Auditprocessen

Intake en onafhankelijkheid

Noordbeek Certification voert alleen opdrachten uit voor ISO 27001, NEN 7510, of ISO 27001 en NEN 7510 tezamen, in relatie tot certificering.

Voor gerelateerde assurance-onderzoeken voor NEN 7512 en 7513 wordt u verwezen naar Noordbeek B.V.

Interne audits voeren wij niet uit bij certificeringsklanten van Noordbeek Certification.

Voor het vaststellen van het aantal auditdagen volgen wij de richtlijnen in de standaarden ISO 27006 en NCS 7510. Dit aantal is gebaseerd op het aantal fte in uw organisatie en de in deze standaarden genoemde relevante aspecten die invloed kunnen hebben op de audittijdberekening.

Definitie van NEN 7510 cluster B-klanten en cluster Z-klanten

Een zorginstelling is een cluster Z-klant. Dit is een rechtspersoon die bedrijfsmatig zorg verleent, alsmede een organisatorisch verband van natuurlijke personen die bedrijfsmatig zorg verlenen of doen verlenen, alsmede een natuurlijk persoon die bedrijfsmatig zorg doet verlenen, alsmede een solistisch werkende zorgverlener.

Een beheerder van persoonlijke gezondheidsinformatie is een cluster B-klant. Dit zijn Nederlandse en buitenlandse beheerders van persoonlijke gezondheidsinformatie met Nederlandse zorgklanten, anders dan zorginstellingen, waarbij er sprake is van verwerking van persoonlijke gezondheidsinformatie, en andere verwerkingsverantwoordelijken dan zorginstellingen die ten aanzien van persoonlijke gezondheidsinformatie als beheerder optreden.

Audit op locatie of remote

Indien het onderzoek minder dan 70% van de audittijd op locatie wordt uitgevoerd, onderbouwt Noordbeek Certification de verdeling tussen het onderzoeken op locatie versus het werken op afstand via videosessies op basis van een risicoanalyse. Dit wordt vastgelegd in het auditplan. De volgende factoren worden bij de risicoanalyse in overweging genomen:

beschikbare infrastructuur van de certificeringsinstantie en de klant;
sector waarin de klant actief is;
type(n) audit tijdens de certificeringscyclus, van initiële audit tot hercertificeringsaudit;
competentie van de personen van de certificeringsinstantie en de klant die betrokken zijn bij de audit op afstand;
eerder aangetoonde prestaties van audits op afstand voor de klant;
reikwijdte van de certificering.

Audits worden niet op afstand uitgevoerd als de risicoanalyse onaanvaardbare risico’s voor de effectiviteit van het auditproces identificeert. De risicoanalyse wordt tijdens de certificeringscyclus geëvalueerd om de voortdurende geschiktheid ervan te borgen.

Communicatie tijdens de audit

Tijdens de audit zal het auditteam periodiek de voortgang van de audit beoordelen en informatie uitwisselen. De teamleider zal het werk waar nodig opnieuw toewijzen aan de leden van het auditteam en periodiek de voortgang van de audit en eventuele zorgen aan de opdrachtgever meedelen.

Indien uit de beschikbare audit-informatie blijkt dat de auditdoelstellingen onbereikbaar zijn of de aanwezigheid van een direct en significant risico (bijvoorbeeld veiligheid) suggereert, rapporteert de teamleider dit aan de opdrachtgever en, indien mogelijk, aan Noordbeek Certification om passende maatregelen te bepalen. Dergelijke actie kan zijn herbevestiging of wijziging van het auditplan, wijzigingen in de auditdoelstellingen of auditscope, of beëindiging van de audit. De teamleider rapporteert het resultaat van de ondernomen actie aan Noordbeek Certification.

De teamleider zal samen met de opdrachtgever de noodzaak van wijzigingen in de auditscope bekijken die duidelijk worden naarmate de auditactiviteiten ter plaatse vorderen en dit rapporteren aan Noordbeek Certification.

Gebruik van video conference software voor de audit

Als audittechnieken op afstand, zoals interactieve webgebaseerde samenwerking, webvergaderingen, teleconferenties en/of elektronische verificatie van uw processen worden gebruikt om met uw organisatie te communiceren, worden deze activiteiten geïdentificeerd in het auditplan.

