ISO 27001 interne audit.
Een interne audit die je ISMS verbetert én je certificerende instelling overtuigt.
Wat is het?
ISO 27001 verplicht je om met geplande tussenpozen een interne audit uit te voeren (clausule 9.2). Die audit beantwoordt twee vragen: voldoet je ISMS aan je eigen eisen en aan de norm, en is het ook echt ingevoerd en onderhouden? Wij voeren die audit onafhankelijk voor je uit, met een Register EDP-auditor die de norm én de praktijk kent. Zo weet je vóór de certificerende instelling (CI) langskomt waar je staat, en heb je het bewijs dat de CI wil zien.
Voor wie?
Voor organisaties die ISO 27001-gecertificeerd zijn of dat binnenkort willen worden, en die de interne audit niet zelf kunnen of willen doen. Bijvoorbeeld omdat niemand intern genoeg afstand heeft tot het ISMS, de kennis van de norm ontbreekt of de tijd er simpelweg niet is. Staat je eerste certificeringsaudit voor de deur? Zonder afgeronde interne audit en directiebeoordeling kan de CI je niet certificeren.
Wat het oplevert.
- Een interne audit conform clausule 9.2 van ISO/IEC 27001:2022
- Een auditprogramma dat je hele ISMS binnen de certificeringscyclus afdekt
- Een helder rapport met afwijkingen, observaties en verbeterkansen
- Directe input voor je directiebeoordeling (9.3) en corrigerende maatregelen (10.2)
- Vooraf een vaste prijs per auditvorm
Wat clausule 9.2 vraagt.
Clausule 9.2 van ISO/IEC 27001:2022 bestaat uit twee delen. Het eerste deel (9.2.1) zegt wát een interne audit moet opleveren: informatie over of je ISMS voldoet aan je eigen eisen en aan de norm, en of het effectief is ingevoerd en onderhouden. Het tweede deel (9.2.2) gaat over het auditprogramma. Daarin moet je regelen:
- Een auditprogramma met frequentie, methoden, verantwoordelijkheden, planning en rapportage, waarbij je rekening houdt met het belang van processen en de uitkomsten van eerdere audits.
- Per audit vastgelegde criteria en scope.
- Auditors die objectief en onpartijdig zijn: je auditeert niet je eigen werk.
- Rapportage van de resultaten aan het relevante management.
- Gedocumenteerde informatie als bewijs dat het programma is uitgevoerd, en van de resultaten.
Vooral de eis van objectiviteit is lastig voor kleinere organisaties. Wie het ISMS heeft opgezet of beheert, kan het niet geloofwaardig zelf auditen. Een externe auditor lost dat in één keer op.
Hoe vaak moet je een interne audit doen?
De norm noemt geen vaste frequentie, alleen "met geplande tussenpozen". In de praktijk verwacht de certificerende instelling wel twee dingen:
- Vóór je eerste certificeringsaudit is er minstens één volledige interne audit uitgevoerd, en is er een directiebeoordeling geweest. De CI kijkt daar in stage 1 al naar.
- Binnen elke certificeringscyclus van drie jaar komt je hele ISMS aan bod: clausules 4 tot en met 10 én alle toepasselijke maatregelen uit je Statement of Applicability.
De meeste organisaties kiezen daarom voor een jaarlijkse interne audit, een paar maanden vóór de surveillance-audit van de CI. Dan heb je tijd om afwijkingen op te lossen. Je kunt het ISMS ook in delen auditen, verspreid over het jaar of over drie jaar, zolang je programma laat zien dat alles binnen de cyclus wordt gedekt. Belangrijke processen en eerdere bevindingen verdienen vaker aandacht dan de rest.
Wat de certificerende instelling wil zien.
Bij de stage 1-, stage 2- en surveillance-audits kijkt de auditor van de CI niet alleen óf je een interne audit hebt gedaan, maar ook hoe. Dit zijn de stukken waar hij naar vraagt:
- Het auditprogramma: welke onderdelen wanneer worden geaudit, en waarom.
- Een auditplan per audit, met scope, criteria en planning.
- Bewijs van de competentie en onafhankelijkheid van de interne auditor.
- Het auditrapport, met afwijkingen, observaties en de onderbouwing per bevinding.
- De opvolging: corrigerende maatregelen met oorzaakanalyse (clausule 10.2), en hoe de resultaten zijn meegenomen in de directiebeoordeling (clausule 9.3).
Wij leveren de audit zo op dat je die stukken direct kunt laten zien. Onze rapporten zijn geschreven voor twee lezers: je eigen organisatie, die wil weten wat er beter kan, en de auditor van de CI, die wil zien dat je interne audit serieus is uitgevoerd.
Remote of op locatie?
De norm schrijft niet voor waar een interne audit plaatsvindt. Remote werkt goed voor het grootste deel van het ISMS: documentatie, registraties, interviews en het nalopen van technische instellingen via schermdelen. Op locatie heeft meerwaarde als fysieke beveiliging een belangrijk deel van je risico's is, bijvoorbeeld bij een eigen serverruimte of een kantoor met veel bezoekers. De fysieke maatregelen uit Annex A (thema 7) bekijken we dan liever met eigen ogen.
Je kiest zelf de vorm die bij je past. Hieronder zie je per vorm wat erin zit en wat het kost.
Auditvormen & prijzen.
