Direct antwoord
Clausule 10 van ISO 27001 bevat twee eisen: verbeter het ISMS continu (10.1) en handel afwijkingen af met een sluitend proces (10.2): reageren, corrigeren, de oorzaak analyseren, corrigerende maatregelen nemen en de effectiviteit controleren. Van elke afwijking en elke maatregel moet gedocumenteerd bewijs bestaan.
Clausule 10 van ISO 27001, “Verbetering”, sluit de PDCA-cyclus: het ISMS moet aantoonbaar leren van wat misgaat en zichzelf continu verbeteren. De clausule is kort, maar de auditor besteedt er veel aandacht aan omdat een werkend verbeterproces het beste bewijs is van een levend systeem.
10.1: Continue verbetering
De organisatie moet de geschiktheid, toereikendheid en effectiviteit van het ISMS continu verbeteren. De bronnen daarvoor komen uit clausule 9: meetresultaten, auditbevindingen en de besluiten uit de directiebeoordeling. Verbetering hoeft niet groots te zijn; een gestage stroom kleine verbeteringen bewijst meer dan één jaarlijkse grote schoonmaak.
10.2: Afwijkingen en corrigerende maatregelen
Voor elke afwijking (het niet voldoen aan een eis) geldt een vast proces:
- Reageer: beheers de afwijking en de gevolgen.
- Corrigeer: los het directe probleem op.
- Analyseer de oorzaak: waarom kon dit gebeuren, en bestaat het risico elders ook?
- Neem corrigerende maatregelen: neem de oorzaak structureel weg, in verhouding tot de ernst.
- Controleer de effectiviteit: werkt de maatregel, of komt de afwijking terug?
Van elke afwijking en elke maatregel bewaar je gedocumenteerd bewijs: wat er gebeurde, wat eraan gedaan is en wat het resultaat was.
Waar let de auditor op?
Een gevuld en levend afwijkingenregister. Nul geregistreerde afwijkingen is voor een auditor geen teken van perfectie maar van een verbeterproces dat niet gebruikt wordt. Verder toetst de auditor de diepgang van oorzaaksanalyses (“menselijke fout” als eindconclusie is onvoldoende) en of maatregelen daadwerkelijk zijn afgerond met een effectiviteitscheck. Een register met openstaande acties zonder eigenaar of deadline is de klassieke bevinding.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Wat is het verschil tussen 10.1 en 10.2?
10.1 gaat over continue verbetering in brede zin: het ISMS steeds geschikter en effectiever maken. 10.2 is het concrete proces voor afwijkingen: wat doe je als iets niet aan een eis voldoet.
Waar komen afwijkingen vandaan in een ISMS?
Uit interne en externe audits, incidenten en datalekken, klachten, leveranciersproblemen, monitoring (zoals gefaalde back-uptests) en eigen constateringen van medewerkers.