Aan het begin van het jaar worden de interne audits ingepland. ISO 9001 komt in het voorjaar aan bod, ISO 27001 in het najaar. De normhoofdstukken zijn verdeeld, auditors zijn aangewezen en de datums staan in de agenda.
Daarmee lijkt het auditprogramma gereed. Toch blijft vaak onduidelijk waarom juist deze onderwerpen worden onderzocht. Sommige processen komen ieder jaar terug, terwijl andere nauwelijks aandacht krijgen. Bevindingen worden wel vastgelegd, maar hebben weinig invloed op de volgende planning.
Een auditkalender vertelt wanneer je audit. Een auditprogramma onderbouwt waarom, waar en met welk doel je dat doet.
ISO 19011:2026 helpt organisaties om die samenhang aan te brengen. De vierde editie is op 27 mei 2026 gepubliceerd en vervangt ISO 19011:2018. De norm bevat richtlijnen voor auditprincipes, het beheren van auditprogramma’s, het uitvoeren van audits en het beoordelen van auditorcompetentie.
ISO 19011 is geen norm waartegen je jouw organisatie kunt laten certificeren. De richtlijn helpt je om audits van andere managementsystemen professioneel en doelgericht te organiseren.
Daarvoor is geen afzonderlijke auditafdeling nodig. Ook wanneer auditwerk naast andere verantwoordelijkheden wordt uitgevoerd, kan een goed programma ontstaan. De belangrijkste voorwaarde is dat de beschikbare audittijd terechtkomt waar de organisatie het meeste inzicht nodig heeft.
Wat is ISO 19011:2026?
ISO 19011 biedt een algemeen kader voor het auditen van managementsystemen. De richtlijn kan worden gebruikt bij onder meer kwaliteitsmanagement, informatiebeveiliging, milieumanagement en arbeidsveiligheid. Zij is ook bruikbaar voor organisaties die meerdere managementsystemen combineren.
De norm behandelt vier samenhangende onderwerpen: de principes van auditen, het beheren van een auditprogramma, het uitvoeren van afzonderlijke audits en het beoordelen en ontwikkelen van auditorcompetentie.
ISO 19011 bepaalt niet zelfstandig wat je moet auditen. De inhoudelijke criteria komen bijvoorbeeld uit ISO 9001, ISO 27001, ISO 14001 of ISO 45001. Ook wetgeving, klantafspraken, contracten en het eigen beleid kunnen als auditcriteria gelden.
De managementsysteemnorm bepaalt waar de organisatie aan moet voldoen. ISO 19011 helpt vervolgens bij de manier waarop je onderzoekt of afspraken worden nageleefd en of processen effectief functioneren.
Het gebruik van ISO 19011 is niet verplicht om een ISO-certificaat te behalen of te behouden. Wel biedt de richtlijn een internationaal erkend uitgangspunt voor betrouwbare en consistente audits.
Wat verandert er met de editie van 2026?
De basis van professioneel auditen is niet volledig veranderd. Onderwerpen als risicogestuurd auditen en audits op afstand bestonden al voor 2026. In de nieuwe editie krijgen zij meer nadruk en een actuelere uitwerking.
Dat sluit aan op de omgeving waarin organisaties inmiddels werken. Digitale workflows, cloudplatforms, dashboards en geautomatiseerde processen zijn een normaal onderdeel van de bedrijfsvoering geworden. Auditbewijs bestaat daardoor niet meer alleen uit procedures, formulieren, gesprekken en waarnemingen op locatie.
Auditors moeten ook kunnen beoordelen waar digitale informatie vandaan komt, hoe deze wordt verwerkt en of zij betrouwbaar genoeg is om conclusies op te baseren. Een dashboard kan bijvoorbeeld laten zien dat controles zijn uitgevoerd. De auditor moet dan nog steeds kunnen onderzoeken welke gegevens daaronder liggen en welke uitzonderingen mogelijk buiten beeld blijven.
De nieuwe editie besteedt daarnaast meer aandacht aan virtuele omgevingen en auditmethoden op afstand. Een audit kan op locatie, op afstand of hybride worden uitgevoerd. Welke combinatie geschikt is, hangt af van het auditdoel, de risico’s en het bewijs dat nodig is.
Onderzoek op afstand kan goed werken bij digitale registraties, toegangsrechten of documentbeheer. Wanneer fysieke omstandigheden, gedrag op de werkvloer of de praktische uitvoering centraal staan, blijft onderzoek op locatie vaak nodig. Audits op afstand zijn dus een bruikbare aanvulling, maar geen automatische vervanging van iedere audit op locatie.
