Direct antwoord
Voor de verplichte interne audit kies je tussen inhuren (een externe auditor, typisch 1.000 tot 1.500 euro per dag, gegarandeerd objectief en normvast) en zelf opleiden (een interne-auditor-training van 1 tot 3 dagen per persoon, goedkoper op termijn en kennisopbouw in huis, maar met het objectiviteitsprobleem in kleine organisaties). De MKB-praktijk: onder de 30 tot 50 medewerkers is inhuren meestal logischer; daarboven werkt een combinatie: eigen auditors voor de processen, een externe blik voor het systeem en de gevoelige hoeken.
Elke norm eist interne audits door mensen die objectief en onpartijdig zijn, en daar begint voor kleine organisaties de puzzel: wie kan het eigen systeem toetsen zonder het eigen werk te beoordelen? De twee routes, eerlijk vergeleken.
De vergelijking
| Externe auditor inhuren | Eigen mensen opleiden | |
|---|---|---|
| Kosten | 1.000 - 1.500 euro per dag, 1 à 2 dagen per jaar | Training 500 - 1.500 euro p.p. eenmalig, daarna interne uren |
| Objectiviteit | Gegarandeerd | Probleem in kleine teams (wie audit de KAM-coördinator?) |
| Norm- en auditkennis | Direct op niveau, kent veel organisaties | Groeit met ervaring; eerste audits zijn leerwerk |
| Kennis in huis | Blijft buiten | Bouwt op: auditors worden interne verbeteraars |
| Frisse blik | Sterk (vergelijkt met andere bedrijven) | Neemt af naarmate men het systeem beter kent |
| Bijvangst | Dekt meteen de onafhankelijke beoordeling (27001: 5.35) | Auditvaardigheden versterken ook leveranciers- en procesbeoordelingen |
De afweging per situatie
Onder de 30 tot 50 medewerkers: inhuren wint meestal. Het objectiviteitsprobleem is bij klein onoplosbaar (de enige logische auditor is de systeembeheerder van het systeem zelf), de jaarlijkse kosten zijn overzichtelijk, en een ervaren externe levert in één dag meer bruikbare bevindingen dan een beginnende interne in drie. Combineer hem slim: laat de externe audit vlak vóór de certificerings- of controle-audit vallen, dan is hij meteen de generale repetitie.
Vanaf 50 medewerkers of meerdere normen: de combinatie wordt aantrekkelijk. Twee tot drie opgeleide interne auditors die elkaars afdelingen kruislings toetsen, dekken de proces-audits het jaar rond; een externe doet periodiek het systeem-niveau en de hoeken waar interne auditors niet objectief kunnen zijn (de directie, de KAM-functie zelf). Zo bouw je kennis op zonder de frisse blik te verliezen.
De valkuil bij zelf doen: de opgeleide auditor die na de training nooit tijd krijgt: audits die telkens doorschuiven zijn de klassieke bevinding bij de externe audit. Wie intern kiest, moet de uren echt reserveren, anders is inhuren per saldo goedkoper dan de major die het oplevert.
Zo werkt dit in Control One
In de portal beheer je meerdere normen in één omgeving; overlappende onderdelen stel je maar één keer op.
Veelgestelde vragen
Wat kost een externe interne-auditor?
Reken op 1.000 tot 1.500 euro per dag; een MKB-systeem met één norm vraagt typisch 1 tot 2 dagen per jaar inclusief rapportage. Bij meerdere normen of locaties loopt het op, maar gecombineerde audits (één bezoek, meerdere normen) drukken de kosten.
Welke eisen gelden voor een eigen interne auditor?
De norm eist objectiviteit en onpartijdigheid (niet het eigen werk auditen) en aantoonbare competentie: kennis van de norm en van audittechniek. Een erkende interne-auditortraining van 1 tot 3 dagen plus meelopen met een ervaren auditor is de gangbare onderbouwing; registreer het in de competentiematrix.