Hoe werkt de ISO 27701:2025-certificeringsaudit?
De ISO 27701:2025-certificeringsaudit volgt dezelfde tweestapsaanpak als alle ISO-managementsysteemnormen. Inzicht in wat elke stap inhoudt, neemt de onzekerheid weg en stelt u in staat om vol vertrouwen te beginnen.
Het proces wordt uitgevoerd door een geaccrediteerde certificeringsinstantie , en het doel van de auditors is niet om u op fouten te betrappen, maar om te bevestigen dat uw privacyinformatiebeheersysteem (PIMS) voldoet aan de eisen van de norm en in de praktijk effectief functioneert.
Fase 1: Documentenbeoordeling
Fase 1 wordt soms de 'gereedheidsbeoordeling' genoemd. De auditor beoordeelt of uw documentatie en het ontwerp van uw managementsysteem voldoende zijn om door te gaan naar Fase 2. Deze fase wordt doorgaans op afstand uitgevoerd, hoewel sommige certificeringsinstanties ook een bezoek op locatie kunnen brengen.
Tijdens fase 1 zal de auditor het volgende beoordelen:
- Uw PIMS-bereik en Verklaring van toepasbaarheid
- Privacybeleid, doelstellingen en methodologie voor risicobeoordeling
- De eisen aan het managementsysteem (Clausules 4-10) en hoe u daarop hebt gereageerd.
- Uw interne auditprogramma en managementbeoordelingsverslagen
- Bewijs dat uw PIMS gedurende een voldoende lange periode (doorgaans minimaal drie maanden) operationeel is geweest.
De auditor stelt een fase 1-rapport op waarin eventuele aandachtspunten worden geïdentificeerd. Dit zijn geen formele afwijkingen, maar ze geven wel aan welke gebieden aandacht behoeven vóór fase 2.
Fase 2: Implementatiebeoordeling
Fase 2 is de belangrijkste audit. Deze bevestigt dat uw PIMS niet alleen gedocumenteerd is, maar ook daadwerkelijk geïmplementeerd en effectief is. Fase 2 wordt op locatie uitgevoerd of via een combinatie van sessies op locatie en op afstand, afhankelijk van uw certificeringsinstantie en organisatiestructuur.
De accountant zal:
- Interview medewerkers uit verschillende afdelingen om hun bewustzijn en begrip te verifiëren.
- Voorbeelden van bewijsmateriaal over de implementatie van controlemaatregelen (beleid, procedures, registraties, systeemconfiguraties)
- Beoordeel of de risico's zijn geïdentificeerd en op passende wijze zijn aangepakt.
- Evalueer de effectiviteit van uw Bijlage A privacycontroles
- Controleer de corrigerende maatregelen uit uw interne audit en managementbeoordeling.
Waar letten auditors nu eigenlijk op?
Auditors beoordelen uw PIMS aan de hand van de eisen van ISO 27701:2025 . Maar naast de eenvoudige naleving zoeken ze naar bewijs dat uw privacymanagementsysteem daadwerkelijk is ingebed in de manier waarop uw organisatie werkt.
De belangrijkste aandachtsgebieden van auditors zijn onder meer:
| De Omgeving | Wat de auditor controleert | Bewijs dat ze verwachten |
|---|---|---|
| Leiderschapsbetrokkenheid | Is het topmanagement actief betrokken bij het privacybeleid? | Notulen van managementevaluaties, beslissingen over toewijzing van middelen, privacydoelstellingen |
| Risicobeoordeling | Worden privacyrisico's systematisch geïdentificeerd, beoordeeld en aangepakt? | Risicoregister, risicobehandelingsplan, risicoacceptatiecriteria |
| Operationele controles | Zijn de controlemaatregelen van bijlage A geïmplementeerd en werken ze naar behoren? | Procedureverslagen, systeemconfiguraties, trainingsverslagen |
| Monitoring en meting | Meet je of de maatregelen effectief zijn? | KPI's, incidentregistraties, auditresultaten, trendanalyse |
| Continue verbetering | Worden de afwijkingen aangepakt en worden er lessen getrokken? | Correctieve actieverslagen, resultaten van managementevaluaties, verbeteringsplannen |
Auditors gebruiken doorgaans een steekproefmethode. Ze controleren niet elke controle of interviewen niet elke medewerker, maar ze bekijken wel voldoende bewijsmateriaal om een redelijke conclusie te kunnen trekken over de effectiviteit van uw PIMS.
Start uw gratis proefperiode
Wil je verkennen?
Meld u vandaag nog aan voor uw gratis proefperiode en maak kennis met alle compliance-functies die ISMS.online te bieden heeft
Hoe moet je je team voorbereiden op de audit?
De meest voorkomende oorzaak van bevindingen bij audits is niet gebrekkige documentatie, maar medewerkers die niet op de hoogte zijn van het beleid en de procedures die op hun functie van toepassing zijn. Het voorbereiden van uw team is net zo belangrijk als het voorbereiden van uw bewijsmateriaal.