Ook de koppeling met risicoanalyse en risicobeheersing krijgt meer aandacht. Niet ieder onderwerp verdient dezelfde frequentie en diepgang. Wijzigingen, eerdere problemen en onzekerheid moeten mede bepalen waar de auditcapaciteit wordt ingezet.
De herziening legt daarmee vooral nadruk op bewustere keuzes, niet op een groter aantal audits. Voor organisaties met een bestaand auditprogramma is een volledige herinrichting meestal niet nodig. Het is wel verstandig om te beoordelen of de huidige aanpak nog voldoende aansluit op digitalisering, virtuele werkomgevingen en veranderende risico’s.
Auditprogramma, auditplan en audit
Een auditprogramma, een auditplan en een audit zijn niet hetzelfde.
Het auditprogramma beschrijft het samenhangende geheel van audits voor een bepaalde periode. Daarin staan de doelen, prioriteiten, beschikbare capaciteit en onderwerpen die aandacht krijgen.
Het auditplan is de praktische voorbereiding van één audit. Het beschrijft bijvoorbeeld het doel, de afbakening, de gesprekspartners, de planning en de gekozen onderzoeksmethoden.
De audit is het daadwerkelijke onderzoek.
Zonder auditprogramma worden audits losse gebeurtenissen. Zonder auditplan wordt de uitvoering afhankelijk van improvisatie. De uiteindelijke waarde ontstaat wanneer keuzes op programmaniveau, de uitvoering van audits en de opvolging van resultaten met elkaar verbonden zijn.
Begin bij de gewenste zekerheid
Veel auditprogramma’s beginnen met het verdelen van normhoofdstukken of processen over de kalender. Daarmee wordt bepaald wanneer iets wordt onderzocht, maar nog niet waarom.
Een beter vertrekpunt is de vraag:
Welke onzekerheid moet na deze audit kleiner zijn?
Een audit kan bijvoorbeeld bedoeld zijn om vast te stellen of een kritisch proces voldoende wordt beheerst. Een ander onderzoek kan zich richten op de invoering van een nieuwe werkwijze, de effectiviteit van maatregelen tegen een belangrijk risico of de structurele oplossing van eerdere afwijkingen.
“Vaststellen of we voldoen aan de norm” is als enige doel meestal te algemeen. Het geeft weinig richting aan de diepgang van de audit, de vragen die worden gesteld en het bewijs dat nodig is.
Een concreet doel maakt duidelijk welke informatie de audit moet opleveren. Daardoor kan de auditor gerichter onderzoeken en kan het management na afloop beter bepalen of aanvullende acties of besluiten nodig zijn.
Bepaal waar meer en minder auditaandacht nodig is
Niet ieder proces hoeft ieder jaar even uitgebreid te worden onderzocht. Een norm, wettelijke verplichting, contractuele afspraak of sectorspecifieke regeling kan een bepaalde frequentie voorschrijven. Waar die verplichting niet bestaat, kan de organisatie de frequentie en diepgang afstemmen op de eigen situatie.
Wanneer alle onderwerpen volgens een vast ritme dezelfde aandacht krijgen, wordt auditcapaciteit gelijkmatig verdeeld. Dat klinkt zorgvuldig, maar is niet altijd effectief. Een stabiel proces zonder wijzigingen of negatieve signalen krijgt dan mogelijk evenveel tijd als een proces waarin recent nieuwe systemen zijn ingevoerd, verantwoordelijkheden zijn verschoven of incidenten zijn ontstaan.
Voor een eenvoudige prioritering kun je naar drie kenmerken kijken:
| Kenmerk | Centrale vraag |
| Belang | Hoe groot zijn de gevolgen als dit proces niet goed werkt? |
| Verandering | Hoeveel is er sinds de vorige audit veranderd? |
| Signalen | Zijn er incidenten, klachten, afwijkingen of terugkerende problemen? |
Scoort een onderwerp hoog op alle drie, dan ligt opname in het programma voor de hand. Een onderwerp dat laag scoort, kan mogelijk beperkter worden onderzocht of op een later moment aan bod komen. Die keuze hoeft niet ingewikkeld te zijn, maar moet wel bewust en uitlegbaar zijn.
Stel dat een organisatie een nieuwe leverancier heeft ingeschakeld voor een kritisch cloudplatform. Sinds de overgang zijn enkele storingen gemeld en intern is nog onduidelijk wie de prestaties van de leverancier beoordeelt. Het proces is belangrijk, er is veel veranderd en er zijn concrete signalen. Een audit van leveranciersbeheer ligt dan voor de hand.
Een stabiel proces met beperkte gevolgen, weinig wijzigingen en geen negatieve signalen kan minder uitgebreid worden onderzocht. Minder frequent auditen betekent alleen niet dat een onderwerp volledig uit beeld mag verdwijnen.
