Een interne audit voor ISO 9001 mag worden uitgevoerd door een medewerker uit de eigen organisatie, een collega van een andere afdeling of een externe auditor. ISO 9001 verplicht niet dat de auditor een officieel certificaat heeft. Wel moet de organisatie kunnen aantonen dat de auditor voldoende deskundig, objectief en onpartijdig is.
De belangrijkste voorwaarde is dat de auditor het eigen werk niet zonder voldoende afstand beoordeelt. Iemand die zelf verantwoordelijk is voor een proces, kan daardoor meestal niet als enige auditor van datzelfde proces optreden. De uitkomst van de audit moet betrouwbaar zijn en mag niet worden beïnvloed door persoonlijke belangen of de wens om eigen fouten buiten beeld te houden.
Voor ISO 9001 draait dit onderwerp daarom vooral om competentie, objectiviteit, onafhankelijkheid en een zorgvuldige audituitvoering. Een geschikte auditor moet niet alleen kennis hebben van de norm, maar ook kunnen doorvragen, bewijs beoordelen en bevindingen duidelijk vastleggen.
Een interne audit is bedoeld om vast te stellen of het kwaliteitsmanagementsysteem voldoet aan de eisen van ISO 9001, aansluit bij de eigen afspraken van de organisatie en in de praktijk goed wordt toegepast. De kwaliteit van die beoordeling hangt voor een groot deel af van de persoon die de audit uitvoert.
Wanneer een auditor onvoldoende kennis heeft, bestaat het risico dat belangrijke afwijkingen niet worden herkend. Wanneer de auditor niet objectief is, kan de beoordeling te positief of juist onnodig kritisch worden. Beide situaties verminderen de waarde van de interne audit.
De organisatie moet daarom bewust bepalen wie een audit mag uitvoeren. Daarbij kijk je onder meer naar:
ISO vraagt niet dat iedere interne auditor exact dezelfde opleiding heeft. De benodigde kennis en ervaring hangen af van de omvang van de organisatie, de complexiteit van processen en de risico’s die tijdens de audit worden onderzocht.
Een auditor van een klein administratief proces heeft mogelijk andere kennis nodig dan iemand die een technisch productieproces, medische dienstverlening of een proces met veel wettelijke eisen beoordeelt.
Een organisatie heeft drie afdelingen: verkoop, uitvoering en administratie. De kwaliteitsmanager stelt het interne auditprogramma op, maar is zelf verantwoordelijk voor documentbeheer en klachtenregistratie.
Voor de audit van het verkoopproces wordt een medewerker van de afdeling uitvoering ingezet. Deze medewerker heeft een interne-auditortraining gevolgd, kent de basisprincipes van ISO 9001 en is niet verantwoordelijk voor verkoop. De auditor onderzoekt offertes, orderbevestigingen en overdrachtsmomenten tussen verkoop en uitvoering.
De kwaliteitsmanager voert zelf de audit van het verkoopproces dus niet uit, maar mag wel ondersteunen bij de voorbereiding en het beschikbaar stellen van documenten.
Voor de audit van documentbeheer wordt een externe auditor ingeschakeld. Daarmee voorkomt de organisatie dat de kwaliteitsmanager zijn eigen proces beoordeelt. De externe auditor controleert onder andere of actuele documenten beschikbaar zijn, oude versies worden beheerst en wijzigingen aantoonbaar worden goedgekeurd.
Dit voorbeeld laat zien dat niet één persoon alle audits hoeft uit te voeren. Per proces kan worden bepaald wie voldoende deskundig en onafhankelijk is.
Een kleinere organisatie met slechts twee medewerkers kan ervoor kiezen om een externe auditor in te schakelen of audits uit te wisselen met een andere organisatie. Zo blijft de beoordeling voldoende objectief, ook wanneer intern weinig mogelijkheden zijn om werkzaamheden van elkaar te scheiden.
Ja, een interne audit mag door een eigen medewerker worden uitgevoerd. De term ‘interne audit’ betekent niet dat de auditor verplicht intern moet zijn. Het betekent vooral dat de audit door of namens de organisatie zelf wordt georganiseerd om het eigen managementsysteem te beoordelen.
Een eigen medewerker kan een geschikte auditor zijn wanneer deze:
In grotere organisaties kunnen medewerkers van verschillende afdelingen elkaars processen auditen. Een medewerker van de administratie kan bijvoorbeeld een deel van het inkoopproces onderzoeken, terwijl iemand van kwaliteit het proces voor klantcommunicatie beoordeelt.
Het is wel belangrijk dat de auditor het proces voldoende begrijpt. Volledige technische deskundigheid is niet altijd noodzakelijk, maar de auditor moet wel weten welke vragen relevant zijn en wanneer aanvullende uitleg of bewijs nodig is.