Voor de audit
- Informeer alle medewerkers die mogelijk worden geïnterviewd. Ze moeten de reikwijdte van PIMS begrijpen, hun rol daarin kennen en weten waar ze relevant beleid kunnen vinden.
- Voer een proefaudit uit. Simuleer de aanpak van de auditor door medewerkers te interviewen en steekproefsgewijs bewijsmateriaal te verzamelen. Dit brengt eventuele tekortkomingen aan het licht voordat de daadwerkelijke audit plaatsvindt.
- Bevestigen bewijsmateriaal is toegankelijk. Auditors zouden niet hoeven te wachten terwijl iemand naar documenten zoekt. Organiseer bewijsmateriaal per clausule en beheersmaatregel.
- Wijs een contactpersoon voor de audit aan. Wijs één persoon aan die verantwoordelijk is voor de logistiek, het inplannen van interviews en het beantwoorden van vragen van auditors.
Tijdens de audit
- Beantwoord de gestelde vraag. Geef niet uit eigen initiatief informatie die verder gaat dan wat de auditor vraagt.
- Wees eerlijk. Als een proces niet volledig is geïmplementeerd, zeg dat dan. Auditors stellen transparantie veel meer op prijs dan ontwijking.
- Lever het bewijsmateriaal zo snel mogelijk aan. Zorg dat u de benodigde gegevens, schermafbeeldingen, systeemtoegang en documenten gereed heeft voor de te beoordelen gebieden.
- Notities maken. Noteer de opmerkingen en vragen van de auditor; deze vormen waardevolle input voor verbeteringen na de audit.
ISMS.online vereenvoudigt de voorbereiding op audits aanzienlijk door al uw beleidsregels, controles, risicobeoordelingen, bewijsmateriaal en auditverslagen op één plek te bewaren. Wanneer de auditor om bewijsmateriaal vraagt, kunt u direct naar het relevante document navigeren in plaats van te zoeken in gedeelde schijven en spreadsheets.
Wat zijn de meest voorkomende bevindingen bij audits?
Inzicht in veelvoorkomende bevindingen helpt u deze aan te pakken voordat de auditor arriveert. Veel van deze bevindingen overlappen met veelvoorkomende implementatiefouten . Dit zijn de problemen die certificeringsinstanties het vaakst melden:
| Het vinden van | Waarom het gebeurt? | Hoe het te vermijden |
|---|---|---|
| Onvolledige risicobeoordeling | Privacyrisico's worden apart behandeld van informatiebeveiligingsrisico's, of niet alle verwerkingsactiviteiten worden in aanmerking genomen. | Zorg ervoor dat uw risicobeoordeling alle activiteiten met betrekking tot de verwerking van persoonsgegevens omvat en aansluit op uw gegevensinventaris. |
| Zwakke managementbeoordeling | Managementevaluaties zijn oppervlakkig of bevatten niet de vereiste informatie. | Gebruik een gestructureerde agenda die alle in de norm gespecificeerde input omvat (auditresultaten, risicoveranderingen, verbetermogelijkheden). |
| Ontbrekend bewijsmateriaal uit interne audits | Interne audits worden uitgevoerd, maar niet goed gedocumenteerd. | Leg auditplannen, bevindingen, corrigerende maatregelen en vervolgacties vast. ISMS.online Biedt ingebouwd auditbeheer om dit te volgen. |
| Kennislacunes bij het personeel | Medewerkers kunnen de beleidsregels of controles die op hun functie van toepassing zijn, niet toelichten. | Organiseer voorlichtingssessies vóór de audit en zorg ervoor dat de registratie van de acceptatie van het beleid actueel is. |
| Verouderde documentatie | Beleid of procedures verwijzen naar verouderde processen of organisatiestructuren. | Plan regelmatige documentbeoordelingen in en gebruik versiebeheer om wijzigingen bij te houden. |
Ga eenvoudig aan de slag met een persoonlijke productdemo
Een van onze onboarding-specialisten legt u graag uit hoe ons platform werkt, zodat u vol vertrouwen aan de slag kunt.
Wat gebeurt er na de audit?
Na fase 2 presenteert de auditor zijn bevindingen tijdens een afsluitende bijeenkomst en brengt een formeel auditrapport uit. De mogelijke uitkomsten zijn:
- Aanbeveling voor certificering — Geen grote afwijkingen geconstateerd. Enkele kleine verbeterpunten kunnen worden genoemd.
- Voorwaardelijke aanbeveling — Er zijn kleine afwijkingen geconstateerd. U dient binnen een bepaalde termijn (doorgaans 90 dagen) bewijs van corrigerende maatregelen in te dienen.
