Hoe maak je een intern auditprogramma voor ISO 9001?

Jan Willem de Boer

Redacteur ISO & Kwaliteitsmanagement

Een intern auditprogramma voor ISO 9001 bouw je in vier stappen: je bepaalt de risico’s, plant de audits, voert ze uit en rapporteert de acties. Houd het simpel, vastleggen wat je doet en doen wat je vastlegt. De rest is ballast.

Waarom je een auditprogramma nodig hebt (en wat het echt is)

ISO 9001 eist van jou dat je interne audits uitvoert (hoofdstuk 9.2). Een auditprogramma is je jaarplanning plus de werkwijze erachter. Het is geen formaliteit; het is je vroeg waarschuwingssysteem. Je zoekt niet naar fouten om collega’s af te vallen, je zoekt naar gaten in je proces voordat de klant ze vindt.

Denk aan het programma als een routekaart: wie audit wat, wanneer, op basis van welke criteria, en wat gebeurt er met de bevindingen? Zonder plan loop je achter feiten aan en ontstaat er willekeur. Met een plan werk je doelgericht en toon je aan dat je je kwaliteitsmanagementsysteem (KMS) beheerst.

Wat telt als bewijs

De norm wil resultaat. Je moet laten zien dat je:

• Een programma opstelt en beheert.
• Auditcriteria en -methoden definieert.
• Auditors onafhankelijk laten auditen.
• Resultaten rapporteert en acties volgt.

Hou die vier eisen scherp in het vizier; de rest is invulwerk.

Stap 1: Richt je programma in (de basisstructuur)

Start met een eenvoudig sjabloon. Je hebt geen dure software nodig; een Excel-sheet of SharePoint-overzicht werkt prima. Leg de volgende elementen vast:

1. Doel en scope: wat wil je weten? Bijvoorbeeld: “Klopt de orderacceptatie bij klant X?” of “Is het nieuwe leveranciersproces stabiel?”
2. Frequentie: bedrijfsprocessen minimaal een keer per jaar. Risicovolle of snel veranderende processen vaker (elk kwartaal). Nieuwe processen direct na implementatie.
3. Auditcriteria: haak aan bij je eigen procedures, werk instructies en de ISO 9001-eisen. Geen criteria = geen audit.
4. Auditors: kies collega’s die niet hun eigen werk auditen. Onafhankelijkheid is geen tip, het is een eis. Als je kleine teams hebt, laat dan collega’s uit andere afdelingen auditen of schakel externe hulp in.
5. Methoden: interviews, documentcontrole, observatie. Soms meten (bijv. steekproeven in orderverwerking).
6. Rapportage: wie krijgt het rapport, binnen welke termijn?
7. Opvolging: hoe volg je acties op? Wie is verantwoordelijk?

Bewaar dit als je auditprogramma-beleid. Jaarlijks evalueer je het programma en pas je het aan op basis van risico’s en lessen uit voorgaande audits.

Risicogestuurd plannen

ISO 9001 wil dat je werkt vanuit risico’s. Dat betekent niet alles even vaak audit. Focus op:

• Processen met veel klantklachten of fouten.
• Nieuwe of gewijzigde processen.
• Processen met externe leveranciers of derden.
• Knelpunten bij interne afstemming (bijv. tussen sales en productie).

Zet deze processen vaker op de planning. De rest volgt wel.

Stap 2: Maak een concrete auditplanning per audit

Voor elke audit maak je een aparte plan. Houd het klein en uitvoerbaar. Gebruik een checklist van een halve A4 als startpunt.

Wat er in je plan staat:

• Wat: procesnaam en scope (wat zit er wél en niet in).
• Wie: auditor(s) en geauditte afdeling.
• Wanneer: datum en duur.
• Criteria: welke procedure, welke ISO-eis, welke wet- en regelgeving?
• Methoden: welke steekproef, welke vragen, welke data bekijk je?
• Voorbereiding: documenten die je vooraf leest (klantklachten, KPI’s, procesbeschrijving).

