ISO 20000 stage 1 audit: wat de auditor controleert
De stage 1 audit is de eerste externe toetsing van je ISO 20000-1 managementsysteem. De auditor van de certificerende instelling beoordeelt of je documentatie compleet is en of je organisatie klaar is voor de praktijktoets in stage 2. Hij kijkt dus vooral naar papier en gereedheid. Het volledige bewijs uit de praktijk volgt in stage 2. Welke documenten dat zijn, staat hieronder. De norm waartegen je wordt getoetst is ISO/IEC 20000-1:2018 , te koop via NEN . Het volledige auditproces staat op het auditproces bij ISO 20000-1.
De uitkomst van stage 1 is niet een certificaat, maar een lijst met bevindingen. Die bevindingen helpen de certificerende instelling te bepalen of je met stage 2 door kunt, of dat je eerst zaken moet herstellen. Voor het hele traject is dit het eerste moment van echte toetsing door buitenstaanders.
Wat is het verschil met stage 2?
Stage 1 kijkt naar het ontwerp, stage 2 naar de werking. Een auditor leest in stage 1 je beleid, je procesbeschrijvingen en je scope. In stage 2 vraagt hij om bewijs: tickets, wijzigingsverslagen, SLA-rapportages en notulen. Een systeem dat op papier klopt maar nog niet draait, haalt stage 1 vaak wel en stage 2 niet.
Dat onderscheid is nuttig om je voorbereiding te verdelen. Voor stage 1 lever je documenten. Voor stage 2 lever je bewijs. Je kunt de twee niet verwisselen.
De documenten die de auditor wil zien
Hieronder staat een checklist van de documenten die bij een stage 1 meestal aan bod komen. Het is een richtlijn. De exacte eisen bepaalt de certificerende instelling. De norm schrijft deze documentenlijst niet voor.
| Onderdeel | Document | Wat de auditor controleert |
|---|---|---|
| Scope | Scope-statement | Zijn diensten, locaties en grenzen duidelijk? Zie scope bepalen |
| Beleid | Servicebeleid | Is het door de directie vastgesteld en bekend bij medewerkers? |
| Context | Dienstencatalogus en lijst van belanghebbenden | Weet je welke diensten je levert en aan wie? |
| Risico’s | Risicoregister voor het SMS | Heb je risico’s en kansen voor de dienstverlening benoemd? |
| Doelen | Servicedoelen met meetwaarden | Zijn ze meetbaar en gekoppeld aan de SLA’s? |
| Processen | Procesbeschrijvingen clausule 8 | Staan incident, verzoek, probleem, wijziging en de overige processen erin? |
| Interne audit | Auditprogramma en eerste auditverslag | Is de interne audit gepland en uitgevoerd? |
| Directie | Verslag directiebeoordeling | Heeft de directie het SMS besproken en besluiten genomen? |
| Verbetering | Register van afwijkingen en acties | Worden problemen structureel opgepakt? |
Let op de interne audit en de directiebeoordeling. Die twee zijn vaak de zwakke plekken in stage 1. Het controleren of interne audits en directiebeoordelingen gepland en uitgevoerd zijn, hoort bij de doelen van een stage 1 volgens de algemene norm voor certificerende instellingen (ISO/IEC 17021-1, 9.3.1.2.2). Controleer dit bij jouw instelling. Een interne audit die pas een week voor de audit is gepland, valt op.
Voorbeeld: een procesbeschrijving die wel of niet voldoet
Een fictieve MSP heeft een incidentprocedure van één pagina. Hij beschrijft wie een melding aanneemt, en wat er gebeurt als de dienst weer werkt. Een auditor vraagt dan: hoe bepaal je de prioriteit? Wie wordt er geïnformeerd bij een ernstige storing? Hoe lang mag een incident openstaan? Waar staan de SLA-tijden?
Een versie die stage 1 doorstaat, beantwoordt die vragen in de procedure zelf. Bijvoorbeeld: “Prioriteit bepalen we met de matrix van impact en urgentie. P1-incidenten melden we binnen het uur aan de klantcontactpersoon. De SLA-tijden staan in het servicecontract.” Dat is kort, concreet en controleerbaar.
Wat gebeurt er met de bevindingen?
Na stage 1 krijg je een verslag met bevindingen. De certificerende instelling bepaalt of je met stage 2 door kunt en wanneer. Bevindingen die het SMS raken, moet je meestal herstellen voordat stage 2 kan plaatsvinden. Vermeld je herstelacties in je eigen register, zodat je bij stage 2 kunt laten zien dat je ze hebt opgepakt.