Een kwaliteitsmanager mag interne audits uitvoeren. Dat gebeurt in de praktijk regelmatig. De kwaliteitsmanager heeft vaak veel kennis van ISO 9001, de eigen procedures en de manier waarop het managementsysteem is ingericht.
Toch kan de kwaliteitsmanager niet automatisch ieder onderdeel auditen. Wanneer deze persoon zelf verantwoordelijk is voor het opstellen, beheren en uitvoeren van een proces, kan de onafhankelijkheid bij de audit van dat proces onvoldoende zijn.
De kwaliteitsmanager kan bijvoorbeeld prima het verkoopproces auditen wanneer hij of zij daar niet operationeel verantwoordelijk voor is. Het wordt lastiger wanneer dezelfde kwaliteitsmanager het eigen documentbeheer, interne auditproces of klachtenregister beoordeelt.
In zo’n situatie kan een andere medewerker of externe auditor worden ingezet. Ook kan de audit gezamenlijk worden uitgevoerd, waarbij een onafhankelijke auditor de beoordeling leidt en de kwaliteitsmanager alleen toelichting geeft.
Het is verstandig om in het auditprogramma vast te leggen waarom een bepaalde auditor voor een proces is gekozen. Daarmee kun je tijdens een certificeringsaudit aantonen dat objectiviteit bewust is meegenomen.
Nee, ISO 9001 schrijft niet voor dat een interne auditor over een specifiek diploma of officieel auditorcertificaat moet beschikken. Een certificaat van een interne-auditortraining kan wel helpen om de competentie van de auditor aan te tonen.
De organisatie bepaalt zelf welke competenties nodig zijn. Vervolgens moet zij zorgen dat de geselecteerde auditor aan die eisen voldoet. Competentie kan blijken uit een combinatie van:
Een medewerker die voor het eerst een audit uitvoert, kan bijvoorbeeld meelopen met een ervaren auditor. Daarna kan deze medewerker een deel van een audit uitvoeren en uiteindelijk zelfstandig audits uitvoeren.
Leg bij voorkeur vast hoe de auditor competent is verklaard. Dat hoeft geen uitgebreid dossier te zijn. Een trainingsbewijs, overzicht van ervaring en korte interne beoordeling kunnen voldoende zijn.
Een goede interne auditor controleert niet alleen of documenten aanwezig zijn. De auditor onderzoekt of afspraken worden begrepen, uitgevoerd en aantoonbaar worden opgevolgd.
Daarvoor zijn verschillende eigenschappen belangrijk. Een auditor moet neutraal kunnen luisteren, open vragen kunnen stellen en niet te snel conclusies trekken. Ook moet de auditor onderscheid kunnen maken tussen een incidentele fout, een structureel probleem en een verbetermogelijkheid.
Belangrijke vaardigheden zijn:
Een interne audit is geen verhoor en ook geen beoordeling van individuele medewerkers. Het doel is vaststellen of het proces en het managementsysteem werken. Een goede auditor creëert daarom ruimte voor een open gesprek, zonder mogelijke afwijkingen te negeren.
Volledige onafhankelijkheid is binnen een kleine organisatie niet altijd mogelijk. ISO 9001 vraagt vooral dat audits objectief en onpartijdig worden uitgevoerd. De organisatie moet dus maatregelen nemen om belangenverstrengeling zoveel mogelijk te voorkomen.
Dat kan bijvoorbeeld door:
Een auditor mag bekend zijn met het proces. Proceskennis kan juist nuttig zijn. Het probleem ontstaat vooral wanneer de auditor zelf verantwoordelijk is voor de prestaties, resultaten of uitvoering van het onderzochte proces en daardoor niet meer onbevooroordeeld kan beoordelen.
Een externe auditor kan verstandig zijn wanneer intern onvoldoende kennis, capaciteit of onafhankelijkheid beschikbaar is. Dit komt vooral voor bij kleine organisaties waarin één persoon meerdere rollen heeft.
Ook bij de voorbereiding op een eerste certificeringsaudit kan een externe interne audit waardevol zijn. Een ervaren auditor kijkt vaak met meer afstand naar het managementsysteem en herkent sneller waar bewijs ontbreekt of procedures niet aansluiten bij de praktijk.
Een externe auditor kan daarnaast geschikt zijn wanneer:
Het inschakelen van een externe auditor betekent niet dat de verantwoordelijkheid voor de audit verdwijnt. De organisatie blijft zelf verantwoordelijk voor het auditprogramma, het beschikbaar stellen van informatie en het opvolgen van bevindingen.
In ISO Portal Online kun je per interne audit vastleggen wie de auditor is, welke processen worden onderzocht en waarom deze persoon geschikt is om de audit uit te voeren.
