Hoe voer ik een interne audit uit voor ISO 27001?

Een interne audit is een verplicht onderdeel van ISO 27001. Zonder een goed uitgevoerde interne audit kun je niet aantonen dat je managementsysteem voor informatiebeveiliging functioneert zoals bedoeld. Toch worstelen veel organisaties met de vraag: hoe pak je het uitvoeren van een ISO 27001-interne audit concreet aan, van voorbereiding tot rapportage?

In dit stappenplan doorloop je het volledige proces van de ISO 27001 interne audit. Je leert wat je van tevoren moet regelen, hoe je de audit zelf uitvoert, en hoe je de uitkomsten omzet in aantoonbare verbeteringen. Het resultaat: een audit die niet alleen voldoet aan de norm, maar ook echte waarde toevoegt aan je organisatie.

Wat je nodig hebt vóór de interne audit

Een succesvolle interne audit begint lang vóór de eerste interviewafspraak. De voorbereiding bepaalt voor een groot deel de kwaliteit van de uitkomsten. Zorg dat je de volgende zaken op orde hebt voordat je begint:

• Een bevoegde interne auditor die onafhankelijk is van het te auditeren proces of de afdeling. Dit mag een collega zijn, mits er geen directe verantwoordelijkheid of belangenverstrengeling is.
• Toegang tot de actuele versie van de ISO 27001-norm en het bijbehorende Statement of Applicability (SoA).
• Inzicht in het auditprogramma van de organisatie: welke onderdelen zijn dit jaar al geauditeerd, welke nog niet?
• Relevante beleidsdocumenten, procedures en risicobeoordelingen die betrekking hebben op het te auditeren gebied.
• Een overzicht van eerdere auditbevindingen en de status van openstaande correctieve maatregelen.

Controleer ook of de auditor voldoende kennis heeft van de norm en van de te auditeren processen. Een interne audit informatiebeveiliging vraagt om specifieke expertise: de auditor moet niet alleen weten wat de norm vereist, maar ook begrijpen hoe informatiebeveiliging in de dagelijkse praktijk van de organisatie werkt. Ontbreekt die kennis intern, dan is het verstandig om tijdig externe ondersteuning te zoeken of een training voor auditors te volgen.

Stel een auditplan en auditprogramma op

Voordat je de audit uitvoert, stel je een auditplan op. Dit document beschrijft wat je gaat auditeren, wanneer, bij wie en met welk doel. Het auditplan is geen formaliteit: het geeft structuur aan de audit en zorgt dat alle betrokkenen weten wat er van hen verwacht wordt.

1. Bepaal de scope van de audit: welke processen, afdelingen of controls staan centraal?
2. Stel de auditdoelstelling vast: gaat het om naleving van de norm, effectiviteit van maatregelen, of beide?
3. Maak een tijdschema met geplande interviews, documentreviews en eventuele rondleidingen.
4. Communiceer het plan tijdig naar de te auditeren afdelingen, zodat zij zich kunnen voorbereiden.
5. Stel auditvragen en checklists op op basis van de relevante ISO 27001-controls en eerder vastgestelde risico’s.

Het auditprogramma is het overkoepelende jaarplan dat beschrijft hoe alle interne audits over het jaar worden verdeeld. ISO 27001 vereist dat het volledige managementsysteem periodiek wordt geauditeerd, maar dat hoeft niet in één keer. Door audits te spreiden over het jaar houd je het behapbaar en kun je dieper ingaan op elk onderdeel. Zorg dat het auditprogramma aansluit op de risicogebieden die voor jouw organisatie het meest relevant zijn.

Voer de audit uit met interviews en documentreviews

De uitvoering van de interne audit bestaat uit twee hoofdactiviteiten: het beoordelen van documentatie en het voeren van gesprekken met medewerkers. Beide zijn nodig om een volledig en betrouwbaar beeld te krijgen van hoe informatiebeveiliging in de praktijk werkt.

Documentreview

Start met een review van de relevante documenten. Beoordeel of beleid, procedures en registraties actueel zijn, correct worden toegepast en aansluiten op de eisen van de norm. Let specifiek op:

• Zijn de documenten goedgekeurd en voorzien van een versiedatum?
• Sluiten de procedures aan op de werkelijke werkwijze in de organisatie?
• Zijn risicobeoordelingen up-to-date en volledig?

Interviews

Voer vervolgens gesprekken met de medewerkers die verantwoordelijk zijn voor de geauditeerde processen. Stel open vragen en laat medewerkers uitleggen hoe zij hun werk doen. Vermijd suggestieve vragen die het antwoord al bevatten. Goede interviewvragen zijn bijvoorbeeld: “Hoe ga jij om met een verzoek om toegang tot gevoelige systemen?” of “Wat doe jij als je een beveiligingsincident signaleert?”

