Mag uw ISO 27001-consultant ook uw interne audit uitvoeren?

Uw ISO 27001-consultant kent uw organisatie inmiddels door en door. Hij heeft meegeholpen aan uw risicoregister, uw Verklaring van Toepasselijkheid opgesteld of een deel van uw beleid geschreven. Dus waarom niet gewoon dezelfde partij vragen om ook de verplichte interne audit uit te voeren? Het scheelt een nieuwe kennismaking, de consultant kent de materie al, en het voelt efficiënt. Het is een logische vraag — en het antwoord is bijna altijd: nee, niet als die audit moet gelden als de onafhankelijke, bruikbare interne audit die ISO 27001 clausule 9.2 van u vraagt.

Dit is een specifiek en veelvoorkomend scenario binnen de bredere regel achter deze vraag: wie mag wat beoordelen, en waarom. Dit artikel laat de bredere afweging tussen consultant, certificerende instelling en auditor grotendeels achterwege en richt zich op één concrete situatie: mag de partij die u heeft geadviseerd, ook uw interne audit doen?

De kernregel: wie heeft geadviseerd, mag niet zelf beoordelen

De kernregel is eenvoudig te formuleren, ook al voelt hij in de praktijk soms onhandig aan: een partij die een deel van uw managementsysteem heeft geadviseerd, opgezet of geschreven, kan dat werk daarna niet objectief namens u beoordelen. Dit heet het zelfreview-risico (self-review threat), en het is geen overdreven voorzichtigheid van individuele auditors — het is een erkend principe in de wereld van conformiteitsbeoordeling.

ISO/IEC 17021-1, de internationale norm die eisen stelt aan certificerende instellingen, verbiedt om precies deze reden dat een certificerende instelling adviesdiensten levert aan organisaties die zij certificeert. Dezelfde logica werkt door naar de interne audit die aan die certificering voorafgaat: ISO 19011, de leidraad voor het uitvoeren van managementsysteemaudits, stelt objectiviteit en onpartijdigheid als kernprincipes voor iedere auditor — of die nu een interne medewerker is, een ingehuurde zzp'er, of een consultant die al maanden meedraait in uw organisatie. Beide normen zijn onderaan dit artikel direct te raadplegen.

Waarom dit net zo goed geldt voor een consultant als voor een collega

Het zelfreview-risico duikt in twee vormen op. De eerste is bekend: een medewerker die de interne audit uitvoert over een proces waarvoor hij zelf verantwoordelijk is, of dat hij zelf heeft ingericht. Vrijwel iedereen begrijpt intuïtief dat dit niet objectief kan zijn — u beoordeelt dan in feite uw eigen werk.

De tweede vorm is minder vanzelfsprekend, maar volgt exact dezelfde logica: een consultant die uw risicoregister heeft opgesteld, uw Verklaring van Toepasselijkheid heeft geschreven of uw beleid heeft ingericht, bevindt zich in precies dezelfde positie als die medewerker. Voor het onafhankelijkheidsvraagstuk maakt het geen verschil of het 'zelf' een interne rol is of een ingehuurde partij. Zodra dezelfde partij eerst heeft geadviseerd of geïmplementeerd en vervolgens beoordeelt, ontbreekt de kritische afstand die een audit pas waardevol maakt.

Concreet: als uw consultant het risicoregister of de SoA heeft opgesteld

Vertaal dit naar de praktijk. Stel dat uw consultant samen met u de risicobeoordeling heeft uitgevoerd, de Verklaring van Toepasselijkheid (SoA) heeft opgesteld en een deel van uw beleidsdocumenten heeft geschreven. Vraagt u vervolgens diezelfde consultant om de interne audit te doen, dan toetst hij in de praktijk zijn eigen keuzes: zijn de risico's juist ingeschat? Is de SoA compleet en goed onderbouwd? Sluit het beleid aan op de praktijk?

Een consultant die op die vragen 'ja' antwoordt, bevestigt vooral dat hij zijn eigen werk goed vindt. Dat is geen kwestie van kwade trouw of gebrekkige vakkennis — het is een structureel probleem dat los staat van de integriteit van de betrokken persoon. Zelfs de meest zorgvuldige professional kan onmogelijk volledig objectief zijn over besluiten die hij zelf heeft genomen. Precies daarom vraagt clausule 9.2 van ISO 27001 om auditors die objectiviteit en onpartijdigheid van het auditproces waarborgen — een eis die feitelijk onuitvoerbaar wordt zodra beoordelaar en bouwer dezelfde partij zijn.

