen op. Dat is geen oordeel over uw organisatie. Informatiebeveiliging en certificatie zijn zelden iemands hoofdtaak, en een systeem dat met de organisatie is meegegroeid, past in het ene deel beter dan in het andere. Verbeteren begint bij bevindingen, op voorwaarde dat ze zo gerapporteerd worden dat u ermee aan de slag kunt.
Bij elke bevinding in mijn rapport staat het bewijs en, waar dat helpt, een aanbeveling. Zo hebt u twee goede opties. U volgt de aanbeveling op, omdat u weet waarom ze belangrijk is. Of u weegt ze af en beslist, met uw redenen op papier, dat ze niet past bij de manier waarop uw organisatie haar informatiebeveiliging heeft ingericht. Beide zijn te verantwoorden. Waar het om gaat: de beslissing ligt bij u, en ze is onderbouwd.
In een groter systeem kost het meer tijd om te zien hoe het werkelijk draait, en zijn er meer mensen bij betrokken. Elk team legt in eigen gesprekken en overleg uit hoe het werkt. Daarom verloopt de audit in vier fases, die we vooraf met u afspreken.
Op één regel maak ik geen uitzondering: heb ik uw managementsysteem geïmplementeerd, dan auditeer ik het niet. Wie zijn eigen werk auditeert, neemt precies de onafhankelijkheid weg die de audit waardevol maakt.
Voor een bedrijf geldt hetzelfde. Heeft een bedrijf uw systeem geïmplementeerd, dan is een collega uit datzelfde bedrijf evenmin onafhankelijk: hij beoordeelt dan het werk van een collega. Implementator en interne auditor horen bij verschillende bedrijven te werken.
Die regel blijft ook na de audit gelden. Ik rapporteer wat ik vind en stel voor waar u kunt verbeteren, maar ik beslis niet wat u verandert en ik implementeer het niet. Zo blijf ik ook bij uw volgende interne audit onafhankelijk.
Dat hangt af van uw scope, het aantal vestigingen en het aantal teams dat een deel van het systeem draait. Na een eerste gesprek over uw scope leg ik de inspanning vast in een offerte, nog voor er iets gepland wordt. U krijgt een cijfer dat op uw organisatie gebaseerd is, niet op een aanname.
Iedereen die een deel van het managementsysteem draait, team per team. In een organisatie van deze omvang zijn dat er meer dan in een klein team, want elk team legt in eigen woorden uit hoe het werkt. Een gesprek duurt meestal een half uur tot een uur per persoon.
Nee. Een afwijking van de norm vraagt een corrigerende maatregel. Een aanbeveling is een suggestie, met de redenen erbij. Legt u er een opzij nadat u ze hebt afgewogen, dan is dat een verantwoorde beslissing.
Omdat de norm er een vraagt, en omdat een interne audit ervoor zorgt dat het certificaat ook tussen twee certificatieaudits iets betekent. Het is het moment om te zien of het systeem nog vanzelf draait.
Ja, op voorwaarde dat ze bekwaam zijn en onafhankelijk van het gebied dat ze auditeren. In een organisatie van deze omvang loopt het meestal mis op die tweede voorwaarde. Wie het proces goed genoeg kent om het te auditeren, voert het doorgaans ook zelf uit.
Nee. Met de bevindingen en suggesties gaat u zelf aan de slag. Zou ik ze implementeren, dan kan ik mijn onafhankelijkheid als interne auditor tegenover uw externe auditor niet langer garanderen.
De auditresultaten zijn een verplichte input voor uw directiebeoordeling. Het rapport is zo geschreven dat de directie het daar rechtstreeks kan gebruiken.
Een kwartier volstaat doorgaans om te bepalen of dit de juiste opdracht is, wat de scope zou moeten zijn en wat het realistisch vraagt.
Vraag een kennismakingsgesprek aan