Intern auditrapport ISO 27001 met voorbeeld
Een intern auditrapport legt vast wat je interne audit heeft gecontroleerd, wat je hebt gevonden en wat je daaraan doet. ISO 27001 schrijft in clausule 9.2 voor dat je interne audits uitvoert, maar niet hoe het rapport eruitziet. Een bruikbaar rapport bevat minimaal de scope, de criteria, de bevindingen per eis of maatregel en per bevinding een corrigerende actie met eigenaar en deadline. Hoe je de audit zelf plant en uitvoert, lees je op de pagina interne audit. De uitkomst gaat daarna naar de directiebeoordeling.
De norm vraagt gedocumenteerde informatie als bewijs van het auditprogramma en de auditresultaten. Geen intern auditrapport betekent in de praktijk een afwijking bij de externe audit. Zie het auditproces voor hoe de certificerende instelling dit meeweegt.
Wat moet een intern auditrapport bevatten?
Een auditor die het rapport leest, moet zonder jou te spreken kunnen vaststellen wat er is gecontroleerd, door wie, met welk bewijs en wat er is uitgekomen. Dat geeft de minimale opbouw:
| Onderdeel | Wat je opschrijft | Waarom de auditor het wil zien |
|---|---|---|
| Algemene gegevens | Datum, auditor, geauditeerde afdeling of proces | Herleidbaarheid in de tijd |
| Scope | Welke onderdelen van het ISMS en welke locaties | Aantonen dat het rapport past bij de scope |
| Criteria | Clausules uit ISO 27001 en de eigen beleidsdocumenten | Het toetsingskader is vooraf vastgelegd |
| Geïnterviewde personen | Functies, niet alleen namen | Aantonen dat de juiste mensen zijn gesproken |
| Bevindingen | Per clausule of maatregel: conform, observatie of afwijking | Het kernstuk van het rapport |
| Corrigerende acties | Actie, eigenaar, deadline, status | Bewijs dat je afwijkingen oplost (clausule 10.2) |
| Conclusie | Werkt het ISMS op dit onderdeel, ja of nee, met toelichting | Input voor de directiebeoordeling |
Voorbeeld: een intern auditrapport
Hieronder een fictief voorbeeld voor een klein softwarebedrijf, “Voorbeeld BV”. Gebruik het als template en vul de voorbeeldregels in met je eigen bevindingen.
Intern auditrapport ISMS, Voorbeeld BV
- Datum: 14 oktober 2026
- Auditor: E. Bakker (intern, onafhankelijk van IT-beheer)
- Geauditeerd proces: toegangsbeheer en onboarding
- Scope: productieomgeving en Microsoft 365, kantoor Utrecht
- Criteria: ISO 27001:2022 clausules 5.2, 7.2, 7.5 en Annex A.5.15 tot en met A.5.18, plus het toegangsbeleid versie 2.1
Samenvatting
Het toegangsbeleid is actueel en bekend bij het team. Bij drie van de vijf onderzochte nieuwe medewerkers is het toegangsverzoek op tijd goedgekeurd, bij twee niet. Eén vertrokken medewerker had nog 11 dagen toegang tot een gedeelde map. Er zijn twee afwijkingen en één observatie.
Bevindingen
| Nr | Eis of maatregel | Bevinding | Classificatie | Corrigerende actie | Eigenaar | Deadline | Status |
|---|---|---|---|---|---|---|---|
| 1 | A.5.18 toegangsrechten | Vertrokken medewerker had 11 dagen toegang tot gedeelde map | Afwijking | Offboardingchecklist koppelen aan HR-uitstroommelding | IT-beheer | 15 nov 2026 | Open |
| 2 | A.5.18 toegangsrechten | Toegangsverzoek van 2 van 5 nieuwe medewerkers niet vóór start goedgekeurd | Afwijking | Goedkeuring verplicht maken in het verzoekformulier | Teamleider | 31 okt 2026 | Gesloten |
| 3 | 7.5 gedocumenteerde informatie | Toegangsbeleid heeft geen goedkeuringsdatum in de kop | Observatie | Kop aanvullen bij volgende revisie | Security-officer | 30 nov 2026 | Open |
Conclusie
Het proces werkt op hoofdlijnen. De twee afwijkingen hebben een eigenaar en een deadline. Bij de volgende interne audit wordt punt 1 opnieuw gecontroleerd met een steekproef van de vertrokken medewerkers van het afgelopen kwartaal.
