Ja, een interne audit is verplicht wanneer je organisatie wil voldoen aan ISO 9001. De norm vraagt dat je op geplande momenten interne audits uitvoert. Daarmee controleer je of het kwaliteitsmanagementsysteem voldoet aan de eigen afspraken van je organisatie, aansluit op de eisen van ISO 9001 en in de praktijk goed wordt toegepast.
Voor ISO 9001 draait een interne audit niet alleen om het controleren van documenten. Je onderzoekt vooral of processen werken zoals bedoeld, medewerkers afspraken kennen, registraties worden bijgehouden en verbeterpunten daadwerkelijk worden opgevolgd. Een goed uitgevoerde interne audit helpt je daarom niet alleen bij certificering, maar ook bij het tijdig ontdekken van fouten, risico’s en verbeterkansen.
De interne audit is opgenomen in hoofdstuk 9.2 van ISO 9001. De norm schrijft voor dat een organisatie interne audits uitvoert met geplande tussenpozen. ISO 9001 noemt daarbij geen vaste frequentie, zoals één keer per jaar. Je organisatie moet zelf bepalen hoe vaak audits nodig zijn op basis van het belang van processen, veranderingen binnen de organisatie en de resultaten van eerdere audits.
Het doel is om vast te stellen of het kwaliteitsmanagementsysteem:
ISO vraagt dus niet om een interne audit omdat er simpelweg een verslag moet bestaan. De audit moet bruikbare informatie opleveren. Je moet kunnen aantonen wat is onderzocht, welke bevindingen zijn gedaan, wie verantwoordelijk is voor de opvolging en welke maatregelen zijn genomen.
Wanneer de interne audit oppervlakkig wordt uitgevoerd, ontstaat tijdens de certificeringsaudit vaak discussie. De externe auditor kan dan vragen: welke processen zijn onderzocht, waarom zijn deze geselecteerd, hoe onafhankelijk was de auditor, welke afwijkingen zijn gevonden en wat is daarmee gebeurd?
Voor organisaties die hun kwaliteitsmanagementsysteem willen opzetten, beheren of verbeteren is het daarom verstandig om de interne audit praktisch te organiseren. Een kleine organisatie kan werken met een eenvoudig auditprogramma en korte auditverslagen. Een grotere organisatie met meerdere locaties, afdelingen of risicovolle processen heeft meestal een uitgebreider auditprogramma nodig.
Een organisatie heeft vastgelegd dat klachten binnen twee werkdagen worden bevestigd en binnen tien werkdagen inhoudelijk worden afgehandeld. Tijdens de interne audit worden vijf recente klachten bekeken.
Bij vier klachten is de afgesproken reactietermijn gehaald. Bij één klacht ontbreekt de ontvangstbevestiging en is niet duidelijk wanneer de klant een reactie heeft ontvangen. De auditor legt dit vast als afwijking. De verantwoordelijke medewerker onderzoekt de oorzaak en ontdekt dat klachten die rechtstreeks per e-mail binnenkomen niet altijd in het klachtenregister worden opgenomen.
Als verbeteractie wordt afgesproken dat alle klachten voortaan direct in een centraal register worden vastgelegd. Daarnaast wordt tijdens het eerstvolgende werkoverleg uitgelegd wie verantwoordelijk is voor registratie en opvolging. Na twee maanden wordt gecontroleerd of de nieuwe werkwijze wordt toegepast.
Het auditverslag laat in dit voorbeeld zien wat is onderzocht, welke bewijzen zijn bekeken, wat de bevinding was en hoe de organisatie de afwijking heeft opgevolgd. Daarmee is de interne audit meer dan een administratieve controle: de audit leidt tot een concrete verbetering van het proces.
Een ander voorbeeld is een interne audit van het inkoopproces. De auditor controleert een aantal leveranciersbeoordelingen, bestellingen en ontvangen producten. Daarbij wordt bekeken of leveranciers volgens de afgesproken criteria worden geselecteerd, prestaties worden geëvalueerd en problemen worden geregistreerd.
