Waarom beide onderdelen verplicht zijn
Een managementsysteem moet zichzelf kunnen controleren. De interne audit toetst of het ISMS voldoet aan uw eigen eisen en aan de norm, en of het effectief werkt. De directiebeoordeling zorgt ervoor dat de leiding de uitkomsten bespreekt en besluiten neemt. Een certificatie-instelling wil beide zien voordat zij een certificaat afgeeft.
Een auditprogramma opstellen
Plan de interne audits in een programma. Bepaal per audit de scope, de criteria en de auditor. De audits samen dekken binnen de certificatiecyclus het hele ISMS af. Geef meer aandacht aan processen met hogere risico’s of eerdere bevindingen. De auditor moet objectief zijn en mag zijn eigen werk niet beoordelen. In een kleine organisatie is een externe auditor daarom vaak de meest praktische keuze.
Toets werking, niet alleen documenten
Een goede interne audit kijkt verder dan de vraag of een procedure bestaat. Vraag een steekproef van uitdiensttredingen op en controleer of accounts tijdig zijn geblokkeerd. Bekijk of de laatste hersteltest is uitgevoerd en wat ermee is gedaan. Spreek medewerkers over het melden van incidenten. Bevindingen worden vastgelegd en opgevolgd met corrigerende maatregelen.
Wat bespreekt de directie?
De norm noemt de onderwerpen die in de directiebeoordeling aan bod komen. Bereid ze voor met een korte rapportage, zodat het gesprek over besluiten gaat en niet over het verzamelen van informatie.
- De status van acties uit eerdere beoordelingen.
- Veranderingen in interne en externe onderwerpen en in de behoeften van belanghebbenden.
- Afwijkingen, corrigerende maatregelen, meetresultaten en auditresultaten.
- De mate waarin doelstellingen zijn behaald.
- De resultaten van de risicoanalyse en de voortgang van het behandelplan.
- Kansen voor verbetering.
Leg besluiten vast
De uitkomst van de directiebeoordeling bestaat uit besluiten over verbetering en noodzakelijke wijzigingen in het ISMS. Leg ze vast met een eigenaar en termijn. Een verslag zonder besluiten laat de auditor zien dat de directie het ISMS niet actief stuurt.