Noordbeek Certification overlegt vooraf met u over welke methode voor video conferencing voor u gebruikelijk is.

Initiële certificeringsaudit, Stage 1

De planning van Noordbeek Certification moet ervoor zorgen dat de doelstellingen van Stage 1 kunnen worden behaald en de klant wordt geïnformeerd over eventuele ‘on site’-activiteiten tijdens Stage 1.

De doelstellingen van Stage 1 zijn:

de gedocumenteerde informatie van het managementsysteem van de klant beoordelen;
de locatiespecifieke omstandigheden van de klant evalueren en besprekingen voeren met het personeel van de klant om de paraatheid voor Stage 2 te bepalen;
de status en het begrip van de klant beoordelen met betrekking tot de vereisten van de norm beoordelen, in het bijzonder met betrekking tot de identificatie van essentiële prestaties of significante aspecten, processen, doelstellingen en werking van het managementsysteem;
de benodigde informatie verkrijgen over de reikwijdte van het managementsysteem, waaronder:
- de site(s) van de klant;
- gebruikte processen en apparatuur;
- vastgestelde controleniveaus (met name in het geval van klanten met meerdere vestigingen);
- toepasselijke wet- en regelgeving.
de toewijzing van middelen voor Stage 2 beoordelen en met de opdrachtgever de details van Stage 2 overeenkomen;
een focus bieden voor planningsStage 2 door voldoende inzicht te krijgen in het managementsysteem van de klant en de site-operaties in de context van de managementsysteemstandaard of ander normatief document;
het evalueren of de interne audits en managementreviews worden gepland en uitgevoerd, en of het implementatieniveau van het managementsysteem onderbouwt dat de klant klaar is voor Stage 2;
het vaststellen of het auditteam de juiste competenties bevat voor het uitvoeren van de Stage 2 certificeringsaudit;
Bij NEN 7510 certificatie: Verificatie van rechtmatigheid voor het verwerken van persoonlijke gezondheidsinformatie.

Gedocumenteerde conclusies met betrekking tot het behalen van de doelstellingen van Stage 1 en de gereedheid voor Stage 2 moeten aan de klant worden gecommuniceerd, inclusief identificatie van eventuele aandachtspunten die tijdens Stage 2 als een afwijking kunnen worden geclassificeerd.

Bij het bepalen van het interval tussen Stage 1 en Stage 2 moet rekening worden gehouden met de behoeften van de klant om de tijdens Stage 1 geïdentificeerde problemen op te lossen. Noordbeek Certification moet mogelijk ook haar regelingen voor Stage 2 herzien.

Als zich significante wijzigingen voordoen die van invloed zijn op het managementsysteem, zal Noordbeek Certification de noodzaak overwegen om Stage 1 geheel of gedeeltelijk te herhalen. De opdrachtgever wordt geïnformeerd dat de resultaten van Stage 1 kunnen leiden tot uitstel of annulering van Stage 2.

Initiële certificeringsaudit, Stage 2

Het doel van Stage 2 is het evalueren van de implementatie, inclusief effectiviteit, van het managementsysteem van de klant. De Stage 2 vindt plaats op de locatie(s) van de opdrachtgever. Het omvat de controle van ten minste het volgende:

informatie en bewijs over conformiteit met alle eisen van de toepasselijke managementsysteemnorm of andere normatieve documenten;
prestatiemonitoring, meting, rapportage en toetsing aan de belangrijkste prestatiedoelstellingen en -doelen (in overeenstemming met de verwachtingen in de toepasselijke managementsysteemnorm of ander normatief document);
het vermogen van het managementsysteem van de klant en zijn prestaties met betrekking tot het voldoen aan toepasselijke wettelijke, regelgevende en contractuele vereisten;
operationele beheersing van de processen van de klant;
interne audit en managementreview;
managementverantwoordelijkheid voor het beleid van de klant.

Het auditteam analyseert alle informatie en auditbewijs die tijdens Stage 1 en Stage 2 zijn verzameld om de auditbevindingen te beoordelen en overeenstemming te bereiken over de auditconclusies.