Voorbeeldje: Audit “Orderacceptatie”. Doel: controleren of orders correct worden beoordeeld op leverbaarheid en prijs. Criteria: procedure Orderacceptatie, ISO 9001:8.2.2. Methode: volg 5 orders van offerte tot orderbevestiging; interview medewerker sales; check of klanteisen zijn vastgelegd.

De openingsmeeting: kort en krachtig

Een audit start je met een korte afstemming: wat gaan we doen, welke scope, hoe lang duurt het, en wie is het aanspreekpunt. Houd dit zakelijk en binnen 10 minuten. Wees duidelijk over wat je wel en niet gaat bekijken. Voorkom verrassingen.

Stap 3: Uitvoeren, vastleggen en beoordelen

Tijdens de audit volg je het proces en kijk je of het klopt. Geen theorie, maar praktijk. Vraag door, kijk in het systeem, observeer. Zoek naar afwijkingen ten opzichte van je criteria.

Wat je vastlegt:

• Bevindingen: positief en negatief. Positief laat zien wat goed gaat; negatief is een kans tot verbeteren.
• Feiten: geen meningen. Schrijf: “Order 12345 is niet beoordeeld op levertijd,” niet: “Medewerker is onzorgvuldig.”
• Bewijs: noem het document, het record, de datum, de persoon.

Na de audit beoordeel je wat een afwijking is. Er zijn drie smaken:

1. Afwijking (non-conformity): er is een eis geschonden en het systeem faalt. Bijvoorbeeld: er is geen klanttevredenheidsonderzoek gedaan, terwijl dat wel moet volgens je eigen plan.
2. Verbeterpunt (opportunity for improvement): het kan beter, maar het is geen overtreding. Bijvoorbeeld: je documentbeheer is netjes, maar je zou het makkelijker kunnen maken door te digitaliseren.
3. Goed punt: iets wat uitstekend gaat; dat motiveert en mag gezien worden.

Vermijd discussie over semantiek. Een afwijking is een gat in je proces dat actie vraagt. De rest is suggestie.

Wat als er iets misgaat?

Een auditor is geen politieagent. Gaat het mis tijdens de audit (tijdgebrek, weigering van informatie), leg het vast en escaleer naar het management. De norm vraagt om onafhankelijkheid en ondersteuning. Zonder die steun verliest je audit zijn waarde.

Stap 4: Rapporteren, corrigerende maatregelen en opvolging

Je rapport moet leesbaar zijn voor een collega die er niet bij was. Houd het kort: doel, scope, methoden, bevindingen, conclusie. Vermijd jargon waar het niet nodig is.

Elke negatieve bevinding leidt tot:

• Correctieve actie: wat doe je om het probleem nu te herstellen?
• Oorzaakanalyse: waarom ging het mis? Voorkom dat het terugkomt.
• Preventieve actie: wat zet je in om het in de toekomst te voorkomen?
• Verantwoordelijke en deadline: wie en wanneer?

De auditor mag niet zelf de actie bedenken. De proceseigenaar doet dat. De auditor controleert later of het is uitgevoerd en effectief is.

Sluit de cyclus af met een evaluatie van het programma. Welke processen leverden de meeste bevindingen op? Is je frequentie nog logisch? Pas je volgend programma daarop aan.

Veelgemaakte fouten (en hoe je ze voorkomt)

• Alleen documenten checken en niet de praktijk. Doe beide.
• Audits die te laat komen waardoor je haastwerk levert. Plan ruim van tevoren.
• Auditors die hun eigen werk auditen. Regel spiegeling of externe hulp.
• Vage conclusies. Wees concreet: wat, waar, waarom, wie, wanneer.
• Geen opvolging. Als acties niet gebeuren, is je audit dode letter.

Een audit is pas af als de actie is gecontroleerd. Anders ben je gewoon een verslag aan het schrijven.

Praktische tip

Begin klein: pak één risicovol proces en plan een audit van een ochtend. Maak een checklist van maximaal 10 vragen, volg twee concrete orders of drie klantmeldingen, en sluit af met een eenpagers rapport plus twee acties. Zo bouw je routine en bewijs je meteen resultaat. De rest volgt vanzelf.