Wat zijn interne audits? Complete uitleg voor ISO 9001, ISO 27001 en ISO 14001

Als je een ISO 9001, ISO 27001 of ISO 14001 certificaat wil behalen, dan komt onvermijdelijk het moment waarop de certificeerder langskomt. Dan moet jij ervoor zorgen dat jullie daar klaar voor zijn. Een van de zaken die je geregeld moet hebben is het plannen, uitvoeren en opvolgen van interne audits. In dit artikel lees je wat interne audits precies zijn, wat de normen erover zeggen, hoe vaak je ze moet uitvoeren en hoe je ze zo aanpakt dat ze écht iets opleveren.

Wat zijn interne audits?

Het woord audit is afgeleid van het Latijnse woord audire, wat horen betekent. Een veelgebruikte definitie is:

"Een objectieve beoordeling die aangeeft of de organisatie haar bedrijfsprocessen en de daarmee samenhangende risico's beheerst."

Dit gaat dus veel verder dan horen. De twee belangrijkste woorden in die definitie zijn objectief en risico's. Bij een interne audit gaat het niet om meningen, maar om feiten (objectief) en je richt je vooral op de risico's.

Een interne audit voer je uit met eigen, getrainde medewerkers: interne auditors. Dat maakt het een intern instrument — je toetst je eigen organisatie, met je eigen mensen, vóórdat een externe partij dat doet. Juist daardoor is het een verbeterinstrument en niet alleen een verplichting.

Wat zeggen de normen over interne audits?

De meest gangbare normen (ISO 9001, ISO 14001 en ISO 27001) hebben vrijwel dezelfde normtekst over interne audits. De tekst is opgedeeld in twee gedeelten. Het eerste gedeelte geeft aan wat je met de audits moet bereiken en het tweede gedeelte geeft aan welke eisen er aan de interne audits worden gesteld.

De letterlijke tekst uit de ISO 9001 is:

De organisatie moet met geplande tussenpozen interne audits uitvoeren om informatie te verkrijgen of het kwaliteitsmanagementsysteem voldoet aan:

1. de eigen eisen van de organisatie voor haar kwaliteitsmanagementsysteem;
2. de eisen van deze internationale norm;
3. doeltreffend is geïmplementeerd en onderhouden.

Het gaat hier dus om het verkrijgen van informatie. En die informatie moet objectief en betrouwbaar zijn. Met die informatie ga je immers aan de slag om na te gaan of er verbeteringen doorgevoerd moeten worden, of dat het allemaal naar wens gaat.

In het tweede gedeelte van de normtekst worden eisen gesteld aan de uitvoering. Zo moet er een planning zijn, moet de audit resulteren in een rapportage en moet de rapportage worden opgevolgd.

Intern versus extern: wat is het verschil?

Veel organisaties halen interne en externe audits door elkaar. Het onderscheid is simpel:

• Een interne audit voer je zelf uit, met je eigen getrainde medewerkers. Doel: verbeteren en aantoonbaar maken dat het managementsysteem werkt.
• Een externe audit voert de certificeerder (of een opdrachtgever) uit. Doel: toetsen of je voor het certificaat (of de opdracht) in aanmerking komt.

De interne audit is dus de generale repetitie voor de externe audit — en tegelijk het verbeterinstrument dat je managementsysteem op koers houdt.

Hoe vaak moet je een interne audit uitvoeren?

De norm vraagt om een gepland auditprogramma, afgestemd op de risico's van je organisatie en de resultaten van eerdere audits. In de praktijk betekent dit dat de meeste organisaties het hele managementsysteem minimaal één keer per jaar intern auditeren.

Slimmer is om vaker, korter te auditen. Bij organisaties vanaf ongeveer 20 personen kun je om de twee weken een korte audit uitvoeren over een klein stukje van een proces. De voorbereiding, uitvoering en rapportage kosten samen ongeveer anderhalf uur. Wat er uit zo'n korte audit komt, kun je direct doorvoeren. Zo bouw je het hele jaar door verbeteringen op, in plaats van dat vlak voor de certificeerder alles in één keer moet.

Wie voert interne audits uit?

De interne audit wordt uitgevoerd door een interne auditor: een collega die getraind is in het voorbereiden, uitvoeren en rapporteren van audits. Belangrijke spelregels:

• De auditor is niet zelf dagelijks betrokken bij het proces dat wordt ge-auditeerd (onafhankelijkheid).
• Vuistregel voor de bezetting: één interne auditor per 15 tot 20 medewerkers. Met meerdere auditors kun je audits verdelen, onafhankelijk blijven en draagvlak vergroten.
• De ideale auditor heeft kennis van de organisatieafspraken en de eisen van de norm, stelt gerichte vragen, denkt risicogericht en communiceert prettig met collega's. Een fijne collega op minimaal MBO-niveau, kort gezegd.

Twijfel je of een collega zonder auditervaring dit kan? Juist starters leren dit vak goed via een praktische opleiding, waarin je echte audits uitvoert in je eigen organisatie.