Begin met het opstellen van een overzicht van beschikbare auditors. Leg per persoon bijvoorbeeld vast:
Koppel vervolgens per audit een geschikte auditor aan het betreffende proces. Controleer daarbij of de auditor niet rechtstreeks verantwoordelijk is voor het onderzochte werk.
In het auditverslag kun je vastleggen wie de audit heeft uitgevoerd, welke personen zijn gesproken en welke documenten of registraties zijn beoordeeld. Zo blijft aantoonbaar hoe de audit tot stand is gekomen.
Wanneer blijkt dat intern onvoldoende auditcompetentie aanwezig is, kun je dit vastleggen als opleidings- of verbeteractie. Denk aan het volgen van een interne-auditortraining, het meelopen met een ervaren auditor of het tijdelijk inschakelen van externe ondersteuning.
Door deze informatie centraal te beheren, voorkom je dat bij iedere audit opnieuw discussie ontstaat over wie geschikt is. Daarnaast kun je tijdens een externe audit snel laten zien hoe de competentie en objectiviteit van interne auditors zijn geborgd.
Een veelgemaakte fout is dat de kwaliteitsmanager automatisch alle interne audits uitvoert, ook van processen waarvoor deze persoon zelf verantwoordelijk is. Hierdoor kan de objectiviteit ter discussie komen te staan.
Een tweede fout is dat iemand als auditor wordt aangewezen omdat die persoon toevallig tijd beschikbaar heeft. Er wordt dan onvoldoende gekeken naar kennis, vaardigheden en onafhankelijkheid.
Een derde fout is dat organisaties denken dat een opleidingscertificaat automatisch bewijst dat iemand een goede auditor is. Een training is waardevol, maar praktijkervaring en de kwaliteit van uitgevoerde audits zijn minstens zo belangrijk.
Andere veelvoorkomende fouten zijn:
Een andere valkuil is dat een interne auditor te veel als adviseur optreedt. De auditor kan verbetermogelijkheden benoemen, maar moet voorkomen dat hij tijdens de audit zelf het hele proces gaat ontwerpen. Anders beoordeelt de auditor bij een volgende audit mogelijk zijn eigen oplossing.
Gebruik deze checklist om te controleren of je geschikte interne auditors hebt aangewezen.
Voor ISO 9001 is vooral belangrijk dat de organisatie bewust nadenkt over de selectie van auditors. Je hoeft niet voor iedere audit een externe specialist in te schakelen, maar je moet wel kunnen uitleggen waarom de gekozen auditor voldoende competent en objectief is.
Een interne audit mag worden uitgevoerd door een eigen medewerker, een collega van een andere afdeling of een externe auditor. De auditor moet voldoende competent, objectief en onpartijdig zijn en mag het eigen werk niet zonder voldoende afstand beoordelen.
Dat kan, maar alleen voor processen die de eigenaar voldoende objectief kan beoordelen. In een kleine organisatie is de eigenaar vaak bij vrijwel alle processen betrokken. In dat geval kan het verstandiger zijn om voor bepaalde onderdelen een externe auditor in te schakelen.
Niet automatisch. De kwaliteitsmanager mag processen auditen waarvoor hij of zij niet rechtstreeks verantwoordelijk is. Voor eigen processen, zoals documentbeheer of het interne auditproces, is een andere medewerker of externe auditor vaak geschikter.
Nee. ISO 9001 verplicht geen specifiek certificaat. De organisatie moet wel kunnen aantonen dat de auditor competent is. Dat kan met trainingen, ervaring, begeleiding, proceskennis en eerder uitgevoerde audits.
Ja, zolang de collega voldoende kennis heeft, geen direct belang heeft bij de uitkomst en het proces objectief kan beoordelen. Audits tussen verschillende afdelingen zijn een gebruikelijke manier om onafhankelijkheid binnen de organisatie te vergroten.
Een externe auditor is niet standaard verplicht. Externe ondersteuning is vooral nuttig wanneer intern onvoldoende kennis, capaciteit of onafhankelijkheid aanwezig is, bijvoorbeeld in een kleine organisatie of bij complexe processen.
Een certificerende auditor kijkt niet alleen naar het auditverslag, maar ook naar de manier waarop de interne auditor is geselecteerd. De organisatie moet kunnen uitleggen waarom deze persoon geschikt was om het betreffende proces te beoordelen.
De auditor kan onder meer controleren:
Een auditor verwacht meestal geen uitgebreid kwalificatiedossier. Wel moet duidelijk zijn dat de organisatie niet willekeurig iemand heeft aangewezen. Een korte vastlegging van training, ervaring, rol en onafhankelijkheid kan al voldoende zijn.
Kies daarom een auditor die kritisch kan kijken zonder de audit onnodig zwaar te maken. De beste interne auditor is niet degene die de meeste afwijkingen vindt, maar degene die op basis van feiten een betrouwbaar beeld geeft van hoe het proces werkelijk functioneert.