ISO 27001 interne audit
ISO 27001 interne audit door gecertificeerde lead auditors
Een onafhankelijke interne audit volgens clausule 9.2, uitgevoerd zoals de certificerende instelling het straks ook doet. U weet precies waar u staat en wat er nog moet gebeuren voordat de externe auditor langskomt.
- Vaste prijs vooraf, zonder verrassingen achteraf
- Binnen twee weken in te plannen, op locatie of online
- Rapport binnen vijf werkdagen, met concreet advies per bevinding
Vertrouwd door 500+ bedrijvenWerkwijze volgens ISO 19011Ook NEN 7510, BIO en ISO 27701
Nestor Security heeft voor ons de interne audits van zowel ISO 27001 als ISO 27701 verzorgd. Ze raken voor ons echt de juiste snaar met een goede combinatie van kwaliteit en uitvoerbaarheid.
Wouter BuzingCISO, Effectory
Plan uw interne audit
Vertel ons kort over uw ISMS en de datum van uw externe audit. U ontvangt binnen een werkdag een voorstel met planning en een vaste prijs.
Waar kunnen we u mee helpen?
Binnen een werkdag reactie van een lead auditor. Vrijblijvend.
Ontdek waarom 500+ bedrijven op Nestor Security vertrouwen voor IT-security en compliance
Wie voert uw interne audit uit?
U mag de interne audit zelf organiseren, zolang die objectief en onpartijdig is. Zo verhouden de opties zich tot elkaar.
| Nestor Security | Collega als interne auditor | Andere auditbureaus | |
|---|---|---|---|
| Onafhankelijkheid | Een lead auditor die niet bij uw implementatie betrokken was | Lastig, een collega toetst vaak het eigen werk | Meestal geborgd |
| Ervaring | Gecertificeerde lead auditors die dagelijks ISO 27001 toetsen | Vaak alleen een interne auditorcursus | Verschilt per auditor |
| Werkwijze | Interviews en steekproeven volgens ISO 19011 | Vaak een checklist zonder steekproeven | Vaak een vaste checklist |
| Rapport | Bevindingen met classificatie en advies per punt | Vaak beknopt of informeel | Vaak alleen bevindingen, zonder advies |
| Planning | Binnen twee weken in te plannen | Afhankelijk van de drukte | Vaak weken wachttijd |
| Opvolging | Hulp bij het oplossen van bevindingen, als u dat wilt | Ligt bij uzelf | Meestal niet inbegrepen |
| Kosten | Vaste prijs vooraf, zonder verrassingen achteraf | Verborgen kosten in uren van uw eigen mensen | Vaak een dagtarief plus reiskosten en rapportagekosten |
Een auditrapport waar u direct mee verder kunt
Geen dik rapport vol normtaal, maar een overzicht dat laat zien wat goed gaat, wat beter moet en hoe u dat oplost.
- Bevindingen per clausule en per maatregel uit Annex A
- Elke bevinding ingedeeld als grote afwijking, kleine afwijking of verbeterpunt
- Concreet advies en een voorstel voor de prioriteit per bevinding
- Nabespreking met uw team en input voor de directiebeoordeling
Zo verloopt uw interne audit
Van intake tot nabespreking in gemiddeld drie weken. We stemmen vooraf af wie we wanneer nodig hebben, zodat interviews kort en gericht blijven.
Intake en auditplan
- Intake met de eigenaar van het ISMS
- Scope, locaties en processen afbakenen
- Auditplan met een interviewschema, zodat u weet wie we wanneer spreken
Documentbeoordeling
- Beleid, risicoanalyse, Verklaring van Toepasselijkheid en procedures
- Controle op alle verplichte documenten uit de norm
- Eerste aandachtspunten al voor de auditdag gedeeld
Auditdag op locatie of online
- Interviews met directie, ISMS-eigenaar en proceseigenaren
- Steekproeven van bewijs, zoals de externe auditor ze neemt
- Toetsing van clausule 4 tot en met 10 en de maatregelen uit Annex A
Rapport en nabespreking
- Auditrapport binnen vijf werkdagen
- Nabespreking met concrete acties en prioriteiten
- Input voor uw directiebeoordeling
- Op verzoek hulp bij het oplossen van de bevindingen
Klaar voor de externe audit
Plan de interne audit bij voorkeur vier tot acht weken voor de externe audit. Dan is er tijd om bevindingen op te lossen en de directiebeoordeling af te ronden, en dat wil de certificerende instelling vooraf zien.
Wij toetsen wat de certificerende instelling straks ook toetst
Een interne audit is pas waardevol als hij net zo kritisch is als de echte. Daarom toetsen wij het hele managementsysteem en nemen we steekproeven uit de maatregelen, precies zoals een externe auditor dat doet.
Context en scope
Is de scope logisch, en zijn belanghebbenden en hun eisen bekend?
Leiderschap
Draagt de directie het ISMS aantoonbaar, met beleid, rollen en middelen?
Risicoanalyse en doelstellingen
Is de risicoanalyse herhaalbaar en sluit de Verklaring van Toepasselijkheid erop aan?
Ondersteuning
Zijn competenties, bewustwording en documentbeheer op orde?
Uitvoering
Worden risicobeoordeling en risicobehandeling ook echt uitgevoerd?
Evaluatie
Zijn er metingen, interne audits en een directiebeoordeling?
Verbetering
Worden afwijkingen geregistreerd, geanalyseerd en opgelost?
93 maatregelen
Steekproef uit de organisatorische, personele, fysieke en technologische maatregelen.
