Wat kost een interne auditor? Dagtarief en de factoren die de prijs bepalen
Zoek op "interne auditor dagtarief" en u vindt vooral vage bandbreedtes, marketingpagina's zonder onderbouwing, of helemaal geen bedrag. Dat is geen toeval: er bestaat geen vast dagtarief voor een interne auditor, net zomin als er één vaste prijs bestaat voor een ISO 27001-certificering in totaal. Wat wél bestaat, zijn duidelijke factoren die de prijs bepalen — en die kunt u vooraf doorrekenen, in plaats van te gokken op basis van het eerste getal dat u online tegenkomt.
Voor wie een interne audit volgens ISO 27001 periodiek moet laten uitvoeren, is dat des te belangrijker. Dit is geen eenmalige uitgave die u één keer begroot en daarna vergeet, maar een terugkerende post die jaar na jaar terugkeert in de begroting, doorgaans voor de volledige duur van uw certificering. Dit artikel gaat daarom niet over óf u een interne audit zou moeten uitbesteden aan een onafhankelijke auditor — dat afwegingskader leest u op Lead Auditor inhuren en interne audit uitbesteden. Hier staat centraal wat een dagtarief voor het inhuren van een interne auditor u structureel kost, en welke knoppen u zelf kunt indraaien om dat bedrag te beïnvloeden.
Waarom er geen vast dagtarief bestaat
Een interne auditor rekent geen catalogusprijs, om dezelfde reden dat geen twee organisaties precies dezelfde interne audit nodig hebben. Het aantal auditdagen, de reisafstand, het ervaringsniveau van de auditor en de vraag of u een eenmalige inzet of een doorlopende relatie aangaat, bepalen samen het uiteindelijke bedrag. Een aanbieder die tóch meteen één rond getal noemt zonder deze factoren te bespreken, heeft ofwel een zeer smalle, vooraf aangenomen situatie in gedachten, ofwel rekent achteraf bij zodra uw situatie daarvan afwijkt.
Er is nog een reden om voorzichtig te zijn met een te snel genoemd bedrag: bij een interne audit is onafhankelijkheid net zo belangrijk als prijs. Een auditor die vooral concurreert op de laagste dagprijs, kan geneigd zijn de audit oppervlakkig te houden om binnen die prijs te blijven. Het risico daarvan wordt pas zichtbaar bij de certificatieaudit, wanneer de certificerende instelling alsnog vindt wat de interne audit had moeten signaleren — en dat is duurder dan het verschil in dagtarief ooit was.
De factoren die het dagtarief bepalen
Vier factoren bepalen in de praktijk het grootste deel van de prijs. Ken uw eigen positie op elk daarvan, en u kunt een offerte een stuk beter beoordelen dan op basis van het eindbedrag alleen.
1. Auditdagen per jaar over de driejaarscyclus
ISO 27001 schrijft geen vaste jaarlijkse frequentie voor. De norm eist dat interne audits "met geplande tussenpozen" plaatsvinden (clausule 9.2) — een bewust flexibele formulering, geen vaste kalenderregel. Secrotec's eigen veelgestelde vraag over hoe vaak een interne audit moet worden uitgevoerd preciseert dit: "In de praktijk betekent dit minimaal één keer per jaar, waarbij over een certificatiecyclus de volledige scope aan bod komt. Bij hogere risico's of grote veranderingen auditeert u vaker of gerichter."
Voor uw begroting betekent dit twee dingen. Ten eerste betaalt u niet één keer, maar doorgaans over de volledige driejarige certificeringscyclus, met minimaal één auditmoment per jaar. Ten tweede hangt het aantal auditdagen per moment af van hoeveel van uw scope dat jaar aan bod komt: een klein team met één proces heeft vaak aan een dagdeel genoeg, terwijl een organisatie met meerdere afdelingen en locaties meerdere dagen nodig heeft om de volledige scope over de cyclus te dekken. Een meerjaren-auditprogramma, waarin vooraf is vastgelegd welk deel van de scope in welk jaar wordt geaudit, is precies het instrument waarmee u het totale aantal auditdagen over drie jaar — en dus de kosten — kunt voorspellen in plaats van elk jaar opnieuw te schatten.
2. Reistijd en locatie
Een auditor die op locatie moet zijn, rekent reistijd — expliciet apart, of verwerkt in een regionaal tarief. Bij één vestiging dicht bij de auditor is dat verwaarloosbaar; bij meerdere vestigingen verspreid over het land, of bij een organisatie die bewust kiest voor een auditor met een specifiek sectorprofiel die verder weg zit, telt dit wél mee in het totaalbedrag. Vraag altijd expliciet na of reistijd apart wordt gefactureerd of al in het dagtarief is verwerkt, en of een deel van de audit — bijvoorbeeld de documentatiebeoordeling vooraf — op afstand kan plaatsvinden. Dat laatste kan het aantal dagen op locatie, en dus de reiskosten, beperken zonder dat dit ten koste gaat van de auditdiepte.
