Een belangrijke leverancier wordt opnieuw beoordeeld. De verantwoordelijke bekijkt de prestaties van het afgelopen halfjaar en ziet dat er meerdere verstoringen zijn geweest. De leverancier blijft bruikbaar, maar er moet wel iets veranderen. Daarom wordt kort vastgelegd waarom de samenwerking voorlopig wordt voortgezet, welke verbetering nodig is en wie de opvolging bewaakt.
Een paar maanden later komt de vraag waarom deze leverancier ondanks de verstoringen nog steeds als acceptabel wordt beschouwd.
Het antwoord hoeft niet uit mailboxen, losse notities en herinneringen te worden opgebouwd. De beoordeling, de afweging en de opvolging vormen samen al het spoor.
Niet omdat iemand speciaal bewijs heeft gemaakt, maar omdat tijdens het gewone werk zichtbaar bleef wat er gebeurde en waarom.
Bewijs als bijproduct van het gewone werk
In Waarom bewijs verzamelen achteraf altijd faalt zagen we wat er gebeurt wanneer zo’n spoor ontbreekt. Dan moet achteraf worden gereconstrueerd wie iets heeft gedaan, wanneer dat gebeurde en waarop een conclusie was gebaseerd.
Het probleem ontstaat meestal niet door onzorgvuldigheid. Het ontstaat doordat uitvoering en bewijsvoering twee verschillende activiteiten zijn geworden.
Eerst wordt het werk gedaan. Later wordt bedacht hoe kan worden aangetoond dat het is gebeurd.
Daarmee wordt bewijsvoering een aparte activiteit naast het gewone werk. E-mails worden teruggezocht, bestanden verzameld en losse registraties bij elkaar gebracht. Niet om het werk beter uit te voeren, maar om achteraf zichtbaar te maken wat eerder al had moeten blijken.
Meer bewaren lost dat niet op
De logische reactie is vaak om voortaan meer te bewaren. Dat kan de vindbaarheid verbeteren, maar maakt bewijs niet automatisch begrijpelijker.
Losse registraties laten regelmatig zien dát iets is gebeurd, maar niet waarom een conclusie werd getrokken of welke opvolging daarop volgde. De informatie bestaat dan wel, maar de samenhang ontbreekt.
De belangrijkste context ontstaat tijdens het werk, op de momenten waarop iemand beoordeelt, beslist en opvolgt.
Juist daar moet betekenis behouden blijven.
Structuur houdt betekenis vast
Gestructureerd werken betekent niet dat iedere handeling uitgebreid moet worden gedocumenteerd. Het betekent vooral dat belangrijke keuzes niet verdwijnen zodra de aandacht verschuift.
Wie was verantwoordelijk? Wat was de uitkomst? Welke afwijking werd gevonden? Welke keuze is vervolgens gemaakt?
Bij de leveranciersbeoordeling hoeft daarvoor geen uitgebreid verslag te ontstaan. Een korte vastlegging van de beoordeling, de afweging en de afgesproken opvolging kan voldoende zijn om later te begrijpen waarom de situatie acceptabel werd gevonden.
De registratie is dan geen aparte bewijsactie voor een audit, maar onderdeel van de manier waarop het werk wordt uitgevoerd en afgerond.
Dat heeft ook intern waarde. Het wordt eenvoudiger om te zien wat daadwerkelijk is uitgevoerd, wat nog openstaat en waarop eerdere keuzes zijn gebaseerd. De organisatie wordt daardoor minder afhankelijk van het geheugen van degene die bij het oorspronkelijke gesprek aanwezig was.
Uitlegbaarheid ontstaat tijdens het werk
Wanneer keuzes hun context behouden, ontstaat gedurende het gewone werk een herkenbaar spoor. Een geaccepteerd risico houdt zijn afweging. Een verbeteractie houdt zijn eigenaar en resultaat. Een beoordeling houdt de conclusie die eruit volgde.
Daarmee hoeft uitlegbaarheid later niet opnieuw te worden opgebouwd.
Tooling kan helpen om die informatie bij elkaar te houden en historie herkenbaar te maken. Maar een systeem creëert die samenhang niet vanzelf. Zonder een duidelijke werkwijze ontstaat alleen een centrale verzameling registraties waarvan later alsnog moet worden uitgezocht wat ze betekenen.
Structuur moet daarom eerst in het werk zelf zitten.
Van bewijs verzamelen naar bewijs terugvinden
Daar zit uiteindelijk het verschil.
Wanneer bewijsvoering losstaat van de dagelijkse uitvoering, begint het werk zodra iemand om onderbouwing vraagt. Wanneer het werk voldoende gestructureerd is, bestaat het belangrijkste spoor op dat moment al.
Er moet misschien nog informatie worden opgezocht of geselecteerd, maar de oorspronkelijke afweging hoeft niet opnieuw te worden gereconstrueerd.
Dat maakt bewijsvoering minder tot een afzonderlijke complianceactiviteit en meer tot een logisch gevolg van zorgvuldig werken.
De relevante vraag voor je eigen organisatie is daarom niet hoeveel bewijs je bewaart.
De interessantere vraag is hoeveel van wat je vandaag als afgerond beschouwt, over een half jaar nog begrijpelijk is zonder degene erbij te halen die het destijds heeft gedaan.
Als daarvoor eerst mailboxen, herinneringen en losse bestanden moeten worden doorzocht, zit het probleem waarschijnlijk niet alleen in de vindbaarheid van bewijs.
Dan ontbreekt vooral de structuur waardoor dat bewijs vanzelf herkenbaar had kunnen ontstaan.
De auditor stelt een eenvoudige vraag: “Kun je laten zien waarom deze maatregel als afgerond staat?”
Er wordt een map geopend. Daarin staan een procedure, een screenshot, een export en een paar e-mails. Er is duidelijk veel bewaard. Toch blijft het antwoord lastig.
De procedure beschrijft wat er zou moeten gebeuren. De screenshot laat zien hoe een instelling er nu uitziet. In een e-mail staat dat iemand ermee bezig is geweest. Maar welk stuk laat zien wat daadwerkelijk is uitgevoerd en waarop de conclusie is gebaseerd dat de maatregel afgerond is?
Dat is het verschil tussen informatie hebben en bewijs kunnen leveren.
Wat maakt informatie tot bewijs?
Bij auditvoorbereiding wordt bewijs gemakkelijk gezien als iets tastbaars: een document, rapportage, screenshot of registratie. Daardoor ontstaat de gedachte dat een volle map automatisch een sterke onderbouwing vormt.
Een auditor kijkt anders. Bewijs is verifieerbare informatie die relevant is voor wat op dat moment wordt getoetst.
Als je zegt dat toegangsrechten periodiek worden beoordeeld, moet aannemelijk en controleerbaar zijn dat die beoordeling daadwerkelijk plaatsvindt. Als een maatregel als afgerond staat, is relevant waarop die conclusie is gebaseerd. En wanneer een risico bewust is geaccepteerd, telt niet alleen dát die status ergens staat, maar ook of de afweging daarachter nog herkenbaar is.
Een procedure kan dus aantonen dat een werkwijze is afgesproken. Zij bewijst niet vanzelf dat die werkwijze ook in de praktijk wordt gevolgd.
Bewijs zit niet alleen in documenten
Een auditbeeld ontstaat meestal uit verschillende informatiebronnen.
Een gesprek met een medewerker kan inzicht geven in hoe een controle in de praktijk werkt. Een registratie kan laten zien wanneer die controle is uitgevoerd. Een waarneming kan duidelijk maken hoe een proces daadwerkelijk verloopt. Een vastgelegd besluit kan verklaren waarom bewust van de gebruikelijke werkwijze is afgeweken.
De waarde ontstaat in de samenhang. Wanneer uitleg, registratie en dagelijkse praktijk hetzelfde beeld geven, wordt de uitvoering beter verifieerbaar. Wanneer beleid iets anders zegt dan medewerkers uitleggen of registraties niet aansluiten op de praktijk, ontstaan juist nieuwe vragen.
Eén bewijsstuk hoeft daarom zelden het volledige verhaal te vertellen.
Waarom meer verzamelen niet automatisch helpt
Wanneer twijfel ontstaat, is de logische reactie vaak om meer te bewaren. Extra screenshots, exports, notulen en bevestigingen moeten voorkomen dat er bij een volgende audit iets ontbreekt.
Daarmee groeit de hoeveelheid informatie, maar niet automatisch de waarde als auditbewijs.
Tien losse bestanden kunnen minder zeggen dan één duidelijke registratie waarin zichtbaar is wat is beoordeeld, door wie, wanneer en met welke uitkomst. Het gaat niet om hoeveel materiaal beschikbaar is, maar om de relatie tussen de informatie en wat je ermee wilt aantonen.
Zodra die relatie ontbreekt, moet achteraf worden gereconstrueerd wat bestanden waarschijnlijk betekenen. Precies dat probleem staat centraal in Waarom bewijs verzamelen achteraf altijd faalt.
