Interne audit uitvoeren: zo pak je het stap voor stap aan
Ga jij een interne audit uitvoeren? Volg dan dit handige stappenplan voor een succesvolle interne audit!
Steven Zwarts is Manager Advies & Opleidingen bij CertificeringsAdvies Nederland. Doelmatig, ondernemend en betrouwbaar zijn waarden waarmee Steven tot de juiste oplossing komt, zowel intern als voor klanten.
steven@certificeringsadvies.nlEen interne audit. Misschien staat hij binnenkort voor het eerst op de planning. Of je hebt er al een paar uitgevoerd, maar vraagt je af of je er wel genoeg uit haalt. Een goede interne audit is veel meer dan controleren of je alle eisen uit een norm kunt afvinken. Je onderzoekt of afspraken in de praktijk werken, waar risico’s zitten en waar je de organisatie kunt verbeteren. En ja: tegelijkertijd helpt een interne audit je om goed voorbereid te zijn op een externe audit. Maar hoe voer je een interne audit uit? Welke stappen doorloop je? Welke vragen stel je? En wat doe je met de bevindingen?
In deze praktische handleiding nemen we je mee van auditplanning tot opvolging.
Volg een Interne Auditor training
Wil je de kwaliteit van je audits aanzienlijk verbeteren? Schrijf je in voor onze interactieve Interne Auditor training op jouw gewenste datum en locatie! In deze training leer je audiovaardigheden, inclusief de risicobenadering.
Wat is een interne audit?
Een interne audit is een systematisch en onafhankelijk onderzoek naar de werking van (een deel van) je managementsysteem. Je onderzoekt of processen voldoen aan de afspraken die je als organisatie hebt gemaakt én aan de eisen die van toepassing zijn. Daarbij verzamel je objectief bewijs. Denk aan gesprekken met medewerkers, registraties, documenten en wat je tijdens werkzaamheden daadwerkelijk ziet gebeuren.
Een interne audit kan onderdeel zijn van verschillende managementsystemen. Denk bijvoorbeeld aan:
De precieze eisen verschillen per norm. Het principe blijft hetzelfde: je kijkt kritisch naar de praktijk om vast te stellen of het managementsysteem doet wat het moet doen.
Waarom voer je een interne audit uit?
Bij veel managementsysteemnormen zijn interne audits verplicht. Maar alleen een interne audit uitvoeren omdat ‘het van de norm moet’, vinden we zonde. Een goede audit levert namelijk informatie op waarmee je de organisatie daadwerkelijk kunt verbeteren. Je ontdekt bijvoorbeeld dat een procedure op papier prima klopt, maar medewerkers in de praktijk een andere werkwijze gebruiken. Misschien werkt die werkwijze zelfs beter. Of je ontdekt dat een belangrijke controle structureel wordt overgeslagen.
Met interne audits kun je:
- controleren of processen en afspraken worden gevolgd;
- toetsen of je aan relevante normeisen voldoet;
- risico’s en afwijkingen vroeg signaleren;
- kansen voor verbetering ontdekken;
- beoordelen of eerdere verbetermaatregelen werken;
- medewerkers bewuster maken van processen en verantwoordelijkheden;
- je managementsysteem verder ontwikkelen.
En natuurlijk helpt een goede interne audit ook bij de voorbereiding op een audit door een certificerende instelling.
Hoe voer je een interne audit uit?
Een interne audit kun je grofweg opdelen in zes stappen: bepaal doel, scope en criteria, maak een auditplanning, bereid de audit inhoudelijk voor, verzamel en beoordeel bewijs, rapporteer de bevindingen, volg afwijkingen en verbeteracties op.We lopen ze één voor één langs.
Stap 1. Bepaal het doel, de scope en de auditcriteria
Begin niet direct met een checklist. Stel eerst vast wat je precies wilt onderzoeken.
Wat is het doel?
Bepaal waarom je deze audit uitvoert. Wil je bijvoorbeeld beoordelen of een proces voldoet aan de eisen van ISO 27001? Wil je weten of een nieuwe werkwijze goed is geïmplementeerd? Of wil je onderzoeken waarom bepaalde afwijkingen steeds terugkomen? Een duidelijk doel helpt je om tijdens de audit gericht te blijven.
Wat valt binnen de scope?
Je hoeft niet tijdens iedere audit de complete organisatie te onderzoeken. Sterker nog: vaak werkt een procesgerichte aanpak beter. Je kunt bijvoorbeeld één proces, afdeling, vestiging of onderwerp onderzoeken. Maak daarom vooraf duidelijk wat wel en niet binnen de audit valt.
Aan welke criteria toets je?
Vervolgens bepaal je waartegen je gaat toetsen. Dat kunnen bijvoorbeeld zijn:
- eisen uit een ISO-norm;
- wet- en regelgeving;
- interne procedures;
- beleidsafspraken;
- eisen van klanten;
- contractuele afspraken.
Zo voorkom je dat een audit gebaseerd wordt op de persoonlijke mening van de auditor.