Succesverhaal van Effectory
Feedback analytics developers met een team van meer dan 250 mensen
Maanden voor een traject met ISO 27001 en ISO 27701
Nieuwe beveiligingsmaatregelen geïmplementeerd
Succes tijdens de externe audit
De uitdaging
Effectory verwerkt gevoelige medewerkersdata voor ruim 1.200 organisaties. De uitdaging was om het informatiebeveiligingssysteem continu te versterken en te laten meegroeien met de hoge eisen van klanten, zonder de dagelijkse dienstverlening te verstoren.
De aanpak
In nauwe samenwerking hebben we het managementsysteem aangescherpt voor zowel ISO 27001 als ISO 27701. Met een vast aanspreekpunt zijn verantwoordelijkheden helder vastgelegd, processen beveiligd en is de organisatie voorbereid op de externe audit om gecertificeerd te worden.
De uitkomst
Effectory behaalde binnen 6 maanden ISO 27001 certificering zonder enige sprake van knelpunten. Richting klanten is de beveiliging nu aantoonbaar op orde, security-vragenlijsten worden sneller beantwoord en er ligt een stevige, toekomstbestendige basis.
Nestor Security heeft voor ons de interne audits van zowel ISO 27001 als ISO 27701 verzorgd. Ze raken voor ons echt de juiste snaar met een goede combinatie van kwaliteit en uitvoerbaarheid. Ze zijn pragmatisch, denken goed mee met onze behoeften en de audits zijn goed verzorgd.
Wouter BuzingCISO, Effectory
Een collega laten auditen, of een lead auditor
De norm eist dat de interne audit objectief en onpartijdig is. Een collega die het ISMS heeft helpen opzetten, toetst in feite het eigen werk, en dat ziet de externe auditor ook.
Interne audit door een collega
Snel geregeld, maar zelden onafhankelijk
Interne audit door Nestor Security
Onafhankelijk, grondig en zonder verrassingen
Nog geen ISMS, of loopt de implementatie vast?
Wij begeleiden ook de volledige ISO 27001-implementatie, van nulmeting tot certificaat. Gemiddeld in 4 tot 5 maanden, met een slagingspercentage van 100%.
Neem het niet alleen van ons aan
U bent in goed gezelschap bij Nestor.
De lijnen met Nestor Security waren kort. De organisatie is pragmatisch ingesteld en een nuchtere partij om zaken mee te doen. Daardoor is het proces soepel en vrij snel verlopen.
Wij werken het liefst zoveel mogelijk regionaal samen en doen meetings graag face-to-face. Als je kijkt naar partners in het Noorden, blijven er een aantal over, en daar stak Nestor Security met kop en schouders bovenuit.
Uw vragen beantwoord
FAQs
Hoe lang duurt een interne audit?
Dat hangt af van de omvang van uw organisatie, de scope van het ISMS en het aantal locaties. Voor een mkb-organisatie is de audit zelf vaak in een of twee dagen afgerond, daarna volgt de rapportage.
In de intake geven wij u vooraf een concrete planning, zodat u weet hoeveel tijd u van uw medewerkers moet vrijmaken.
Wat gebeurt er met de bevindingen?
U ontvangt binnen vijf werkdagen het rapport, met per bevinding de classificatie, de onderbouwing en ons advies. In de nabespreking zetten we samen de acties op een rij.
Wilt u hulp bij het oplossen, dan kan dat, maar u bent daar nooit toe verplicht.
Wat bepaalt de prijs van een interne audit?
Het aantal medewerkers in de scope, het aantal locaties en hoeveel maatregelen we toetsen. Na de intake ontvangt u een vaste prijs, zodat u achteraf niet voor verrassingen staat.
Wanneer plan ik de interne audit het beste?
Bij voorkeur vier tot acht weken voor de externe audit. Dan heeft u tijd om de bevindingen op te lossen en de directiebeoordeling af te ronden.
Zit u al in de certificaatcyclus, plan de interne audit dan ruim voor de jaarlijkse surveillance-audit.
Is een interne audit verplicht voor ISO 27001?
Ja. Clausule 9.2 van de norm verplicht u om met geplande tussenpozen interne audits uit te voeren. Voor de eerste certificering wil de certificerende instelling zien dat er een volledige interne audit en een directiebeoordeling zijn afgerond.
In de praktijk betekent dat elk jaar een interne audit, zodat het hele ISMS binnen de certificaatcyclus van drie jaar aan bod komt.
Wat is het verschil tussen een interne en een externe audit?
De interne audit organiseert u zelf, of laat u uitvoeren door een onafhankelijke partij zoals Nestor Security. Het doel is om te ontdekken waar het ISMS nog niet voldoet en dat te verbeteren, voordat iemand anders het ziet. De externe audit wordt uitgevoerd door een certificerende instelling en bepaalt of u het certificaat krijgt of behoudt.
Wij mogen als externe partij uw interne audit uitvoeren, maar niet uw certificeringsaudit. Die twee rollen blijven altijd gescheiden, en dat is precies wat de interne audit zo waardevol maakt. U krijgt de blik van een auditor, zonder dat er iets op het spel staat.
Mag Nestor Security de interne audit doen als jullie ook ons ISMS hebben ingericht?
Ja, zolang de auditor zelf niet bij de implementatie betrokken was. Wij zetten daarom altijd een lead auditor in die uw ISMS niet heeft helpen opzetten. Zo blijft de audit objectief en onpartijdig, zoals de norm vraagt.
Weet waar u staat, voordat de externe auditor het u vertelt
Plan uw interne audit met een gecertificeerde lead auditor. U ontvangt binnen een werkdag een voorstel met planning en een vaste prijs.
Plan uw interne auditBekijk een voorbeeldrapport
Vaste prijs voorafRapport binnen vijf werkdagenGecertificeerde lead auditors