Bewijs gaat ook over je eigen grip
Dit probleem wordt niet pas zichtbaar wanneer een auditor langskomt.
Zeker wanneer compliance naast andere verantwoordelijkheden wordt uitgevoerd, zit veel context bij enkele mensen. Als je voor de status van een maatregel telkens degene nodig hebt die “nog weet hoe het zat”, wordt het ook intern moeilijker om vast te stellen waarom iets als afgerond, acceptabel of voldoende wordt beschouwd.
Daarmee raakt bewijsvoering aan een bredere vraag: weet je zelf waarop je oordeel is gebaseerd?
Dat sluit aan op Uitlegbaarheid ontstaat niet achteraf. Zodra alleen de uitkomst van een keuze overblijft en de oorspronkelijke afweging verdwijnt, wordt uitleg later onnodig moeilijk.
Structuur maakt bewijs begrijpelijk
Goede bewijsvoering vraagt daarom niet in de eerste plaats om meer documentatie. Het vraagt om voldoende samenhang in wat tijdens het werk wordt vastgehouden.
Bij een maatregel moet bijvoorbeeld herkenbaar blijven wie verantwoordelijk was en waarop de status is gebaseerd. Bij een risicoacceptatie is vooral de afweging relevant. Bij een periodieke controle moet zichtbaar zijn dat de afgesproken activiteit daadwerkelijk heeft plaatsgevonden.
Dat hoeft geen uitgebreid dossier op te leveren. Juist wanneer informatie op het juiste moment wordt vastgehouden, is achteraf minder herstelwerk nodig.
Tooling kan helpen om zulke relaties herkenbaar te houden, maar maakt informatie niet vanzelf betekenisvol. Zonder duidelijke samenhang blijft ook een centraal systeem vooral een verzameling registraties.
Tot slot
Een auditor zoekt uiteindelijk geen indrukwekkende verzameling bestanden. Er moet voldoende betrouwbare informatie zijn om vast te stellen of wat is afgesproken ook herkenbaar terugkomt in de praktijk.
Daarom is “hoeveel bewijs hebben we?” zelden de interessantste vraag.
Relevanter is: als we zeggen dat iets is uitgevoerd, afgerond of onder controle is, kunnen we dan zonder reconstructie laten zien waarop we dat baseren?
Wie die vraag gemakkelijk kan beantwoorden, is niet alleen beter voorbereid op een audit. Die organisatie begrijpt ook zelf beter waarom zij denkt dat iets op orde is.
Op zichzelf lijkt er weinig aan de hand. De risicoanalyse is uitgevoerd, maatregelen zijn besproken en verschillende controles zijn het afgelopen jaar gewoon uitgevoerd. Alleen het bewijs daarvan moet nog even bij elkaar worden gezocht.
Dus begint de zoektocht.
Een collega duikt in zijn mailbox om terug te vinden wanneer een bepaald risico is besproken. Iemand anders zoekt naar rapportages waarvan niet direct duidelijk is welke versie destijds is gebruikt. Er worden screenshots gemaakt van instellingen die waarschijnlijk al maanden zo staan. En bij een maatregel die als afgerond staat geregistreerd, ontstaat discussie over wat er precies is gedaan.
Het werk is waarschijnlijk uitgevoerd.
Alleen is achteraf nauwelijks meer vast te stellen wat er op dat moment bekend was, welke afweging is gemaakt en waarom de organisatie vond dat de genomen maatregel voldoende was.
Daar zit het probleem met bewijs verzamelen achteraf.
Niet omdat bestaand bewijs niet later mag worden opgehaald. Een systeemlog, goedgekeurd besluit of tijdgestempelde registratie kun je prima maanden later terugvinden. Het probleem ontstaat wanneer dat spoor tijdens het werk nooit is ontstaan en je achteraf moet reconstrueren wat er waarschijnlijk is gebeurd.
Bewijs zonder context zegt minder dan je denkt
Wanneer bewijs vlak voor een audit, klantvraag of evaluatie wordt verzameld, lijkt het probleem meestal administratief. Documenten ontbreken, screenshots moeten nog worden gemaakt of informatie staat verspreid over verschillende plekken.
Maar dat is slechts het zichtbare deel.
Bewijs krijgt pas betekenis door de context eromheen.
Een screenshot laat zien dat een instelling op een bepaald moment op een bepaalde manier staat geconfigureerd. Hij vertelt niet vanzelf sinds wanneer dat zo is, waarom daarvoor is gekozen of welk risico ermee werd beheerst.
Een e-mail kan aantonen dat iets is besproken. Zonder zichtbaar besluit blijft onduidelijk wat daarna daadwerkelijk is afgesproken.
Een risico-overzicht kan laten zien dat een risico als acceptabel is beoordeeld. Als niet meer te achterhalen is waarom, laat het vooral zien dat ooit een beoordeling is ingevuld.
Goede bewijsvoering gaat daarom niet alleen over aantonen dat iets bestaat.
Het gaat om de samenhang tussen wat je hebt gezien, welke afweging daarop volgde, wat je hebt besloten en wat daarna daadwerkelijk is gedaan.
Wanneer context verdwijnt, begint reconstructie
Tijdens het dagelijkse werk is veel meer context beschikbaar dan organisaties zich realiseren.
Een risico wordt opnieuw besproken omdat een leverancier problemen heeft gehad. Een maatregel wordt aangepast omdat een bestaande werkwijze niet praktisch blijkt. Een uitzondering wordt geaccepteerd omdat de resterende impact beperkt is en een aanvullende maatregel op dat moment niet proportioneel wordt gevonden.
Op dat moment begrijpt iedereen de redenering.
Maar vaak wordt alleen de uitkomst vastgelegd.
Risico geaccepteerd.
Maatregel uitgevoerd.
Actie afgerond.
Daarmee verdwijnt een deel van het denkproces dat de uitkomst betekenis gaf.
Een paar maanden later is de aanleiding minder scherp. Mensen herinneren zich verschillende delen van het gesprek. Rollen kunnen zijn veranderd en nieuwe informatie beïnvloedt hoe naar de eerdere situatie wordt gekeken.
Zodra die context ontbreekt, vullen mensen de gaten begrijpelijkerwijs in met wat logisch lijkt.
De maatregel stond als afgerond geregistreerd, dus hij zal wel zijn gecontroleerd. De instelling staat nu goed, dus vermoedelijk stond hij destijds ook zo. We werken al jaren op deze manier, dus dit zal toen ook de bedoeling zijn geweest.
Dat hoeft geen bewuste verdraaiing te zijn. Het is simpelweg reconstructie vanuit de kennis van vandaag.
Maar daarmee verandert bewijsvoering ongemerkt in interpretatie.
Meer verzamelen lost dat niet op
De gebruikelijke reactie is om voortaan meer te bewaren.
Er komt een centrale map. Teams spreken af vaker screenshots te maken. Documenten worden consequenter opgeslagen en voor een audit wordt gecontroleerd of alles compleet is.
Dat maakt zoeken makkelijker, maar lost het kernprobleem niet op.
Meer bewijs betekent niet automatisch betere bewijsvoering.
Een goed georganiseerde verzameling losse bestanden blijft een verzameling losse bestanden wanneer de onderlinge samenhang ontbreekt. Hoe meer informatie wordt verzameld, hoe moeilijker het soms zelfs wordt te bepalen wat werkelijk iets aantoont.
De vraag verschuift dan van “hebben we bewijs?” naar “wat laat eigenlijk zien waarom deze keuze is gemaakt?”
Het probleem is dan geen tekort aan informatie.
Het is een tekort aan betekenis.
Bewijs ontstaat tijdens het werk, niet bij de audit
Een bruikbaarder uitgangspunt is dat bewijs ontstaat terwijl het werk wordt uitgevoerd.
Neem een risico dat bewust wordt geaccepteerd.
Op dat moment zijn een paar zaken relevant. Wat is het risico? Welke impact en waarschijnlijkheid zien we? Welke maatregelen zijn al aanwezig? Waarom vinden we aanvullende maatregelen niet nodig of niet proportioneel? En wie neemt verantwoordelijkheid voor die keuze?
Wanneer die afweging op dat moment herkenbaar wordt vastgehouden, ontstaat bewijs zonder aparte bewijsactiviteit.
Hetzelfde geldt voor maatregelen.
Niet alleen vastleggen dat iets is uitgevoerd, maar ook zichtbaar houden waarom die maatregel nodig was en waarop is gebaseerd dat het resultaat voldoende is.
Zo ontstaat een logisch spoor van risico naar afweging, besluit, maatregel en evaluatie.
Dat spoor is uiteindelijk belangrijker dan een stapel losse documenten.
Waarom dit onderdeel is van risicobeheer
Een risico-overzicht kan uitstekend laten zien welke risico’s zijn geïdentificeerd en hoe ze zijn beoordeeld. Maar een overzicht alleen stuurt niets.
De werkelijke waarde ontstaat bij de keuzes die erop volgen.
