De interne audit die niets vindt

Deze scène herhaalt zich in gecertificeerde organisaties, met kleine variaties. De interne audit vindt plaats in de lente. De auditor, die in veel kleine ISMS’en ook degene is die de beleidsdocumenten heeft geschreven, werkt een checklist af die is afgeleid van diezelfde beleidsdocumenten. Het rapport vermeldt geen niet-conformiteiten. De directiebeoordeling logt “geen grote bevindingen”, en het jaar gaat verder. Wanneer een reeks van dergelijke audits zich ophoopt, wordt dit geïnterpreteerd als volwassenheid: het ISMS werkt, de audits zijn rustig, en het certificaat blijft in stand tijdens een nieuwe surveillance.

Op 2026-05-27 publiceerde ISO ISO 19011:2026, de vierde editie van de richtlijnen voor het auditen van managementsystemen, en trok de editie uit 2018 in (gepubliceerd op 2018-07-03, ingetrokken op dezelfde dag dat de nieuwe editie verscheen). Gedurende een jaar of twee zullen veel auditprogramma’s nog verwijzen naar de editie uit 2018, en niets in een certificaat hangt hiervan af, omdat de certificeerbare tekst van ISO/IEC 27001:2022 een auditprogramma vereist, niet een specifieke editie van auditrichtlijnen. De wijziging van editie is een handig moment om de vraag te stellen waar de richtlijnen altijd om draaien – en een reeks audits zonder bevindingen zelden stelt: was dit een audit, of een controle van je eigen huiswerk?

Onze stelling is een inzet, geen waarheid: wanneer een intern auditprogramma gedurende twee of drie cycli achter elkaar geen bevindingen rapporteert, is de meest redelijke eerste hypothese niet dat het ISMS uitstekend is. Het is dat het programma is afgedreven naar overeenstemming met de organisatie die het auditeert. De tegenovergestelde opvatting, dat schone audits simpelweg het resultaat zijn van een volwassen ISMS, is respectabel en soms waar, dus we geven je liever de discriminator tussen beide dan dat we je vragen ons op ons woord te geloven.

Wat clausule 9.2 nu eigenlijk vraagt

ISO/IEC 27001:2022 (derde editie, gepubliceerd op 2022-10-25; de klimaatactie-amendement Amd 1:2024, gepubliceerd op 2024-02-23, laat clausule 9.2 ongewijzigd) vereist dat de organisatie interne audits uitvoert “op geplande intervallen” om informatie te verschaffen over of het ISMS voldoet aan de eigen eisen van de organisatie ervoor en aan de eisen van de norm, en of het “effectief is geïmplementeerd en onderhouden” (9.2.1). Clausule 9.2.2 vereist vervolgens een auditprogramma dat is gepland, opgesteld, geïmplementeerd en onderhouden, met aandacht voor frequentie, methoden, verantwoordelijkheden, planningsvereisten en rapportage; auditcriteria en -scope gedefinieerd voor elke audit; auditors geselecteerd en audits uitgevoerd zodat het auditproces objectief en onpartijdig is; resultaten gerapporteerd aan relevante management; en gedocumenteerde informatie bewaard als bewijs van het programma en de resultaten. Eén vereiste in 9.2.2 doet het meeste stille werk: het programma moet rekening houden met het belang van de betrokken processen en met de resultaten van eerdere audits.

Let op wat de clausule niet vereist: een specifiek aantal bevindingen. Een schoon rapport is niet verboden; de audit moet informatie verschaffen, en geen bevindingen is een mogelijk antwoord. Wat een schoon rapport echter niet kan doen, is op zichzelf vaststellen dat het auditproces zijn werk heeft gedaan. En de clausule belast de audit met twee zaken die een comfortabel programma vaak afwerpt: onafhankelijkheid, in de vorm van objectiviteit en onpartijdigheid, en effectiviteit, in de zin dat de audit er is om informatie te produceren over of het systeem werkt, niet alleen of documenten bestaan.

