De interne audit ISO 27001 is verplicht en is het enige moment waarop je zelf mag ontdekken wat er niet klopt. Alles wat je hier vindt, hoeft de externe auditor niet meer te vinden. Voorwaarde: iemand doet hem die niet zijn eigen werk toetst, en ruim voor de externe audit.
In het kort
- De norm eist een interne audit met geplande tussenpozen, in de praktijk minimaal jaarlijks.
- De auditor moet onafhankelijk zijn: niemand beoordeelt zijn eigen werk.
- Plan hem minimaal zes tot acht weken voor de externe audit, anders kun je niets meer met de bevindingen.
- Een audit zonder bevindingen is een waarschuwingssignaal, geen compliment.
- Heb je al ISO 9001, combineer dan het auditplan en het verbeterregister.
Wat is een interne audit ISO 27001?
Het is je eigen controle op de vraag of het managementsysteem doet wat het moet doen: voldoet het aan de eisen van de norm, en aan je eigen afspraken? De norm eist dat je die controle met geplande tussenpozen uitvoert en de resultaten rapporteert aan het management.
Let op het tweede deel van die vraag. Een interne audit toetst niet alleen de norm, maar ook je eigen beleid. Heb je vastgelegd dat je logs maandelijks beoordeelt, dan is het niet beoordelen van logs een afwijking, ook al eist de norm die frequentie niet.
Wie mag een interne audit ISO 27001 uitvoeren?
De eis is objectiviteit en onafhankelijkheid: een auditor mag niet zijn eigen werk beoordelen. Er is geen verplichte certificering voor interne auditors, wel de verwachting dat iemand competent is. Dat levert drie werkbare varianten op:
- Een collega uit een ander proces. Werkt bij grotere organisaties: iemand van finance auditeert IT en andersom.
- Externe uitvoering. De eenvoudigste oplossing bij kleinere organisaties, waar iedereen ergens bij betrokken is.
- Een combinatie. Intern voor de routineonderdelen, extern voor de onderwerpen waar je zelf te dicht op zit.
Dezelfde regel geldt voor de adviseur. Bij de trajecten die wij begeleiden, voert daarom een andere consultant de interne audit uit dan degene die de implementatie heeft begeleid. Wie het systeem heeft helpen bouwen, ziet de eigen blinde vlekken niet.
Wanneer plan je de interne audit?
Dit is in de praktijk het punt waar het vaakst krap wordt. In de trajecten die we begeleiden ligt er tussen interne en externe audit zes weken tot twee maanden. Dat is genoeg om bevindingen op te lossen en het bewijs daarvan klaar te hebben, maar het laat weinig ruimte voor tegenvallers.
Wat de planning bepaalt, is niet de audit zelf maar wat er daarvoor af moet zijn. De risicobeoordeling, de leveranciersbeoordeling en het continuïteitsplan voeden elkaar, en samen voeden ze de directiebeoordeling. Loopt één daarvan achter, dan schuift de rest mee. Zet daarom ook de openstaande tekortkomingen uit een vorige audit op dezelfde takenlijst: die wegen het zwaarst.
Wat zien we in de praktijk misgaan?
De interne audit wordt jarenlang overgeslagen. In een van de GAP-analyses die we deden, waren er al jaren geen interne audits meer uitgevoerd. Het gevolg is breder dan één tekortkoming: de cyclus van plannen, doen, controleren en verbeteren breekt bij de controle, en de directiebeoordeling mist zijn belangrijkste input.
Bevindingen verdwijnen tussen lijsten. Bevindingen uit de audit, uit incidenten en uit de directiebeoordeling staan elk op een eigen plek. Een centraal verbeterregister, met per bevinding de bron, een eigenaar en een datum, lost dat op.
Twee systemen, twee auditplannen. Organisaties die al ISO 9001 hebben, plannen de interne audit voor informatiebeveiliging vaak los. Dat is dubbel werk. Neem informatiebeveiliging op in het bestaande interne auditplan en gebruik één verbeterregister voor beide.
Waar wordt op gelet tijdens de audit?
- Werkt het systeem in de praktijk? Een auditor kiest een steekproef en volgt die van begin tot eind. Is er een nieuwe medewerker in dienst gekomen? Laat zien hoe zijn toegang is toegekend en door wie.
- Is de documentatie actueel? Risicoanalyse, Verklaring van Toepasselijkheid, beleid en procedures: niet of ze bestaan, maar of ze de huidige situatie beschrijven.
- Worden bevindingen opgevolgd? Een openstaand punt van vorig jaar zonder voortgang is zwaarder dan een nieuw probleem.
- Zijn de maatregelen effectief? Een maatregel die bestaat maar aantoonbaar niet werkt, is geen maatregel.
Hoe richt je een interne audit in die iets oplevert?
- Maak een meerjarenplanning. Verdeel de onderwerpen over de driejarige certificaatcyclus, met de risicovolste processen elk jaar.
- Werk met bewijs, niet met vragen. Niet “heeft u een back-upprocedure”, maar “laat de laatste hersteltest zien”.
- Spreek de uitvoerders, niet alleen de manager. De praktijk zit bij de mensen die het werk doen.
- Leg bevindingen vast met een eigenaar en een datum. Zonder die twee is een bevinding een observatie.
- Rapporteer aan de directie. De norm eist dat, en het is het moment waarop knelpunten budget kunnen krijgen.
Hoe dit past in het bredere onderhoud van je systeem, staat bij ISO 27001-implementatie. Voor de externe audit hebben we een checklist voor de voorbereiding.
Waarom is een audit zonder bevindingen verdacht?
Omdat geen enkel managementsysteem perfect draait. Een interne audit ISO 27001 die niets vindt, heeft ofwel niet diep genoeg gekeken, ofwel is uitgevoerd door iemand die er te dicht op zit. Externe auditors weten dat, en een rapport zonder bevindingen leidt tot een diepere steekproef. Een rapport met een handvol concrete bevindingen en zichtbare opvolging werkt andersom: het laat zien dat het systeem leeft.
Wat er in de norm staat en hoe certificering werkt, lees je op onze pagina over ISO 27001.
Veelgestelde vragen
Hoe vaak moet ik een interne audit ISO 27001 doen?
De norm spreekt van geplande tussenpozen. In de praktijk betekent dat minimaal jaarlijks, waarbij je onderwerpen mag verdelen over de driejarige cyclus zolang alles binnen die periode aan bod komt.
Hoe lang voor de externe audit plan je de interne audit?
Minimaal zes tot acht weken, zodat er tijd is om bevindingen op te lossen en dat aan te tonen. Eerder is comfortabeler. Wie de interne audit pas een paar weken voor de externe plant, heeft wel bevindingen maar geen tijd meer om er iets mee te doen.
Mag onze eigen securityofficer de interne audit uitvoeren?
Niet op de onderdelen die hij zelf heeft ingericht of uitvoert. Op processen waar hij geen rol in heeft, kan het wel. In kleinere organisaties is die scheiding lastig, en dan is externe uitvoering praktischer.
Kan de interne audit ISO 27001 samen met de ISO 9001-audit?
Ja. Heb je al een intern auditplan voor kwaliteit, neem informatiebeveiliging daar dan in op. Gebruik ook één verbeterregister voor de bevindingen uit beide systemen, zodat niets tussen twee lijsten verdwijnt.
Wat doe ik met de bevindingen uit een interne audit?
Elke bevinding krijgt een eigenaar, een oplossing en een datum. Bespreek de belangrijkste in de directiebeoordeling en houd de voortgang bij, want openstaande punten uit vorig jaar wegen zwaar in de externe audit.