Een hoog risico zonder vervolgbesluit vertelt weinig. Een geaccepteerd risico zonder argumentatie ook. En een maatregel zonder zichtbaar resultaat blijft uiteindelijk een aanname.
Dit raakt dus niet alleen auditvoorbereiding. Het raakt de kwaliteit van besluitvorming.
Als drie mensen eerst moeten reconstrueren waarom een risico negen maanden geleden is geaccepteerd, is niet alleen tijd verloren. Je kunt ook moeilijk beoordelen of die oorspronkelijke keuze vandaag nog verdedigbaar is.
Bewijsvoering wordt daarmee onderdeel van risicobeheer zelf.
Niet omdat ieder risico uitgebreid gedocumenteerd moet worden, maar omdat belangrijke keuzes hun betekenis moeten behouden.
Structuur voorkomt herstelwerk achteraf
Dat vraagt niet om het vastleggen van ieder detail.
Structuur betekent vooral dat duidelijk is welke momenten betekenisvol zijn.
Wanneer is een risico beoordeeld? Wie heeft een besluit genomen? Welke actie volgde daaruit? En wanneer werd vastgesteld dat het resultaat voldoende was?
Wie die lijn kan volgen, heeft vaak veel minder afzonderlijke bewijsstukken nodig.
De kracht zit niet in de hoeveelheid, maar in de verbinding.
Daardoor verandert ook het gesprek wanneer later uitleg nodig is. Bij een audit, overdracht of klantvraag hoef je niet terug te redeneren vanuit losse documenten. Je kunt de oorspronkelijke besluitvorming volgen zoals die daadwerkelijk heeft plaatsgevonden.
Dat maakt bewijsvoering eenvoudiger en vooral beter herleidbaar.
Tooling volgt pas daarna
Wanneer deze manier van werken logisch wordt, ontstaat vanzelf behoefte aan ondersteuning.
Besluiten moeten herkenbaar blijven. Acties moeten aan risico’s gekoppeld kunnen worden. Verantwoordelijkheden mogen niet uitsluitend afhankelijk zijn van individueel geheugen. Eerdere afwegingen moeten terug te vinden zijn zonder door mailboxen, mappen en verschillende versies te zoeken.
Tooling kan dat ondersteunen.
Maar een systeem creëert die structuur niet vanzelf.
Zonder helder denkkader wordt ook een nieuw systeem vooral een plek waar informatie wordt opgeslagen. Met voldoende structuur helpt het juist om het spoor dat tijdens het werk ontstaat intact te houden.
Tooling is dan geen oplossing voor slechte bewijsvoering, maar een logisch gevolg van de wens om besluitvorming consistent en uitlegbaar te houden.
Bewijsvoering begint veel eerder dan de audit
Wie vlak voor een audit veel bewijs moet reconstrueren, ontdekt meestal geen nieuw probleem. De audit maakt vooral zichtbaar wat gedurende het jaar al ontbrak.
Niet noodzakelijk de controles.
Niet noodzakelijk de maatregelen.
Maar de verbinding tussen aanleiding, afweging, keuze, uitvoering en resultaat.
Daarom faalt bewijs verzamelen achteraf zo vaak. Niet omdat bestaande registraties later niet meer bruikbaar zijn, maar omdat betekenis die nooit is vastgehouden zich maar beperkt laat reconstrueren.
De relevante vraag is dus niet hoeveel bewijs je vandaag zou kunnen verzamelen.
Interessanter is welke belangrijke keuzes van de afgelopen maanden je nu nog zonder moeite kunt uitleggen. Kun je zien wat destijds bekend was? Waarom een risico werd geaccepteerd? Waarom juist die maatregel werd gekozen? En waarop is gebaseerd dat die voldoende werkte?
Als het antwoord vooral afhankelijk is van degene die toevallig bij het gesprek aanwezig was, ontbreekt waarschijnlijk niet alleen bewijs.
Dan ontbreekt vooral een deel van het geheugen van de organisatie.
Aan het begin van het jaar worden de interne audits ingepland. ISO 9001 komt in het voorjaar aan bod, ISO 27001 in het najaar. De normhoofdstukken zijn verdeeld, auditors zijn aangewezen en de datums staan in de agenda.
Daarmee lijkt het auditprogramma gereed. Toch blijft vaak onduidelijk waarom juist deze onderwerpen worden onderzocht. Sommige processen komen ieder jaar terug, terwijl andere nauwelijks aandacht krijgen. Bevindingen worden wel vastgelegd, maar hebben weinig invloed op de volgende planning.
Een auditkalender vertelt wanneer je audit. Een auditprogramma onderbouwt waarom, waar en met welk doel je dat doet.
ISO 19011:2026 helpt organisaties om die samenhang aan te brengen. De vierde editie is op 27 mei 2026 gepubliceerd en vervangt ISO 19011:2018. De norm bevat richtlijnen voor auditprincipes, het beheren van auditprogramma’s, het uitvoeren van audits en het beoordelen van auditorcompetentie.
ISO 19011 is geen norm waartegen je jouw organisatie kunt laten certificeren. De richtlijn helpt je om audits van andere managementsystemen professioneel en doelgericht te organiseren.
Daarvoor is geen afzonderlijke auditafdeling nodig. Ook wanneer auditwerk naast andere verantwoordelijkheden wordt uitgevoerd, kan een goed programma ontstaan. De belangrijkste voorwaarde is dat de beschikbare audittijd terechtkomt waar de organisatie het meeste inzicht nodig heeft.
Wat is ISO 19011:2026?
ISO 19011 biedt een algemeen kader voor het auditen van managementsystemen. De richtlijn kan worden gebruikt bij onder meer kwaliteitsmanagement, informatiebeveiliging, milieumanagement en arbeidsveiligheid. Zij is ook bruikbaar voor organisaties die meerdere managementsystemen combineren.
De norm behandelt vier samenhangende onderwerpen: de principes van auditen, het beheren van een auditprogramma, het uitvoeren van afzonderlijke audits en het beoordelen en ontwikkelen van auditorcompetentie.
ISO 19011 bepaalt niet zelfstandig wat je moet auditen. De inhoudelijke criteria komen bijvoorbeeld uit ISO 9001, ISO 27001, ISO 14001 of ISO 45001. Ook wetgeving, klantafspraken, contracten en het eigen beleid kunnen als auditcriteria gelden.
De managementsysteemnorm bepaalt waar de organisatie aan moet voldoen. ISO 19011 helpt vervolgens bij de manier waarop je onderzoekt of afspraken worden nageleefd en of processen effectief functioneren.
Het gebruik van ISO 19011 is niet verplicht om een ISO-certificaat te behalen of te behouden. Wel biedt de richtlijn een internationaal erkend uitgangspunt voor betrouwbare en consistente audits.
Wat verandert er met de editie van 2026?
De basis van professioneel auditen is niet volledig veranderd. Onderwerpen als risicogestuurd auditen en audits op afstand bestonden al voor 2026. In de nieuwe editie krijgen zij meer nadruk en een actuelere uitwerking.
Dat sluit aan op de omgeving waarin organisaties inmiddels werken. Digitale workflows, cloudplatforms, dashboards en geautomatiseerde processen zijn een normaal onderdeel van de bedrijfsvoering geworden. Auditbewijs bestaat daardoor niet meer alleen uit procedures, formulieren, gesprekken en waarnemingen op locatie.
Auditors moeten ook kunnen beoordelen waar digitale informatie vandaan komt, hoe deze wordt verwerkt en of zij betrouwbaar genoeg is om conclusies op te baseren. Een dashboard kan bijvoorbeeld laten zien dat controles zijn uitgevoerd. De auditor moet dan nog steeds kunnen onderzoeken welke gegevens daaronder liggen en welke uitzonderingen mogelijk buiten beeld blijven.
De nieuwe editie besteedt daarnaast meer aandacht aan virtuele omgevingen en auditmethoden op afstand. Een audit kan op locatie, op afstand of hybride worden uitgevoerd. Welke combinatie geschikt is, hangt af van het auditdoel, de risico’s en het bewijs dat nodig is.
Onderzoek op afstand kan goed werken bij digitale registraties, toegangsrechten of documentbeheer. Wanneer fysieke omstandigheden, gedrag op de werkvloer of de praktische uitvoering centraal staan, blijft onderzoek op locatie vaak nodig. Audits op afstand zijn dus een bruikbare aanvulling, maar geen automatische vervanging van iedere audit op locatie.
Ook de koppeling met risicoanalyse en risicobeheersing krijgt meer aandacht. Niet ieder onderwerp verdient dezelfde frequentie en diepgang. Wijzigingen, eerdere problemen en onzekerheid moeten mede bepalen waar de auditcapaciteit wordt ingezet.
De herziening legt daarmee vooral nadruk op bewustere keuzes, niet op een groter aantal audits. Voor organisaties met een bestaand auditprogramma is een volledige herinrichting meestal niet nodig. Het is wel verstandig om te beoordelen of de huidige aanpak nog voldoende aansluit op digitalisering, virtuele werkomgevingen en veranderende risico’s.
