Controle-audit en hercertificatie-audit (surveillance audit)
Een ISO-certificaat is drie jaar geldig. In die drie jaar komt de auditor elk jaar terug voor een controle-audit, ook wel surveillance audit of tussentijdse audit genoemd. Aan het eind van de cyclus volgt de hercertificatie-audit, die het hele systeem opnieuw beoordeelt en een nieuw certificaat van drie jaar oplevert.
De regels hiervoor staan in ISO/IEC 17021-1 , de norm voor certificerende instanties. Elke CI die geaccrediteerd is door de Raad voor Accreditatie moet zich eraan houden. De opzet is daarom gelijk voor ISO 9001, ISO 27001, ISO 14001 en de andere managementsysteemnormen. De cyclus begint na de initiële audit.
Hoe ziet de driejarige certificeringscyclus eruit?
Elke cyclus heeft dezelfde vier momenten. ISO/IEC 17021-1 schrijft voor dat er elk kalenderjaar een audit is: een controle-audit of, in het derde jaar, de hercertificatie.
| Moment | Audit | Doel |
|---|---|---|
| Start | Initiële audit (fase 1 en fase 2) | Certificaat behalen |
| Jaar 1 | Eerste controle-audit | Werkt het systeem nog? Steekproef |
| Jaar 2 | Tweede controle-audit | Idem, andere onderdelen |
| Jaar 3 | Hercertificatie-audit | Hele systeem opnieuw beoordelen, nieuw certificaat |
Na de hercertificatie begint de cyclus opnieuw met controle-audits in jaar 4 en 5. Sommige sectorschema’s werken met een andere cyclus. De norm laat daar ruimte voor.
Wanneer is de eerste controle-audit?
De eerste controle-audit mag niet later zijn dan twaalf maanden na de certificeringsbeslissing. Die datum staat meestal op je certificaat als ingangsdatum. Daarna volgt minstens één controle-audit per kalenderjaar.
In de praktijk plant je de controle-audit elk jaar rond dezelfde maand. Zo blijft je eigen jaarplanning voorspelbaar.
Voorbeeld: auditplanning voor een driejarige cyclus
Een bedrijf haalt zijn ISO 9001-certificaat met fase 2 in maart 2026. De CI neemt de certificeringsbeslissing op 15 april 2026. Zo ziet de planning eruit, met de eigen activiteiten die ervoor moeten liggen.
| Datum | Activiteit | Wie |
|---|---|---|
| April 2026 | Certificeringsbeslissing, certificaat geldig tot april 2029 | CI |
| Jan-feb 2027 | Interne audits afronden | Eigen organisatie |
| Februari 2027 | Managementreview | Directie |
| Maart 2027 | Controle-audit 1 (uiterlijk 15 april 2027) | CI |
| Jan-feb 2028 | Interne audits, managementreview | Eigen organisatie |
| Maart 2028 | Controle-audit 2 | CI |
| Jan 2029 | Interne audits, managementreview over de hele cyclus | Eigen organisatie |
| Februari 2029 | Hercertificatie-audit, ruim vóór de vervaldatum | CI |
| April 2029 | Nieuw certificaat, geldig tot april 2032 | CI |
Plan je interne audit en managementreview vóór de controle-audit. Beide horen bij elke controle-audit tot de onderdelen die de auditor bekijkt.
Wat controleert de auditor bij een controle-audit?
Een controle-audit is een steekproef, geen volledige audit. ISO/IEC 17021-1 noemt onderdelen die elke controle-audit moet bevatten:
| Onderdeel | Wat de auditor vraagt of bekijkt |
|---|---|
| Interne audits en managementreview | Zijn ze uitgevoerd, wat kwam eruit? |
| Afwijkingen van de vorige audit | Zijn de maatregelen uitgevoerd en effectief? |
| Klachtenafhandeling | Hoe ga je om met klachten, wat leer je ervan? |
| Doelstellingen en resultaten | Haal je je doelen en de beoogde resultaten? |
| Voortgang van verbeteracties | Wat is er verbeterd sinds vorig jaar? |
| Operationele beheersing | Werken de kernprocessen zoals beschreven? |
| Wijzigingen | Nieuwe locaties, producten, wetgeving, organisatie? |
| Gebruik van het certificatiemerk | Gebruik je logo en certificaat correct? |
Daarnaast kiest de auditor elk jaar andere processen of afdelingen. Over de drie jaar komt zo het hele systeem aan bod.