Bevindingen classificeren
ISO 27001 zelf kent alleen het begrip afwijking (non-conformiteit). Conform en observatie zijn gangbare termen uit de auditpraktijk. Veel certificerende instellingen gebruiken daarnaast de termen major en minor. Die indeling staat niet in de norm, dus vraag je certificerende instelling welke ze hanteert.
- Conform: de eis is aantoonbaar ingevuld. Geen actie nodig, wel bewijs bewaren.
- Observatie: de eis wordt gehaald, maar er is risico of verbetermogelijkheid. Geen verplichte actie, wel opvolgen.
- Afwijking (minor): een eis wordt niet volledig nageleefd, maar het ISMS als geheel functioneert.
- Afwijking (major): een eis ontbreekt of werkt niet, of het systeem als geheel functioneert niet. Dit kan de certificering in gevaar brengen.
Let op: een observatie die je negeert, wordt bij de volgende audit vaak alsnog een afwijking.
Hoe schrijf je een bevinding?
Een goede bevinding bestaat uit vier onderdelen: wat je hebt gezien, welke eis of maatregel dat raakt, welk bewijs je hebt gezien en wat het gevolg is. Vergelijk:
Slechte bevinding
“Toegangsbeheer is niet op orde.”
Dit zegt niets. De eigenaar weet niet wat er moet veranderen, en de auditor kan het niet controleren.
Goede bevinding
“Bij 2 van de 5 onderzochte onboardings (A.5.18) was het toegangsverzoek pas na de startdatum goedgekeurd. Bewijs: ticketnummers HR-2026-0412 en HR-2026-0419. Gevolg: twee medewerkers hebben een week zonder formele goedkeuring met rechten gewerkt.”
Het verschil zit in het bewijs. Zonder ticketnummer of bestand is elke bevinding een mening.
Wat vraagt de auditor?
De externe auditor vraagt bij de certificeringsaudit vrijwel altijd naar het interne auditrapport, de planning van de interne audit en het bewijs dat afwijkingen zijn opgelost. Hij wil zien dat je zelf kritisch bent geweest. Een rapport zonder één bevinding roept vragen op, zeker als het ISMS in de praktijk veel verbeterpunten laat zien. Zie ook de auditvragen en checklist voor wat de auditor per rol nagaat.
Veelgemaakte fouten
- Een kopie van het vorige rapport. Dezelfde tekst in drie opeenvolgende jaren laat zien dat niemand kijkt.
- Bevindingen zonder corrigerende actie. Een afwijking zonder eigenaar en deadline is niet afgehandeld.
- Geen scope of criteria. Dan is onduidelijk wat je wel en niet hebt gecontroleerd.
- Auditor en auditee zijn dezelfde persoon. Clausule 9.2 vraagt om objectiviteit en onpartijdigheid bij het auditproces. Een eigenaar die zijn eigen werk controleert, geeft zelden een afwijking.
- Het rapport staat in een map die niemand deelt. Het moet naar de directie, want het is input voor de directiebeoordeling.
Van rapport naar directiebeoordeling
De bevindingen en de status van corrigerende acties zijn een vaste input voor de directiebeoordeling. Breng daarom het rapport binnen enkele weken na de interne audit naar het management. Zo kan de directie beslissingen nemen over middelen en prioriteiten, en laat je in het rapport zien dat de cyclus loopt.
Als je het ISMS nog niet hebt ingericht, begin dan met de nulmeting. Er is nog niets om intern te auditen zolang de basisdocumenten ontbreken; zie het stappenplan.
Veelgestelde vragen
Hoe lang moet een intern auditrapport bewaard worden? De norm noemt geen vaste termijn. Bewaar het minimaal tot de volgende externe audit en controleer de termijn in je eigen documentatiebeleid.
Moet het rapport door een externe partij worden ondertekend? Nee. Wel moet je aantonen dat de auditor onafhankelijk was van het gecontroleerde proces. Een ondertekening door de directie bij ontvangst helpt.
Kan een kort rapport van één pagina voldoende zijn? Ja, als alle onderdelen uit de tabel hierboven erin staan. Lengte zegt weinig; herleidbaarheid en opvolging zijn wat telt.