Auditprogramma, auditplan en audit
Een auditprogramma, een auditplan en een audit zijn niet hetzelfde.
Het auditprogramma beschrijft het samenhangende geheel van audits voor een bepaalde periode. Daarin staan de doelen, prioriteiten, beschikbare capaciteit en onderwerpen die aandacht krijgen.
Het auditplan is de praktische voorbereiding van één audit. Het beschrijft bijvoorbeeld het doel, de afbakening, de gesprekspartners, de planning en de gekozen onderzoeksmethoden.
De audit is het daadwerkelijke onderzoek.
Zonder auditprogramma worden audits losse gebeurtenissen. Zonder auditplan wordt de uitvoering afhankelijk van improvisatie. De uiteindelijke waarde ontstaat wanneer keuzes op programmaniveau, de uitvoering van audits en de opvolging van resultaten met elkaar verbonden zijn.
Begin bij de gewenste zekerheid
Veel auditprogramma’s beginnen met het verdelen van normhoofdstukken of processen over de kalender. Daarmee wordt bepaald wanneer iets wordt onderzocht, maar nog niet waarom.
Een beter vertrekpunt is de vraag:
Welke onzekerheid moet na deze audit kleiner zijn?
Een audit kan bijvoorbeeld bedoeld zijn om vast te stellen of een kritisch proces voldoende wordt beheerst. Een ander onderzoek kan zich richten op de invoering van een nieuwe werkwijze, de effectiviteit van maatregelen tegen een belangrijk risico of de structurele oplossing van eerdere afwijkingen.
“Vaststellen of we voldoen aan de norm” is als enige doel meestal te algemeen. Het geeft weinig richting aan de diepgang van de audit, de vragen die worden gesteld en het bewijs dat nodig is.
Een concreet doel maakt duidelijk welke informatie de audit moet opleveren. Daardoor kan de auditor gerichter onderzoeken en kan het management na afloop beter bepalen of aanvullende acties of besluiten nodig zijn.
Bepaal waar meer en minder auditaandacht nodig is
Niet ieder proces hoeft ieder jaar even uitgebreid te worden onderzocht. Een norm, wettelijke verplichting, contractuele afspraak of sectorspecifieke regeling kan een bepaalde frequentie voorschrijven. Waar die verplichting niet bestaat, kan de organisatie de frequentie en diepgang afstemmen op de eigen situatie.
Wanneer alle onderwerpen volgens een vast ritme dezelfde aandacht krijgen, wordt auditcapaciteit gelijkmatig verdeeld. Dat klinkt zorgvuldig, maar is niet altijd effectief. Een stabiel proces zonder wijzigingen of negatieve signalen krijgt dan mogelijk evenveel tijd als een proces waarin recent nieuwe systemen zijn ingevoerd, verantwoordelijkheden zijn verschoven of incidenten zijn ontstaan.
Voor een eenvoudige prioritering kun je naar drie kenmerken kijken:
Kenmerk
Centrale vraag
Belang
Hoe groot zijn de gevolgen als dit proces niet goed werkt?
Verandering
Hoeveel is er sinds de vorige audit veranderd?
Signalen
Zijn er incidenten, klachten, afwijkingen of terugkerende problemen?
Scoort een onderwerp hoog op alle drie, dan ligt opname in het programma voor de hand. Een onderwerp dat laag scoort, kan mogelijk beperkter worden onderzocht of op een later moment aan bod komen. Die keuze hoeft niet ingewikkeld te zijn, maar moet wel bewust en uitlegbaar zijn.
Stel dat een organisatie een nieuwe leverancier heeft ingeschakeld voor een kritisch cloudplatform. Sinds de overgang zijn enkele storingen gemeld en intern is nog onduidelijk wie de prestaties van de leverancier beoordeelt. Het proces is belangrijk, er is veel veranderd en er zijn concrete signalen. Een audit van leveranciersbeheer ligt dan voor de hand.
Een stabiel proces met beperkte gevolgen, weinig wijzigingen en geen negatieve signalen kan minder uitgebreid worden onderzocht. Minder frequent auditen betekent alleen niet dat een onderwerp volledig uit beeld mag verdwijnen.
Naast belang, verandering en signalen kunnen ook wettelijke verplichtingen, klantafspraken, afhankelijkheid van leveranciers, eerdere auditresultaten en de tijd sinds de vorige audit worden meegewogen.
Een meerjarige hoofdlijn helpt om evenwicht te bewaren. Daarmee voorkom je dat alleen processen met zichtbare problemen aandacht krijgen en andere relevante onderwerpen jarenlang buiten beeld blijven.
Risicogestuurd auditen betekent dus niet dat je uitsluitend de hoogste risico’s onderzoekt. Het betekent dat je de beschikbare capaciteit bewust verdeelt op basis van de zekerheid en stuurinformatie die de organisatie nodig heeft.
Combineer managementsystemen waar dat logisch is
Een organisatie met ISO 9001 en ISO 27001 heeft niet automatisch twee volledig gescheiden auditprogramma’s nodig.
Veel processen raken meerdere managementsystemen tegelijk. Leveranciersbeheer kan worden onderzocht vanuit kwaliteit, informatiebeveiliging en continuïteit. Personeelsbeheer raakt onder meer competentie, bewustwording en privacy. Incidentmanagement kan relevant zijn voor kwaliteit, informatiebeveiliging en bedrijfscontinuïteit.
Door vanuit processen te kijken, voorkom je dat dezelfde medewerkers kort na elkaar vergelijkbare vragen krijgen tijdens afzonderlijke normaudits. Ook ontstaat meer zicht op de samenhang tussen verschillende eisen.
Integreren betekent niet dat normen oppervlakkig worden samengevoegd. Per audit moet duidelijk blijven welke eisen en interne afspraken als criteria gelden, welke deskundigheid nodig is en welke onderdelen werkelijk zijn onderzocht.
De norm bepaalt waartegen je toetst. Het proces bepaalt waar je het bewijs zoekt.
Organiseer eigenaarschap, objectiviteit en competentie
Een auditprogramma heeft iemand nodig die de samenhang bewaakt. Deze programmabeheerder houdt zicht op de doelen, planning, beschikbare capaciteit, voortgang en terugkoppeling aan het management.
Dat is een andere rol dan die van de auditor. De auditor verzamelt en beoordeelt bewijs. De verantwoordelijke voor het onderzochte proces licht de werkwijze toe. Het management bepaalt prioriteiten en stelt middelen beschikbaar.
Waar weinig mensen beschikbaar zijn, kunnen meerdere rollen bij dezelfde persoon liggen. Dat is niet automatisch een probleem. Wel moet bewust worden beoordeeld of eigen verantwoordelijkheden of belangen de objectiviteit van de audit beïnvloeden.
Iemand die zijn eigen werk onderzoekt, zal bepaalde aannames en afwijkingen minder snel herkennen. Mogelijke oplossingen zijn het uitwisselen van auditors tussen teams, het laten beoordelen van bevindingen door een collega of het extern laten uitvoeren van een deel van het programma.
De keuze voor een auditor moet bovendien niet alleen worden bepaald door beschikbaarheid. De benodigde kennis hangt af van het auditdoel en het onderwerp. De auditor moet processen kunnen begrijpen, gericht kunnen doorvragen en bewijs objectief kunnen beoordelen.
Bij digitale of technisch complexe processen moet binnen het auditteam ook voldoende kennis aanwezig zijn van de gebruikte technologie en bijbehorende risico’s. Niet iedere auditor hoeft technisch specialist te zijn, zolang het team als geheel maar voldoende competent is om betrouwbare conclusies te trekken.
ISO-managementsysteemnormen schrijven voor interne auditors doorgaans geen specifiek persoonscertificaat voor. De organisatie moet wel kunnen onderbouwen dat de auditor voldoende competent en objectief is.
Verbind resultaten aan opvolging en bijsturing
Iedere audit binnen het programma heeft een concreet doel, een duidelijke afbakening en een passende onderzoeksmethode nodig. Een normchecklist kan helpen om geen eisen te vergeten, maar mag het onderzoek niet volledig bepalen.
Een checklist vraagt bijvoorbeeld of leveranciers periodiek worden beoordeeld. Een gerichte audit onderzoekt ook welke leveranciers werkelijk kritisch zijn, welke prestaties worden gevolgd en wat er gebeurt wanneer afspraken niet worden nagekomen.
De uitkomsten moeten vervolgens voldoende duidelijk worden vastgelegd. Een bruikbare bevinding verbindt het relevante criterium aan objectief bewijs en maakt begrijpelijk waarin de praktijk daarvan afwijkt. Formuleringen als “meer aandacht nodig” bieden te weinig richting voor besluitvorming en opvolging.
De organisatie wijst daarna een verantwoordelijke aan om de oorzaak te onderzoeken en een passende maatregel te bepalen. Een bevinding is niet afgehandeld omdat een actie administratief op afgerond staat. Er moet ook worden beoordeeld of de oorzaak voldoende is aangepakt en of het probleem daadwerkelijk niet terugkeert.