- Certificering wordt niet aanbevolen. — Er zijn ernstige afwijkingen geconstateerd. Na het verhelpen van de problemen is een vervolgcontrole vereist.
Na certificering is uw certificaat drie jaar geldig, onder voorbehoud van jaarlijkse controleaudits. Deze audits zijn korter dan de initiële certificeringsaudit en richten zich op een beperkt aantal vereisten om te bevestigen dat u nog steeds aan de eisen voldoet.
Toezicht en hercertificering
| Audittype | . | strekking |
|---|---|---|
| Toezichtsaudit 1 | ~12 maanden na certificering | Een deelverzameling van de vereisten, plus alle gebieden die tijdens de eerste audit zijn aangemerkt. |
| Toezichtsaudit 2 | ~24 maanden na certificering | Een andere deelverzameling van vereisten |
| Hercertificeringsaudit | Ongeveer 36 maanden (vóór vervaldatum) | Volledige herbeoordeling, vergelijkbaar met de initiële certificering. |
ISMS.online helpt u om tussen beoordelingen door auditklaar te blijven door een continu overzicht bij te houden van beleidsherzieningen, risico-updates, corrigerende maatregelen en resultaten van managementbeoordelingen. Zo hoeft u zich nooit meer halsoverkop voor te bereiden wanneer de volgende surveillance-audit eraan komt.
Waarom kiezen voor ISMS.online voor de voorbereiding op uw audit?
- Gecentraliseerd bewijs: Alle beleidsregels, controles, risicobeoordelingen en auditverslagen op één platform, klaar voor beoordeling door de auditor.
- Geïntegreerd auditbeheer: Plan, voer uit en volg interne audits op, inclusief bevindingen, corrigerende maatregelen en follow-up – allemaal gekoppeld aan de relevante controles.
- Implementatie en acceptatie van het beleid: Verspreid beleidsdocumenten onder medewerkers, houd bij wie ze heeft gelezen en geaccepteerd, en exporteer implementatierapporten voor auditors.
- Risicoregister met behandelplannen: Demonstreer een systematische aanpak van privacyrisico's met gekoppelde beheersmaatregelen, verantwoordelijken en evaluatiedata.
- Sjabloonen voor managementevaluaties: Gestructureerde agenda's en resultaten die alle input omvatten die de norm vereist.
- Continue bewaking: Dashboards en KPI's geven in één oogopslag inzicht in de huidige status van uw PIMS en ondersteunen de voorbereiding op surveillanceaudits.
- Versiebeheerde documentatie: Automatische versiegeschiedenis en documentuitchecken zorgen ervoor dat auditors altijd de meest recente, goedgekeurde versie te zien krijgen.
Veelgestelde vragen
Hoe lang duurt de ISO 27701:2025-certificeringsaudit?
Fase 1 duurt doorgaans één tot twee dagen, en Fase 2 twee tot vijf dagen, afhankelijk van de omvang en complexiteit van uw organisatie. Er zit meestal een periode van vier tot acht weken tussen Fase 1 en Fase 2 om u de gelegenheid te geven eventuele bevindingen te verwerken.
Kan de audit op afstand worden uitgevoerd?
Fase 1 wordt doorgaans op afstand uitgevoerd. Fase 2 vereist meestal aanwezigheid op locatie, hoewel veel certificeringsinstanties tegenwoordig hybride benaderingen aanbieden die een combinatie van beoordeling op afstand en beoordeling op locatie bieden. Uw certificeringsinstantie zal de gekozen aanpak tijdens de planning bevestigen.
Wat gebeurt er als we een ernstige afwijking ontvangen?
Een ernstige afwijking betekent dat de certificering pas kan worden verleend nadat het probleem is opgelost. U dient corrigerende maatregelen te implementeren en een vervolgcontrole te ondergaan (of voldoende bewijsmateriaal te overleggen) voordat de certificeringsinstantie een aanbeveling kan doen. Dit is niet ongebruikelijk en betekent niet dat uw implementatie is mislukt.
Moeten we ISO 27001 hebben voordat we geauditeerd kunnen worden voor ISO 27701:2025?
ISO 27701:2025 kan nu als een op zichzelf staande norm worden gecertificeerd , waardoor ISO 27001-certificering niet langer een vereiste is. Als u echter al over een ISO 27001-certificaat beschikt, zal de audit voor ISO 27701 zich richten op de privacy-specifieke aanvullingen.
Hoe kiezen we een certificeringsinstantie?
Zoek een certificeringsinstantie die geaccrediteerd is door een nationale accreditatie-instantie (zoals UKAS in het Verenigd Koninkrijk). Let daarbij op hun specifieke ervaring met ISO 27701, de beschikbaarheid van hun auditors en of ze geïntegreerde audits aanbieden als u al andere ISO-certificeringen bezit. Vraag offertes aan bij twee of drie instanties om hun aanpak, tijdschema en kosten te vergelijken.
