Intern auditrapport ISO 9001: template met voorbeeldbevindingen
Een intern auditrapport legt vast wat je bij de interne audit hebt gecontroleerd, wat je hebt gevonden en wat je gaat doen met de bevindingen. ISO 9001 (paragraaf 9.2) vraagt dat je interne audits plant, uitvoert, de resultaten rapporteert aan de verantwoordelijke leidinggevenden en bewijs bewaart. Het rapport is dat bewijs. Een goed rapport is kort, concreet en elke bevinding heeft een eigenaar en een datum. Meer over de hele aanpak vind je bij de interne audit ISO 9001. De eisen die je controleert, staan in NEN-EN-ISO 9001 , en bevindingen met afwijkingen volgen het pad van afwijkingen en corrigerende maatregelen.
Wat moet een intern auditrapport minimaal bevatten?
De norm schrijft geen vaste opmaak voor, en ook niet welke onderdelen erin staan. Je moet wel kunnen laten zien wat er is gecontroleerd en wat de uitkomst is. In de praktijk werkt een rapport met vijf onderdelen goed:
- Algemene gegevens. Datum, scope, auditor, auditee en de gebruikte checklist.
- Onderzochte eisen. De paragrafen van de norm die bij deze audit horen, bijvoorbeeld 8.4 of 9.2.
- Bevindingen. Per bevinding: onderwerp, eis, bewijs en categorie.
- Corrigerende acties. Wat er moet gebeuren, door wie en voor wanneer.
- Opvolging. Datum van de volgende controle van de openstaande acties.
Het rapport hoeft geen tien pagina’s te zijn. Voor een kleine organisatie is één à twee pagina’s genoeg. Het gaat om de inhoud, niet om de vorm.
Template: intern auditrapport ISO 9001
Kopieer onderstaande structuur en vul die in. Zet het in je documentbeheer, zodat het een versie en een eigenaar heeft (zie documentbeheer (7.5)).
| Veld | Invulling |
|---|---|
| Auditnummer | IA-2026-03 |
| Datum | |
| Auditor | |
| Auditee (proces of afdeling) | |
| Scope | Welke processen en vestigingen, welke periode |
| Gebruikte checklist | Versie en datum |
| Paragrafen onderzocht | Bijvoorbeeld 8.4 en 8.5 |
| Aantal bevindingen per categorie | Conformiteit: / Observatie: / Afwijking: |
| Conclusie | Eén zin: werkt het proces zoals beschreven? |
| Volgende controle openstaande acties | Datum |
| Goedkeuring | Naam en datum van de kwaliteitsmanager |
Voorbeeldbevindingen per categorie
De norm schrijft geen indeling in categorieën voor. In de praktijk gebruiken veel organisaties er drie. Onderstaande voorbeelden komen uit een fictief productiebedrijf dat onderdelen levert aan machinebouwers.
| Categorie | Wat het betekent | Voorbeeld | Actie |
|---|---|---|---|
| Conformiteit | Voldoet aan de eis | De inspectie van binnenkomende materialen is in alle geselecteerde gevallen vastgelegd | Geen |
| Observatie | Verbeterkans, geen tekortkoming | Het inspectieformulier heeft geen veld voor het lotnummer. Dat werkt nu, maar maakt terugvinden lastig | Aanbevolen, niet verplicht |
| Afwijking | Voldoet niet aan een eis | Van drie van de vijf leveranciers ontbreekt een beoordeling van het afgelopen jaar | Verplicht: corrigerende actie |
Het verschil tussen een observatie en een afwijking is de vraag of de eis wordt gehaald. Een observatie kun je zelf oplossen zonder formele actie. Een afwijking vraagt om een oplossing en controle daarvan. Meer over die aanpak staat bij afwijkingen en corrigerende maatregelen.
Uitgewerkt voorbeeld van één bevinding
Zo ziet één bevinding er in het rapport uit:
Onderwerp: Leveranciersbeoordeling (8.4) Eis: De organisatie beoordeelt haar externe leveranciers en houdt daar bewijs van bij. Bewijs: Leveranciersregister, beoordelingsformulieren van de laatste twaalf maanden. Bevinding: Van drie van de vijf leveranciers is geen beoordeling van het afgelopen jaar gevonden. De laatste beoordeling dateert van 2024. Categorie: Afwijking Corrigerende actie: Beoordelingen bijwerken en het register koppelen aan de jaarplanning. Eigenaar en datum: Inkoper, uiterlijk eind van het kwartaal. Controle effectiviteit: Bij de volgende interne audit controleren of de beoordelingen zijn uitgevoerd.
Let op de laatste regel. Een corrigerende actie is pas af als je hebt gecontroleerd dat die werkt. Zonder die controle blijft de afwijking in het rapport staan.
Veelgemaakte fout: de bevinding beschrijven als “leveranciers worden niet goed beoordeeld”. Dat is een mening, geen bevinding. Schrijf op wat je hebt gezien, welk document of welke registratie je hebt bekeken, en wat er ontbrak.
Wat wil de auditor zien bij het interne auditrapport?
Bij de externe audit vraagt de auditor naar je interne audits. Hij kijkt of het rapport er is, of het de scope dekt, of bevindingen zijn vastgelegd en of de openstaande acties zijn opgevolgd. De norm (9.2.2) vraagt dat de audits objectief en onpartijdig zijn. Iemand die zijn eigen werk controleert, levert daarom zwakker bewijs.
Een rapport waarin alles conform staat, roept soms juist vragen op. Een interne audit die nooit een observatie of afwijking vindt, lijkt vaak niet grondig genoeg. Wees daarom eerlijk in je bevindingen.
Veelgemaakte fouten
- Geen scope. Het rapport zegt “interne audit” zonder aan te geven welke processen en welke periode.
- Bevindingen zonder bewijs. Er staat een oordeel, maar niet welk document of welke waarneming eraan ten grondslag ligt.
- Acties zonder eigenaar of datum. Een corrigerende actie zonder naam en datum wordt niet uitgevoerd.
- Geen opvolging. Het rapport wordt geschreven en daarna weggelegd. De volgende audit begint bij nul.
- Dezelfde bevinding elk jaar. Als het steeds terugkomt, is de oorzaak niet opgelost. Gebruik een root cause analyse (oorzaakanalyse) om dieper te kijken.
Hoe bewaar je het rapport?
Bewaar het rapport als gedocumenteerde informatie (bewijs van de audit, zie 9.2.2), met een versie en een datum. Sla het op in dezelfde map als je auditplanning, zodat de auditor het in één keer vindt. De aanleverlijst voor de externe audit bevat meestal een regel voor de interne audits van het afgelopen jaar.
Controle voordat je het rapport deelt
Loop deze punten langs voordat het rapport de directie of de auditee bereikt:
- Staat de scope erin, met processen en periode?
- Verwijst elke bevinding naar een eis en naar bewijs?
- Is de categorie per bevinding gekozen, en niet op gevoel bepaald?
- Heeft elke afwijking een eigenaar en een datum?
- Is de auditor onafhankelijk van het proces dat hij heeft gecontroleerd?
- Staat de datum van de volgende controle erin?
- Is de versie van het rapport duidelijk, en is het goedgekeurd?
Als één van deze punten niet klopt, is het rapport niet af. Een auditor kijkt juist naar deze details.
Volgende stap
Pas het template aan voor jouw organisatie en gebruik het bij je eerstvolgende interne audit. Zorg dat de bevindingen terugkomen in de directiebeoordeling, zodat de directie de uitkomst van de interne audit ook ziet.