Terugkerende bevindingen, trage opvolging of ineffectieve maatregelen geven bovendien informatie over het auditprogramma. Zij kunnen aanleiding zijn om een onderwerp eerder of diepgaander opnieuw te onderzoeken.
Beoordeel ook het auditprogramma zelf
Een auditprogramma is geen statische kalender die alleen aan het einde van het jaar wordt vernieuwd.
Nieuwe incidenten, organisatorische veranderingen, klachten of tegenvallende prestaties kunnen aanleiding geven om de prioriteiten opnieuw te beoordelen. Een audit kan worden vervroegd, de afbakening kan worden aangepast of een nieuw onderwerp kan aan het programma worden toegevoegd.
Beoordeel daarom periodiek of de audits de belangrijkste risico’s en veranderingen hebben geraakt. Kijk ook of bevindingen terugkeren, acties aantoonbaar worden opgevolgd en rapportages informatie opleveren waar het management daadwerkelijk iets mee doet.
Wanneer belangrijke problemen steeds buiten audits om worden ontdekt, kan dat betekenen dat de gekozen onderwerpen of methoden onvoldoende aansluiten op de werkelijkheid. Wanneer dezelfde bevindingen terugkeren, kan zowel de opvolging als het auditprogramma tekortschieten.
De effectiviteit van een programma blijkt dus niet alleen uit het percentage uitgevoerde audits. Belangrijker is of de audits de juiste onderwerpen raken en leiden tot beter begrip en gerichte verbetering.
Zo richt je een werkbaar auditprogramma in
Een auditprogramma hoeft niet omvangrijk te zijn. De volgende acht stappen bieden voldoende structuur:
Bepaal de doelen. Leg vast welke zekerheid en stuurinformatie het programma moet opleveren.
Breng de mogelijke auditonderwerpen in kaart. Denk aan processen, locaties, managementsystemen, relevante verplichtingen en belangrijke leveranciers.
Stel prioriteiten. Beoordeel per onderwerp het belang, de veranderingen en aanwezige signalen.
Maak een meerjarige hoofdlijn. Zorg dat relevante onderwerpen aan bod komen zonder ieder jaar alles even diep te onderzoeken.
Werk het komende jaar concreet uit. Leg de auditdoelen, globale afbakening, criteria, auditors en perioden vast.
Bereid iedere audit afzonderlijk voor. Bepaal welke gesprekken, informatie, steekproeven en onderzoeksmethoden nodig zijn.
Volg bevindingen centraal op. Wijs eigenaren en deadlines toe en leg vast hoe de effectiviteit wordt beoordeeld.
Evalueer en stuur bij. Gebruik wijzigingen, incidenten, klachten en audituitkomsten om het programma actueel te houden.
De vastlegging hoeft niet uitgebreid te zijn. Zij moet vooral duidelijk maken waarom een onderwerp aandacht krijgt, wat ermee is onderzocht en wat er daarna is gebeurd.
Conclusie: een auditprogramma verdeelt aandacht
Een goed auditprogramma probeert niet ieder onderwerp even vaak te controleren. Het zorgt ervoor dat de beschikbare audittijd terechtkomt waar de organisatie het meeste inzicht nodig heeft.
Daarvoor moet duidelijk zijn welke zekerheid de audits moeten opleveren, waar belangrijke risico’s en veranderingen zitten, welke competentie nodig is en hoe resultaten doorwerken in besluiten en verbeteringen.
Dat verandert de interne audit van een terugkerende verplichting in een instrument waarmee de organisatie gericht kan bijsturen.
Met CompliTrack houd je de planning, auditbevindingen en opvolging centraal bij. Je wijst eigenaarschap en deadlines toe, bewaakt de voortgang en behoudt de samenhang met risico’s, incidenten en maatregelen. Zo wordt iedere audit onderdeel van een doorlopend verbeterproces, zonder dat daarvoor een zwaar auditplatform of een verzameling losse actielijsten nodig is.
De auditor stelt een eenvoudige vraag: “Wie bepaalt of dit risico acceptabel is?”
Het blijft even stil. Niet omdat niemand het antwoord weet, maar omdat meerdere antwoorden mogelijk zijn. De compliance-verantwoordelijke verwijst naar een eerder overleg. Een collega denkt dat de directie het besluit nam. In het risico-overzicht staat alleen dat het risico is geaccepteerd.
Dan volgt de vraag waarom dat op dat moment een verdedigbare keuze was. Vanaf dat moment voelt het gesprek niet meer als een toetsing van de organisatie, maar als een beoordeling van de mensen aan tafel.
Toch probeert de auditor vooral vast te stellen of afspraken, gemaakte keuzes en de dagelijkse praktijk met elkaar samenhangen.
Waarom een audit persoonlijk kan voelen
Een audit doorbreekt de vanzelfsprekendheid van het dagelijkse werk. In organisaties met korte lijnen is veel context gedeeld. Mensen weten wie ergens over gaat, waarom een uitzondering bestaat en welke afspraken informeel zijn gemaakt. Dat werkt vaak goed.
Een auditor kan er alleen niet van uitgaan dat die gedeelde context voldoende is. Daarom worden vragen gesteld die intern nauwelijks nodig lijken: wie besloot dit, waarop was dat gebaseerd en wat gebeurde er daarna?
De organisatie moet daardoor woorden geven aan werkwijzen die normaal op ervaring en onderling begrip draaien. Het ongemak wordt vervolgens gemakkelijk toegeschreven aan de auditor. De vraag voelt kritisch, terwijl vooral zichtbaar wordt dat het antwoord afhankelijk is van geheugen en interpretatie.
De reflex om het juiste antwoord te geven
Wanneer een audit als persoonlijke controle voelt, worden mensen voorzichtig. Ze geven het antwoord waarvan zij denken dat het verwacht wordt. Twijfels, uitzonderingen en informele werkwijzen blijven buiten beeld.
Vooraf worden documenten aangevuld, formuleringen aangescherpt en collega’s voorbereid op mogelijke vragen. Dat geeft tijdelijk houvast, maar versterkt ook het idee dat een audit een test is waarvoor de organisatie moet slagen.
De houding van de leiding speelt hierin een belangrijke rol. Wanneer een audit wordt gepresenteerd als een moment waarop geen bevindingen mogen ontstaan, ligt defensief gedrag voor de hand.
Een zorgvuldig geschreven procedure lost dat niet op. Op papier kan een verantwoordelijkheid helder lijken, terwijl in de praktijk meerdere mensen ervan uitgaan dat iemand anders het besluit neemt. Een maatregel kan als afgerond geregistreerd staan, terwijl niemand nog kan uitleggen wat de uitvoering heeft opgeleverd.
Waar een auditor daadwerkelijk naar kijkt
Een audit is een vorm van toetsing. De auditor verzamelt informatie en auditbewijs om te beoordelen in hoeverre de organisatie aan de geldende auditcriteria voldoet en of afgesproken werkwijzen aantoonbaar en consistent worden toegepast.
Daarbij gaat het niet alleen om de vraag of iets is vastgelegd. De auditor kijkt ook naar de samenhang tussen afspraken, keuzes en gedrag.
Hoe wordt een signaal een risico? Wie maakt de afweging? Wanneer is een maatregel voldoende?
Dat zijn geen strikvragen. Ze maken zichtbaar of keuzes bewust en herhaalbaar ontstaan, of vooral afhankelijk zijn van degee die op dat moment aanwezig is.
Een bevinding betekent daarom niet automatisch dat het werk slecht is uitgevoerd. Ze kan ook laten zien dat een logische werkwijze onvoldoende overdraagbaar of uitlegbaar is.
Structuur verandert het auditgesprek
Structuur helpt niet door ieder detail dicht te regelen. Ze helpt door de belangrijkste afwegingen vast te houden. Wie nam het besluit? Welke informatie speelde mee? Welke opvolging is afgesproken?
Wanneer die lijn zichtbaar blijft, hoeft een auditgesprek minder op geheugen te steunen. Antwoorden hoeven niet ter plekke te worden gereconstrueerd. Ook uitzonderingen en openstaande punten kunnen dan worden besproken zonder dat zij direct voelen als bewijs dat de organisatie tekortschiet.
Een vaste, centrale werkwijze kan dit ondersteunen, zolang die aansluit op het dagelijkse werk. Het doel is niet om een aparte administratieve werkelijkheid te bouwen, maar om te voorkomen dat de betekenis achter keuzes verdwijnt.
Reflectie
Dat een audit als controle voelt, zegt niet alleen iets over de audit of de auditor. Het kan vooral laten zien hoeveel van de organisatie nog rust op mondelinge afspraken, gedeelde context en individueel geheugen.
De relevante vraag is daarom niet alleen of je klaar bent voor de volgende audit. Belangrijker is of je ook zonder audit kunt uitleggen hoe keuzes tot stand komen, wie verantwoordelijkheid draagt en waarom de gekozen aanpak passend is.
