Hoe vaak moet ik een interne audit doen voor ISO 27001?

De ISO 27001-norm vereist dat je minimaal één interne audit per jaar uitvoert. Maar dat is slechts het wettelijke minimum. In de praktijk bepaal je de werkelijke auditfrequentie op basis van risico’s, organisatieveranderingen en eerdere bevindingen. Een goed doordachte aanpak voor je interne audit ISO 27001 zorgt ervoor dat je managementsysteem niet alleen op papier klopt, maar ook in de praktijk werkt. In dit artikel lees je stap voor stap hoe je de ISO 27001-auditfrequentie bepaalt, een solide auditplanning opstelt, de audit uitvoert en bevindingen effectief verwerkt.

Bepaal de auditfrequentie op basis van risiconiveau

De ISO 27001-norm schrijft voor dat interne audits periodiek plaatsvinden, maar laat de exacte frequentie bewust open. Dat is geen omissie, maar een bewuste keuze: de norm verwacht dat jij als organisatie een risicogebaseerde afweging maakt. Een stabiele afdeling met weinig wijzigingen en een laag risicoprofiel hoeft minder frequent geauditeerd te worden dan een omgeving waar regelmatig nieuwe systemen, leveranciers of processen worden geïntroduceerd.

Gebruik de volgende criteria om per onderdeel van je ISMS te bepalen hoe vaak een interne audit informatiebeveiliging nodig is:

• Risiconiveau: Processen of systemen met een hoog risico voor vertrouwelijkheid, integriteit of beschikbaarheid van informatie vereisen een hogere auditfrequentie.
• Eerdere bevindingen: Onderdelen waar bij vorige audits tekortkomingen zijn vastgesteld, verdienen extra aandacht in het lopende auditjaar.
• Organisatieveranderingen: Fusies, nieuwe leveranciers, systeemmigraties of wijzigingen in processen verhogen het risico tijdelijk en rechtvaardigen een extra audit.
• Externe eisen: Klanten, toezichthouders of aanbestedingen kunnen specifieke auditfrequenties of aandachtsgebieden voorschrijven.
• Certificeringscyclus: Houd rekening met de driejarige ISO 27001-certificeringscyclus, met jaarlijkse controle-audits door de externe certificerende instelling.

Verifieer je uitkomst door te controleren of elk onderdeel van het ISMS minimaal één keer per jaar aan bod komt in je totale auditprogramma. Hogere risicogebieden zouden twee keer per jaar of vaker geauditeerd moeten worden.

Stel een jaarlijkse auditplanning op

Met de risicoanalyse als basis kun je een concrete ISO 27001-auditplanning opstellen. Een jaarlijkse planning geeft structuur, maakt capaciteitsplanning mogelijk en zorgt dat je op tijd klaar bent voor de externe controle-audit. Plan de interne audit bij voorkeur ruim voor de externe audit, zodat bevindingen nog verwerkt kunnen worden.

Volg deze stappen om je auditplanning te bouwen:

1. Breng alle te auditeren onderdelen van het ISMS in kaart, inclusief de bijbehorende processen, afdelingen en beheersmaatregelen uit Annex A.
2. Ken aan elk onderdeel een risicogewicht toe op basis van de criteria uit de vorige stap.
3. Verspreid de audits over het jaar, waarbij hogere risicogebieden vroeger in het jaar zijn ingepland.
4. Wijs per audit een verantwoordelijke interne auditor aan die onafhankelijk is van het te auditeren proces.
5. Reserveer na elke audit voldoende tijd voor het verwerken van bevindingen en het nemen van corrigerende maatregelen.
6. Plan de laatste interne audit minimaal zes tot acht weken voor de externe controle-audit van de certificerende instelling.

Een goede auditplanning is een levend document. Pas hem aan als de organisatie verandert of als tussentijdse bevindingen aanleiding geven tot extra auditmomenten. Leg de planning vast in je ISMS en zorg dat het management de planning formeel goedkeurt. Meer informatie over hoe interne audits zijn opgebouwd vind je via onze dienstenpagina.

Voer de interne audit stap voor stap uit

Een interne audit is geen papieren exercitie. Het doel is te toetsen of de maatregelen die je hebt ingericht daadwerkelijk werken zoals bedoeld. Voer de audit gestructureerd uit om betrouwbare, vergelijkbare resultaten te krijgen die je managementsysteem echt verbeteren.

Voorbereiding

Goede voorbereiding bepaalt voor een groot deel de kwaliteit van de audit. Verzamel voorafgaand aan de audit alle relevante documentatie, zoals beleidsdocumenten, procedures, risicoanalyses en eerdere auditrapportages. Stel een auditprogramma op met de specifieke normpunten die worden getoetst en de personen die worden geïnterviewd.