Certificerende instellingen delen tekortkomingen vaak in als major (ernstig) en minor (minder ernstig). Termen en herstelperiodes verschillen per instelling. Vraag ze na bij jouw instelling. Wat een major en minor inhoudt, staat uitgelegd bij major en minor afwijkingen en bij de initiële audit.
Veelgemaakte fouten
De meest gemaakte fout bij stage 1 is documenten maken die er goed uitzien, maar niet overeenkomen met de praktijk. De auditor kiest in stage 2 steekproeven, en dan wordt het verschil zichtbaar. Schrijf alleen wat je ook echt doet.
- Een kopie van een template. Een procedure die niet bij jouw organisatie past, valt snel op.
- Ontbrekende koppelingen. Een probleem dat niet naar een wijziging verwijst, of een risico zonder maatregel, voelt als een gat.
- Een scope die niet klopt met de praktijk. Als de scope meer of minder diensten noemt dan je levert, begint de audit met een probleem.
- Interne audit net voor de externe. Een interne audit moet tijd hebben gehad om bevindingen op te lossen.
Hoe bereid je je voor?
Begin ruim vóór de datum van stage 1. Loop de checklist hierboven na en vraag jezelf per document: is dit af, is het door de directie vastgesteld en komt het overeen met wat we doen? Laat een collega die niet bij het project zit de procedures lezen. Die ziet de gaten die jij niet meer ziet.
Een nulmeting helpt daarbij. Het gap-register uit de nulmeting is een goede basis voor de documentlijst. Het stappenplan laat zien waar stage 1 in het traject past, en hoe de stappen voor en na de audit op elkaar aansluiten.
Kosten en planning
Stage 1 is onderdeel van de totale kosten van het traject. De bedragen en het aantal dagen verschillen per certificerende instelling en per organisatie. Lees daarvoor de kostenpagina voor ISO 20000-1. Vraag bij je offerte expliciet naar de kosten van stage 1 én stage 2, en naar wat er gebeurt als je bevindingen moet herstellen en opnieuw wilt laten toetsen.
Voorbeeld: vragen van de auditor en de antwoorden
Hieronder staan vragen die bij een stage 1 vaak voorkomen, met een antwoord dat het goed doet. Gebruik ze als oefening: beantwoord ze eerst zonder je documenten erbij, en controleer daarna.
| Vraag van de auditor | Antwoord dat past | Waar staat het bewijs |
|---|---|---|
| Wat is de scope van het SMS? | Noem de diensten, locaties en uitsluitingen met reden | Scope-statement |
| Wie is verantwoordelijk voor het SMS? | Noem de rol, niet alleen de naam | Organogram en rollenbeschrijving |
| Hoe bepaal je een prioriteit bij een incident? | Verwijs naar de matrix van impact en urgentie | Incidentprocedure |
| Wanneer heb je voor het laatst een interne audit gedaan? | Datum, scope en uitkomst | Auditverslag |
| Hoe weet de directie of het SMS werkt? | Noem het overleg, de agenda en de besluiten | Verslag directiebeoordeling |
Het patroon is steeds hetzelfde. Een goed antwoord wijst naar een document en laat zien dat het document is toegepast. Een antwoord dat alleen zegt “dat doen we altijd zo” haalt de vraag niet.
Wat als je stage 1 niet haalt?
Dat komt voor, en het is geen einde van het traject. De certificerende instelling bepaalt of je een herstelperiode krijgt en hoe lang die is. Vaak betekent het dat je de bevindingen oplost en de documentatie opnieuw laat beoordelen voordat je naar stage 2 gaat.
Wat je doet, is het volgende: lees elke bevinding letterlijk, bepaal de oorzaak en pas de procedure of het bewijs aan. Een oplossing die alleen het document wijzigt, zonder de werkwijze te veranderen, valt bij stage 2 vaak weer op. Zie ook major en minor afwijkingen voor hoe bevindingen worden ingedeeld.
Plan je herstel zo dat je het bewijs van de aanpassing al hebt voordat de volgende afspraak gepland staat. Een auditor kijkt niet alleen naar het resultaat, maar ook naar de periode die je erna hebt laten draaien.
Volgende stappen
Bronnen
- NEN – IT-servicemanagement met ISO/IEC 20000 – Nederlands Normalisatie-instituut
- BSI – ISO/IEC 20000-1 Service Management – British Standards Institution