Naast belang, verandering en signalen kunnen ook wettelijke verplichtingen, klantafspraken, afhankelijkheid van leveranciers, eerdere auditresultaten en de tijd sinds de vorige audit worden meegewogen.
Een meerjarige hoofdlijn helpt om evenwicht te bewaren. Daarmee voorkom je dat alleen processen met zichtbare problemen aandacht krijgen en andere relevante onderwerpen jarenlang buiten beeld blijven.
Risicogestuurd auditen betekent dus niet dat je uitsluitend de hoogste risico’s onderzoekt. Het betekent dat je de beschikbare capaciteit bewust verdeelt op basis van de zekerheid en stuurinformatie die de organisatie nodig heeft.
Combineer managementsystemen waar dat logisch is
Een organisatie met ISO 9001 en ISO 27001 heeft niet automatisch twee volledig gescheiden auditprogramma’s nodig.
Veel processen raken meerdere managementsystemen tegelijk. Leveranciersbeheer kan worden onderzocht vanuit kwaliteit, informatiebeveiliging en continuïteit. Personeelsbeheer raakt onder meer competentie, bewustwording en privacy. Incidentmanagement kan relevant zijn voor kwaliteit, informatiebeveiliging en bedrijfscontinuïteit.
Door vanuit processen te kijken, voorkom je dat dezelfde medewerkers kort na elkaar vergelijkbare vragen krijgen tijdens afzonderlijke normaudits. Ook ontstaat meer zicht op de samenhang tussen verschillende eisen.
Integreren betekent niet dat normen oppervlakkig worden samengevoegd. Per audit moet duidelijk blijven welke eisen en interne afspraken als criteria gelden, welke deskundigheid nodig is en welke onderdelen werkelijk zijn onderzocht.
De norm bepaalt waartegen je toetst. Het proces bepaalt waar je het bewijs zoekt.
Organiseer eigenaarschap, objectiviteit en competentie
Een auditprogramma heeft iemand nodig die de samenhang bewaakt. Deze programmabeheerder houdt zicht op de doelen, planning, beschikbare capaciteit, voortgang en terugkoppeling aan het management.
Dat is een andere rol dan die van de auditor. De auditor verzamelt en beoordeelt bewijs. De verantwoordelijke voor het onderzochte proces licht de werkwijze toe. Het management bepaalt prioriteiten en stelt middelen beschikbaar.
Waar weinig mensen beschikbaar zijn, kunnen meerdere rollen bij dezelfde persoon liggen. Dat is niet automatisch een probleem. Wel moet bewust worden beoordeeld of eigen verantwoordelijkheden of belangen de objectiviteit van de audit beïnvloeden.
Iemand die zijn eigen werk onderzoekt, zal bepaalde aannames en afwijkingen minder snel herkennen. Mogelijke oplossingen zijn het uitwisselen van auditors tussen teams, het laten beoordelen van bevindingen door een collega of het extern laten uitvoeren van een deel van het programma.
De keuze voor een auditor moet bovendien niet alleen worden bepaald door beschikbaarheid. De benodigde kennis hangt af van het auditdoel en het onderwerp. De auditor moet processen kunnen begrijpen, gericht kunnen doorvragen en bewijs objectief kunnen beoordelen.
Bij digitale of technisch complexe processen moet binnen het auditteam ook voldoende kennis aanwezig zijn van de gebruikte technologie en bijbehorende risico’s. Niet iedere auditor hoeft technisch specialist te zijn, zolang het team als geheel maar voldoende competent is om betrouwbare conclusies te trekken.
ISO-managementsysteemnormen schrijven voor interne auditors doorgaans geen specifiek persoonscertificaat voor. De organisatie moet wel kunnen onderbouwen dat de auditor voldoende competent en objectief is.
Verbind resultaten aan opvolging en bijsturing
Iedere audit binnen het programma heeft een concreet doel, een duidelijke afbakening en een passende onderzoeksmethode nodig. Een normchecklist kan helpen om geen eisen te vergeten, maar mag het onderzoek niet volledig bepalen.
Een checklist vraagt bijvoorbeeld of leveranciers periodiek worden beoordeeld. Een gerichte audit onderzoekt ook welke leveranciers werkelijk kritisch zijn, welke prestaties worden gevolgd en wat er gebeurt wanneer afspraken niet worden nagekomen.
De uitkomsten moeten vervolgens voldoende duidelijk worden vastgelegd. Een bruikbare bevinding verbindt het relevante criterium aan objectief bewijs en maakt begrijpelijk waarin de praktijk daarvan afwijkt. Formuleringen als “meer aandacht nodig” bieden te weinig richting voor besluitvorming en opvolging.