Ten aanzien van NEN 7510 audits, beoordeelt Noordbeek Certification of de klant een rechtmatigheid heeft voor het verwerken van persoonlijke gezondheidsinformatie (zoals bedoeld in de AVG) of in de periode van 6 maanden voorafgaand aan de start van de Stage 2-audit een rechtmatigheid heeft gehad.

Indien blijkt dat er geen rechtmatigheid is voor het uitvoeren van een NEN 7510-audit, mag deze niet worden uitgevoerd.

Criteria

De audit criteria worden gebruikt als referentie om de conformiteit van het Information System Management System (ISMS) te bepalen. De van toepassing zijnde criteria voor de opdracht zijn:

De eisen vanuit ISO 27001 en NEN 7510;
De gedefinieerde processen en documentatie van het ISMS op basis van de Verklaring van Toepasselijkheid (VvT) van de klant.

Bemonstering op meerdere locaties

Wanneer steekproeven op meerdere locaties worden gebruikt voor de audit van het managementsysteem van een klant voor dezelfde activiteit op verschillende geografische locaties, zal Noordbeek Certification een steekproefprogramma ontwikkelen om een goede audit van het managementsysteem te garanderen. De grondgedachte voor het monsternemingsplan moet voor elke klant worden gedocumenteerd.

Monsterneming op meerdere locaties is alleen toegestaan als:

Alle sites behandelen dezelfde activiteiten;
Alle vestigingen werken onder hetzelfde ISMS, dat centraal wordt beheerd en gecontroleerd en onderworpen is aan centrale managementbeoordeling;
Alle locaties zijn opgenomen in het interne ISMS-auditprogramma van de klant;
Alle locaties zijn opgenomen in het ISMS management review programma van de klant.

Noordbeek Certification identificeert bij de initiële contractbeoordeling, voor zover mogelijk, het verschil tussen locaties, zodat een adequaat niveau van bemonstering wordt bepaald. Hierbij wordt rekening gehouden met:

De resultaten van interne audits van het hoofdkantoor en de vestigingen;
De resultaten van de directiebeoordeling;
Variaties in de grootte van de locaties;
Variaties in het zakelijke doel van de sites;
Complexiteit van de informatiesystemen op de verschillende vestigingen;
Variaties in werkwijzen;
Variaties in ondernomen activiteiten;
Variaties in ontwerp en werking van bedieningselementen;
Potentiële interactie met kritieke informatiesystemen of informatiesystemen die gevoelige informatie verwerken;
Eventuele afwijkende wettelijke eisen;
Geografische en culturele aspecten;
Risicosituatie van de terreinen;
Informatiebeveiligingsincidenten op de specifieke locaties.

Er wordt een representatieve steekproef geselecteerd uit alle locaties binnen de scope van het ISMS van de klant; deze selectie is gebaseerd op een beoordelingskeuze om de hierboven gepresenteerde factoren weer te geven, evenals een willekeurig element.

Elke locatie die is opgenomen in het ISMS en onderhevig is aan significante risico's, wordt voorafgaand aan de certificering gecontroleerd door Noordbeek Certification.

Het auditprogramma is ontworpen in het licht van bovenstaande eisen en omvat representatieve steekproeven van de scope van de ISMS-certificering binnen de periode van drie jaar.

Bij constatering van een afwijking, hetzij op het hoofdkantoor, hetzij op een enkele vestiging, geldt de procedure voor corrigerende maatregelen voor het hoofdkantoor en alle vestigingen die onder het certificaat vallen.

De audit heeft betrekking op de activiteiten van het hoofdkantoor van de klant om ervoor te zorgen dat één enkel ISMS van toepassing is op alle locaties en zorgt voor centraal beheer op operationeel niveau. De audit zal alle hierboven geschetste problemen behandelen.

Definities en behandeling van grote en kleine afwijkingen

Een afwijking is het niet voldoen aan een eis. Hierbij is onderscheid naar:

Grote afwijking
Dit is een afwijking die van invloed is op het vermogen van het managementsysteem om de beoogde resultaten te bereiken. Een afwijking kan in de volgende omstandigheden als groot worden geclassificeerd:
- Als er ernstige twijfel bestaat dat er sprake is van een effectieve procesbeheersing, of dat producten of diensten aan gespecificeerde eisen zullen voldoen;
- Een aantal kleine afwijkingen die verband houden met dezelfde eis of kwestie zou een systemische storing kunnen aantonen en dus een grote afwijking vormen.
Kleine afwijking
Dit is een afwijking die geen invloed heeft op het vermogen van het managementsysteem om de beoogde resultaten te behalen;
Kans voor verbetering
Dit is een afwijking die geen invloed heeft op het vermogen van het managementsysteem om het beoogde resultaat te bereiken en geen directe impact heeft op risicobeperking.

