Een ISO 27001 pre-audit is de generale repetitie vlak vóór de certificatieaudit: een onafhankelijke auditor doorloopt uw ISMS alsof het de echte audit is, mét interviews, steekproeven en een rapport met ernstclassificatie. Wat een pre-audit kost, is een van de meest gestelde vragen van organisaties die dicht bij hun stage 2-audit staan — en het eerlijke antwoord is dat daar geen vast tarief voor bestaat. De prijs hangt af van hoeveel er te toetsen valt en hoe grondig dat moet gebeuren, niet van een lijstprijs op een website. Dit artikel legt uit welke factoren de kosten van een pre-audit werkelijk bepalen, hoe die kostenlogica verschilt van een gap-analyse, en waarom de vraag die er echt toe doet niet "wat kost een pre-audit" is, maar "wat kost het om vlak vóór de certificatieaudit alsnog verrast te worden."
Waarom er geen vast tarief bestaat voor een pre-audit
Zoek online naar de prijs van een ISO 27001 pre-audit en u krijgt vooral vage marketingteksten of helemaal geen bedrag te zien. Dat is geen toeval en ook geen gebrek aan transparantie: een pre-audit is methodologisch nagenoeg identiek aan de echte certificatieaudit, alleen dan zonder dat er een certificaat op het spel staat. De auditor gebruikt dezelfde aanpak die de certificerende instelling (CI) later zal gebruiken — documentreview, interviews en steekproeven op de werking van uw beheersmaatregelen. Dat betekent dat de prijs van een pre-audit meebeweegt met precies dezelfde variabelen als de prijs van een certificatieaudit: de omvang van uw scope, het aantal locaties en afdelingen, en de diepgang die nodig is om een betrouwbaar beeld te krijgen.
Een aanbieder die voor elke organisatie hetzelfde bedrag noemt, verkoopt ofwel een strak afgebakend standaardproduct — prima, zolang u weet wat daarbuiten valt — ofwel prijst niet echt op uw risicoprofiel. Secrotec kiest bewust niet voor een vast tarief op deze pagina; verderop leest u hoe u wél snel aan een reëel, op uw situatie toegesneden bedrag komt.
De kostenfactoren van een ISO 27001 pre-audit
Drie factoren bepalen in de praktijk het grootste deel van de prijs.
Aantal auditdagen voor een representatieve steekproef
Een pre-audit is geen vinkje-op-een-lijst-oefening; de auditor moet genoeg bewijs verzamelen om een uitspraak te kunnen doen die standhoudt tijdens de echte audit. Hoeveel dagen daarvoor nodig zijn, hangt af van hoeveel processen, beheersmaatregelen en records representatief getoetst moeten worden. Een kleinere organisatie met één duidelijke scope heeft aan minder tijd genoeg dan een organisatie met meerdere productlijnen of een uitgebreide Verklaring van Toepasselijkheid.
Aantal afdelingen en locaties
Elke extra afdeling of vestiging die in scope valt, betekent extra interviews, extra steekproeven en vaak extra reistijd. Een pre-audit voor één kantoor met een compact team is een ander traject dan een pre-audit voor een organisatie met meerdere vestigingen die allemaal onder hetzelfde certificaat vallen.
Hoe kort voor de echte auditdatum wordt ingepland
Een pre-audit die ruim vóór de certificatieaudit wordt geboekt, past doorgaans normaal in de planning van de auditor. Wordt de pre-audit pas op zeer korte termijn aangevraagd — bijvoorbeeld enkele weken voor de stage 2-audit — dan is er minder ruimte om agenda's op elkaar af te stemmen, en blijft er voor u ook minder tijd over om bevindingen daadwerkelijk te herstellen. Dat laatste raakt niet alleen de planning, maar het hele nut van de oefening; zie de veelgemaakte fout hieronder.
Deze drie factoren verklaren waarom twee organisaties met "een pre-audit" in de aanvraag toch heel verschillende offertes kunnen krijgen: het gaat nooit om één vaste dienst, maar om een oefening die meeschaalt met de werkelijke omvang van wat er getoetst moet worden.
Pre-audit versus gap-analyse: waarom de prijslogica verschilt
Pre-audit en gap-analyse worden vaak op één hoop gegooid, ook in offertetrajecten — maar de prijslogica erachter is wezenlijk anders. Een gap-analyse vindt vroeg in het traject plaats, vaak vóórdat het ISMS af is: de auditor brengt in kaart wát er nog moet worden gebouwd. De prijs van een gap-analyse hangt vooral af van hoeveel er in kaart te brengen valt — het aantal processen en afdelingen in scope — niet van auditdag-tarieven.