1. Bepaal de scope en doelstelling van de specifieke audit.
2. Stel een checklist op op basis van de relevante ISO 27001-eisen en Annex A-maatregelen.
3. Informeer de betrokken afdelingen tijdig over de planning en het doel van de audit.
4. Bestudeer eerdere bevindingen en openstaande actiepunten als vertrekpunt.

Uitvoering

Voer de audit uit via een combinatie van interviews, documentbeoordeling en observatie. Stel open vragen die medewerkers uitnodigen om te beschrijven hoe zij in de praktijk werken, in plaats van vragen die met “ja” of “nee” te beantwoorden zijn. Let op de kloof tussen wat er op papier staat en wat er daadwerkelijk gebeurt: die kloof is precies wat een interne audit moet blootleggen.

1. Houd een openingsgesprek met de verantwoordelijke manager om de scope te bevestigen.
2. Beoordeel documentatie op actualiteit, volledigheid en aansluiting op de praktijk.
3. Interview medewerkers en stel door op antwoorden die afwijken van de verwachting.
4. Observeer waar mogelijk de uitvoering van processen in de praktijk.
5. Noteer bevindingen direct en objectief, voorzien van bewijs.

Na afloop van de uitvoering beschik je over een set ruwe bevindingen. Classificeer deze als conformiteit, aanbeveling, afwijking of ernstige afwijking voordat je het rapport opstelt. Dat onderscheid bepaalt de urgentie van de vervolgacties.

Verwerk bevindingen en stuur bij waar nodig

De waarde van een interne audit zit niet in het rapport zelf, maar in wat je ermee doet. Bevindingen die niet worden opgevolgd, ondermijnen het vertrouwen in het managementsysteem en leveren bovendien een risico op bij de externe controle-audit. Zorg daarom voor een systematisch proces om bevindingen te verwerken en op te volgen.

1. Stel een auditrapport op met een samenvatting van bevindingen, classificatie en ondersteunend bewijs.
2. Deel het rapport met de verantwoordelijke manager en het management voor review en formele acceptatie.
3. Formuleer voor elke afwijking een corrigerende maatregel met een duidelijke eigenaar en deadline.
4. Voer een oorzaakanalyse uit voor ernstige afwijkingen, zodat de onderliggende oorzaak wordt aangepakt en niet alleen het symptoom.
5. Leg alle actiepunten vast in je ISMS en monitor de voortgang actief.
6. Verifieer na de gestelde deadline of de maatregel effectief is geïmplementeerd en sluit de bevinding formeel af.

Bespreek de auditresultaten ook in de managementreview. Dat is de plek waar het management de grote lijnen beoordeelt en beslissingen neemt over resources, prioriteiten en verbeteringen. Zo sluit de interne audit naadloos aan op de PDCA-cyclus die ISO 27001 voorschrijft. Organisaties die werken met onderhoud en beheer van hun ISMS hebben doorgaans een betere borging van dit opvolgingsproces, omdat actiepunten structureel worden bijgehouden.

Met een goed verwerkt auditrapport en aantoonbare opvolging ben je niet alleen sterker voorbereid op de externe controle-audit, maar bouw je ook aan een organisatie die informatiebeveiliging serieus neemt in de dagelijkse praktijk.

Hoe wij helpen met interne audits voor ISO 27001

Kwinzo begeleidt organisaties door het volledige ISO 27001-traject, inclusief de interne audit. Of je nu voor het eerst een interne audit uitvoert of je bestaande auditprogramma wilt versterken, wij bieden concrete ondersteuning die aansluit op jouw situatie. Wat wij voor je doen hangt af van de omvang van je organisatie, de complexiteit van je ISMS en de fase waarin je je certificeringstraject zich bevindt. Dit is wat wij voor je kunnen doen:

• Opstellen van de auditplanning: Wij helpen je een risicogebaseerde jaarplanning te maken die aansluit op je certificeringscyclus en de eisen van de norm.
• Uitvoeren van de interne audit: Onze interne auditors voeren de audit onafhankelijk en professioneel uit, inclusief rapportage met concrete bevindingen en actiepunten.
• Generale repetitie voor de externe audit: De interne audit fungeert als voorbereiding op de externe controle-audit, zodat je weet wat je kunt verwachten en geen verrassingen tegenkomt.
• Opvolging van bevindingen: Wij ondersteunen je bij het formuleren en implementeren van corrigerende maatregelen, zodat bevindingen daadwerkelijk worden opgelost.
• ISMS-tool: Via onze eigen ISMS-tool houd je auditresultaten, actiepunten en voortgang gestructureerd bij op één plek.

Wil je weten hoe een interne audit er voor jouw organisatie uitziet, of ben je benieuwd hoe we jouw auditprogramma kunnen versterken? Neem contact met ons op voor een vrijblijvend gesprek.