Voor grote afwijkingen moet Noordbeek Certification de correctie en corrigerende maatregelen beoordelen, accepteren en verifiëren alvorens certificering toe te kennen, de scope van certificering uit te breiden of te verkleinen, te vernieuwen, op te schorten of te herstellen, of in te trekken van certificering.

Voor kleine afwijkingen moet Noordbeek Certification het plan van de klant voor correctie en corrigerende maatregelen beoordelen en accepteren.

De termijn waarbinnen het plan of de correctie en corrigerende maatregelen van een afwijking moet worden aangeleverd, is 4 weken. Hierna kan Noordbeek Certification het plan of de correctie en corrigerende maatregelen beoordelen, accepteren en verifiëren.

Indien Noordbeek Certification niet in staat is om de implementatie van correcties en corrigerende maatregelen van een grote afwijking binnen 6 maanden na de laatste dag van Stage 2 te verifiëren, zal Noordbeek Certification nog een Stage 2 uitvoeren voordat certificering wordt aanbevolen.

Surveillance-audit

Surveillance-audits zijn audits ter plaatse, maar zijn niet noodzakelijk volledige systeemaudits, en moeten samen met de andere toezichtactiviteiten worden gepland, zodat Noordbeek Certification het vertrouwen kan behouden dat het gecertificeerde managementsysteem van de klant tussen de hercertificeringsaudits in blijft voldoen. Elk toezicht voor de relevante managementsysteemnorm omvat:

interne audits en managementreview;
een beoordeling van de acties die zijn ondernomen op tijdens de vorige audit vastgestelde afwijkingen;
klachtenafhandeling;
effectiviteit van het managementsysteem met betrekking tot het behalen van de doelstellingen van de gecertificeerde opdrachtgever en de beoogde resultaten van het betreffende managementsysteem(en);
voortgang van geplande activiteiten gericht op continue verbetering;
voortdurende operationele controle;
beoordeling van eventuele wijzigingen;
gebruik van merken en/of enige andere verwijzing naar certificering.

Noordbeek Certification moet ten aanzien van NEN 7510 controle-audits beoordelen of de klant een rechtmatigheid heeft voor het verwerken van persoonlijke gezondheidsinformatie (zoals bedoeld in de AVG) of:

in het geval van een 1^ste controle-audit, in de periode van 6 maanden voorafgaand aan de ‘ingangsdatum van de actuele certificatiecyclus +12 maanden’ een rechtmatigheid heeft gehad;
in het geval van een 2^de controle-audit, in de periode van 6 maanden voorafgaand aan de ‘ingangsdatum van de actuele certificatiecyclus +24 maanden’ een rechtmatigheid heeft gehad.

Wanneer blijkt dat de klant geen rechtmatigheid heeft voor een NEN 7510-certificaat, treedt de procedure ‘Opschorting, intrekking of beperking van de scope van certificering’ in werking.

Hercertificering

Het doel van de hercertificeringsaudit is om de voortdurende conformiteit en effectiviteit van het managementsysteem als geheel te bevestigen, en de blijvende relevantie en toepasbaarheid ervan voor de reikwijdte van certificering. Er moet een hercertificeringsaudit worden gepland en uitgevoerd om de voortdurende vervulling van alle vereisten van de relevante managementsysteemnorm of een ander normatief document te evalueren. Dit moet tijdig worden gepland en uitgevoerd om tijdige verlenging vóór de vervaldatum van het certificaat mogelijk te maken.

De hercertificeringsactiviteit omvat de beoordeling van eerdere auditrapporten van het toezicht en de prestatie van het managementsysteem gedurende de meest recente certificeringscyclus.

Hercertificeringsauditactiviteiten moeten mogelijk een Stage 1 hebben in situaties waarin er significante wijzigingen zijn geweest in het managementsysteem, de organisatie of de context waarin het managementsysteem functioneert (bijvoorbeeld wijzigingen in de wetgeving).