Een pre-audit komt juist laat in het traject, wanneer het ISMS al een tijdje moet draaien. De auditor toetst niet meer wát er is opgebouwd, maar of het écht werkt — op dezelfde manier waarop de certificerende instelling dat straks zal doen. Daarom volgt de prijs van een pre-audit de logica van auditdag-tarieven in plaats van scope-inventarisatie. Onze uitsplitsing van gap-analyse, pre-audit en certificatieaudit laat zien hoe de drie stadia van "auditkosten" zich tot elkaar verhouden en waarom ze zelden in één offerte thuishoren.
Kortom: een gap-analyse vertelt u wat u moet bouwen; een pre-audit toetst of wat u gebouwd heeft de certificatieaudit doorstaat. Vraag bij elke offerte expliciet na welke van de twee wordt aangeboden — de namen worden in de praktijk regelmatig door elkaar gebruikt.
De echte waarde: wat een pre-audit u bespaart
Wie alleen naar de rekening van de pre-audit kijkt, mist de helft van het verhaal. De echte waarde zit niet in het bedrag op de factuur, maar in wat een pre-audit u bespaart: het risico dat de certificerende instelling tijdens de officiële audit een majeure afwijking vaststelt. Een majeure afwijking kan uw certificering uitstellen, een extra auditbezoek noodzakelijk maken en — niet te onderschatten — de geloofwaardigheid van uw ISMS bij klanten en aanbestedende partijen onder druk zetten.
Vanuit auditperspectief is de rekensom simpel: de kosten van een pre-audit staan tegenover de kosten van een mislukte of vertraagde certificatieaudit — een extra auditbezoek bij de CI, weken vertraging in een aanbesteding of klantcontract, en de interne tijd die gaat zitten in een hersteltraject onder tijdsdruk. Een pre-audit die tijdig een majeure afwijking blootlegt, geeft u de kans om die op te lossen terwijl fouten nog "gratis" zijn, in plaats van tijdens de officiële audit, waar diezelfde fout een formele non-conformiteit wordt. Beoordeel de investering dus niet tegen "wat kost het", maar tegen "wat kost het als dit tijdens de echte audit gebeurt".
Wat de praktijk laat zien
Drie zaken uit de praktijk onderbouwen deze kosten-batenlogica.
Ten eerste is Secrotec's eigen pre-audit-aanpak expliciet gebouwd rond het vroeg opsporen van afwijkingen en het opleveren van een remediatieplan: een geprioriteerde lijst van acties, verantwoordelijken en urgentie per bevinding, in plaats van een lange lijst losse opmerkingen. Dat remediatieplan is precies het instrument waarmee u de bespaarde kosten uit de vorige paragraaf concreet maakt — u weet niet alleen dát er een risico is, maar ook wat u eraan moet doen en in welke volgorde.
Ten tweede telt de ernst van wat er gevonden wordt zwaarder mee dan het aantal bevindingen. Zoals we toelichten in onze FAQ over het verschil tussen een major en een minor afwijking, is een major (kritieke) afwijking een ernstig of systematisch gebrek dat moet zijn opgelost vóór certificering, terwijl een minor afwijking een kleinere, op zichzelf staande tekortkoming is die u met een correctief actieplan mag herstellen — al kunnen veel minors samen wél als een major wegen. Het doel van een pre-audit is dus niet "nul bevindingen", maar: geen majeure afwijking die u voor het eerst tijdens de officiële audit ziet.
Ten derde, ter oriëntatie op wat een vergelijkbaar auditbezoek in de Nederlandse markt kost: AuditDirect publiceert op de eigen website een vast tarief van €1.600 voor een interne ISO 27001-audit van één dag op locatie. Dat is nadrukkelijk een andere dienst dan een pre-audit — het is de verplichte interne audit uit clausule 9.2, geen generale repetitie van de certificatieaudit — maar het geeft wel een concreet, publiek prijspunt voor een vergelijkbaar dagdeel onafhankelijk auditwerk. Prijzen en aanbod veranderen: controleer bedragen als deze altijd rechtstreeks bij de aanbieder voordat u ze in een vergelijking gebruikt; dit is een momentopname uit deze sessie, geen actueel gemonitorde prijsfeed.