Het onderdeel “afwijkingen van de vorige audit” is het belangrijkste. Een minor die nog openstaat of niet effectief is opgelost, wordt makkelijk een major. Zie major en minor afwijking.
Wat is het verschil tussen een controle-audit en een hercertificatie-audit?
De hercertificatie-audit kijkt naar het hele systeem en naar de prestaties over de afgelopen drie jaar. De auditor leest ook de rapporten van de vorige controle-audits.
| Controle-audit | Hercertificatie-audit | |
|---|---|---|
| Wanneer | Jaar 1 en 2 | Jaar 3, vóór de vervaldatum |
| Omvang | Steekproef | Alle eisen van de norm |
| Terugblik | Sinds de vorige audit | De hele cyclus van drie jaar |
| Duur (ISO 9001, 14001, 45001) | Per jaar ongeveer een derde van de initiële audittijd | Ongeveer twee derde van de tijd die een initiële audit nu zou kosten |
| Fase 1 nodig? | Nee | Alleen bij grote wijzigingen in organisatie of context |
| Uitkomst | Certificaat blijft geldig | Nieuw certificaat voor drie jaar |
De verhoudingen voor de duur komen uit het verplichte document IAF MD 5 van het International Accreditation Forum . Een controle- of hercertificatie-audit duurt daarbij minimaal één auditdag. Voor ISO 27001 en sommige andere normen gelden eigen rekenregels; je CI kan je de berekening laten zien. Wat dat kost, lees je bij ISO certificering kosten.
Wat gebeurt er als je certificaat verloopt?
Je hercertificatie moet zijn afgerond vóór de vervaldatum, inclusief het oplossen van eventuele majors. Lukt dat niet, dan verlengt de CI het certificaat niet. ISO/IEC 17021-1 geeft dan nog één uitweg.
Binnen zes maanden na verloop
De CI kan het certificaat herstellen als de openstaande hercertificatie-activiteiten alsnog worden afgerond. De oorspronkelijke cyclus loopt door.
Na zes maanden
Dan is minimaal een volledige fase 2-audit nodig. In de praktijk begin je bijna opnieuw.
Let op: tussen verloop en herstel heb je geen geldig certificaat. Bij aanbestedingen en klanteisen kan dat direct gevolgen hebben. Plan de hercertificatie daarom twee tot drie maanden vóór de vervaldatum.
Kun je een controle-audit uitstellen?
Beperkt. De regel “minstens één audit per kalenderjaar” en de twaalfmaandengrens voor de eerste controle-audit zijn hard. Kleine verschuivingen binnen het jaar zijn meestal geen probleem. Weiger je een controle-audit of laat je hem verlopen, dan kan de CI je certificaat schorsen. Tijdens een schorsing is het certificaat tijdelijk ongeldig.
Zo bereid je een controle-audit voor
- Sluit de afwijkingen van vorig jaar af, met bewijs van effectiviteit.
- Rond interne audits en managementreview af en zorg dat de verslagen klaarliggen.
- Meld wijzigingen vooraf aan je CI: nieuwe locatie, fusie, grote groei, nieuwe diensten.
- Check je doelstellingen: welke zijn gehaald, welke niet, en wat heb je gedaan?
- Controleer het gebruik van het logo op website, offertes en briefpapier.
Wil je van CI wisselen? Veel organisaties doen dat bij de hercertificatie, omdat er dan toch een volledige audit is. Lees certificerende instantie kiezen en certificaat controleren.