De hercertificeringsaudit omvat een audit ter plaatse die betrekking heeft op het volgende:

de effectiviteit van het managementsysteem in zijn geheel in het licht van interne en externe veranderingen en de blijvende relevantie en toepasbaarheid ervan voor de scope van certificering;
blijk gegeven van inzet om de effectiviteit en verbetering van het managementsysteem te handhaven om de algehele prestaties te verbeteren;
de effectiviteit van het managementsysteem met betrekking tot het behalen van de doelstellingen van de gecertificeerde opdrachtgever en de beoogde resultaten van het betreffende managementsysteem(en).

Daarnaast beoordeelt Noordbeek Certification ten aanzien van NEN 7510 hercertificeringsaudits of de klant een rechtmatigheid heeft voor het verwerken van persoonlijke gezondheidsinformatie (zoals bedoeld in de AVG) of in de periode van 6 maanden voorafgaand aan de ‘vervaldatum van de actuele certificatiecyclus’ een rechtmatigheid heeft gehad.

Voor elke belangrijke afwijking stelt Noordbeek Certification tijdslimieten vast voor correctie en corrigerende maatregelen. Deze acties moeten door de opdrachtgever worden geïmplementeerd en geverifieerd voordat de certificering verloopt.

Vervaldatum

Wanneer hercertificeringsactiviteiten met succes zijn afgerond vóór de vervaldatum van de bestaande certificering, kan de vervaldatum van de nieuwe certificering worden gebaseerd op de vervaldatum van de bestaande certificering. De afgiftedatum van een nieuw certificaat valt op of na het hercertificeringsbesluit.

Hercertificeringsaudit niet afronden

Indien Noordbeek Certification de hercertificeringsaudit niet heeft voltooid of Noordbeek Certification niet in staat is de implementatie van correcties en corrigerende maatregelen voor een belangrijke afwijking te verifiëren vóór de vervaldatum van de certificering, wordt hercertificering niet aanbevolen en wordt de geldigheid van de certificering niet worden verlengd. De opdrachtgever wordt geïnformeerd en de gevolgen worden toegelicht.

Certificering herstellen

Na het verstrijken van de certificering kan Noordbeek Certification de certificering binnen 6 maanden herstellen, op voorwaarde dat de openstaande hercertificeringsactiviteiten zijn voltooid, anders moet minimaal een Stage 2 worden uitgevoerd. De ingangsdatum op het certificaat is op of na de hercertificeringsbeslissing en de vervaldatum moet gebaseerd zijn op een eerdere certificeringscyclus.

Speciale audits

Indien noodzakelijk kan Noordbeek Certification een speciale audit uitvoeren, al dan niet als een audit in twee Stages.

Uitbreiden scope

Noordbeek Certification zal, naar aanleiding van een aanvraag tot uitbreiding van de scope van een reeds verleende certificatie, een beoordeling van de aanvraag uitvoeren en eventuele auditactiviteiten vaststellen die nodig zijn om te beslissen of de verlenging al dan niet kan worden verleend. Dit kan worden uitgevoerd in combinatie met een surveillance audit.

Short-notice audits

Het kan voor Noordbeek Certification nodig zijn om op korte termijn of onaangekondigd audits uit te voeren bij gecertificeerde opdrachtgevers om klachten te onderzoeken, of als reactie op wijzigingen, of als follow-up van geschorste opdrachtgevers.

In dergelijke gevallen:

Noordbeek Certification beschrijft en maakt vooraf bekend aan de gecertificeerde opdrachtgevers de voorwaarden waaronder dergelijke audits zullen worden uitgevoerd;
Noordbeek Certification zal extra zorgvuldigheid in acht nemen bij de toewijzing van het auditteam vanwege het ontbreken van de mogelijkheid voor de opdrachtgever om bezwaar te maken tegen auditteamleden.

Opschorting, intrekking of beperking van de scope van certificering

Indien Noordbeek Certification een afwijking constateert die mogelijk kan leiden tot schorsing, intrekking of beperking, wordt contact opgenomen met de opdrachtgever. Indien overleg niet leidt tot een oplossing, wordt de Certificeringscommissie geïnformeerd. Deze commissie kan besluiten over te gaan tot schorsing, intrekking of beperking.