Veelgemaakte fouten bij het plannen van een pre-audit
Te kort voor de echte auditdatum boeken. De meest gemaakte fout is de pre-audit zo laat plannen dat er, als er een majeure afwijking naar boven komt, geen realistische tijd meer overblijft om die op te lossen vóór de certificatieaudit. Dan heeft u wel betaald voor de oefening, maar niet voor het voordeel ervan. Plan een pre-audit met genoeg buffer: enkele weken tot een paar maanden vóór de geplande certificatieaudit is doorgaans realistischer dan enkele dagen.
Pre-audit en gap-analyse als inwisselbaar behandelen. Omdat beide diensten "vooraf checken of u er klaar voor bent" beloven, worden ze in offertevergelijkingen vaak door elkaar gehaald. Zoals hierboven beschreven, dienen ze een ander doel op een ander moment: een gap-analyse vroeg in het traject, een pre-audit vlak voor de finish. Een offerte die de twee samenvoegt tot één post, maakt het lastig te beoordelen of u daadwerkelijk krijgt wat u nodig heeft.
Geen representatieve scope laten toetsen. Een pre-audit die om kosten te besparen maar één afdeling of één proces bekijkt, geeft alleen zekerheid over dát ene onderdeel — niet over de rest van uw ISMS. Bespreek vooraf met uw auditor welke scope representatief genoeg is om een betrouwbare uitspraak te doen.
Hoe u tot een reëel getal komt
Omdat de prijs van een pre-audit meeschaalt met uw scope, het aantal auditdagen en de timing, is de enige manier om een betrouwbaar bedrag te krijgen: uw situatie laten beoordelen. Voor het totaalplaatje van alle kostenposten in een certificeringstraject — inclusief de kosten die de certificerende instelling zelf apart factureert — leest u wat een ISO 27001-certificering in totaal kost. Wilt u eerst begrijpen waarom "audit kosten" eigenlijk drie verschillende vragen zijn (gap-analyse, pre-audit en certificatieaudit)? Lees dan onze uitsplitsing van ISO-audit kosten.
Voor een pre-audit specifiek is de snelste weg naar een reëel getal: laat ons uw scope, het aantal locaties en afdelingen, en de datum van uw geplande certificatieaudit weten. Op basis daarvan geven wij een passende inschatting, zonder verrassingen achteraf.
ISO/IEC 27001 — officiële normpagina (officiële bron voor de norm zelf; voor auditdag-tarieven van een certificerende instelling raadpleegt u die instelling rechtstreeks).
Veelgestelde vragen
Korte, directe antwoorden op de meestgestelde vragen.
Een pre-audit wordt geprijsd en gefactureerd door uw onafhankelijke auditor, op basis van auditdagen voor een representatieve steekproef van uw ISMS — er staat geen certificaat op het spel. De certificatieaudit daarentegen wordt volledig geprijsd en gefactureerd door een geaccrediteerde certificerende instelling (CI), inclusief fase 1, fase 2, jaarlijkse surveillance-audits en hercertificering in jaar drie. Dat zijn twee gescheiden rekeningen bij twee verschillende partijen, en de CI-kosten liggen doorgaans structureel hoger over de hele certificeringscyclus. Onze uitsplitsing van gap-analyse, pre-audit en certificatieaudit zet alle drie de stadia naast elkaar.
In theorie wel, ja — een pre-audit werkt net als de echte audit met een steekproef, geen 100%-controle van elk proces en elk record. Een goed opgezette pre-audit met een representatieve scope en voldoende auditdagen verkleint het risico op verrassingen drastisch, maar garandeert nooit dat de certificerende instelling exact dezelfde bevindingen doet. Dat is precies waarom de scope en het aantal auditdagen — zie de kostenfactoren hierboven — er zo toe doen: hoe representatiever de steekproef, hoe betrouwbaarder de uitspraak.
Technisch kan een pre-audit soms op relatief korte termijn worden ingepland, maar de waarde ervan hangt af van wat u ná de pre-audit nog met de bevindingen kunt doen. Plant u de pre-audit slechts enkele dagen voor de certificatieaudit, dan is er weinig tot geen tijd meer om een majeure afwijking daadwerkelijk te herstellen — u weet dan wél wat er mis is, maar kunt er niets meer aan doen vóór de CI langskomt. Reken daarom op enkele weken tot een paar maanden speelruimte, zodat bevindingen nog opgelost kunnen worden. Neem contact op om samen het juiste moment te bepalen.
Klaar om te weten wat úw pre-audit kost?
Vraag een vrijblijvende audit-scan aan. In één gesprek bepalen we uw scope, het aantal auditdagen en een reëel, op maat gemaakt bedrag — nooit een lijstprijs.