Noteer alle bevindingen feitelijk en onderbouwd. Een bevinding is alleen bruikbaar als je kunt aangeven op welke norm-eis of procedure deze betrekking heeft, en welk bewijs je hebt verzameld. Na afloop van de interviews heb je een compleet beeld van de situatie en kun je overgaan naar de rapportagefase.

Rapporteer bevindingen en nonconformiteiten

Na de uitvoering verwerk je alle bevindingen in een auditrapport. Dit rapport is het officiële resultaat van de interne audit en vormt de basis voor verbeteracties. Een goed auditrapport bevat minimaal:

1. De scope en doelstelling van de audit.
2. De auditcriteria: welke norm-eisen of procedures zijn als referentie gebruikt?
3. Een overzicht van positieve bevindingen: wat werkt goed?
4. Een overzicht van verbeterpunten en nonconformiteiten, voorzien van bewijs en verwijzing naar de relevante norm-eis.
5. De conclusie van de auditor over de effectiviteit van het managementsysteem.

Onderscheid in je rapport tussen nonconformiteiten (de norm wordt niet nageleefd) en verbeterkansen (de norm wordt nageleefd, maar er is ruimte voor verbetering). Dit onderscheid is belangrijk voor de prioritering van opvolgacties. Nonconformiteiten vereisen altijd een correctieve maatregel; verbeterkansen zijn aanbevelingen die de organisatie zelf kan afwegen.

Verwerk correctieve maatregelen en bewak de opvolging

Een auditrapport zonder opvolging heeft geen waarde. ISO 27001 vereist dat de organisatie voor elke nonconformiteit een correctieve maatregel vaststelt, implementeert en evalueert op effectiviteit. Dit is ook het onderdeel waar veel organisaties steken laten vallen.

1. Wijs voor elke nonconformiteit een verantwoordelijke eigenaar aan.
2. Analyseer de grondoorzaak: waarom is de nonconformiteit ontstaan? Pas dan kun je een maatregel treffen die het probleem structureel oplost.
3. Stel een concrete maatregel en een deadline vast.
4. Leg de voortgang vast in een actielijst of je ISMS-tool.
5. Evalueer na implementatie of de maatregel het beoogde effect heeft gehad.

Bewaking van de opvolging is een doorlopend proces. Zorg dat de status van openstaande maatregelen regelmatig wordt besproken, bijvoorbeeld tijdens managementreviews of in overleg met de Security Officer. Zo voorkom je dat bevindingen blijven liggen en vergroot je de kans dat verbeteringen daadwerkelijk worden doorgevoerd.

Gebruik de interne audit als voorbereiding op de externe audit

De interne audit is meer dan een compliance-verplichting: het is een waardevolle generale repetitie voor de externe certificeringsaudit. Door de interne audit serieus te nemen, verklein je de kans op verrassingen tijdens de externe beoordeling aanzienlijk.

Gebruik de uitkomsten van de interne audit om:

• Zwakke plekken in je managementsysteem tijdig te identificeren en te verhelpen.
• Medewerkers voor te bereiden op het soort vragen dat een externe auditor stelt.
• De volledigheid en actualiteit van je documentatie te toetsen.
• Aan te tonen dat je organisatie continu werkt aan verbetering, wat externe auditors positief waarderen.

Zorg dat het auditrapport en de correctieve maatregelen beschikbaar zijn voor de externe auditor. Dit toont aan dat je managementsysteem niet alleen op papier klopt, maar ook in de praktijk werkt. Een goed gedocumenteerde interne auditcyclus is daarmee een van de sterkste bewijsstukken die je kunt overleggen.

Hoe wij helpen bij de interne audit voor ISO 27001

Een interne audit uitvoeren vraagt om kennis van de norm, ervaring met audittechnieken en voldoende onafhankelijkheid. Niet elke organisatie heeft dat intern beschikbaar. Kwinzo ondersteunt organisaties in zorg, ICT en onderwijs bij het volledige ISO 27001-traject, inclusief de interne audit.

Wat wij bieden:

• Uitvoering van de interne audit door ervaren, onafhankelijke auditors die de norm en jouw sector kennen.
• Een helder auditrapport met concrete bevindingen, nonconformiteiten en verbeterpunten.
• Begeleiding bij de opvolging van correctieve maatregelen, zodat bevindingen daadwerkelijk worden opgelost.
• Maandelijkse workshops voor Security Officers die zelf audits willen uitvoeren of hun kennis willen verdiepen.
• Onze eigen ISMS-tool waarmee je bevindingen, maatregelen en voortgang overzichtelijk bijhoudt.

Wil je weten hoe wij jouw organisatie kunnen ondersteunen bij de interne audit informatiebeveiliging? Neem contact met ons op voor een vrijblijvend adviesgesprek.