Waar die uitleg tijdens het werk ontstaat, verliest de audit haar dreiging. Niet omdat er niets meer gevonden kan worden, maar omdat doorvragen niet langer voelt als betrapt worden.
Dan wordt zichtbaar of de organisatie daadwerkelijk handelt zoals zij denkt dat zij handelt.
Een risico wordt vorig jaar als acceptabel beoordeeld. Op dat moment is de keuze logisch. De leverancier had nog niet alle maatregelen volledig ingericht, maar er was een verbeterafspraak. De impact leek beheersbaar. De samenwerking was belangrijk. Iedereen aan tafel begreep waarom het risico tijdelijk werd geaccepteerd.
Een jaar later komt dezelfde keuze terug.
Niet omdat er direct iets mis is gegaan, maar omdat iemand vraagt waarom het risico destijds acceptabel was. Dat kan een klant zijn, een auditor of iemand intern die het dossier heeft overgenomen. De vraag klinkt eenvoudig: waarom hebben we dit toen zo besloten?
Toch kost het beantwoorden ervan meer tijd dan verwacht.
Er wordt gezocht in een risico-overzicht. Er is een actielijst, maar die zegt vooral dát er iets is opgevolgd. In een overlegverslag staat een korte verwijzing naar de leverancier, maar niet de afweging. Iemand herinnert zich dat er destijds haast was. Iemand anders weet nog dat de maatregel “voor nu voldoende” werd gevonden. Alleen is niet meer goed terug te halen op basis waarvan.
Uiteindelijk ontstaat er wel een verklaring. Maar die verklaring voelt samengesteld. Alsof het verhaal opnieuw moet worden opgebouwd uit losse onderdelen.
Waarom context sneller verdwijnt dan informatie
Achteraf verklaren is tijdrovend omdat je niet alleen informatie zoekt. Je zoekt context. En context is bijna altijd kwetsbaarder dan informatie.
In organisaties waar compliance niet losstaat van het dagelijkse werk, worden veel risicobeslissingen genomen op basis van ervaring, praktische afwegingen en korte lijnen. Dat is op zichzelf niet verkeerd. Het zorgt vaak voor snelheid en realisme. Niet elk risico vraagt om een zwaar besluitvormingsproces. Niet elke afwijking hoeft uitgebreid te worden beschreven.
Maar het wordt kwetsbaar wanneer de reden achter een keuze niet wordt vastgehouden.
Op het moment zelf is die reden duidelijk. Iedereen weet waarom een risico voorlopig acceptabel is. Iedereen begrijpt waarom een maatregel voldoende lijkt. Iedereen voelt aan waarom een uitzondering verdedigbaar is. Maar die duidelijkheid hoort bij het moment. Zodra mensen wisselen, prioriteiten veranderen of tijd verstrijkt, blijft vaak alleen de uitkomst over.
Het risico staat op “geaccepteerd”. De maatregel staat op “afgerond”. De leverancier staat op “beoordeeld”.
Maar waarom dat toen passend was, is minder zichtbaar.
Waarom meer vastleggen niet automatisch helpt
De gangbare oplossing is vaak om meer vast te leggen. Meer toelichting in risico-overzichten. Meer notulen. Meer documenten. Dat lijkt zorgvuldig, maar lost het probleem niet altijd op. Meer informatie betekent niet automatisch meer uitlegbaarheid.
Een toelichting die losstaat van de beslissing helpt beperkt. Een notitie zonder eigenaar zegt weinig. Een document dat niet verbonden is met het risico, de maatregel of de gemaakte afspraak wordt al snel een extra zoekplek. Dan ontstaat geen beter geheugen, maar meer materiaal om achteraf doorheen te moeten.
Een andere reflex is om te vertrouwen op overleg. “We bespreken dit elk kwartaal wel even.” Ook dat kan nuttig zijn, maar alleen zolang de juiste mensen aan tafel zitten en het onderwerp aandacht krijgt. Zodra de dagelijkse druk terugkomt, vervaagt de afspraak opnieuw.
Het probleem is dus niet dat organisaties te weinig opschrijven. Het probleem is dat betekenis niet op het juiste moment wordt vastgehouden.
Structuur als geheugen voor risicokeuzes
Structuur helpt wanneer zij precies daar begint: bij de keuze zelf. Niet door alles groter te maken, maar door een paar dingen consequent zichtbaar te houden. Waarom is dit risico acceptabel? Wie heeft die afweging gemaakt? Welke maatregel of afspraak hoort erbij? Wanneer moet dit opnieuw bekeken worden?
Dat zijn niet alleen auditvragen. Het zijn vooral geheugenankers.
Ze zorgen ervoor dat een organisatie later niet opnieuw hoeft te bedenken wat ooit al is afgewogen. Ze maken duidelijk waar een keuze vandaan kwam, ook als de oorspronkelijke betrokkenen er niet meer direct bij zijn. En ze voorkomen dat uitleg afhankelijk wordt van degene met het beste geheugen.
Daarmee verandert ook de rol van hulpmiddelen. Een overzicht, systeem of centrale plek is dan geen oplossing op zichzelf, maar een manier om samenhang vast te houden. Het voorkomt dat risico’s, maatregelen, afspraken en verantwoordelijkheden als losse brokstukken naast elkaar blijven bestaan. Niet door het werk zwaarder te maken, maar door te zorgen dat keuzes hun betekenis behouden.
Achteraf verklaren kost tijd omdat je probeert te reconstrueren wat op het beslismoment niet expliciet genoeg is gemaakt. Soms lukt dat. Soms zelfs overtuigend. Maar het blijft kwetsbaar, omdat het steunt op herinneringen, aannames en losse sporen.
De vraag is daarom niet of elke beslissing uitgebreid gedocumenteerd moet worden. De vraag is welke risicokeuzes later nog begrijpelijk moeten zijn.
Wie die vraag pas stelt wanneer iemand om uitleg vraagt, merkt vaak dat het werk al is verschoven van uitleggen naar reconstrueren. Niet omdat de keuze verkeerd was, maar omdat de organisatie opnieuw moet achterhalen wat zij eerder al wist.
Verder lezen
Wil je verder lezen over uitlegbaarheid, risico’s en het vasthouden van keuzes? Deze blogs sluiten goed aan:
Er volgt een korte stilte. Niet omdat niemand het antwoord weet, maar omdat het lastig is om precies uit te leggen. Iedereen heeft er wel een beeld bij. De risicoanalyse wordt regelmatig besproken. Acties worden opgepakt. In de praktijk voelt het alsof er grip is.
Maar zodra het gesprek concreet wordt, blijkt hoe veel van dat proces impliciet is.
De ene collega kijkt vooral naar impact. Een ander let op waarschijnlijkheid. Soms speelt ervaring mee: “dit ging eerder bijna mis”. In andere gevallen weegt de druk van een klant of audit zwaarder. Het zijn allemaal begrijpelijke afwegingen, alleen staan ze nergens echt vast.
Voor een auditor is dat een interessant moment.
Niet omdat er per se iets fout gaat, maar omdat hier zichtbaar wordt hoe beslissingen werkelijk tot stand komen.
Waarom dit probleem ontstaat
In veel organisaties groeit risicobeheer geleidelijk. Er komt een overzicht van risico’s, een lijst met maatregelen en een paar afspraken over evaluatiemomenten. Dat werkt vaak prima zolang dezelfde mensen betrokken blijven.
De context zit in gesprekken en ervaring. Iedereen weet ongeveer waarom iets als belangrijk wordt gezien. Daardoor voelt het systeem logisch, ook al is het niet volledig expliciet.
Het probleem ontstaat pas wanneer iemand van buitenaf probeert te begrijpen hoe het werkt.
Dan blijken keuzes moeilijk te reconstrueren. Niet omdat ze willekeurig zijn gemaakt, maar omdat het denkproces erachter nooit echt zichtbaar is geworden.
Wanneer dit zichtbaar wordt, ontstaat vaak dezelfde reflex: meer vastleggen.
Meer toelichting bij risico’s. Extra velden in het overzicht. Misschien een uitgebreidere risicomatrix. Dat geeft tijdelijk rust, maar verandert weinig aan het onderliggende probleem.
Meer informatie betekent namelijk niet automatisch meer begrijpelijkheid.
Wanneer het onderliggende besluitproces onduidelijk blijft, ontstaat er vooral meer documentatie rondom dezelfde vragen. Waarom staat dit risico hier? Waarom kreeg dit prioriteit? Waarom werd deze maatregel voldoende geacht?
Daar komt nog iets bij. Mensen kunnen verschillende betekenissen geven aan dezelfde termen. Wat voor de één een risico is, ziet een ander pas als probleem wanneer de impact concreet wordt. In Waarom compliance software pas werkt als iedereen hetzelfde bedoelt wordt beschreven hoe zulke interpretatieverschillen ontstaan en waarom ze vaak pas zichtbaar worden wanneer iemand van buitenaf meekijkt.
