Interne audit voor een ISO-certificaat

Bijna elke ISO-norm voor een managementsysteem vraagt in paragraaf 9.2 een interne audit. ISO schrijft die eis één keer voor alle normen, in een vaste basistekst. ISO 9001:2026 gebruikt die basistekst, net als ISO 27001. Een norm mag er eigen eisen aan toevoegen. Die staan dan bij de eisen van die norm, zoals bij ISO 9001.

Een uitzondering is ISO 13485 voor medische hulpmiddelen. Die norm volgt de basistekst niet en zet de interne audit in paragraaf 8.2.4.

De kern is één zin: je houdt op geplande momenten een interne audit. Daarmee controleer je of je systeem voldoet aan je eigen afspraken en aan de norm. Je controleert ook of het in de praktijk werkt en zo blijft. Daarvoor eist paragraaf 9.2:

Een vaste termijn, zoals één keer per jaar, staat er niet in. Je kiest zelf wanneer, op basis van het belang van je processen.

Wel bekijkt de certificeerder bij elke jaarlijkse controle-audit je interne audits. Je hebt dus elk jaar iets te laten zien. Hoeveel uur een interne audit kost, schrijft geen regel voor. Dat hangt af van hoeveel processen je hebt en hoe vaak je ze kiest.

Een eigen medewerker mag de interne audit doen. Een externe partij mag het ook, namens jou. Zo staat het in de definitie van audit in de basistekst van ISO. De eis is dat de audit objectief en onpartijdig is. In de praktijk betekent dat: niemand audit zijn eigen werk. Bij een klein bedrijf audit een collega daarom het proces van een ander. Of je huurt iemand van buiten in.

Je eigen certificeerder mag de interne audit niet doen. ISO/IEC 17021-1, de norm voor certificeerders, noemt dat een grote bedreiging voor zijn onpartijdigheid. Doet een certificeerder toch interne audits bij een bedrijf, dan mag hij dat systeem minstens twee jaar daarna niet certificeren. Wie wel mag helpen en wat een adviseur kost, staat bij implementatiebegeleiding.

ISO 19011 is de richtlijn van ISO voor het auditen van managementsystemen. Je kunt er geen certificaat voor halen. Geen norm verplicht je hem te volgen. De versie van 2026 is in mei 2026 verschenen en vervangt die van 2018. De richtlijn gaat over de principes van auditen, het beheren van een auditprogramma, het uitvoeren van een audit en de deskundigheid van auditors. ISO verwijst normschrijvers ernaar als hulp bij paragraaf 9.2. Gebruik hem als handleiding als je je programma voor het eerst opzet, of als je een interne auditor opleidt.

Een interne audit volgt dezelfde lijn als de audit van je certificeerder. Dit zijn de stappen:

Je zet op een rij welke processen je audit, wanneer en door wie. Een proces met veel risico of veel fouten kies je vaker. Veel certificeerders willen in fase 2 zien dat elk onderdeel van je systeem een keer aan bod is geweest. Dat staat niet in de norm, maar het is een gewoonte in de praktijk. Vraag je certificeerder wat hij verwacht.

Je schrijft per audit op wat je wilt weten en waaraan je toetst. Dat kan de norm zijn, je eigen werkinstructie of een afspraak met een klant. Je schrijft ook op welke afdeling, locatie of welk proces je bekijkt.

Je wijst iemand aan die het proces niet zelf uitvoert. Die persoon moet de norm en het proces genoeg kennen om goede vragen te stellen.

De auditor praat met de mensen die het werk doen. Hij kijkt mee op de werkvloer en bekijkt registraties. Dat zijn dezelfde methoden als bij de certificeringsaudit. Hij neemt een steekproef, want alles bekijken lukt niet.

De auditor legt zijn bevindingen vast en brengt ze naar de leidinggevende van het proces. Bij een afwijking herstel je de fout. Je zoekt ook de oorzaak, zodat het niet terugkomt. De uitkomsten gaan daarna naar de directiebeoordeling. Dat is het vaste overleg waarin de leiding bekijkt of het systeem werkt.

De certificeerder controleert je interne audit in elke fase. Dat staat in ISO/IEC 17021-1:

Hij vraagt dan naar je programma, je verslagen en wat je met de bevindingen hebt gedaan. Heb je nooit een interne audit gedaan? Dan kan dat een grote afwijking (major) opleveren. Je krijgt het certificaat pas als die is opgelost. Hoe fase 1 en fase 2 verder verlopen, staat bij de certificeringsaudit. Hoe je de dagen zelf voorbereidt, staat bij de audit voorbereiden.

Een eigen medewerker kent je bedrijf het best. Een externe auditor kijkt met frisse ogen naar wat voor jou gewoon is geworden. Bij een klein bedrijf is iemand van buiten soms de enige manier om eigen werk niet zelf te auditen.

Zoek je iemand die de interne audit voor je doet of je systeem helpt opzetten? Bij CertificeerWijzer vertel je één keer waar je hulp bij zoekt. Dan vergelijk je de voorstellen van implementatiepartners. Certificeerders zitten daar niet tussen, want die mogen je interne audit niet doen.