Een interne audit hoeft niet per definitie door een externe adviseur te worden uitgevoerd. Een medewerker binnen je eigen organisatie mag de audit uitvoeren, zolang deze persoon voldoende kennis heeft en objectief kan beoordelen.
Belangrijk is dat een auditor niet uitsluitend zijn of haar eigen werk controleert. Iemand die zelf verantwoordelijk is voor het klachtenproces kan dat proces bijvoorbeeld beter niet volledig zelfstandig auditen. De objectiviteit van de audit moet behouden blijven.
In een kleine organisatie kan volledige onafhankelijkheid lastig zijn. Je kunt dan bijvoorbeeld:
Je hoeft niet verplicht over een officieel auditorcertificaat te beschikken. Wel moet je kunnen onderbouwen dat de auditor competent is. Dat kan bijvoorbeeld blijken uit ervaring, training, kennis van ISO 9001, kennis van auditmethoden en inzicht in de processen die worden onderzocht.
ISO 9001 bepaalt niet dat ieder proces precies één keer per kalenderjaar moet worden geaudit. De norm vraagt om audits met geplande tussenpozen. De frequentie moet passen bij de situatie van je organisatie.
Veel organisaties kiezen ervoor om alle onderdelen van het kwaliteitsmanagementsysteem minimaal één keer per jaar te beoordelen. Dat is praktisch, maar niet de enige toegestane aanpak. Je kunt belangrijke of risicovolle processen vaker auditen en stabiele processen minder vaak.
Bij het bepalen van de auditfrequentie kun je rekening houden met:
Een kritisch productieproces met regelmatig afwijkingen kan bijvoorbeeld ieder kwartaal worden onderzocht. Een ondersteunend proces dat al jaren stabiel functioneert, kan mogelijk eens per jaar of volgens een meerjarig auditprogramma worden beoordeeld.
In ISO Portal Online kun je de interne audits stap voor stap plannen, uitvoeren en opvolgen. Begin met een auditprogramma waarin je vastlegt welke processen of normonderdelen worden onderzocht, wanneer de audit plaatsvindt en wie de auditor is.
Maak vervolgens per interne audit een duidelijke registratie. Neem daarin ten minste op:
Werk bij voorkeur met een vaste structuur. Zo worden audits onderling vergelijkbaar en is informatie tijdens een certificeringsaudit eenvoudig terug te vinden.
Na de audit leg je eventuele afwijkingen of verbeterpunten vast als actie. Benoem daarbij een eigenaar, een gewenste einddatum en de manier waarop wordt gecontroleerd of de maatregel effectief is geweest. Alleen noteren dat iets is aangepast, is niet altijd voldoende. Je wilt ook controleren of het probleem daadwerkelijk is opgelost en niet opnieuw ontstaat.
De resultaten van interne audits vormen daarnaast belangrijke input voor de directiebeoordeling. De directie kan hiermee beoordelen of het kwaliteitsmanagementsysteem goed functioneert, waar risico’s ontstaan en welke verbeteringen prioriteit moeten krijgen.
Een veelgemaakte fout is dat organisaties de interne audit behandelen als een jaarlijkse checklist die zo snel mogelijk moet worden afgevinkt. Er wordt dan alleen gecontroleerd of documenten bestaan, zonder te onderzoeken of medewerkers de afspraken kennen en processen daadwerkelijk volgens die afspraken uitvoeren.
Een tweede fout is dat de interne auditor zijn of haar eigen werkzaamheden controleert. Hierdoor kan de objectiviteit van de audit ter discussie komen te staan.
