9.2.1 - Interne audit programma
Interne audits bij YipYip hebben drie doelen:
- Vaststellen dat er gewerkt wordt volgens de vastgelegde procedures
- Vormen van bewustzijn bij medewerkers
- Verbeteren van processen
Audit-programma
Section titled “Audit-programma”De onafhankelijke interne audit wordt jaarlijks uitgevoerd. De IB-coördinator stelt per audit het auditplan op (scope, criteria, data) en legt het voor aan de auditor. Processen met een groot afbreukrisico krijgen meer aandacht. Alle clausules en een representatieve selectie controls worden binnen een auditcyclus van maximaal 3 jaar volledig gedekt.
Planning
Section titled “Planning”| Audit | Wanneer | Scope |
|---|---|---|
| Zelfbeoordeling | Q2 2026 (uitgevoerd) | Alle clausules en controls; geen onafhankelijke audit |
| Eerste onafhankelijke interne audit | Eind 2026 of begin 2027 | Alle clausules 4–10, risicogestuurde selectie Annex A en NEN7510 |
| Vervolgaudits | Jaarlijks | Clausules en selectie controls volgens de 3-jaarscyclus, plus opvolging eerdere bevindingen |
Auditcriteria
Section titled “Auditcriteria”- ISO 27001:2022 (clausules 4–10, Annex A)
- NEN7510:2024 (zorgspecifieke eisen)
- Eigen ISMS-beleid en -procedures
- Relevante wet- en regelgeving (AVG)
Auditor
Section titled “Auditor”YipYip huurt een externe interne auditor in met kennis van ISO 27001 en NEN7510. De auditor is onafhankelijk van de geauditeerde processen en krijgt geen directe toegang tot informatiesystemen — de auditor kijkt mee met medewerkers maar heeft geen eigen accounts.
De directie is verantwoordelijk voor het aanstellen van de auditor.
Audit-proces
Section titled “Audit-proces”- Planning — scope, criteria, team, auditplan
- Voorbereiding — documentatie-review, checklist, interviews plannen
- Uitvoering — opening meeting, bewijs verzamelen, bevindingen vastleggen, closing meeting
- Rapportage — rapport met bevindingen, classificatie, actielijst
- Follow-up — correctieve acties monitoren, verificatie afronding
Classificatie bevindingen
Section titled “Classificatie bevindingen”| Type | Afkorting | Beschrijving | Actie |
|---|---|---|---|
| Major non-conformiteit | NCM | Een normeis wordt niet of niet aantoonbaar ingevuld | Correctieve actie verplicht, vóór certificering |
| Minor non-conformiteit | NCn | Afwijking van procedure of norm zonder systeemfalen | Correctieve actie verplicht |
| Observatie | OBS | Verbeterpunt, geen non-conformiteit | Verbeteractie, lagere prioriteit |
| Positief | POS | Goede praktijk | Vastleggen |
Dezelfde indeling staat in templates/audit-template.md en in 10-verbetering/10.1-afwijkingen.md.
Opvolging
Section titled “Opvolging”Bevindingen worden geregistreerd in Jira (project ISMS, Task onder epic ISMS-323) met actiehouder, einddatum en status. De IB-coördinator bewaakt de opvolging. Workflow: Backlog → Selected for Development → In Progress → Done; verificatie wordt vastgelegd in een comment vóór het sluiten.
Rapportage
Section titled “Rapportage”Audit-rapporten worden opgeslagen in 09-evaluatie/9.2-interne-audit/audits/ met naamgeving YYYY-QX-scope-audit-rapport.md. Template: templates/audit-template.md.
Evaluatie
Section titled “Evaluatie”Het audit-programma wordt jaarlijks geëvalueerd:
- Dekking van alle clausules en controls
- Effectiviteit van audits
- Competentie auditor
- Input voor de directiebeoordeling
Huidige status
Section titled “Huidige status”In Q2 2026 is een zelfbeoordeling uitgevoerd door de IB-coördinator (audits/2026-Q2-full-audit-rapport.md); dat is geen onafhankelijke interne audit in de zin van 9.2. De bevindingen daaruit (5 NCM, 16 NCn) lopen als tickets onder epic ISMS-323. De eerste onafhankelijke interne audit staat gepland voor eind 2026 of begin 2027; de auditor is nog niet gecontracteerd (ISMS-341).
Gerelateerde controls
Section titled “Gerelateerde controls”| Control | Onderwerp |
|---|---|
| 5.35 | Onafhankelijke beoordeling |
| 5.36 | Naleving |
Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29