Je betaalt een vaste prijs per auditvorm. De uiteindelijke prijs hangt af van de omvang en complexiteit van je organisatie en IT-landschap. Je kiest zelf de vorm die bij je past:
Remote-audit met voorbereiding
Je geeft ons toegang tot je ISMS. Wij nemen dat eerst zelfstandig door, zodat de gesprekken daarna gerichter en efficiënter verlopen. In de praktijk werkt dit vaak minstens zo effectief als samen door het ISMS lopen.
- Zelfstandige beoordeling van je ISMS vooraf
- Remote-audit, afgestemd op de omvang en complexiteit van je organisatie
- Rapportage met bevindingen en verbeterpunten
Remote-audit zonder voorbereiding
Je geeft geen toegang tot je ISMS vooraf; de audit vindt volledig digitaal plaats. We bereiden ons kort voor en voeren de audit remote uit.
- Korte voorbereiding op basis van wat je aanlevert
- Volledig digitale audit, afgestemd op de omvang en complexiteit van je organisatie
- Rapportage met bevindingen en verbeterpunten
Audit op locatie
De audit vindt volledig op locatie plaats, persoonlijk bij je op kantoor.
- Korte voorbereiding
- Audit bij je op kantoor, afgestemd op de omvang en complexiteit van je organisatie
- Rapportage met bevindingen en verbeterpunten
Inclusief reiskosten voor één dag op locatie; voor elke extra dag op locatie rekenen we € 100 reiskosten.
Genoemde bedragen zijn vanaf-prijzen, exclusief btw. Je ontvangt vooraf een offerte met een vaste prijs, zodat je nooit voor verrassingen komt te staan.
Onze aanpak.
-
Kennismaking & scoping
We bespreken je ISMS, je certificeringscyclus en wat er eerder is geaudit. Samen kiezen we de vorm: remote met of zonder voorbereiding, of op locatie.
-
Offerte
Je ontvangt een offerte met een vaste prijs voor de auditvorm die je kiest, afgestemd op de omvang van je ISMS. Geen verrassingen achteraf.
-
Auditplan
We stellen het auditplan op: scope, criteria, planning en wie we spreken. Heb je nog geen auditprogramma voor de hele cyclus, dan zetten we dat meteen goed neer.
-
Uitvoering
We auditen de clausules en de geselecteerde Annex A-maatregelen: in gesprekken, aan de hand van documentatie en registraties, en waar nodig met steekproeven.
-
Rapportage & nabespreking
Je ontvangt een rapport met afwijkingen, observaties en verbeterkansen, klaar voor je directiebeoordeling. We lopen het samen door, zodat je weet wat er moet gebeuren voordat de CI langskomt.
Veelgestelde vragen.
- Wat kost een ISO 27001 interne audit?
- We werken met vaste prijzen per auditvorm. Een remote-audit met voorbereiding start vanaf € 1.250, zonder voorbereiding vanaf € 1.375 en op locatie vanaf € 1.475, inclusief reiskosten voor één dag op locatie. De uiteindelijke prijs hangt af van de omvang en complexiteit van je organisatie; die leggen we vooraf vast in de offerte. Alle bedragen zijn exclusief btw.
- Hoe vaak moet een ISO 27001 interne audit plaatsvinden?
- De norm zegt "met geplande tussenpozen". In de praktijk doe je vóór je eerste certificeringsaudit minstens één volledige interne audit, en zorg je dat je hele ISMS binnen de certificeringscyclus van drie jaar aan bod komt. De meeste organisaties auditen jaarlijks.
- Mag ik de interne audit zelf doen?
- Ja, als de auditor objectief en onpartijdig is. Je mag dus niet je eigen werk auditen. In een kleine organisatie, waar de mensen die het ISMS draaien ook de enigen zijn met kennis van de norm, is dat lastig. Dan is uitbesteden meestal de eenvoudigste oplossing.
- Moet een interne auditor gecertificeerd zijn?
- De norm eist geen specifiek certificaat, wel aantoonbare competentie en onafhankelijkheid. Bij ons voert altijd een Register EDP-auditor (RE) de audit uit, met kennis van de norm én van IT.
- Kan een ISO 27001 interne audit remote?
- Ja. De norm schrijft niet voor waar de audit plaatsvindt, en de meeste onderdelen lenen zich goed voor een remote-audit. Zijn fysieke maatregelen belangrijk in je risicoprofiel, dan raden we een audit op locatie aan of een combinatie van beide.
- Wat is het verschil met de audit van de certificerende instelling?
- De interne audit is van jou: je organisatie toetst zichzelf om te verbeteren. De externe audit van de certificerende instelling bepaalt of je het certificaat krijgt of houdt. Een goede interne audit vindt de afwijkingen voordat de CI ze vindt.
- Wat gebeurt er met de bevindingen?
- Afwijkingen pak je op volgens clausule 10.2: oorzaak analyseren, een corrigerende maatregel nemen en beoordelen of die werkt. De resultaten gaan als input naar de directiebeoordeling. De CI kijkt bij de volgende audit of dat ook echt is gebeurd.
- Jullie hebben ons ISMS mee ingericht. Kunnen jullie dan de interne audit doen?
- We controleren nooit ons eigen implementatiewerk waar dat de onafhankelijkheid zou aantasten. Hebben wij je ISMS mee ingericht, dan bespreken we vooraf eerlijk of en hoe we de objectiviteit van de interne audit kunnen borgen.