Wat een certificerende instelling hier écht naar kijkt

Een certificerende instelling (CI) toetst tijdens de certificatieaudit niet alleen óf u een interne audit heeft uitgevoerd, maar ook of die audit bruikbaar bewijs oplevert voor clausule 9.2. Dat betekent onder meer: is er een auditplan, zijn bevindingen vastgelegd, en — cruciaal — kan de organisatie aantonen dat de auditor onafhankelijk was van het onderdeel dat hij beoordeelde?

Ontdekt een CI-auditor tijdens de certificatieaudit dat de verplichte interne audit is uitgevoerd door de partij die het ISMS mede heeft opgebouwd, dan kan hij die audit als onvoldoende onafhankelijk bewijs terzijde schuiven. Het gevolg: de interne audit heeft voor certificeringsdoeleinden dan feitelijk niet plaatsgevonden, ook al staat het rapport keurig in uw documentatie. Ter verduidelijking: Secrotec voert deze toetsing uit als onafhankelijke auditor, maar geeft zelf geen certificaat af — dat doet uitsluitend een geaccrediteerde certificerende instelling.

Wat Secrotec hierin doet — en waarom dat geen unieke claim is

Deze regel is geen marketingclaim van één partij. Ze geldt voor elke auditor die zijn oordeel bruikbaar wil laten zijn richting een certificerende instelling. Ook Secrotec houdt zich er strikt aan: "We beoordelen geen advies- of implementatiewerk dat we zelf hebben geleverd, en we werken volgens de objectiviteits- en onpartijdigheidsprincipes van ISO 19011." Dat is geen exclusieve claim — elke serieuze onafhankelijke auditor hoort hetzelfde uitgangspunt te hanteren.

Het is precies waarom onafhankelijkheid als zelfstandig criterium meeweegt wanneer u een consultant of auditor kiest: vraag elke aanbieder — Secrotec inbegrepen — expliciet of zij ooit advies- of implementatiewerk hebben geleverd aan uw organisatie, en zo ja, aan welk deel. Bekijk ook onze veelgestelde vragen, waaronder hoe vaak een interne audit volgens clausule 9.2 moet plaatsvinden en hoe wij onafhankelijkheid in de praktijk waarborgen.

Veelgemaakte fouten

In de praktijk zien we een aantal terugkerende denkfouten rond dit onderwerp:

• "Een andere adviseur van hetzelfde bureau, dus het is toch onafhankelijk?" Niet per se. Bij een kleine consultancy delen collega's vaak dossiers, aansturing en — belangrijker — een commercieel belang bij een tevreden, doorlopende klantrelatie. Een andere naam onder het rapport lost het onderliggende belangenconflict niet automatisch op als het bureau als geheel garant staat voor het advieswerk én de omzet uit die klant.
• Niet vastleggen wie wat heeft gedaan. Ook als de rolverdeling wél zuiver is, ontbreekt vaak de documentatie die dat aantoont. Leg vast wie het risicoregister heeft opgesteld, wie de SoA heeft geschreven en wie de interne audit heeft uitgevoerd — een CI-auditor moet dit kunnen navragen en controleren.
• Onafhankelijkheid pas regelen vlak vóór de certificatieaudit. Wordt dit pas tijdens de certificatieaudit ontdekt, dan moet de interne audit alsnog opnieuw worden uitgevoerd door een aantoonbaar onafhankelijke partij — met alle planningsdruk van dien, vlak voor een moment waarop u dat het minst kunt gebruiken.

De meest robuuste oplossing is een structureel gescheiden rol: laat de interne audit uitvoeren door een onafhankelijke Lead Auditor die geen enkele rol heeft gehad in het opzetten van uw ISMS. Benieuwd wat dit u kost om goed te regelen? Dat hangt vooral af van de omvang van uw scope en de frequentie die clausule 9.2 van uw organisatie vraagt.

Bronnen: ISO/IEC 17021-1 — officiële normpagina en ISO 19011 — officiële normpagina (officiële bronnen).