Wat auditors eigenlijk proberen te begrijpen
Auditors kijken zelden alleen naar het bestaan van documenten of procedures. Ze proberen vooral te begrijpen hoe keuzes tot stand komen.
Komen vergelijkbare situaties tot vergelijkbare beslissingen? Begrijpen mensen waarom een maatregel is gekozen?| Is duidelijk wie verantwoordelijk is wanneer omstandigheden veranderen?
Wanneer die samenhang zichtbaar is, ontstaat vertrouwen. Zelfs wanneer niet elk detail perfect is vastgelegd.
Het omgekeerde gebeurt ook. Een organisatie kan een uitgebreid risico-overzicht hebben, maar toch onzeker overkomen wanneer niemand precies kan uitleggen hoe prioriteiten ontstaan.
Structuur als hulpmiddel voor uitlegbaarheid
Daarom draait risicobeheer uiteindelijk minder om het aantal risico’s in een overzicht en meer om het moment waarop keuzes worden gemaakt.
Wanneer wordt iets echt een risico? Wie bepaalt dat? Welke informatie speelt daarbij een rol?
Zodra die momenten herkenbaar zijn, verandert de dynamiek. Beslissingen worden niet alleen genomen, maar ook herleidbaar. Niet omdat alles uitgebreid wordt gedocumenteerd, maar omdat de logica zichtbaar blijft.
Structuur helpt hier als geheugen. Niet om elk detail vast te leggen, maar om betekenis vast te houden. Wanneer duidelijk is waarom een risico prioriteit krijgt en wie daarover beslist, verdwijnen veel interpretatieverschillen vanzelf.
Discussies worden concreter. Evaluaties minder defensief.
Wanneer vertrouwen ontstaat zonder checklist
Opvallend genoeg reageren auditors vaak positief op zo’n situatie.
Niet omdat ze een perfecte methode zien, maar omdat ze een organisatie zien die begrijpt hoe haar eigen keuzes tot stand komen. Waar beslissingen niet toevallig lijken, maar voortkomen uit een herkenbare manier van werken.
Op dat moment wordt de checklist minder bepalend.
De auditor hoeft minder te zoeken naar losse aanwijzingen dat het systeem werkt. De consistentie in het verhaal geeft al veel informatie.
Reflectie
Veel organisaties proberen vertrouwen te creëren door meer vast te leggen. Meer documenten, meer detail, meer bewijs.
In werkelijkheid ontstaat vertrouwen vaak ergens anders.
Bij het moment waarop iemand eenvoudig kan uitleggen waarom een risico belangrijk werd, waarom een maatregel gekozen is en wie daarvoor verantwoordelijkheid draagt.
Niet omdat alles perfect is georganiseerd, maar omdat de logica achter beslissingen herkenbaar blijft.
En juist daar begint de rust die auditors vaak zoeken. Niet in de checklist, maar in het verhaal dat erachter klopt.
Tijdens een auditgesprek gebeurt vaak iets opmerkelijks.
De auditor stelt een eenvoudige vraag. Waarom is een bepaald risico als acceptabel beoordeeld? Waarom is een maatregel op deze manier ingericht? Waarom kreeg een incident geen vervolg?
De organisatie heeft documentatie genoeg. Overzichten, registraties en notities uit eerdere evaluaties. Alles lijkt aanwezig.
En toch valt er een stilte.
Niet omdat er per se iets mis is gegaan, maar omdat niemand precies kan uitleggen hoe die keuze destijds tot stand kwam. Dat moment voelt ongemakkelijk. Niet doordat informatie ontbreekt, maar doordat de logica achter de keuze niet meer direct zichtbaar is.
Waar het in de praktijk misgaat
Veel organisaties gaan ervan uit dat een audit vooral draait om volledigheid. Zolang risico’s, maatregelen en acties ergens zijn vastgelegd, voelt het alsof de basis op orde is. Registratie is zichtbaar en controleerbaar. Het geeft het gevoel dat niets wordt vergeten.
Tijdens een audit blijkt al snel dat registratie en uitlegbaarheid twee verschillende dingen zijn.
Een overzicht laat zien wat er is vastgelegd. Een auditor wil vooral begrijpen waarom dat zo is gebeurd.
Waarom is dit risico als laag ingeschat? Waarom is deze maatregel voldoende geacht? Waarom is een afwijking geaccepteerd?
Wanneer die uitleg ontbreekt, helpt meer documentatie nauwelijks.
Waarom dit probleem ontstaat
De oorzaak ligt zelden in onzorgvuldigheid. In veel organisaties worden beslissingen juist zorgvuldig genomen, maar vaak in gesprekken, overlegmomenten of op basis van ervaring.
Op dat moment is de context duidelijk. Iedereen begrijpt waarom een keuze logisch is.
Later blijft vooral de uitkomst zichtbaar, terwijl de afweging zelf uit beeld raakt. Voor de mensen die erbij waren voelt de keuze nog steeds logisch. Voor iemand die later meekijkt is die logica niet vanzelfsprekend meer.
Een simpele vraag kan daardoor onverwacht lastig worden om te beantwoorden.
De reflex naar meer documentatie
Wanneer organisaties dit herkennen, ontstaat vaak een voorspelbare reactie: er moet meer worden vastgelegd.
Meer toelichting bij risico’s. Meer detail bij maatregelen. Meer documenten om keuzes te onderbouwen.
Dat lijkt logisch, maar lost het kernprobleem zelden op.
Meer documentatie zorgt namelijk niet automatisch voor meer duidelijkheid. Hoe meer losse registraties ontstaan, hoe moeilijker het wordt om het geheel te overzien. De organisatie weet steeds beter wat er staat, maar niet altijd meer hoe alles met elkaar samenhangt.
Het resultaat is paradoxaal: meer documentatie, maar minder inzicht.
Wat auditors eigenlijk proberen te begrijpen
Auditors kijken zelden alleen naar documenten. Wat zij proberen te beoordelen, is of een organisatie begrijpt wat zij doet.
Niet of elk detail is vastgelegd, maar of keuzes herkenbaar zijn.
Daarom komt een auditvraag vaak neer op iets eenvoudigs: kun je uitleggen hoe je tot deze keuze bent gekomen?
Wanneer iemand dat rustig kan toelichten, ontstaat vertrouwen. Niet omdat het systeem perfect is, maar omdat zichtbaar wordt dat beslissingen bewust zijn genomen.
Als die uitleg ontbreekt, ontstaat het tegenovergestelde. Registraties lijken dan los te staan van de afwegingen die eraan voorafgingen.
In de praktijk zie je dat auditors vaak letten op drie signalen. Worden vergelijkbare situaties consistent behandeld? Zijn beslissingen later nog te reconstrueren? En is duidelijk wie verantwoordelijk was voor de keuze?
Wanneer die samenhang zichtbaar is, wordt een organisatie voorspelbaar en begrijpelijk. En juist dat weegt in audits vaak zwaarder dan de hoeveelheid documentatie.
De oplossing ligt daarom niet in meer vastleggen, maar in betere samenhang.
Structuur helpt wanneer zij keuzes herkenbaar maakt. Wanneer duidelijk is wie een beslissing heeft genomen, op basis van welke informatie en waarom deze keuze toen logisch was.
Dat hoeft geen uitgebreid dossier te zijn. Vaak is een korte toelichting al voldoende. Het verschil zit niet in de hoeveelheid informatie, maar in het vasthouden van betekenis.
Wanneer die structuur aanwezig is, verandert ook het auditgesprek. Vragen worden makkelijker te beantwoorden, omdat de redenering achter keuzes nog zichtbaar is.
Tijdens een auditgesprek komt vaak een ogenschijnlijk eenvoudige vraag op tafel.
Een auditor wijst naar een risico in een overzicht en vraagt: “Waarom hebben jullie dit risico als acceptabel beoordeeld?”
Het is geen strikvraag. Toch ontstaat er vaak een korte stilte. Niet omdat de beslissing verkeerd was, maar omdat niemand precies meer kan reconstrueren hoe die keuze destijds tot stand kwam.
Iemand weet nog dat het in een overleg is besproken. Een ander herinnert zich dat er al een maatregel bestond. Misschien is er ergens een notitie of mail die de afweging bevat.
De beslissing zelf was logisch. Maar het verhaal erachter blijkt lastiger terug te vinden.
Waarom dit zo vaak gebeurt
In veel organisaties worden beslissingen pragmatisch genomen. Er is context, ervaring en onderling begrip. Daardoor voelt het zelden nodig om uitgebreid vast te leggen waarom een keuze precies zo is gemaakt.
Dat werkt zolang dezelfde mensen betrokken blijven en dezelfde context delen.
De uitdaging ontstaat wanneer iemand van buiten meekijkt. Een auditor bijvoorbeeld, of een nieuwe collega. Dan blijkt dat veel beslissingen logisch waren op het moment zelf, maar moeilijker uit te leggen zijn zodra de oorspronkelijke context ontbreekt.
