ISO 42001 checklist: per eis het bewijs dat de auditor wil zien

Een ISO 42001 checklist werkt pas als je bij elke eis ook het bewijs noemt. Een auditor vraagt niet of je “een beleid hebt”, maar waar het beleid staat, wie het heeft vastgesteld en wanneer het voor het laatst is herzien. Deze checklist koppelt de eisen van ISO/IEC 42001 en de Annex A beheersmaatregelen aan de documenten en registraties die je daarvoor laat zien tijdens de certificeringsaudit.

Hoe gebruik je deze checklist?

Loop de checklist door na je gap-analyse en vóór de certificeringsaudit. Voor elke regel geef je één van drie antwoorden: aanwezig en aantoonbaar, aanwezig maar niet aantoonbaar, of ontbreekt. Alleen de eerste categorie telt als bewijs.

Gebruik een gedeelde map of een register met een link per bewijsstuk. Zo kan de auditor het zelf terugvinden zonder dat je twintig minuten zoekt.

Clausules 4 tot en met 10

Deze tabel volgt de hoofdstukken van de norm. De kolom “bewijs” bevat de documenten die een auditor normaal gesproken opvraagt.

De nummering volgt de hoofdstukindeling van ISO/IEC 42001:2023 (gecontroleerd tegen een openbare inhoudsopgave, niet tegen de betaalde norm). Controleer de exacte tekst in de norm zelf voordat je hem in een officieel document gebruikt.

Annex A: per domein kiezen en onderbouwen

Annex A bevat de beheersmaatregelen. Je hoeft niet alles te implementeren, maar je moet per maatregel kunnen zeggen of hij van toepassing is en waarom. Die keuze leg je vast in de verklaring van toepasselijkheid.

Voor de inhoud van elk domein lees je Annex A beheersmaatregelen. Meer over leveranciers staat op leveranciersbeheer.

Wat een auditor het vaakst niet kan aantonen

Dit zijn de punten waar de checklist het meest mis gaat, omdat het bewijs ontbreekt of verouderd is.

• Een beleid met een datum van twee jaar terug, zonder bewijs dat het is herzien. Zie veelgemaakte fouten.
• Een risicoregister dat niet overeenkomt met het AI-register. Systemen die in het ene staan en in het andere niet, vallen op.
• Managementbeoordelingen die niet zijn vastgelegd. Een gesprek zonder notulen telt niet.
• Competenties zonder registratie. Een training die je wel gaf maar niet hebt vastgelegd, bestaat voor de auditor niet.
• Afwijkingen die worden gesloten zonder oorzaakanalyse. Het bewijs van correctie moet ook laten zien waarom het misging.

Checklist voor de week voor de audit

• Alle documenten in de checklist hebben een datum en een eigenaar
• Het AI-register en het risicoregister komen met elkaar overeen
• De laatste interne audit en het bijbehorende rapport zijn compleet
• Afwijkingen staan in het register met status
• De verklaring van toepasselijkheid klopt met wat er daadwerkelijk werkt
• Een medewerker kan uitleggen waar het bewijs staat

Voor het planningsverloop van de audit zelf lees je audit voorbereiding ISO 42001.

Veelgestelde twijfels

Moet ik alle Annex A maatregelen implementeren? Nee. Je moet per maatregel kunnen zeggen of hij van toepassing is en waarom niet. Een uitsluiting met een goede onderbouwing is beter dan een maatregel die op papier staat maar niet werkt.

In Excel of in een tooltje? Allebei kan. Het gaat om de bewijsketen: elke regel heeft een verwijzing, een datum en een eigenaar. Een spreadsheet die dat bijhoudt is genoeg voor een kleine organisatie.

Hoe vaak werk ik de checklist bij? Minimaal vóór elke audit en na elke grote wijziging in een AI-systeem. Zet een vaste datum in de agenda, anders verouderen de bewijsstukken ongemerkt.

Mag ik een eis overslaan als we die niet nodig hebben? Alleen als de eis aantoonbaar niet van toepassing is op je scope. Leg dat vast in het scopedocument. Een eis overslaan omdat hij lastig is, werkt niet.

Meer lezen

• Eisen van ISO 42001 voor de volledige tekst per hoofdstuk
• Interne audit voor ISO 42001 om de checklist te testen vóór de externe audit
• Stappenplan ISO 42001 certificering