Direct antwoord
Een interne audit voer je zelf uit (of laat je op uurbasis uitvoeren) als zelfcontrole en verbeterinstrument; de resultaten blijven intern. Een externe audit wordt uitgevoerd door de certificerende instelling en bepaalt of je het certificaat krijgt of behoudt. Beide zijn verplicht: zonder aantoonbare interne audits kom je niet door de externe audit heen.
Interne en externe audits toetsen allebei of het managementsysteem werkt, maar met een verschillend doel en een verschillende uitvoerder. Simpel gezegd: de interne audit is je generale repetitie en verbeterinstrument, de externe audit is het examen dat het certificaat oplevert.
De verschillen op een rij
| Interne audit | Externe audit | |
|---|---|---|
| Uitvoerder | Eigen medewerkers of ingehuurde auditor | Auditor van de certificerende instelling |
| Doel | Zelfcontrole en verbetering | Certificaat verlenen, verlengen of behouden |
| Frequentie | Volgens eigen auditprogramma, minimaal jaarlijkse dekking | Initiële audit, daarna jaarlijkse controle en driejaarlijkse hercertificering |
| Gevolg van bevindingen | Interne verbeteracties | Bij zware afwijkingen: geen of geschorst certificaat |
| Rapportage | Intern | Officieel auditrapport, basis voor certificatiebesluit |
Hoe hangen ze samen?
De externe auditor gebruikt de interne audit als graadmeter voor de volwassenheid van het systeem. Concreet toetst hij drie dingen: is er een auditprogramma dat de hele scope dekt, zijn de audits daadwerkelijk en objectief uitgevoerd, en zijn de bevindingen opgevolgd met corrigerende maatregelen? Een sterke interne auditpraktijk maakt de externe audit daarmee voorspelbaar: alles wat mis kon gaan, heb je zelf al gevonden en opgelost.
Praktisch: plan ze in de juiste volgorde
Voer de interne audit ruim voor de externe audit uit, zodat er tijd is om bevindingen op te lossen. Behandel hem met dezelfde ernst als het echte werk: zelfde soort vragen, zelfde bewijslast. Kleine organisaties zonder onafhankelijke interne auditor schakelen hiervoor een externe auditor op uurbasis in; dat is geaccepteerd en betaalbaar.
Zo werkt dit in Control One
In de portal beheer je meerdere normen in één omgeving; overlappende onderdelen stel je maar één keer op.
Veelgestelde vragen
Telt een interne audit mee voor certificering?
Ja, indirect: de norm eist dat je interne audits uitvoert en de externe auditor controleert of dat gebeurd is en of bevindingen zijn opgevolgd. Geen of nep-interne audits leiden vrijwel zeker tot een afwijking bij de externe audit.
Mag dezelfde persoon interne en externe audits doen?
Nee. De externe auditor werkt voor de certificerende instelling en moet volledig onafhankelijk zijn van jouw organisatie. Intern geldt: je mag niet je eigen werk auditen.
Wat is een controle-audit?
De jaarlijkse externe audit tussen twee certificeringen in. Korter dan de initiële audit, maar met dezelfde consequentie: ernstige bevindingen kunnen het certificaat schorsen.