3. Ervaring en credentials van de auditor
Een Lead Auditor met aantoonbare ervaring en een erkende auditor-credential vraagt doorgaans een ander tarief dan een generalist die audits als bijtaak uitvoert. Dat verschil is niet alleen een kwestie van uurtarief: een ervaren auditor herkent sneller waar een bevinding zich waarschijnlijk verbergt, wat de audit binnen hetzelfde aantal dagen zowel grondiger als efficiënter maakt. Bij het vergelijken van tarieven loont het daarom om niet alleen naar het bedrag per dag te kijken, maar ook naar wat er in die dag daadwerkelijk wordt geleverd.
4. Eenmalig versus een doorlopende relatie
Een eenmalige, op zichzelf staande auditdag is vaak duurder per dag dan diezelfde dag binnen een doorlopende, meerjarige afspraak. De reden daarvoor is efficiëntie, geen korting: een auditor die uw organisatie, scope en documentatie al kent uit voorgaande jaren, hoeft niet elk jaar opnieuw dezelfde inwerktijd te besteden voordat de daadwerkelijke beoordeling kan beginnen. Bij een eenmalige inzet betaalt u die inwerktijd wél, elke keer opnieuw. Voor een terugkerende verplichting als de interne audit is een doorlopende relatie dan ook vaak niet alleen praktischer, maar over de volledige driejarige cyclus ook kostenefficiënter.
Hoe een auditor naar het dagtarief kijkt
Vanuit het perspectief van een onafhankelijke auditor is het dagtarief geen doel op zich, maar een afweging tegen een risico dat u anders pas bij de certificatieaudit tegenkomt. Een interne audit die te goedkoop en te oppervlakkig is uitgevoerd, kan bevindingen missen die een certificerende instelling tijdens de certificatieaudit wél vindt — met als gevolg een afwijking op precies het moment dat u die het minst kunt gebruiken, na maanden voorbereiding. Het dagtarief van een grondige interne audit weegt dan ook zelden op tegen de kosten van vertraging, herstelwerk en een tweede beoordelingsronde als de certificatieaudit daardoor niet in één keer slaagt. Een goede vraag bij elke offerte is dus niet alleen "wat kost een dag", maar "wat levert die dag op aan zekerheid vóór de certificatieaudit".
Wat de norm en de praktijk hierover zeggen
Twee dingen zijn hier leidend: wat de norm feitelijk eist, en hoe onafhankelijkheid in de praktijk wordt gewaarborgd.
Over de frequentie is de norm zoals hierboven beschreven precies: geplande tussenpozen (clausule 9.2), geen vaste jaarlijkse verplichting, maar in de praktijk doorgaans minstens jaarlijks over de volledige cyclus. Over onafhankelijkheid is de norm minstens zo precies. Secrotec's eigen antwoord op de vraag of Secrotec onafhankelijk en onpartijdig is stelt het zo: "We beoordelen geen advies- of implementatiewerk dat we zelf hebben geleverd, en we werken volgens de objectiviteits- en onpartijdigheidsprincipes van ISO 19011." Dat principe geldt niet alleen voor Secrotec — het is een algemeen uitgangspunt voor elke partij die onafhankelijk mag auditen, vastgelegd in de internationale ISO 19011-richtlijn voor het auditeren van managementsystemen. Ter herinnering: Secrotec is zelf geen certificerende instelling en geeft geen ISO-certificaat af. Als onafhankelijke auditor toetst en rapporteert Secrotec; de certificerende instelling beslist over certificering.
Om een indruk te geven van hoe de markt doorlopende dienstverlening prijst: AuditDirect, een Nederlandse aanbieder met een bedrijfsmodel dat dicht bij dat van Secrotec ligt — audit-readiness zonder zelf te certificeren — noemt op de eigen website onder meer een tarief voor doorlopende begeleiding vanaf €1.500 per maand. Dat is een tarief van AuditDirect, niet van Secrotec, en dient hier uitsluitend als illustratie van hoe doorlopende dienstverlening in de markt wordt geprijsd — geen benchmark voor wat Secrotec vraagt, en geen actuele garantie. Prijzen wijzigen; controleer een dergelijk bedrag altijd rechtstreeks bij de aanbieder zelf voordat u het als referentiepunt gebruikt.
