Audits kunnen veel tijd kosten, vooral als je organisatie aan meerdere normen moet voldoen, zoals ISO 9001 (kwaliteitsmanagement) en ISO 27001 (informatiebeveiliging). Dubbele gesprekken en vragenlijsten zijn niet bepaald aantrekkelijk, dus veel bedrijven proberen audits te combineren. Maar hoe effectief is dat eigenlijk, en waar moet je op letten?
Gecombineerde audits: Tijdsbesparing met kanttekeningen
Het idee van een gecombineerde audit is dat je tijdens één audit meerdere normen laat beoordelen. Dit kan tijd schelen, vooral als er overlap is in processen zoals risicomanagement of directiebeoordeling. Bijvoorbeeld, ISO 9001 en ISO 27001 kunnen in één audit worden meegenomen.
In de praktijk blijkt de tijdsbesparing soms minder groot dan gedacht. Elke norm heeft zijn eigen eisen, en de auditor moet voor beide normen voldoende tijd inplannen. Geaccrediteerde certificatie-instellingen volgen strikte richtlijnen, zoals ISO/IEC 17021 (en de relevante Mandatory Documents, zoals MD5) en ISO/IEC 27006. Deze geven aan hoeveel tijd per norm nodig is, afhankelijk van de grootte en complexiteit van je organisatie.
Hoewel gezamenlijke gesprekken en gedeelde processen wat tijd kunnen besparen, moeten de minimale audituren per norm worden gerespecteerd. Bij andere schema’s met sterk verschillende elementen, zoals ISO 14001 (milieumanagement) en ISO 45001 (arbeidsomstandigheden), neemt de efficiëntie verder af. Daarnaast kan de interne organisatiecomplexiteit toenemen doordat per norm andere mensen betrokken zijn.
Geïntegreerde audits: Alleen als de systemen echt samenwerken
Geïntegreerde audits gaan verder dan gecombineerde audits door systemen zoals ISO 9001 en ISO 27001 als één geïntegreerd geheel te beoordelen. Dit kan alleen als deze systemen echt verweven zijn in je organisatie, zoals wanneer processen voor productkwaliteit en informatiebeveiliging gezamenlijk beheerd worden. In de praktijk komt dit minder vaak voor, vooral bij normen met uiteenlopende doelen.
Hoe werkt een gecombineerde audit?
Bij een gecombineerde audit kun je bepaalde onderdelen samenvoegen om het proces te stroomlijnen:
- Opening en sluiting: Je kunt een gecombineerde openings- en sluitingsvergadering houden, waarbij het managementteam samenkomt om de basis voor beide normen te bespreken.
- Managementgesprek: Onderwerpen zoals risicomanagement en directiebeoordeling gelden vaak voor beide normen en kunnen in één gesprek behandeld worden.
- Locaties en afdelingen: Gemeenschappelijke processen op verschillende locaties of afdelingen kunnen gezamenlijk gecontroleerd worden. Daarna splitsen de auditors zich op om per norm dieper in te gaan op de specifieke eisen.
Ondanks de gezamenlijke onderdelen blijft het belangrijk dat de auditor voor elke norm voldoende tijd besteedt aan de specifieke onderdelen.
Voordelen en nadelen van gecombineerde audits
Gecombineerde audits kunnen tijd besparen, vooral bij gezamenlijke onderdelen, maar dit werkt niet altijd optimaal. Bij sterk verschillende normen, zoals ISO 14001 en ISO 45001, nemen de voordelen af. Daarnaast kan het plannen en begeleiden van een gecombineerde audit complexer zijn, omdat je met verschillende mensen werkt per norm.
Een alternatief is om audits gescheiden uit te voeren per norm, wat voordelen kan bieden zoals meer focus en rust in de planning.
Conclusie
Gecombineerde audits kunnen tijd besparen, maar de winst is soms kleiner dan verwacht. Elke norm vereist zijn eigen aandacht, en geaccrediteerde certificatie-instellingen moeten voldoen aan de eisen van ISO/IEC 17021 (en Mandatory documenten) en ISO/IEC 27006, wat betekent dat de auditduur per norm behouden moet blijven. De besparing zit vooral in gezamenlijke onderdelen, maar specifieke eisen moeten apart beoordeeld worden.
Geïntegreerde audits zijn alleen zinvol als de systemen echt samenwerken, wat vaak niet het geval is bij ISO 9001 en ISO 27001.
Wil je je audits combineren? Zorg dat je weet wat je kunt verwachten. Een gecombineerde audit kan voordelen bieden, maar soms is het gescheiden uitvoeren juist effectiever, met meer focus en minder planningsdruk op je organisatie.