Wat moet je hebben geaudit voordat de certificeerder komt?

Zoals ik in de inleiding aangaf moet je audits hebben uitgevoerd, gerapporteerd en opgevolgd. Op deze manier kan de certificeerder zien dat jullie het interne auditproces beheersen. Blijft de vraag over of je dan alle processen moet hebben geaudit, of slechts een paar. Daar zijn de certificeerders minder duidelijk over. Het beste kun je het volledige primaire proces al geaudit hebben. Het primaire proces bestaat uit jullie hoofdprocessen zoals verkoop, productie et cetera. Het zijn voor de klant de belangrijkste processen en hier vinden vaak ook de grootste risico's plaats.

Let op dat er van deze audits niet alleen rapportages zijn, maar dat je ook kunt laten zien dat deze zijn opgevolgd. Zo nodig moeten er dus ook naar aanleiding van de resultaten corrigerende maatregelen zijn doorgevoerd.

Verlopen jouw processen probleemloos?

Zo op het eerste gezicht lijkt het weinig zinvol om alleen maar na te gaan of jouw organisatie zich houdt aan haar eigen afspraken en die van de norm. De ervaring leert echter dat er met deze werkwijze informatie boven tafel komt die niet bekend was. Dat kan best schrikken zijn. Processen waarvan je dacht dat ze probleemloos verlopen kunnen in de praktijk slecht worden uitgevoerd, met de bijbehorende risico's.

Een goed uitgevoerde interne audit leidt vaak tot onverwachte verbeteringen die je normaal gesproken niet had doorgevoerd.

Zo voer je een goede interne audit uit

De kern van een goede interne audit: je vraagt niet naar verhalen, je vraagt naar bewijs. Niet "Kun je uitleggen hoe jullie offertes opstellen?", maar "Laat van de laatste tien uitgevoerde opdrachten de bijbehorende offertes eens zien." Zo toets je de werkelijkheid in plaats van het mooie voorbeeld. In vijf stappen:

1. Bepaal het doel van het proces dat je audit — zonder doel kun je niets zeggen over doeltreffendheid.
2. Bepaal waar de risico's zitten: financiële, juridische of reputatie-impact.
3. Stel bewijsgerichte vragen en trek kruisverbanden (bijvoorbeeld: facturen in Finance vergelijken met offertes in Sales).
4. Rapporteer concreet en objectief: geen "het merendeel is gecontroleerd", maar "8 van de 10 offertes zijn gecontroleerd".
5. Volg de rapportage op: verbetervoorstellen, corrigerende maatregelen en aantoonbare opvolging.

Wat levert een interne audit op?

Organisaties die op deze manier intern auditen:

• kijken eerlijk naar zichzelf en zien afwijkingen eerder,
• voeren verbeteringen doelgericht door,
• groeien continu naar een hoger niveau van beheersing,
• en stappen de externe audit vol vertrouwen in.

Dat is interne auditing met resultaat.

Veelgestelde vragen over interne audits

Vraag: Is een interne audit verplicht voor ISO-certificering?
Ja. ISO 9001, ISO 27001 en ISO 14001 vragen alle drie om geplande interne audits, rapportages en opvolging daarvan. Zonder uitgevoerde interne audits kom je niet door de externe audit.

Vraag: Hoeveel interne auditors heb ik nodig?
Vuistregel is één interne auditor per 15 tot 20 medewerkers. Met meerdere getrainde auditors kun je onafhankelijk auditen, taken verdelen en draagvlak in de organisatie vergroten.

Vraag: Kan een interne audit uitbesteed worden?
Dat kan, maar dan verlies je de verbeterfunctie grotendeels: de externe auditor kent jouw organisatie niet en de kennis over audits blijft buiten de deur. Een eigen getrainde interne auditor is vaak goedkoper én levert blijvende kennis op in je organisatie.

Vraag: Hoe lang duurt het om interne auditor te worden?
Een online opleiding tot interne auditor kost grofweg de zelfstudie plus 4 tot 6 uur voor de theorie en het uitvoeren van de eerste audits. Je kunt er dezelfde dag mee starten.

Vraag: Wat kost het om een interne auditor op te leiden?
Een online opleiding zoals de Interne Auditor Opleiding van ISOmanager kost € 346 exclusief btw, vanaf twee deelnemers € 322 per persoon.

Aan de slag met interne audits

Wil je de interne audits niet langer als verplichting zien, maar als verbeterinstrument? Twee routes:

1. Leer zelf audits uitvoeren met de Interne Auditor Opleiding ISO 27001 of de Interne Auditor Opleiding ISO 9001. Volledig online, inclusief het uitvoeren van twee echte audits in je eigen organisatie en een certificaat bij goed gevolg.
2. Wil je liever eerst je complete managementsysteem op orde hebben? Kijk dan bij onze ISO-trajecten: ISO 9001, ISO 14001, ISO 27001, NEN 7510, NIS2, CO2-prestatieladder en VCA.

Laatst bijgewerkt: oktober 2026