ISO 42001 gap analyse: zo bepaal je waar je nu staat

Een ISO 42001 gap analyse is een controle van je huidige AI-werkwijze tegen de eisen van ISO/IEC 42001. Je legt per clausule vast wat er al is, wat er ontbreekt en welk bewijs er bestaat, zodat je een realistisch implementatieplan kunt maken. Begin met je AI-inventarisatie en de EU AI Act als wettelijk kader, en werk daarna pas aan het stappenplan.

Waarom eerst een gap analyse?

Zonder gap analyse begin je met een lijst van dingen die “wel even moeten”. Dat leidt tot een beleid dat niemand volgt, een register dat na twee weken verouderd is en een audit die in de eerste dag vastloopt. Een gap analyse laat zien welke eisen je al grotendeels hebt, zodat je niet twee keer werk doet, en welke eisen volledig ontbreken, zodat je de zware onderdelen vroeg plant.

De gap analyse is ook het document dat je later nodig hebt voor de scope van je AI-managementsysteem. Wat je buiten de scope laat, moet je onderbouwen. Een goede gap analyse maakt die keuze zichtbaar.

Voor de juridische kant verwijs je in de gap analyse naar de EU AI Act . De norm en de wet overlappen, maar ze zijn niet hetzelfde. Zie ISO 42001 vs EU AI Act voor het verschil.

De werkwijze in vijf stappen

Afbakenen. Bepaal welke organisatieonderdelen en AI-systemen in de scope vallen. Neem de AI-inventarisatie als startpunt. Zonder lijst van systemen kun je niets beoordelen.
Per clausule toetsen. Loop de clausules 4 tot en met 10 af en de relevante Annex A maatregelen. Vraag per onderdeel: is het er, is het werkend, en kan ik het aantonen?
Bewijs verzamelen. Een beleid zonder bewijs telt niet. Zoek de notulen, het register, het auditrapport of de logging die laat zien dat het werkt.
Scoren. Gebruik één vaste schaal, bijvoorbeeld: voldoet, deels, ontbreekt. Schrijf bij elke score een korte toelichting.
Plan maken. Vertaal elke gap naar een actie, een eigenaar en een datum. Sorteer op impact en op afhankelijkheid.

Een gap analyse is geen audit. Je beoordeelt niet of je certificeerbaar bent, maar waar je verschil zit tussen wat er is en wat de norm vraagt. Doe hem bij voorkeur door iemand die het systeem niet zelf heeft gebouwd.

Het invulformulier per clausule

Onderstaande tabel is een werkvorm die je direct kunt overnemen. Vul hem per clausule in en houd de bewijsbron erbij.

Clausule	Vraag die je stelt	Bewijs dat je zoekt	Score
4 Context	Hebben we externe en interne factoren en belanghebbenden in kaart gebracht?	Contextdocument, lijst van belanghebbenden	voldoet / deels / ontbreekt
5 Leiderschap	Heeft de directie een AI-beleid vastgesteld en de rollen belegd?	Ondertekend beleid, rolbeschrijvingen
6 Planning	Zijn AI-risico’s geïdentificeerd, beoordeeld en behandeld?	Risicoregister, impactanalyses
7 Ondersteuning	Zijn competenties, bewustzijn en documentbeheer geregeld?	Trainingsregistratie, documentlijst
8 Uitvoering	Gebeurt de ontwikkeling en inzet van AI volgens het proces?	Procesbeschrijving, releasedossiers
9 Evaluatie	Meten we prestaties en voeren we interne audits uit?	Monitoringrapporten, auditprogramma
10 Verbetering	Pakken we afwijkingen op en leren we ervan?	Afwijkingsregister, correctieve acties
Annex A	Welke maatregelen zijn van toepassing en welke niet?	Verklaring van toepasselijkheid

Kolom “bewijs” is de belangrijkste. Als je bij een clausule niets kunt noemen, is de score in de praktijk “ontbreekt”, ook als iemand zegt dat het “wel gebeurt”.

