De weg naar ISO-certificering: verloop, fasen en best practices voor uw audit

Inleiding: de schrik van het auditproces wegnemen

De beslissing staat vast: uw organisatie wil of moet zich laten certificeren volgens een ISO-norm – of het nu gaat om informatiebeveiliging (ISO 27001), kwaliteit (ISO 9001), milieu (ISO 14001) of kunstmatige intelligentie (ISO 42001).

Vóór de start heersen echter vaak onzekerheid en open vragen: Hoe verloopt de externe audit precies? Hoe lang duurt het proces? En wat gebeurt er als de auditor afwijkingen vaststelt?

Deze gids leidt u stap voor stap door de hele certificeringscyclus en laat zien hoe u typische fouten zelfverzekerd omzeilt.

De certificeringscyclus van 3 jaar in vogelvlucht

Een ISO-certificaat is internationaal doorgaans drie jaar geldig. De cyclus valt uiteen in de volgende vaste mijlpalen:

[Pre-evaluation / gap-analyse] (optioneel)
             │
             ▼
[Fase-1-audit: documentbeoordeling en gereedheid]
             │
             ▼
[Fase-2-audit: certificering ter plaatse / op afstand] ──► Afgifte certificaat (3 jaar)
             │
             ▼
[1e surveillanceaudit (na 12 maanden)]
             │
             ▼
[2e surveillanceaudit (na 24 maanden)]
             │
             ▼
[Hercertificeringsaudit (vóór afloop van de 3 jaar)]

De fasen van de eerste certificeringsaudit in detail

Fase 0: de voorbeoordeling (Pre-Evaluation / gap-analyse)

Vóór de officiële audit is vaak een optionele voorbeoordeling aan te raden. Daarbij werpt een auditor een onbevooroordeelde blik op uw managementsysteem om vast te stellen of het systeem auditrijp is of dat er nog kritieke hiaten (gaps) moeten worden gedicht. Dat voorkomt dure verrassingen in de eigenlijke audit.

Fase 1: de fase-1-audit (beoordeling van de gereedheid)

In de fase-1-audit toetst de certificeringsinstelling primair uw documentatie:

• Zijn de beleidsdocumenten, procesbeschrijvingen en toepassingsgebieden conform de norm gedefinieerd?
• Is er al een interne audit uitgevoerd?
• Ligt er een directiebeoordeling (management review) voor?
• Is de organisatie klaar voor de hoofdaudit?

Resultaat: u ontvangt een rapport met aanwijzingen over eventuele hiaten. Die kunnen vóór fase 2 worden verholpen.

Fase 2: de fase-2-audit (hoofdaudit / certificeringsaudit)

Nu toetst het auditorenteam ter plaatse (of, als de voorwaarden dat toelaten, op afstand) of het managementsysteem in de praktijk daadwerkelijk wordt geleefd:

• Gesprekken met medewerkers uit verschillende afdelingen (van de leiding tot de medewerker op de werkvloer)
• Steekproefsgewijze controle van echte projecten, tickets, leveranciersdocumenten of systeemconfiguraties
• Beoordeling van de vestigingen, serverruimten of productiehallen

Resultaat: als er geen hoofdafwijkingen zijn, beveelt het auditteam de afgifte van het ISO-certificaat aan.

Fasen 3 en 4: de jaarlijkse surveillanceaudits

Een managementsysteem mag na de certificering niet in slaap vallen. Na 12 en 24 maanden toetst de certificeringsinstelling in kortere surveillanceaudits of het systeem continu wordt onderhouden en verbeterd.

Fase 5: de hercertificering

Vóór het aflopen van de geldigheid van 3 jaar vindt een omvattende hercertificeringsaudit plaats, die de cyclus voor nog eens drie jaar opnieuw start.

De 4 meest voorkomende struikelblokken in de audit – en hoe u ze vermijdt

1. Niet-afgesloten maatregelen uit interne audits:
   Probleem: in de interne audit zijn gebreken vastgesteld, maar tot de externe audit zijn geen corrigerende maatregelen genomen.
   Oplossing: wijs voor elke afwijking een verantwoordelijke en een realistische termijn aan. De auditor toetst precies of u gebreken serieus neemt.
2. Tegenstrijdigheid tussen documentatie en geleefde praktijk:
   Probleem: in het handboek staat: „Elke code-release wordt medeondertekend door de beveiligingsfunctionaris.“ In het gesprek zegt de ontwikkelaar: „Dat doen we al twee jaar niet meer.“
   Oplossing: pas documenten aan de werkelijkheid aan. Een pragmatisch, geleefd proces is voor de auditor honderd keer beter dan een theoretisch ideaalproces.
3. Ontbrekende bewijzen en verslagen:
   Probleem: trainingen of noodoefeningen zijn wel uitgevoerd, maar nergens gedocumenteerd.
   Oplossing: „Wat niet is opgeschreven, heeft niet plaatsgevonden.“ Houd eenvoudige presentielijsten en korte verslagen bij.
4. Examenangst in het team:
   Probleem: medewerkers reageren in het gesprek zenuwachtig of blokkeren.
   Oplossing: bereid het team mentaal voor: auditors zijn geen politieagenten op zoek naar fouten, maar onafhankelijke begeleiders die de conformiteit van het systeem als geheel willen bevestigen.

Conclusie

Een ISO-audit is geen onoverkomelijke hindernis, maar een helder te plannen project. Met een gestructureerde voorbereiding, een gezonde zelfinschatting en de juiste certificeringspartner wordt het traject een waardevolle inventarisatie die uw organisatie meetbaar vooruithelpt.

Start nu uw certificeringsproces:
Gebruik het ICB-netwerk van meer dan 178 vakspecialisten-auditors in meer dan 48 landen voor uw volgende audit. Dien vandaag nog een vrijblijvende aanvraag in via onze prijspagina.