Direct antwoord
De initiële ISO-certificeringsaudit bestaat uit twee fasen: de stage 1-audit beoordeelt of het managementsysteem op papier compleet en de organisatie klaar is voor de echte toets (documentatie, scope, verplichte processen zoals interne audit en directiebeoordeling), typisch enkele weken vóór stage 2. De stage 2-audit toetst vervolgens op locatie of het systeem daadwerkelijk werkt: interviews, rondgang en bewijsvoering. Bij goed gevolg volgt het certificaat voor 3 jaar.
De weg naar een ISO-certificaat eindigt met een audit in twee bedrijven: eerst kijkt de auditor of het systeem er op papier staat (stage 1), daarna of het echt werkt (stage 2). Die tweetrap voorkomt dure verrassingen aan beide kanten.
Stage 1: de gereedheidstoets
De stage 1-audit (documentatie- of gereedheidsbeoordeling, vaak deels op afstand) beantwoordt de vraag: is deze organisatie klaar voor de echte toets? De auditor beoordeelt: de scope en context, het beleid en de risicoanalyse (voor 27001 inclusief de Verklaring van Toepasselijkheid), de verplichte gedocumenteerde informatie, en of de cyclus al draait: is er minimaal één interne audit en één directiebeoordeling geweest? Ook praktisch: de planning van stage 2 en welke mensen en locaties nodig zijn.
De uitkomst is een rapport met eventuele aandachtspunten die vóór stage 2 opgelost moeten zijn. Serieuze gaten (geen interne audit gehad, risicoanalyse ontbreekt) leiden tot het advies stage 2 uit te stellen.
Stage 2: de implementatietoets
De stage 2-audit is de echte certificeringsaudit, op locatie: de auditor toetst of het beschreven systeem in de praktijk werkt en effectief is. Dat gebeurt via interviews (directie, proceseigenaren, werkvloer), rondgang, en bewijsvoering per normeis: registraties, dossiers, systemen. De auditor volgt sporen door de organisatie: een order van intake tot levering, een incident van melding tot les, een medewerker van indiensttreding tot toegangsrechten.
De uitkomst: bevindingen (majors blokkeren het certificaat tot ze zijn opgelost, minors vragen corrigerende maatregelen) en bij positief resultaat de certificaataanbeveling, waarna het certificaat voor 3 jaar wordt afgegeven en de cyclus van jaarlijkse controle-audits start.
Zo bereid je je voor
Voor stage 1: de documentatie compleet en de cyclus aantoonbaar gedraaid (interne audit, directiebeoordeling, enkele maanden registraties). Voor stage 2: de organisatie geïnformeerd (wie kan wat verwachten), het bewijs vindbaar, en de bevindingen uit stage 1 en de eigen interne audit aantoonbaar opgepakt. Een proefaudit of goed uitgevoerde interne audit haalt de meeste verrassingen er vooraf uit.
Zo werkt dit in Control One
In de portal staat bij elk onderdeel uitleg in gewone taal, precies op het moment dat je het nodig hebt.
Veelgestelde vragen
Kun je zakken voor een stage 1-audit?
Stage 1 kent geen 'zakken' maar wel bevindingen ('areas of concern') die vóór stage 2 opgelost moeten zijn; bij grote gaten adviseert de auditor stage 2 uit te stellen. Dat is eerder een dienst dan een straf: het voorkomt een mislukte (en betaalde) stage 2.
Hoeveel tijd zit er tussen stage 1 en stage 2?
Gangbaar is 2 tot 8 weken: genoeg om stage 1-bevindingen op te lossen, kort genoeg om momentum te houden. De maximale termijn verschilt per certificerende instelling (vaak maximaal 6 maanden); daarna moet stage 1 opnieuw.