Veelgemaakte fouten bij het inhuren van een interne auditor
Fout 1 — het als eenmalige uitgave behandelen. De interne audit is een terugkerende verplichting, geen project dat na één keer is afgerond. Begroot daarom niet één jaar, maar de volledige driejarige cyclus, inclusief het jaar of de jaren waarin de scope het breedst wordt beoordeeld.
Fout 2 — aannemen dat "een andere collega, dezelfde partij" voldoende onafhankelijkheid oplevert. Onafhankelijkheid draait niet om welke persoon de audit uitvoert, maar om de vraag of die persoon of dat bureau eigen advies- of implementatiewerk beoordeelt. Als hetzelfde bureau uw ISMS heeft opgebouwd, lost een andere naam op de rapportage dat belangenconflict niet op — zeker niet bij een klein bureau waar de commerciële relatie met de klant intact blijft, ongeacht wie er die dag audit. Dit is precies het onderwerp van mag uw consultant ook uw interne audit uitvoeren.
Fout 3 — niet navragen of het rapport bij het tarief is inbegrepen. Een auditdag zonder een bruikbaar, schriftelijk rapport heeft weinig waarde als bewijs richting uw certificerende instelling. Vraag bij elke offerte expliciet of de rapportage — inclusief bevindingen, eventuele afwijkingen en een conclusie die u kunt tonen bij de directiebeoordeling — in het genoemde dagtarief is inbegrepen, of dat dit apart wordt gefactureerd.
Hoe u een reële offerte krijgt
De enige manier om van vier factoren naar een concreet bedrag te komen, is door ze allemaal expliciet te maken in uw offerteaanvraag. Vraag naar: het aantal auditdagen per jaar dat past bij uw scope en de fase van uw driejarige cyclus; of reistijd apart wordt gerekend; welk ervaringsniveau en welke credentials de auditor meebrengt; en of een meerjarige afspraak een ander tarief oplevert dan een eenmalige inzet. Vraag daarnaast altijd of het rapport is inbegrepen. Wie deze vier punten scherp op papier heeft, weet precies wat een dagtarief voor het inhuren van een interne auditor bij de eigen organisatie zou moeten omvatten — en kan offertes van verschillende aanbieders eerlijk naast elkaar leggen.
Overweegt u nog of uitbesteden aan een onafhankelijke auditor de juiste keuze is voor uw organisatie? Lees dan eerst Lead Auditor inhuren en interne audit uitbesteden. Bent u een kleinere organisatie en vraagt u zich af hoe deze factoren meeschalen met uw omvang? Dat leest u op ISO 27001 voor het MKB.
ISO 19011 — richtlijn voor het auditeren van managementsystemen (officiële bron).
Veelgestelde vragen
Korte, directe antwoorden op de meestgestelde vragen.
In de praktijk vaak wel, al is dat geen vast kortingspercentage maar een gevolg van efficiëntie. Bij een doorlopende relatie hoeft de auditor niet elk jaar opnieuw uw scope, processen en documentatie van de grond af te leren kennen — dat scheelt inwerktijd die u bij een eenmalige, op zichzelf staande auditdag wél steeds opnieuw betaalt. Vraag bij een offerte daarom altijd expliciet of het genoemde tarief een eenmalige inzet of een doorlopende, meerjarige afspraak betreft, want dat onderscheid verklaart een groot deel van de spreiding tussen offertes.
Dat verschilt per auditor en hoort thuis in de offerte, niet als verrassing op de eindfactuur. Sommige auditors brengen reistijd en verblijfkosten apart in rekening, bijvoorbeeld per gereden kilometer of als losse reisuren; anderen verwerken dit al in een regionaal dagtarief. Bij meerdere vestigingen op afstand van elkaar kan dit het totaalbedrag merkbaar beïnvloeden. Vraag dit vooraf na, en vraag ook of een deel van de audit — zoals de documentatiebeoordeling — op afstand kan plaatsvinden, wat reiskosten kan beperken zonder dat dit ten koste gaat van de auditdiepte.
Ja. Onafhankelijkheid gaat niet over het wisselen van de persoon die audit, maar over het niet beoordelen van eigen advies- of implementatiewerk. Zolang de auditor uw ISMS niet zelf heeft opgebouwd of geadviseerd over de specifieke onderdelen die worden beoordeeld, mag diezelfde auditor u meerdere jaren achtereen auditen — dat is vaak zelfs efficiënter, omdat opgebouwde kennis van uw organisatie de auditdiepte ten goede komt. Waar het wél op aankomt, is dat er geen belangenconflict ontstaat tussen advies en beoordeling.
Wilt u een reëel dagtarief voor úw situatie?
Plan een vrijblijvende audit-scan en weet binnen één gesprek hoeveel auditdagen uw scope en cyclus realistisch vragen — en wat dat betekent voor de begroting.