Voorbeeld: een softwarebedrijf met 40 medewerkers

Stel dat het fictieve bedrijf Voorbeeld Software een AI-assistent in de eigen productie gebruikt en daarnaast een scoringsmodel voor klanten levert. Bij de gap analyse komen de volgende bevindingen uit:

Onderdeel	Score	Toelichting	Actie
AI-beleid	deels	Er is een beleid, maar het dateert van vóór het scoringsmodel en noemt het niet	Beleid herzien, door directie laten vaststellen
AI-register	ontbreekt	Systemen staan verspreid over wikis en tickets	Register bouwen met eigenaar per systeem
Risicoanalyse	deels	Risico’s voor het scoringsmodel zijn beoordeeld, voor de assistent niet	Risicoanalyse uitbreiden
Impactbeoordeling	ontbreekt	Nooit uitgevoerd voor het scoringsmodel	Impact assessment plannen
Leveranciers	voldoet	Contracten met de modelleverancier bevatten dataverwerkingsafspraken	Jaarlijkse herbeoordeling vastleggen
Interne audit	ontbreekt	Nog geen auditprogramma	Programma voor het eerste jaar opstellen

Het resultaat is geen score van 70 procent, maar een lijst van zes acties met eigenaren. Dat is bruikbaar. Een percentage zegt weinig als niemand weet wat er moet gebeuren.

Wat auditors het vaakst als gap zien

Deze gaten komen in de praktijk het vaakst voor. Controleer ze eerst.

Geen compleet AI-register. Systemen die in de praktijk draaien maar niet in het register staan, zijn de meest voorkomende bevinding.
Een impactbeoordeling die er wel is maar niet over de hele levenscyclus gaat. Zie AI impact assessment.
Beleid zonder eigenaar. Als niemand weet wie het beleid bijhoudt, is het na een jaar verouderd.
Leveranciers die niet beoordeeld worden. Gebruik de leveranciersbeheer-aanpak om dit te dichten.
Een Verklaring van Toepasselijkheid die niet met de werkelijkheid klopt. Maatregelen die op “van toepassing” staan maar niet aantoonbaar werken, vallen op.
Geen terugkoppeling van monitoring naar risico’s. Veranderingen in modelprestaties moeten leiden tot een aangepaste risicobeoordeling.

Meer over veelgemaakte fouten lees je op veelgemaakte fouten.

Van gap analyse naar stappenplan

Gebruik de uitkomst als invoer voor je implementatieplan. Zet de gaps in volgorde van afhankelijkheid. Een AI-register en een risicoanalyse zijn voorwaarden voor bijna alles daarna, dus die komen eerst. Een interne audit komt pas als de rest is ingericht.

Voor een kleine organisatie is de gap analyse vaak een dag of twee werk. Voor een grotere organisatie met meerdere AI-systemen kost hij meer, en kan het zinvol zijn die fase bij een adviseur neer te leggen. Lees begeleiding bij ISO 42001 voor wat je dan van een adviseur kunt verwachten. De kosten van het hele traject staan op kosten en tijdlijn.

Checklist voor je eigen gap analyse

Scope en systemenlijst zijn vastgesteld
Elke clausule 4 tot en met 10 is beoordeeld met een score
Bij elke score staat een bewijsbron of “geen bewijs”
Relevante Annex A maatregelen zijn beoordeeld
Elke gap heeft een eigenaar en een datum
De uitkomst is besproken met de directie
De analyse is gedateerd en wordt herhaald vóór de certificeringsaudit

Veelgestelde twijfels

Kan ik de gap-analyse zelf doen? Ja, als je iemand kiest die het systeem niet zelf heeft opgezet. De kans op een eerlijke score is dan groter. Houd de scores wel vast met bewijs, anders wordt het een meningenlijst.

Hoe vaak moet ik hem herhalen? Doe hem bij de start, en daarna opnieuw vóór elke certificeringsaudit en na elke grote wijziging in je AI-systemen. Een gap-analyse van twee jaar terug zegt weinig over je huidige situatie.

Wat als bijna alles op “deels” staat? Dat is normaal bij een eerste analyse. Kijk dan welke gaps de meeste andere eisen blokkeren, bijvoorbeeld het register of de risicoanalyse. Pak die eerst aan, dan volgt de rest vaak vanzelf.

Moet ik elke Annex A maatregel scoren? Nee. Score de maatregelen die je denkt toe te passen en leg per maatregel vast waarom je andere uitsluit. Dat onderbouwen is het werk, het scoren zelf is de kleinste stap.

Meer lezen

Eisen van ISO 42001 voor de volledige clausules
Annex A beheersmaatregelen voor de maatregelen die je moet beoordelen
Documentatie voor ISO 42001 voor de documenten die je bewijs vormen
Stappenplan ISO 42001 certificering voor het vervolg na de analyse