Het programma is een instrument, en instrumenten raken uit balans

De bijdrage van ISO 19011, in beide edities, is dat het het auditprogramma behandelt als een eigen beheerd systeem: doelstellingen, scope, methoden en frequentie bewust gekozen, resultaten teruggekoppeld, het programma zelf gemonitord en verbeterd. ISO’s eigen beschrijving van de norm noemt het richtlijnen voor het auditen van managementsystemen, met aandacht voor de beginselen van auditeren, het beheren van auditprogramma’s en het uitvoeren van audits van managementsystemen, en merkt op dat het richtlijnen zijn die niet zelf leiden tot certificering. De beginselen van auditeren omvatten al lang onafhankelijkheid: auditors moeten onafhankelijk zijn van de activiteit die wordt geaudit waar praktisch haalbaar, en waar dat niet mogelijk is, moeten alle inspanningen worden gedaan om vooringenomenheid te verwijderen en objectiviteit aan te moedigen. Onpartijdigheid is waar auditconclusies vandaan komen. Die discipline bestaat om dezelfde reden als kalibratie van meetinstrumenten: een auditprogramma is een meetinstrument, en een meetinstrument dat dezelfde waarde teruggeeft ongeacht de input, meet niet meer.

Uit onze ervaring neemt de afdrijving naar de aangename audit vier herkenbare vormen aan. Twee ervan schenden expliciete vereisten in 9.2, één schendt het vereiste object van de audit, en één maakt gebruik van een gat dat de tekst openlaat:

De auditor auditeert zijn eigen werk. In kleine ISMS’en is de persoon die de beleidsdocumenten heeft geschreven, de controles heeft geïmplementeerd en de checklist afwerkt vaak dezelfde persoon, omdat de overlap tussen “begrijpt de controles” en “heeft tijd” bijna volledig is. Clausule 9.2.2 vereist objectiviteit en onpartijdigheid van het auditproces, en het onafhankelijkheidsbeginsel van ISO 19011 is precies voor deze situatie geschreven: wees onafhankelijk van de activiteit die je auditeert waar praktisch haalbaar, en waar dat niet kan, behandel de vooringenomenheid als een risico dat moet worden verwijderd in plaats van genegeerd. Je eigen werk beoordelen maakt een audit niet onmogelijk; het overslaan van de mitigatie wel. Uit onze ervaring is dit de afdrijving die het vroegst begint, precies omdat geen enkel artefact bewijst dat het is gebeurd.

De criteria zijn de eigen documenten van het ISMS. De beleidsdocumenten van een organisatie zijn legitieme auditcriteria, en het testen van operationeel bewijs tegen deze criteria is precies wat een audit zou moeten doen. Het falen begint wanneer de beleidsdocumenten de volledige criteria vormen. Dan stelt de audit één vraag: komt de praktijk overeen met het beleid, en vraagt het nooit of het beleid zelf voldoet aan de eisen van de norm of of het systeem effectief is. Die audit kan jarenlang zonder bevindingen verlopen terwijl het ISMS niet conform is met de norm en ineffectief in de praktijk, omdat de enige beklaagde het document was en het document ook de rechter was. Clausule 9.2.1 vraagt om informatie over conformiteit met de eigen eisen van de organisatie en met de eisen van de norm, plus effectiviteit. Auditen tegen alleen de eigen artefacten van het ISMS is hoe een audit schoon terugkomt terwijl het twee van de drie eisen afwerpt.

De scope bevroor in jaar één. Het programma bezoekt dezelfde domeinen, met dezelfde diepgang, met dezelfde checklist, elke cyclus. Een scope die nooit verandert, is niet automatisch niet-conform: wat 9.2.2 vereist is dat het programma rekening houdt met het belang van de betrokken processen en met de resultaten van eerdere audits, en die overweging kan jaar na jaar legitiem hetzelfde antwoord teruggeven. Onze kritiek geldt voor het programma dat wordt voortgezet zonder die heroverweging, terwijl de organisatie eronder verandert: nieuwe producten, een nieuwe regio, een incident, leveranciers die zijn overgenomen. Een schone reeks geproduceerd door een onbeoordeeld plan is een feit over het plan, niet over het systeem.

Bevindingen worden onderhandeld. Niet-conformiteiten worden observaties, observaties worden “kansen voor overweging”, en het register blijft groen. De norm laat de organisatie toe om ernstlabels te bepalen: niets in de tekst schrijft voor hoe een bevinding wordt ingedeeld, en die vrijheid is het gat waarin deze fout leeft. De labels zijn vrij; de onderliggende resultaten niet. Wat het register ook noemt, de audit moet nog steeds nauwkeurige informatie over conformiteit produceren en deze rapporteren aan relevante management, en een groen register dat stilzwijgend een rood probleem vasthoudt, schendt beide. Uit onze ervaring gebeurt de onderhandeling zelden in één bijeenkomst. Het groeit aan, één “laten we het een observatie noemen” tegelijk.

