Wat is een controle-audit bij ISO 27001?

Een controle-audit bij ISO 27001, ook wel surveillance-audit genoemd, is een jaarlijkse tussentijdse toets die een certificerende instelling uitvoert om te verifiëren dat jouw organisatie het Information Security Management System (ISMS) actief onderhoudt en blijft verbeteren. De controle-audit is geen volledige hercertificering, maar een gerichte steekproef die aantoont dat het certificaat nog steeds terecht is afgegeven. In dit artikel beantwoorden we de meest gestelde vragen over de controle-audit, van de voorbereiding tot de afhandeling van eventuele tekortkomingen.

Wat is het verschil tussen een controle-audit en een hercertificeringsaudit?

Een controle-audit is een jaarlijkse, beperktere toets op geselecteerde onderdelen van het ISMS, terwijl een hercertificeringsaudit een volledige herbeoordeling van het gehele managementsysteem is. Het ISO 27001-certificaat heeft een geldigheidsduur van drie jaar. Gedurende die drie jaar voert de certificerende instelling elk jaar een controle-audit uit, en aan het einde van de cyclus volgt de hercertificeringsaudit.

In de praktijk betekent dit dat de controle-audit minder tijdrovend is dan de initiële certificering of de hercertificering. De auditor focust op een selectie van beheersmaatregelen, de werking van de Plan-Do-Check-Act-cyclus en de opvolging van eerder gevonden bevindingen. De hercertificeringsaudit beoordeelt daarentegen het ISMS in zijn geheel, inclusief de context van de organisatie, de risicobehandeling en alle bijlagen uit de norm. Beide audits zijn verplicht om het ISO 27001-certificaat te behouden.

Hoe verloopt een controle-audit bij ISO 27001 stap voor stap?

Een controle-audit bij ISO 27001 verloopt doorgaans in vier fasen: de aankondiging en planning, de documentbeoordeling, de uitvoering op locatie en de rapportage met besluit. De exacte invulling verschilt per certificerende instelling, maar de volgorde is vrijwel altijd gelijk.

1. Aankondiging en planning: De certificerende instelling neemt contact op om de auditdatum vast te leggen, doorgaans enkele weken van tevoren. De auditor stelt een auditplan op met de te beoordelen onderdelen en de te spreken medewerkers.
2. Documentbeoordeling: Voorafgaand aan het locatiebezoek beoordeelt de auditor relevante documentatie, zoals het risicoregister, het intern auditrapport, de managementreview en de lijst met corrigerende maatregelen.
3. Uitvoering op locatie: De auditor voert gesprekken met de Information Security Officer en andere betrokkenen, bekijkt bewijsstukken en toetst of de beschreven processen ook daadwerkelijk worden uitgevoerd.
4. Rapportage en besluit: Na de audit ontvangt de organisatie een auditrapport met bevindingen. Bij geen of alleen kleine tekortkomingen blijft het certificaat geldig. Bij majeure tekortkomingen kan het certificaat worden geschorst totdat de organisatie corrigerende maatregelen heeft doorgevoerd.

De doorlooptijd van een controle-audit is aanzienlijk korter dan die van een initiële certificeringsaudit. Voor een middelgrote organisatie is één auditdag op locatie gebruikelijk, hoewel dit afhankelijk is van de omvang en complexiteit van het ISMS.

Welke onderdelen van het ISMS worden tijdens een controle-audit getoetst?

Tijdens een controle-audit bij ISO 27001 toetst de auditor altijd een aantal vaste kernonderdelen, aangevuld met een wisselende selectie van beheersmaatregelen. De vaste onderdelen zijn de interne audit, de managementreview, de opvolging van eerdere bevindingen en de werking van het verbeterproces.

Naast deze vaste elementen kiest de auditor uit de beheersmaatregelen van Annex A, met bijzondere aandacht voor gebieden die bij eerdere audits aandachtspunten opleverden of waar risico’s zijn gewijzigd. Denk aan toegangsbeheer, incidentbeheer, leveranciersbeoordelingen en bewustwording van medewerkers. De auditor wil niet alleen zien dat de procedures op papier kloppen, maar ook dat ze in de praktijk worden toegepast en dat de organisatie leert van incidenten en afwijkingen.

Concreet betekent dit dat je tijdens een controle-audit bewijsstukken nodig hebt zoals trainingsregistraties, incidentlogboeken, toegangsrechtenreviews en de notulen van de managementreview. Een goed ingericht onderhoud van het ISMS zorgt ervoor dat deze documenten altijd actueel en vindbaar zijn.