Een derde fout is dat ieder jaar exact hetzelfde auditverslag wordt gebruikt. Wanneer dezelfde vragen, voorbeelden en conclusies terugkomen, ontstaat de indruk dat de audit niet werkelijk is uitgevoerd. Een interne audit moet aansluiten bij actuele ontwikkelingen, risico’s, klachten, wijzigingen en eerdere bevindingen.
Andere veelvoorkomende fouten zijn:
Een andere valkuil is dat de audit te breed wordt gemaakt. Een auditor probeert dan op één dag alle processen, documenten en normonderdelen te onderzoeken. Hierdoor blijft de controle vaak oppervlakkig. Het kan effectiever zijn om gedurende het jaar meerdere kleinere audits uit te voeren, gericht op specifieke processen of thema’s.
Gebruik deze checklist om te controleren of je interne audits voldoen aan de eisen van ISO 9001.
Voor ISO 9001 is vooral belangrijk dat interne audits niet alleen worden gepland, maar ook aantoonbaar worden uitgevoerd en opgevolgd. Bewaar daarom het auditprogramma, de auditverslagen, eventuele checklists, vastgelegde afwijkingen en het bewijs van uitgevoerde verbeteracties.
Ja. Organisaties die aan ISO 9001 willen voldoen, moeten volgens hoofdstuk 9.2 op geplande momenten interne audits uitvoeren. Tijdens deze audits wordt gecontroleerd of het kwaliteitsmanagementsysteem voldoet aan de eigen afspraken en de eisen van ISO 9001, en of het systeem effectief wordt toegepast en onderhouden.
ISO 9001 schrijft geen vaste jaarlijkse frequentie voor. De norm spreekt over geplande tussenpozen. Veel organisaties auditen alle belangrijke onderdelen minimaal één keer per jaar, maar processen met hogere risico’s of eerdere afwijkingen kunnen vaker worden onderzocht.
Dat mag, zolang je voldoende deskundig bent en de objectiviteit van de audit kunt waarborgen. Het is niet verstandig om uitsluitend je eigen werkzaamheden te beoordelen. Bij een kleine organisatie kan een collega, externe adviseur of auditor van een andere organisatie worden ingezet.
Nee, ISO 9001 verplicht geen specifiek certificaat voor interne auditors. De organisatie moet wel kunnen aantonen dat de auditor competent is. Kennis van ISO 9001, auditvaardigheden, proceskennis, ervaring en een interne-auditortraining kunnen daarvoor als onderbouwing dienen.
Nee. Je kunt de normonderdelen en processen over meerdere audits verdelen. Het auditprogramma moet er wel voor zorgen dat alle relevante onderdelen binnen een passende periode worden beoordeeld. Belangrijke, gewijzigde of risicovolle processen kunnen daarbij vaker aandacht krijgen.
Bewaar in ieder geval informatie waaruit blijkt dat het auditprogramma is uitgevoerd en wat de resultaten waren. Denk aan het auditprogramma, auditverslagen, bevindingen, afwijkingen, toegewezen acties en bewijs dat maatregelen zijn uitgevoerd en gecontroleerd.
Een certificerende auditor controleert of je organisatie een logisch en actueel auditprogramma heeft. Daarbij wordt gekeken of de gekozen frequentie past bij de omvang, processen, risico’s en ontwikkelingen van de organisatie.
De auditor let onder meer op de volgende punten:
Een auditor verwacht niet dat iedere interne audit een uitgebreid rapport van tientallen pagina’s oplevert. Een kort en overzichtelijk auditverslag kan voldoende zijn, zolang duidelijk is wat is onderzocht, welk bewijs is bekeken, wat de conclusie is en hoe eventuele bevindingen zijn opgevolgd.
Houd de interne audit daarom praktisch. Gebruik vragen die aansluiten op je eigen processen, controleer echte registraties en spreek met medewerkers die het werk uitvoeren. Een interne audit is het meest waardevol wanneer deze niet alleen bevestigt wat goed gaat, maar ook zichtbaar maakt waar je organisatie kan verbeteren.