Dat betekent niet dat de beslissing verkeerd was. Het betekent dat het denkproces erachter niet is vastgehouden.
Wat auditors feitelijk proberen te begrijpen
Auditors zoeken meestal niet naar perfecte documentatie of volledig uitgewerkte dossiers. In de praktijk proberen ze iets anders vast te stellen: of een organisatie consistent handelt.
In gesprekken letten auditors bijvoorbeeld op vragen als:
worden vergelijkbare risico’s op een vergelijkbare manier beoordeeld
sluiten maatregelen logisch aan op de manier waarop risico’s worden beschreven
kunnen medewerkers uitleggen waarom een keuze is gemaakt
Het gaat dus minder om losse antwoorden en meer om samenhang. Wanneer keuzes herkenbaar zijn en elkaar logisch opvolgen, ontstaat vertrouwen. Wanneer elke beslissing op zichzelf staat, wordt dat lastiger.
Consistentie fungeert daardoor als een stille auditindicator. Niet omdat het expliciet wordt getest, maar omdat het zichtbaar wordt in vrijwel elk gesprek.
Waarom gangbare oplossingen vaak tekortschieten
Wanneer organisaties merken dat uitleg moeilijk wordt, ontstaat vaak een reflex om méér vast te leggen.
Meer toelichting bij risico’s. Meer detail in registraties. Meer documenten om beslissingen te onderbouwen.
Dat lijkt logisch, maar helpt vaak minder dan verwacht.
Meer informatie maakt een besluit niet automatisch begrijpelijker. Zonder duidelijke structuur ontstaat juist meer ruimte voor interpretatie. Verschillende mensen leggen dezelfde situatie anders vast, waardoor het beeld minder consistent wordt.
Het probleem is zelden een gebrek aan informatie. Het zit in het ontbreken van een herkenbaar kader waarbinnen beslissingen worden genomen.
Structuur als drager van consistentie
Consistentie ontstaat niet doordat organisaties altijd hetzelfde doen. Situaties verschillen en keuzes veranderen.
Wat wel helpt, is structuur in de manier waarop keuzes worden vastgelegd en besproken.
Wanneer duidelijk is hoe risico’s worden beoordeeld, wie verantwoordelijk is voor de afweging en hoe maatregelen worden gekoppeld aan die afweging, ontstaat vanzelf meer samenhang. Niet omdat alles strak wordt voorgeschreven, maar omdat het denkproces herkenbaar blijft.
Die herkenbaarheid maakt het later eenvoudiger om keuzes toe te lichten. Niet alleen voor auditors, maar ook intern. Discussies worden concreter en beslissingen beter te herleiden.
In audits valt vaak op dat vertrouwen niet ontstaat door één perfect document of één goed antwoord. Het ontstaat doordat verschillende onderdelen van een organisatie hetzelfde verhaal vertellen.
Een risico-overzicht dat aansluit op maatregelen. Beslissingen die passen bij eerdere keuzes. Medewerkers die vergelijkbare situaties op een vergelijkbare manier uitleggen.
Wanneer die samenhang zichtbaar is, hoeft een auditor zelden lang door te vragen. Niet omdat alles foutloos is, maar omdat duidelijk wordt hoe de organisatie denkt en handelt.
Dat maakt consistentie tot een stille indicator van volwassenheid.
Reflectie
Veel organisaties gaan ervan uit dat audits vooral draaien om controle van documenten of naleving van regels. In werkelijkheid proberen auditors vooral te begrijpen hoe een organisatie keuzes maakt.
Consistentie speelt daarin een grotere rol dan vaak wordt gedacht.
Niet omdat elke beslissing identiek moet zijn, maar omdat vergelijkbare situaties een herkenbare aanpak hebben. Wanneer die lijn zichtbaar blijft, wordt uitleg nauwelijks nog een probleem.
Je weet het al weken, maar toch voelt het alsof alles ineens tegelijk moet gebeuren. Documenten opzoeken. Incidenten nog snel registreren. Acties afvinken die maanden geleden zijn blijven liggen. Niet omdat je je werk niet goed doet – maar omdat het nergens goed is vastgelegd.
Veel organisaties herkennen die stress. Maar wat als auditvoorbereiding géén jaarlijkse spoedklus hoeft te zijn? Wat als het gewoon onderdeel is van je normale werkritme?
In deze blog laat ik je zien hoe je dat ritme opbouwt – en hoe je aantoonbaar compliant blijft, zonder tijdsdruk of paniek.
Waarom audits vaak voelen als een sprint
Audits worden zelden spannend omdat je iets verkeerd doet. Ze worden spannend omdat je wél iets doet, maar het niet kunt laten zien.
Wat ik vaak zie?
Je informatie is verspreid over Excel, e-mails en gedeelde netwerkschijven.
Verbeteracties zijn besproken, maar niet formeel vastgelegd.
Incidenten zijn afgehandeld, maar nergens geregistreerd.
Taken zijn ooit toegewezen, maar niemand weet meer aan wie – of waarom.
Dan komt de auditor langs, en ineens is alles urgent.
Wat als auditvoorbereiding geen project meer is?
De meeste normen – ISO 9001, ISO 27001, NEN 7510 – eisen aantoonbaarheid. Niet perfectie. En al helemaal geen jaarlijkse sprint. Ze laten je juist ruimte om je eigen ritme te kiezen.
Veel organisaties werken daarom met drie vaste auditmomenten, verspreid over een jaar. Geen grote trajecten, maar logische ankerpunten die helpen om overzicht te houden.
1. Kwartaalrondes
Vier keer per jaar even checken: klopt wat er staat nog met hoe je werkt?
Denk aan:
Zijn risicoanalyses nog actueel?
Zijn openstaande acties nog opgevolgd?
Is het beleid nog relevant?
Je hoeft hier geen dik rapport van te maken. Een korte interne update of rondgang is vaak al genoeg om afwijken vroeg te signaleren.
2. Managementreview
Halverwege het jaar neem je afstand. Je kijkt met het managementteam niet alleen terug, maar vooral vooruit.
Wat komt daar zoal aan bod?
Welke verbeteracties zijn wel of juist niet opgepakt?
Wat blijkt uit incidenten, afwijkingen of interne audits?
Lopen je doelen nog synchroon met je beleid?
Zijn er risico’s, trends of wetgevingswijzigingen die je moet meenemen?
Je staat ook stil bij de kernvraag: werkt het systeem nog voor ons? Of moet het mee evolueren met de praktijk?
Zo’n review is dus méér dan een verplicht agendapunt. Het is een strategisch rustmoment.
3. Interne audits
Een interne audit is geen toets om te slagen. Het is een spiegel.
Je kijkt: doen we wat we zeggen dat we doen? Sluiten procedures nog aan bij hoe we echt werken?
Sommige bedrijven plannen één grote audit per jaar, anderen verdelen het over teams of processen. Wat je ook kiest: de sleutel is continuïteit, niet perfectie.
💡Veel bedrijven plannen hun auditcyclus bewust vroeg in het jaar. Zo voorkom je dat alles zich ophoopt vlak voor een externe toetsing.
Hoe CompliTrack je auditritme ondersteunt
Natuurlijk kun je dit auditritme vastleggen in Excel. En voor sommigen werkt dat – tot het druk wordt. Dan verdwijnen lijstjes, raken notulen kwijt, en weet niemand meer waar de laatste versie van het beleid ligt.
Daarom helpt een tool als CompliTrack om het proces niet alleen in te richten, maar ook vol te houden.
Wat CompliTrack voor je doet:
Plant je auditmomenten door het jaar heen, met auditdoelstellingen per auditmoment.
Legt bewijslast vast op de juiste plek, gekoppeld aan risico’s of normen.
Maakt opvolging inzichtelijk, met taken, deadlines en verantwoordelijkheden.
Geeft realtime overzicht van wat er nog openstaat – en wat aantoonbaar is geregeld.
Zo bouw je ongemerkt een logboek op dat zichzelf vult. Bij een externe audit hoef je niet te verzamelen. Je laat gewoon zien wat er al ís.
Een klant in de installatiesector werkte jarenlang nog met losse Word- en Excelbestanden. Elk jaar dezelfde auditstress. Documenten zoeken, taken nalopen, incidenten terugzoeken.
Sinds de overstap naar CompliTrack hebben ze het anders ingericht:
Elk kwartaal krijgen de juiste mensen een taakherinnering.
Bewijslast wordt direct toegevoegd bij de maatregelen.
Tijdens de audit? Alles stond al klaar.
De laatste externe audit ging soepel. Geen stress, geen gaten. Alles aantoonbaar.
Conclusie: audit als routine, niet als reddingsactie
Wil je auditstress structureel voorkomen, dan is de oplossing niet om nóg harder te werken. Het is slimmer organiseren.
Met een simpel auditritme en een ondersteunende tool bouw je aantoonbaarheid op terwijl je werkt. Geen paniek, geen losse eindjes. Gewoon grip, overzicht en rust.
