Wat is een ISO 27001-audit?
Een ISO 27001-audit is een systematische, onafhankelijke beoordeling van een informatiebeveiligingsmanagementsysteem (ISMS). Tijdens de audit wordt onderzocht of het managementsysteem voldoet aan de eisen van ISO/IEC 27001 en in de praktijk effectief functioneert.
Bij een ISO 27001-certificatieaudit beoordeelt Brand Compliance zowel de inrichting als de werking van het ISMS. De initiële certificatieaudit bestaat uit twee fasen: fase 1 en fase 2.
De auditor legt de bevindingen vast in een auditrapport. Na beoordeling van de resultaten, afhandeling van eventuele afwijkingen volgens de geldende eisen en een positieve certificatiebeslissing kan het ISO 27001-certificaat worden verstrekt.
Wilt u meer weten over het volledige traject? Bekijk onze pagina over ISO 27001-certificering.
Wat controleert een ISO 27001-auditor?
Tijdens een ISO 27001-certificatieaudit onderzoekt de auditor of uw informatiebeveiligingsmanagementsysteem voldoet aan de normeisen en of de vastgelegde werkwijze in de praktijk wordt gevolgd.
De auditor beoordeelt onder andere:
- Het toepassingsgebied van het ISMS: welke processen, activiteiten, systemen en locaties onder het managementsysteem vallen.
- Risicobeoordeling en risicobehandeling: hoe informatiebeveiligingsrisico’s worden geïdentificeerd, beoordeeld en behandeld.
- Statement of Applicability (SoA): welke beveiligingsmaatregelen van toepassing zijn en hoe keuzes worden onderbouwd.
- Uitvoering van beveiligingsmaatregelen: of relevante maatregelen zijn geïmplementeerd en aantoonbaar functioneren.
- Interne audits en directiebeoordeling: hoe uw organisatie het ISMS evalueert en verbetert.
- Afwijkingen en verbetermaatregelen: hoe tekortkomingen worden onderzocht, gecorrigeerd en opgevolgd.
De beoordeling vindt plaats aan de hand van documentatie, gesprekken met medewerkers, observaties en steekproeven. Daarbij kijkt de auditor niet alleen naar het beleid, maar ook naar bewijs dat het managementsysteem daadwerkelijk functioneert.
Hoe verloopt een ISO 27001-audit?
De initiële ISO 27001-certificatieaudit bestaat uit twee fasen. In fase 1 beoordelen wij of uw organisatie voldoende voorbereid is op fase 2. In fase 2 staat de werking van uw
informatiebeveiligingsmanagementsysteem (ISMS) centraal.
FASE 1
Beoordeling van de auditgereedheid
De auditor beoordeelt de gedocumenteerde informatie,
het toepassingsgebied en de voorbereiding van het ISMS.
Wat wordt beoordeeld?
- Documentatie en toepassingsgebied
- Risicobeoordeling en risicobehandeling
- Statement of Applicability (SoA)
- Interne audits en directiebeoordeling
Uitkomst: bevindingen en beoordeling
van de gereedheid voor fase 2.
FASE 2
Beoordeling van de werking
De auditor onderzoekt of het ISMS daadwerkelijk
is geïmplementeerd en effectief functioneert.
Wat wordt beoordeeld?
- Uitvoering van processen en maatregelen
- Interviews met betrokken medewerkers
- Observaties en steekproeven
- Bewijs van naleving en effectiviteit
Uitkomst: auditrapport met bevindingen
als basis voor de certificatiebeslissing.
Meer weten over de voorbereiding? Lees ons artikel over fase 1 van de initiële audit
Wat gebeurt er als er afwijkingen worden geconstateerd tijdens de audit?