Wat gebeurt er als een controle-audit tekortkomingen oplevert?

Als een controle-audit tekortkomingen oplevert, worden deze geclassificeerd als een mineure of majeure afwijking. Bij een mineure afwijking blijft het certificaat geldig, maar moet de organisatie binnen een afgesproken termijn een corrigerende maatregel indienen en aantonen dat het probleem is opgelost. Bij een majeure afwijking riskeert de organisatie schorsing of intrekking van het certificaat.

Mineure afwijkingen

Een mineure afwijking is een tekortkoming die geen directe bedreiging vormt voor de integriteit van het ISMS als geheel. Voorbeelden zijn een verouderd beleidsdocument dat niet tijdig is herzien, of een interne audit die later is uitgevoerd dan gepland. De auditor stelt een termijn vast, doorgaans dertig tot negentig dagen, waarbinnen de organisatie moet aantonen de afwijking te hebben opgelost.

Majeure afwijkingen

Een majeure afwijking wijst op een fundamentele tekortkoming in het ISMS, zoals het volledig ontbreken van een risicobehandelingsproces of het aantoonbaar niet uitvoeren van interne audits. In dat geval kan de certificerende instelling het certificaat schorsen totdat de organisatie heeft aangetoond dat de situatie is hersteld. Een schorsing heeft directe gevolgen voor de commerciële positie van de organisatie, zeker wanneer klanten of aanbestedende partijen het certificaat als voorwaarde stellen.

Hoe bereid je een organisatie voor op een controle-audit?

Een goede voorbereiding op een controle-audit bij ISO 27001 begint niet een week voor de auditdatum, maar is een continu proces gedurende het hele jaar. De kern van de voorbereiding is het aantoonbaar actief houden van het ISMS, zodat de organisatie op elk moment klaar is voor een toets.

De volgende stappen helpen bij een structurele voorbereiding:

• Voer tijdig een interne audit uit: Een interne audit is een vereiste van de norm én een waardevolle generale repetitie voor de externe controle-audit. Zorg dat de interne audit minimaal enkele maanden voor de controle-audit is afgerond, zodat er voldoende tijd is om bevindingen op te lossen.
• Houd de managementreview actueel: De directie moet minimaal jaarlijks het ISMS formeel beoordelen. Zorg voor gedocumenteerde notulen met aantoonbare input en output conform de norm.
• Werk het risicoregister bij: Controleer of het risicoregister nog aansluit bij de huidige situatie van de organisatie. Nieuwe systemen, leveranciers of werkwijzen kunnen nieuwe risico’s introduceren die beheersmaatregelen vereisen.
• Verzamel bewijsstukken: Bewaar trainingsregistraties, incidentrapportages, toegangsrechtenreviews en andere bewijsstukken systematisch en centraal, zodat ze tijdens de audit direct beschikbaar zijn.
• Volg eerdere bevindingen op: Controleer of alle corrigerende maatregelen uit de vorige audit zijn afgerond en gedocumenteerd. Een auditor zal hier altijd naar vragen.
• Informeer betrokken medewerkers: Zorg dat medewerkers die tijdens de audit worden gesproken weten wat hun rol is in het ISMS en hoe ze de dagelijkse processen uitvoeren.

Organisaties die hun ISMS het hele jaar actief onderhouden in plaats van alleen voor de audit, ervaren de controle-audit doorgaans als een bevestiging van goed werk in plaats van een stressmoment. Kennis van de ISO 27001-norm en de bijbehorende eisen is daarbij onmisbaar.

Hoe Kwinzo helpt bij de voorbereiding op een controle-audit

Een controle-audit slaagt alleen als het ISMS het hele jaar door actief wordt onderhouden. Wij ondersteunen organisaties in zorg, ICT en onderwijs bij precies dat: niet alleen bij de initiële certificering, maar ook bij het borgen van de norm in de dagelijkse praktijk.

Wat wij concreet bieden:

• Begeleiding bij het uitvoeren van interne audits als generale repetitie voor de externe controle-audit
• Ondersteuning bij het actueel houden van het risicoregister, beleidsdocumenten en bewijsstukken
• Toegang tot onze eigen ISMS-tool voor gestructureerd beheer van het managementsysteem
• Maandelijkse workshops voor Security Officers gericht op specifieke onderdelen van de ISO 27001-norm
• Advies bij het opvolgen van bevindingen en het implementeren van corrigerende maatregelen

Wil je weten hoe jouw organisatie er nu voor staat en wat er nodig is om de volgende controle-audit met vertrouwen tegemoet te zien? Neem contact met ons op voor een vrijblijvend adviesgesprek.