Toetsing

Na de realisatie van het managementsysteem volgt de toetsingsfase. In deze stap evalueren we het systeem om te controleren of het voldoet aan de gestelde normen en eisen. Dit omvat interne audits, waarbij we de effectiviteit van de geïmplementeerde procedures en processen beoordelen. We identificeren eventuele afwijkingen en verbeterpunten, en stellen corrigerende maatregelen voor om ervoor te zorgen dat het managementsysteem optimaal functioneert.

Interne audits zijn cruciaal omdat ze ervoor zorgen dat het managementsysteem effectief functioneert en blijft voldoen aan de gestelde normen en eisen. Door regelmatige interne audits kunnen we eventuele afwijkingen en verbeterpunten identificeren en corrigerende maatregelen nemen. Dit helpt niet alleen bij het handhaven van de kwaliteit en efficiëntie van het systeem, maar draagt ook bij aan de continue verbetering en groei van de organisatie. Bovendien zijn interne audits een verplicht onderdeel van veel normverplichtingen, zoals ISO 9001, ISO 14001, ISO 27001 en ISO 45001.

Stappen in de Uitvoering van Interne Audits:

• Planning van de audit: We beginnen met het plannen van de interne audit. Dit omvat het bepalen van de scope, doelstellingen en criteria van de audit. We stellen een auditteam samen en maken een auditplan waarin de te auditen processen en afdelingen worden beschreven.
• Voorbereiding van de audit: Het auditteam bereidt zich voor door relevante documentatie te verzamelen en te bestuderen. Dit omvat beleidslijnen, procedures, werkinstructies en eerdere auditrapporten.
• Uitvoering van de audit: Tijdens de audit bezoeken we de verschillende afdelingen en processen die binnen de scope van de audit vallen. We voeren interviews met medewerkers, observeren werkzaamheden en controleren documentatie om te beoordelen of de procedures en processen worden nageleefd. We documenteren onze bevindingen en identificeren eventuele afwijkingen en verbeterpunten.
• Rapportage van de audit: Na de audit stellen we een auditrapport op waarin de bevindingen worden beschreven. Dit rapport bevat een overzicht van de geconstateerde afwijkingen, verbeterpunten en aanbevelingen voor corrigerende maatregelen. Het rapport wordt gedeeld met het management en de betrokken afdelingen.
• Corrigerende maatregelen: Op basis van de bevindingen uit de audit worden corrigerende maatregelen voorgesteld en geïmplementeerd. Dit kan variëren van het aanpassen van procedures tot het bieden van extra training aan medewerkers. We volgen de voortgang van de corrigerende maatregelen en evalueren hun effectiviteit.

Voorbeeld? "ICT Service management provider"

Een ICT service management organisatie wil zowel ISO 9001 als ISO 27001 behalen en heeft recent een nieuw managementsysteem geïmplementeerd. De organisatie staat nu voor de uitdaging om dit systeem te toetsen en te evalueren. KVGM kiest voor een gecombineerde interne audit waarbij beide normen worden getoetst.

Uitvoering van Interne Audits:

• Planning van de audit: We begonnen met het plannen van de interne audit door de scope, doelstellingen en criteria vast te stellen. Het auditteam werd samengesteld en een auditplan werd opgesteld waarin de te auditen processen en afdelingen werden beschreven. De scope omvatte zowel kwaliteitsmanagement (ISO 9001) als informatiebeveiligingsmanagement (ISO 27001).
• Voorbereiding van de audit: Het auditteam verzamelde en bestudeerde relevante documentatie, zoals beleidslijnen, procedures, werkinstructies en eerdere auditrapporten. Op basis hiervan zijn de eerste prioriteiten geconstateerd.
• Uitvoering van de audit: Tijdens de audit werden verschillende medewerkers geïnterviewd om inzicht te krijgen in hun dagelijkse werkzaamheden en hoe zij de procedures naleven. We observeerden service management processen, zoals incidentbeheer en wijzigingsbeheer, om te beoordelen of deze volgens de vastgestelde procedures werden uitgevoerd. Daarnaast controleerden we documentatie zoals incidentrapporten, wijzigingsverzoeken en beveiligingsprotocollen om te verifiëren of de vastgelegde procedures werden gevolgd en of de documentatie volledig en accuraat was. Onze bevindingen werden gedocumenteerd en eventuele afwijkingen en verbeterpunten werden geïdentificeerd.
• Rapportage van de Audit: Na de audit stelden we een gedetailleerd auditrapport op waarin de bevindingen werden beschreven. Dit rapport bevatte een overzicht van de geconstateerde afwijkingen (major non-conformiteiten of minor non-confirmiteiten), verbeterpunten en aanbevelingen voor corrigerende maatregelen. Specifieke bevindingen omvatten bijvoorbeeld het ontbreken van documentatie voor bepaalde incidenten, inconsistenties in de wijzigingsbeheerprocedures en tekortkomingen in de naleving van beveiligingsprotocollen.
• Corrigerende Maatregelen: Op basis van de bevindingen uit de audit werden specifieke corrigerende maatregelen voorgesteld en geïmplementeerd. Dit omvatte het aanpassen van de incidentbeheerprocedure om ervoor te zorgen dat alle incidenten binnen 24 uur worden gedocumenteerd. Daarnaast werd extra training georganiseerd voor IT-medewerkers, gericht op het correct indienen, beoordelen en goedkeuren van wijzigingsverzoeken volgens de vastgestelde richtlijnen. Om de communicatie tussen afdelingen te verbeteren en beveiligingsprotocollen consistent na te leven, werd een wekelijkse overlegstructuur geïntroduceerd. De voortgang van de corrigerende maatregelen werd gevolgd en hun effectiviteit geëvalueerd door middel van de verbetercyclus.