De eerlijke tegenovergestelde positie, en de test die we zouden voorstellen

Eerst de concessie: een goed ISMS kan inderdaad weinig bevindingen produceren. Teams die bewust zijn geïmplementeerd, hun controles hebben geverifieerd en wat ze tijdens de implementatie hebben gevonden hebben opgelost, kunnen audits uitvoeren die stil zijn omdat het systeem stil is. Geen bevindingen is geen bewijs van een gebroken programma, en elke schone audit als een rode vlag behandelen zou op zichzelf een vorm van ruis zijn.

Niets in de norm lost de discussie voor je op, dus hier is de test die we zouden voorstellen, en het is van ons, niet van de tekst. Een schone audit is bewijs wanneer het binnen een programma zit dat zijn werk kan laten zien wanneer erom wordt gevraagd: het auditplan reageert op eerdere resultaten, incidenten en veranderingen in de organisatie (de overwegingseis van 9.2.2 dekt het belang van processen en eerdere auditresultaten; incidenten en organisatieveranderingen zijn inputs die een denkend programma meeweegt bij het bepalen wat ertoe doet); toewijzingen van auditors zijn traceerbaar, zodat de organisatie daadwerkelijk objectiviteit en onpartijdigheid kan demonstreren in plaats van alleen te beweren; en de resultaten bereiken de directiebeoordeling, die auditresultaten opneemt onder haar inputs (9.3.2), in een vorm die de beoordeling in staat stelt om er redeneringen over te maken. Het programma hoeft niet elke cyclus van koers te veranderen, en het hoeft geen bevinding te produceren: een beoordeling kan legitiem concluderen dat er geen verandering nodig is. Objectiviteit en onpartijdigheid zijn daarentegen in geen enkele cyclus optioneel. Het punt is dat het programma zijn redenering kan produceren, niet dat het een probleem moet produceren.

Een schone audit die binnen een programma zit zonder een van deze kenmerken, is geen bewijs. Het is een waarschuwingslampje waarvan de lamp is verwijderd: de stilte is reëel, maar het draagt niet de informatie die het lijkt te dragen.

Waarom dit de dure audit is om te faken

Vergelijk de andere audits in de cyclus. De audit van de certificerende instelling is begrensd: de vereiste auditeffort onder ISO/IEC 27006-1:2024 (gepubliceerd op 2024-03-01, Annex C) begint met het aantal personen dat werk verricht onder controle van de organisatie binnen de scope en past dit aan voor complexiteitsfactoren, en de CI vertrouwt normaal gesproken op steekproeven, omdat een begrensd bezoek niet alles kan testen; de onafhankelijkheid ervan is gereguleerd en hangt af van accreditatie. De interne audit heeft het tegenovergestelde profiel: geen extern voorgeschreven duurformule en geen accreditatie-instantie die het controleert, hoewel het nog steeds volgens een gepland schema verloopt. Het is de enige audit in de cyclus waarin de geauditeerde organisatie de auditor kiest, de criteria vaststelt, de scope definieert en het bewijs controleert – precies waarom clausule 9.2 de eisen voor objectiviteit en onpartijdigheid daar plaatst.

Dat is ook waarom een holle interne audit de dure is. De CI-audit is een periodieke, begrensde inspectie van buitenaf, en monitoring, incidentmanagement en risicobeoordeling houden continu toezicht. De interne audit is het mechanisme waarvan de volledige taak het is om opzettelijk naar je problemen te zoeken, volgens gedefinieerde eisen. Een interne audit die nooit oneens is met management is herbestemd tot een ceremonie die de afwezigheid van nieuws certificeert.

De editie uit 2026 van ISO 19011 zal de komende jaren binnen auditprogramma’s verschijnen, en het updaten van het editienummer op de referentielijn van het programma is het goedkoopste onderdeel van de oefening. Als dat het enige onderdeel van de update is, heeft de organisatie de afdrijving die deze post beschrijft, volgens schema uitgevoerd. Als je schone reeks bevindingen binnen een programma zit dat zijn doel heroverweegt, het risico op vooringenomenheid beheert wanneer auditors dicht bij hun eigen werk zitten, en auditeert tegen de norm in plaats van tegen zichzelf, behoud dan de reeks. Uit onze ervaring zijn reeksen die zoveel kunnen laten zien de uitzondering, en dat is precies waarom de uitzondering het behouden waard is.