De organisatie wijst daarna een verantwoordelijke aan om de oorzaak te onderzoeken en een passende maatregel te bepalen. Een bevinding is niet afgehandeld omdat een actie administratief op afgerond staat. Er moet ook worden beoordeeld of de oorzaak voldoende is aangepakt en of het probleem daadwerkelijk niet terugkeert.
Terugkerende bevindingen, trage opvolging of ineffectieve maatregelen geven bovendien informatie over het auditprogramma. Zij kunnen aanleiding zijn om een onderwerp eerder of diepgaander opnieuw te onderzoeken.
Beoordeel ook het auditprogramma zelf
Een auditprogramma is geen statische kalender die alleen aan het einde van het jaar wordt vernieuwd.
Nieuwe incidenten, organisatorische veranderingen, klachten of tegenvallende prestaties kunnen aanleiding geven om de prioriteiten opnieuw te beoordelen. Een audit kan worden vervroegd, de afbakening kan worden aangepast of een nieuw onderwerp kan aan het programma worden toegevoegd.
Beoordeel daarom periodiek of de audits de belangrijkste risico’s en veranderingen hebben geraakt. Kijk ook of bevindingen terugkeren, acties aantoonbaar worden opgevolgd en rapportages informatie opleveren waar het management daadwerkelijk iets mee doet.
Wanneer belangrijke problemen steeds buiten audits om worden ontdekt, kan dat betekenen dat de gekozen onderwerpen of methoden onvoldoende aansluiten op de werkelijkheid. Wanneer dezelfde bevindingen terugkeren, kan zowel de opvolging als het auditprogramma tekortschieten.
De effectiviteit van een programma blijkt dus niet alleen uit het percentage uitgevoerde audits. Belangrijker is of de audits de juiste onderwerpen raken en leiden tot beter begrip en gerichte verbetering.
Zo richt je een werkbaar auditprogramma in
Een auditprogramma hoeft niet omvangrijk te zijn. De volgende acht stappen bieden voldoende structuur:
- Bepaal de doelen. Leg vast welke zekerheid en stuurinformatie het programma moet opleveren.
- Breng de mogelijke auditonderwerpen in kaart. Denk aan processen, locaties, managementsystemen, relevante verplichtingen en belangrijke leveranciers.
- Stel prioriteiten. Beoordeel per onderwerp het belang, de veranderingen en aanwezige signalen.
- Maak een meerjarige hoofdlijn. Zorg dat relevante onderwerpen aan bod komen zonder ieder jaar alles even diep te onderzoeken.
- Werk het komende jaar concreet uit. Leg de auditdoelen, globale afbakening, criteria, auditors en perioden vast.
- Bereid iedere audit afzonderlijk voor. Bepaal welke gesprekken, informatie, steekproeven en onderzoeksmethoden nodig zijn.
- Volg bevindingen centraal op. Wijs eigenaren en deadlines toe en leg vast hoe de effectiviteit wordt beoordeeld.
- Evalueer en stuur bij. Gebruik wijzigingen, incidenten, klachten en audituitkomsten om het programma actueel te houden.
De vastlegging hoeft niet uitgebreid te zijn. Zij moet vooral duidelijk maken waarom een onderwerp aandacht krijgt, wat ermee is onderzocht en wat er daarna is gebeurd.
Conclusie: een auditprogramma verdeelt aandacht
Een goed auditprogramma probeert niet ieder onderwerp even vaak te controleren. Het zorgt ervoor dat de beschikbare audittijd terechtkomt waar de organisatie het meeste inzicht nodig heeft.
Daarvoor moet duidelijk zijn welke zekerheid de audits moeten opleveren, waar belangrijke risico’s en veranderingen zitten, welke competentie nodig is en hoe resultaten doorwerken in besluiten en verbeteringen.
Dat verandert de interne audit van een terugkerende verplichting in een instrument waarmee de organisatie gericht kan bijsturen.
Met CompliTrack houd je de planning, auditbevindingen en opvolging centraal bij. Je wijst eigenaarschap en deadlines toe, bewaakt de voortgang en behoudt de samenhang met risico’s, incidenten en maatregelen. Zo wordt iedere audit onderdeel van een doorlopend verbeterproces, zonder dat daarvoor een zwaar auditplatform of een verzameling losse actielijsten nodig is.
Verder lezen
- Auditstress is zelden een auditprobleem over de organisatorische oorzaken achter spanning rondom audits.
- Wat audits blootleggen dat al langer speelde over bevindingen als signalen van problemen in eigenaarschap, besluitvorming en opvolging.
- Wanneer audits juist rust kunnen geven over hoe audits onzekerheid kunnen verkleinen en zichtbaar maken waar de organisatie werkelijk staat.