Stap 2. Maak een auditplanning
Een auditprogramma helpt je om gedurende het jaar alle relevante onderdelen van het managementsysteem voldoende aandacht te geven. Dat betekent niet automatisch dat ieder proces ieder jaar even uitgebreid moet worden onderzocht.
Kijk bijvoorbeeld naar:
- het belang van een proces;
- risico’s binnen het proces;
- resultaten van eerdere audits;
- eerdere afwijkingen;
- veranderingen binnen de organisatie;
- incidenten of klachten;
- resultaten van processen.
Een proces waarin veel verandert of regelmatig iets misgaat, kan meer auditaandacht verdienen dan een stabiel proces dat aantoonbaar goed functioneert.Bepaal vervolgens per audit wanneer deze plaatsvindt, wie de audit uitvoert en welke medewerkers of proceseigenaren erbij betrokken zijn.
Stap 3. Bereid de interne audit voor
Een goede auditor komt voorbereid aan tafel.Bekijk vooraf relevante informatie. Denk aan procedures, procesbeschrijvingen, eerdere auditrapportages, KPI’s, klachten, incidenten en openstaande verbetermaatregelen. Gebruik de norm daarbij als hulpmiddel, maar voorkom dat je alleen maar normeisen afloopt. Een handige auditchecklist kan structuur bieden. Formuleer daarop vooral vragen waarmee je ontdekt hoe het proces in werkelijkheid functioneert.
Bijvoorbeeld:
- Hoe verloopt dit proces van begin tot eind?
- Wie is waarvoor verantwoordelijk?
- Hoe weet je dat deze stap goed is uitgevoerd?
- Wat gebeurt er wanneer iets misgaat?
- Welke risico’s zie je binnen dit proces?
- Hoe worden afwijkingen geregistreerd?
- Kun je mij een recent voorbeeld laten zien?
Die laatste vraag is belangrijk. Een audit draait namelijk niet alleen om wat iemand vertelt, maar ook om wat je kunt aantonen.
Stap 4. Voer de interne audit uit
Tijdens de audit verzamel je objectief bewijs. Dat kan op verschillende manieren.Praat met medewerkers Stel vooral open vragen. Een auditgesprek is geen examen. Je probeert te begrijpen hoe het werk daadwerkelijk wordt uitgevoerd.Vraag daarom niet alleen: ‘Volg je deze procedure?’ Vraag bijvoorbeeld: ‘Kun je laten zien hoe je dit normaal gesproken uitvoert?’ Dat levert vaak veel meer informatie op.
Bekijk documenten en registraties
Controleer relevante informatie en neem waar mogelijk steekproeven. Denk aan:
- registraties;
- formulieren;
- logbestanden;
- opleidings- en trainingsgegevens;
- controles;
- rapportages;
- incidentmeldingen;
- verbeteracties.
Eén goed voorbeeld zegt soms iets, maar een steekproef vertelt je meer over de structurele werking van een proces.
Kijk naar de praktijk
Loop ook daadwerkelijk mee in het proces.Wat gebeurt er op de werkvloer? Welke systemen worden gebruikt? Zijn medewerkers bekend met de afspraken? En komt de werkelijkheid overeen met wat op papier staat? Juist het verschil tussen denken dat iets geregeld is en zien dat het daadwerkelijk werkt maakt interne audits waardevol.
Wie mag een interne audit uitvoeren?
Een interne auditor moet voldoende deskundig én objectief zijn.Dat betekent onder andere dat de auditor kennis moet hebben van de relevante auditprincipes, het managementsysteem en de processen die worden onderzocht. Daarnaast moet de auditor onafhankelijk genoeg kunnen beoordelen. Je eigen werk auditen is daarom meestal geen goed idee. Dat betekent niet dat iedere organisatie een fulltime Interne Auditor nodig heeft. Je kunt medewerkers trainen, audits onderling verdelen of een externe specialist inzetten. Belangrijker dan de functietitel is dat degene die de audit uitvoert weet hoe je objectief auditbewijs verzamelt en beoordeelt.
Stap 5. Leg auditbevindingen duidelijk vast
Na het verzamelen van bewijs trek je conclusies. Maak daarbij onderscheid tussen wat aantoonbaar voldoet, wat niet voldoet en waar kansen voor verbetering liggen. Een goede auditbevinding is concreet en feitelijk. Schrijf dus liever niet: ‘Medewerkers gaan niet goed om met registraties.’ Maar bijvoorbeeld: ‘Tijdens de steekproef van vijf uitgevoerde controles ontbrak bij drie controles de voorgeschreven registratie van de eindcontrole.’ Dat is concreet, controleerbaar en bespreekbaar. Koppel een afwijking waar relevant aan de eis of interne afspraak waaraan niet wordt voldaan.
Wat is een non-conformiteit bij een interne audit?