Tijdens een ISO 27001-audit kan de auditor afwijkingen vaststellen. Deze worden vastgelegd en toegelicht. We onderscheiden belangrijke en minder belangrijke afwijkingen.
| Type afwijking | Betekenis | Voorbeeld |
|---|---|---|
| Belangrijke afwijking | Risico op falen van het ISMS | Geen interne audit uitgevoerd |
| Minder belangrijke afwijking | Beperkte invloed op effectiviteit van het ISMS | Verouderd document in omloop |
Uw organisatie is verantwoordelijk voor het analyseren van de oorzaken en het treffen van passende correcties en corrigerende maatregelen. Brand Compliance beoordeelt de opvolging volgens de geldende certificatie-eisen. De aard en ernst van de afwijkingen bepalen welke verificatie nodig is voordat een positieve certificatiebeslissing kan worden genomen.
Welke audits volgen na ISO 27001-certificering?
Na een positieve certificatiebeslissing ontvangt uw organisatie een ISO 27001-certificaat dat doorgaans drie jaar geldig is. Tijdens deze periode vinden periodieke controleaudits plaats. Aan het einde van de certificatiecyclus volgt een hercertificatieaudit.
Jaarlijkse controleaudits
Brand Compliance beoordeelt periodiek of uw ISMS aan de eisen blijft voldoen en effectief functioneert. Hierbij kijken onze auditoren onder meer naar interne audits, directiebeoordelingen, afwijkingen, verbetermaatregelen en wijzigingen in het ISMS.
Hercertificering na drie jaar
Vóór afloop van de certificaatgeldigheid vindt een hercertificatieaudit plaats. Hierbij beoordelen wij of uw ISMS nog steeds voldoet aan ISO/IEC 27001 en effectief
functioneert. Na een positieve certificatiebeslissing begint een nieuwe certificatiecyclus.
De benodigde audittijd hangt onder meer af van de omvang, complexiteit en het toepassingsgebied van uw organisatie. Lees meer over de kosten van ISO 27001-certificering.
Wat is het verschil tussen een interne en externe ISO 27001-audit?
| Onderdeel | Interne audit | Externe certificatieaudit |
|---|---|---|
| Doel | ISMS beoordelen en verbeteren | Onafhankelijk toetsen aan certificatie-eisen |
| Uitvoerder | Onafhankelijke interne of externe auditor | Auditor van een certificerende instelling |
| Onderzoek | Processen, maatregelen en normeisen | Conformiteit en effectiviteit van het ISMS |
| Resultaat | Intern auditrapport | Auditrapport; certificaat na positieve certificatiebeslissing |
| Verplichting | Vereist binnen ISO 27001 | Nodig voor certificering |
Een interne ISO 27001-audit helpt uw organisatie om afwijkingen en verbeterpunten tijdig vast te stellen. Tijdens de externe certificatieaudit beoordeelt Brand Compliance onafhankelijk of uw ISMS aan de certificatie-eisen voldoet. Wat is het verschil tussen een interne en externe audit?
ISO 27001-audit bij Brand Compliance
Brand Compliance voert onafhankelijke ISO 27001-certificatieaudits uit onder accreditatie van de Raad voor Accreditatie (RvA).
Wij beoordelen of uw ISMS voldoet aan de normeisen en in de praktijk effectief functioneert.
Certificatieaudits onder RvA-accreditatie (C548)
Ervaren auditoren op het gebied van informatiebeveiliging
Een duidelijk auditproces en transparante rapportage
Onafhankelijke beoordeling en certificatiebesluitvorming
Persoonlijk contact over uw ISO 27001-audit
Bart Versluijs en Michel Leloup informeren u over het auditproces, de benodigde audittijd en de factoren die van invloed zijn op uw certificatieaudit.
Bespreek uw situatie
Een ISO 27001-audit in de praktijk
Linqur behaalde ISO 27001- en ISO 9001-certificering bij Brand Compliance. Ontdek hoe de organisatie de audits en het certificatietraject heeft ervaren.
Lees de klantcase van Linqur
Wilt u een ISO 27001-audit aanvragen?
Vraag een vrijblijvende offerte aan. Op basis van de omvang, complexiteit en het toepassingsgebied van uw ISMS bepalen wij de benodigde audittijd.