Noordbeek Certification schorst de certificatie in gevallen waarin bijvoorbeeld:

Het gecertificeerde managementsysteem van de opdrachtgever heeft aanhoudend of ernstig niet voldaan aan de certificeringseisen, waaronder eisen voor de effectiviteit van het managementsysteem;
De gecertificeerde opdrachtgever staat niet toe dat er surveillance audits of hercertificeringsaudits worden uitgevoerd met de vereiste frequenties;
De gecertificeerde opdrachtgever heeft vrijwillig een schorsing aangevraagd.

Bij schorsing is de certificering van het managementsysteem van de opdrachtgever tijdelijk ongeldig.

Noordbeek Certification herstelt de geschorste certificatie als het probleem dat tot de schorsing heeft geleid, is opgelost. Het niet oplossen van de problemen die hebben geleid tot de schorsing binnen een door Noordbeek Certification vastgestelde tijd zal leiden tot intrekking of vermindering van de scope van certificatie. (Opmerking: In de meeste gevallen zou de schorsing niet langer zijn dan zes maanden.)

Noordbeek Certification zal de scope van certificatie beperken om de onderdelen die niet aan de eisen voldoen uit te sluiten, wanneer de gecertificeerde opdrachtgever aanhoudend of ernstig heeft gefaald om te voldoen aan de certificatie-eisen voor die delen van de scope van certificatie. Een dergelijke verlaging moet in overeenstemming zijn met de eisen van de norm die voor certificering wordt gebruikt.

Rechtmatigheid van NEN-7510 certificeringswerkzaamheden

Ten aanzien van NEN 7510 certificatie worden de volgende regels gevolgd:

Wanneer in het geval van een 1^ste controle-audit wordt vastgesteld dat de cluster B-organisatie in de periode van 6 maanden voorafgaand aan de ‘ingangsdatum van de actuele certificatiecyclus +12 maanden’ geen rechtmatigheid heeft gehad voor het verwerken van persoonlijke gezondheidsinformatie, wordt het certificaat van deze organisatie ingetrokken vanaf de ‘ingangsdatum van de actuele certificatiecyclus +12 maanden’;
Wanneer in het geval van een 2^de controle-audit wordt vastgesteld dat de cluster B-organisatie in de periode van 6 maanden voorafgaand aan de ‘ingangsdatum van de actuele certificatiecyclus +24 maanden’ geen rechtmatigheid heeft gehad voor het verwerken van persoonlijke gezondheidsinformatie, wordt het certificaat van deze organisatie ingetrokken vanaf de ‘ingangsdatum van de actuele certificatiecyclus +24 maanden’;
Wanneer in het geval van een hercertificatie-audit wordt vastgesteld dat de cluster B-organisatie in de periode van 6 maanden voorafgaand aan de ‘vervaldatum van de actuele certificatiecyclus’ geen rechtmatigheid heeft gehad voor het verwerken van persoonlijke gezondheidsinformatie, wordt het certificaat van deze organisatie ingetrokken vanaf de ‘vervaldatum van de actuele certificatiecyclus’.

Wanneer de organisatie, nadat het certificaat is ingetrokken, weer een rechtmatigheid voor het verwerken van persoonlijke gezondheidsinformatie krijgt, moet een uitbreidingsaudit worden uitgevoerd of, in het geval de organisatie niet beschikt over een ISO 27001-certificaat, moet er ten minste een Stage 2-audit worden uitgevoerd.

Alternatief kan de Noordbeek Certification in plaats van intrekking besluiten tot schorsing voor een periode van maximaal 6 maanden. Dit is volgens ISO 17021 altijd tijdelijk. Als de klant weer voldoet aan de voorwaarden, wordt het certificaat weer op actief gezet.

Wanneer de cluster B-organisatie tijdens de periode van schorsing met een aantoonbare overeenkomst kan aantonen een rechtmatigheid te hebben voor het verwerken van persoonlijke gezondheidsinformatie, kan de certificatie worden hersteld.

Wanneer de cluster B-organisatie na 6 maanden vanaf de schorsingsdatum geen aantoonbare rechtmatigheid heeft voor het verwerken van persoonlijke gezondheidsinformatie, wordt het certificaat alsnog ingetrokken.