10.1 - Non-conformiteit en correctieve actie
Een non-conformiteit is het niet voldoen aan een eis: van ISO 27001, NEN7510, eigen beleid, of wet- en regelgeving. Dit document beschrijft hoe YipYip daarmee omgaat.
Bronnen
Section titled “Bronnen”Non-conformiteiten komen aan het licht via:
- Interne of externe audits
- Incidenten en lessons learned
- Monitoring (KPI’s buiten target)
- Eigen constatering door medewerkers
Classificatie
Section titled “Classificatie”| Type | Beschrijving | Actie |
|---|---|---|
| Major non-conformiteit (NCM) | Een normeis wordt niet of niet aantoonbaar ingevuld | Directe correctie + correctieve actie verplicht, vóór certificering |
| Minor non-conformiteit (NCn) | Afwijking van procedure of norm zonder systeemfalen | Correctieve actie verplicht |
| Observatie (OBS) | Verbeterpunt, geen non-conformiteit | Verbeteractie, lagere prioriteit |
Dezelfde indeling geldt voor auditbevindingen (09-evaluatie/9.2-interne-audit/9.2.1-programma.md, templates/audit-template.md).
Proces
Section titled “Proces”- Constateren — afwijking vastleggen met beschrijving, bron en betrokken norm-eis
- Direct corrigeren — indien nodig, directe actie om gevolgen te beperken
- Oorzaakanalyse — waarom is dit gebeurd? (bijv. via 5× waarom)
- Correctieve actie — maatregel om de oorzaak weg te nemen, met eigenaar en deadline
- Implementatie — actie uitvoeren
- Verificatie — controleren of de actie effectief is; zo niet, terug naar stap 3
- Afsluiting — documentatie compleet, non-conformiteit sluiten
Registratie
Section titled “Registratie”Non-conformiteiten worden geregistreerd in Jira (project ISMS):
- Issue type: Task onder epic ISMS-323, titel met de betrokken control of clausule tussen haken
- Beschrijving: afwijking, bron, norm-referentie, oorzaakanalyse, correctieve actie
- Velden: eigenaar (assignee), deadline (due date), status
- Workflow: Backlog → Selected for Development → In Progress → Done; de verificatie wordt als comment vastgelegd vóór het sluiten
Termijnen
Section titled “Termijnen”| Type | Correctie | Correctieve actie | Verificatie |
|---|---|---|---|
| NCM | Direct | Binnen 30 dagen | +14 dagen |
| NCn | Binnen 7 dagen | Binnen 90 dagen | +30 dagen |
| OBS | n.v.t. | Bij eerstvolgende gelegenheid | Bij volgende audit |
Bij overschrijding: escalatie naar directie.
Rapportage
Section titled “Rapportage”- Overzicht van non-conformiteiten is input voor de directiebeoordeling
- Trends en patronen worden jaarlijks geanalyseerd
- Herhalende non-conformiteiten worden geëscaleerd naar de directie
Huidige status
Section titled “Huidige status”De zelfbeoordeling van Q2 2026 (09-evaluatie/9.2-interne-audit/audits/2026-Q2-full-audit-rapport.md) leverde 5 major en 16 minor non-conformiteiten op. Die lopen als tickets onder epic ISMS-323; het overzicht staat in 00-meta/gap-analyse.md. De eerste onafhankelijke interne audit moet nog plaatsvinden.
Gerelateerde controls
Section titled “Gerelateerde controls”Dit document gaat over non-conformiteiten in brede zin (clausule 10.1). De controls 5.24–5.28 beschrijven specifiek het proces voor gebeurtenissen en incidenten.
| Control | Onderwerp |
|---|---|
| 5.24 | Incident management planning |
| 5.25 | Beoordeling IB-gebeurtenissen |
| 5.26 | Respons op IB-incidenten |
| 5.27 | Leren van IB-incidenten |
| 5.28 | Bewijsverzameling |
Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29