Audit voorbereiding ISO 42001: een planning van zes weken
Een goede voorbereiding op de ISO 42001 audit begint zes weken vóór de auditdatum. In die periode zorg je dat je documenten compleet zijn, dat je interne audit heeft plaatsgevonden en dat medewerkers weten wat ze kunnen verwachten. Gebruik daarbij de checklist per eis. De auditor beoordeelt je systeem op basis van wat hij ziet en hoort, dus de voorbereiding bepaalt veel van het resultaat. Het auditproces zelf verloopt in vaste stappen die je vooraf kunt kennen.
Wat de auditor van je wil zien
De certificerende instantie voert een beoordeling in twee stappen uit. In de eerste stap controleert ze of de documentatie compleet is. In de tweede stap toetst ze of het systeem in de praktijk werkt. Die twee stappen vragen om verschillende voorbereiding. Lees het auditproces voor de details per stap.
Een auditor zoekt in de praktijk naar drie dingen: of het beleid bestaat, of het beleid wordt nageleefd, en of je er van leert. Met die drie vragen in gedachten kun je de planning hieronder opbouwen.
De planning per week
Zes weken is een richtlijn. Een kleine organisatie met één AI-systeem kan het in vier weken doen. Een organisatie met meerdere systemen en leveranciers kan acht tot tien weken nodig hebben.
Week 6: inventaris en scope controleren. Loop het AI-register door en check of elk systeem in de scope staat. Controleer ook of er nieuwe systemen zijn bijgekomen sinds de laatste analyse. Een systeem dat ontbreekt in het register is een fout die je snel tegenkomt in audits.
Week 5: documenten op datum brengen. Controleer per document of de versie en de datum kloppen. Het beleid, de risicoanalyses en de verklaring van toepasselijkheid moeten de huidige situatie beschrijven. Documenten die na de laatste wijziging niet zijn bijgewerkt, zijn een veel voorkomende bevinding.
Week 4: interne audit en afwijkingen. Voer de interne audit uit als die nog niet is gedaan, of controleer het rapport als dat er al is. Zet alle open afwijkingen op een rij met een status en een eigenaar. Een open afwijking is niet erg, een afwijking zonder plan wel. Lees interne audit voor ISO 42001 voor de aanpak.
Week 3: medewerkers voorbereiden. Maak een korte briefing voor de medewerkers die in de audit worden gesproken. Zij hoeven de norm niet te kennen, maar moeten weten wat hun rol is in het systeem en waar het bewijs staat. Zie de sectie over interviews hieronder.
Week 2: proefaudit. Laat iemand die het systeem niet zelf heeft opgezet een proefaudit doen. Die persoon stelt vragen en vraagt om bewijs. Noteer alles wat niet direct te vinden is. Dat is je lijst voor de laatste week.
Week 1: laatste controle en logistiek. Zorg dat de documenten klaar staan op een plek die je tijdens de audit kunt openen. Bevestig de agenda met de auditor. Plan een ruimte, een contactpersoon en een moment waarop je de bevindingen kunt bespreken.
Documenten die klaar moeten liggen
Deze lijst is niet compleet, maar dit zijn de documenten die in bijna elke audit worden opgevraagd. Voor de volledige documentatie zie documentatie voor ISO 42001.
| Document | Wat de auditor zoekt | Gereed |
|---|---|---|
| AI-beleid | Vastgesteld, gedateerd en bekend bij medewerkers | |
| AI-register | Alle systemen in scope, met eigenaar | |
| Risicoregister | Per systeem risico’s, beoordeling en behandeling | |
| Impactbeoordelingen | Voor systemen met impact op mensen | |
| Verklaring van toepasselijkheid | Maatregelen met reden van in- of uitsluiting | |
| Leveranciersbeoordelingen | Voor externe AI-diensten en modellen | |
| Interne auditrapport | Met bevindingen en opvolging | |
| Managementbeoordeling | Met notulen en besluiten | |
| Afwijkingsregister | Met oorzaak en correctie |
Een extra tip: maak voor de auditor een korte inhoudsopgave van je documentmap. Dan vindt hij snel wat hij zoekt en hoeft hij niet te vragen waar iets staat.
Een voorbeeld van een auditagenda
Een auditor stelt zijn agenda vooraf vast. Hieronder een fictief voorbeeld voor een organisatie met één AI-systeem. Vraag de auditor naar de exacte planning, want die verschilt per instantie.
| Tijd | Onderwerp | Wie is aanwezig |
|---|---|---|
| 09.00 uur | Openingsgesprek en doel van de audit | Directie, projectleider |
| 09.30 uur | Scope, context en belanghebbenden | Projectleider |
| 10.30 uur | Beleid en leiderschap | Directie |
| 11.30 uur | Risico’s en impactbeoordelingen | Eigenaar van het AI-systeem |
| 13.00 uur | Operatie: bouw en inzet van het systeem | Technisch verantwoordelijke |
| 14.30 uur | Monitoring, interne audit en afwijkingen | Kwaliteits- of compliancemedewerker |
| 15.30 uur | Leveranciers en gebruik | Inkoop of leverancierseigenaar |
| 16.15 uur | Bevindingen en vervolgstappen | Directie, projectleider |
Interviews met medewerkers
De auditor praat met mensen, niet alleen met documenten. Bereid de medewerkers voor op drie vragen: wat doe jij met het AI-systeem, waar staat het bewijs, en wat doe je als er iets misgaat. Laat ze niet uit het hoofd antwoorden, maar wijs ze naar het document.
Zeg tegen medewerkers dat “ik weet het niet, dat moet ik nazoeken” een eerlijk antwoord is. Een verzonnen antwoord is veel erger. Zie ook veelgemaakte fouten voor wat auditors vaak aanvoelen als onzorgvuldig.
Na de audit
Na de audit krijg je een rapport met bevindingen. Majors en minors hebben verschillende termijnen; lees daarover het stuk over het auditproces. Plan direct na de audit een korte evaluatie met het team. Wat ging goed, wat niet, en wat neem je mee naar de volgende controle-audit.
Wie zich wil voorbereiden op de volledige controle, kan terugkijken naar de checklist per eis. Die checklist is een goede basis voor de week voor de audit.
Veelgestelde twijfels
Mag ik de auditor vooraf om een kennismaking vragen? Dat is gebruikelijk, zeker bij een eerste traject. Vraag wat de auditor wil zien en wat hij van de planning verwacht. Houd het bij procedurele vragen en stel geen inhoudelijke vragen die de audit zelf sturen.
Wat als de proefaudit grote gaten laat zien? Dan verschuift de datum of zet je de gaten prioriteit. Een audit die je in de week erna uitstelt, is beter dan een audit die met open majors eindigt. Bespreek dat met de certificerende instantie.
Moet de directie bij de audit aanwezig zijn? In de openingsbespreking is de directie meestal aanwezig, omdat het leiderschap een eis is. Zorg dat iemand met beslissingsbevoegdheid er is, ook als de rest van de dag met de projectleider en de eigenaren gaat.
Kan ik de documenten net voor de audit nog aanpassen? Kleine correcties die je kunt uitleggen zijn prima. Een beleid dat in de week voor de audit ineens wordt herschreven, is zichtbaar voor de auditor. Dat leidt vaak tot vragen over de werkelijke praktijk.
Hoe ga ik om met een kritische auditor? Blijf bij de feiten, verwijs naar het bewijs en noteer vragen die je niet direct kunt beantwoorden. Een bevinding is geen persoonlijke aanval, en een gesprek met bewijs gaat vaak sneller dan een discussie.