Een non-conformiteit, ook wel afwijking genoemd, betekent dat niet wordt voldaan aan een vastgestelde eis. Dat kan een eis uit een norm zijn, maar bijvoorbeeld ook een interne afspraak of relevante wettelijke eis. Sommige organisaties maken onderscheid tussen major en minor non-conformiteiten. Wees daar bij interne audits zorgvuldig mee. De gekozen classificatie moet passen bij je eigen auditmethodiek en de ernst en impact van de bevinding. Veel belangrijker is de vraag: Waarom bestaat deze afwijking en wat moeten we veranderen om herhaling te voorkomen? Daar begint de echte verbetering.
Stap 6. Volg afwijkingen en verbeteracties op
Een auditrapport dat na afloop in een map verdwijnt, verandert niets. Bepaal daarom voor relevante bevindingen:
- wat de oorzaak is;
- welke actie nodig is;
- wie verantwoordelijk is;
- wanneer de actie gereed moet zijn;
- hoe je controleert of de maatregel effectief is.
Probeer daarbij verder te kijken dan de directe oplossing. Ontbreekt bijvoorbeeld één registratie? Dan kun je die registratie alsnog aanvullen. Maar daarmee weet je nog niet waarom hij ontbrak. Misschien is de werkinstructie onduidelijk. Misschien weet een medewerker niet dat registratie nodig is. Misschien werkt het systeem niet handig. Of misschien voegt de registratie in de praktijk nauwelijks waarde toe. Door de grondoorzaak te onderzoeken, voorkom je dat dezelfde afwijking tijdens de volgende audit opnieuw op tafel komt.
Welke fouten worden vaak gemaakt bij interne audits?
We zien in de praktijk een aantal valkuilen regelmatig terugkomen.
1. Alleen de norm afvinken
Een checklist met alle normeisen kan handig zijn, maar een audit moet geen vragenlijst worden. Volg processen, stel vervolgvragen en zoek naar objectief bewijs.
2. Alleen controleren wat op papier staat
Een procedure kan perfect beschreven zijn terwijl niemand hem gebruikt. Kijk daarom altijd naar de praktijk.
3. De audit gebruiken om medewerkers te beoordelen
Je audit het proces, niet de persoon. Zodra medewerkers het gevoel krijgen dat ze persoonlijk worden afgerekend op hun antwoorden, krijg je waarschijnlijk minder open gesprekken en daarmee minder waardevolle informatie.
4. Alleen zoeken naar wat fout gaat
Een audit mag ook laten zien wat juist goed werkt. Sterke werkwijzen kunnen interessant zijn voor andere processen of teams.
5. Bevindingen niet opvolgen
Dit is misschien wel de grootste gemiste kans. Zonder opvolging blijft een interne audit vooral een administratieve exercitie.
Hoe vaak moet je een interne audit uitvoeren?
Er bestaat niet één frequentie die voor iedere organisatie en iedere norm hetzelfde is. Bepaal de frequentie op basis van onder andere de eisen van het relevante certificatieschema, het belang van processen, risico’s, veranderingen en eerdere auditresultaten. Een risicovol proces met terugkerende afwijkingen kan bijvoorbeeld vaker worden geaudit dan een stabiel proces waarvan al langere tijd is aangetoond dat het goed functioneert. Werk daarom met een auditprogramma waarin je bewust bepaalt wat je wanneer en waarom audit.
Checklist: je interne audit voorbereiden
Gebruik deze korte checklist voordat je begint:
- Er is afgesproken hoe bevindingen worden gerapporteerd en opgevolgd.
- Het doel van de audit is duidelijk.
- De scope is vastgesteld.
- De auditcriteria zijn bepaald.
- De auditor is voldoende deskundig en objectief.
- Relevante documentatie is vooraf bekeken.
- Eerdere bevindingen en verbeteracties zijn meegenomen.
- Betrokken medewerkers weten wanneer de audit plaatsvindt.
- Open auditvragen zijn voorbereid.
- Er is voldoende tijd voor gesprekken, observaties en steekproeven.
Hulp nodig?
Een interne audit uitvoeren omdat het nu eenmaal in de norm staat? Dat kan. Maar je laat dan veel waarde liggen. Gebruik interne audits juist om met een frisse blik naar je organisatie te kijken. Wat hebben we afgesproken? Doen we dat ook? Werkt het? En waar kunnen we slimmer, veiliger of beter werken? Dan wordt de interne audit geen jaarlijks verplicht nummer, maar een praktisch instrument om je managementsysteem én je organisatie verder te laten groeien.
Wil je meer weten over het uitbesteden van de interne audit? Neem dan gerust contact met ons op of vraag direct een offerte aan!
Steven Zwarts is Manager Advies & Opleidingen bij CertificeringsAdvies Nederland. Doelmatig, ondernemend en betrouwbaar zijn waarden waarmee Steven tot de juiste oplossing komt, zowel intern als voor klanten.
steven@certificeringsadvies.nl
Interne audit uitbesteden?
Vraag direct een offerte aan
- Voorkom bedrijfsblindheid
- Veel kennis en ervaring
- Sparren met experts
