De opkomst van audits op afstand
Sinds de wereldwijde verschuiving naar hybride werken hebben audits op afstand een vaste plek verworven in het certificeringsproces. Wat begon als noodmaatregel tijdens de COVID-19-pandemie is uitgegroeid tot een gestructureerde, door accreditatie-instanties erkende auditmethode. Certificeringsinstanties wereldwijd voeren inmiddels een aanzienlijk deel van hun audits geheel of gedeeltelijk op afstand uit.
Voor organisaties biedt dit voordelen: lagere reiskosten, flexibelere planning en de mogelijkheid om auditors met specifieke expertise in te zetten, ongeacht hun locatie. Tegelijkertijd vereist een remote audit een andere voorbereiding dan een traditionele audit op locatie.
IAF MD 4 — Het kader voor remote audits
Het International Accreditation Forum (IAF) heeft met IAF MD 4 (Mandatory Document 4) een bindend kader opgesteld voor het gebruik van informatie- en communicatietechnologie (ICT) bij auditactiviteiten. Dit document definieert wanneer remote audittechnieken mogen worden ingezet en onder welke voorwaarden.
IAF MD 4 bepaalt dat de certificeringsinstantie per audit moet beoordelen of remote technieken haalbaar en effectief zijn, rekening houdend met risiconiveau, complexiteit van de organisatie en de beschikbare technologie.
Belangrijke principes uit IAF MD 4:
- Risicobeoordeling: De certificeringsinstantie moet vooraf een risicobeoordeling uitvoeren om te bepalen of remote audittechnieken geschikt zijn voor de specifieke scope en locatie.
- Equivalentie: De resultaten van een remote audit moeten gelijkwaardig zijn aan die van een on-site audit. De auditor moet in staat zijn om voldoende objectief bewijs te verzamelen.
- Vertrouwelijkheid en beveiliging: Alle gedeelde informatie moet worden beschermd via beveiligde verbindingen en versleutelde platforms.
- Toestemming: De geauditeerde organisatie moet instemmen met het gebruik van remote technieken.
Documentatie voorbereiden voor een remote audit
Documentatievoorbereiding is bij remote audits nog belangrijker dan bij audits op locatie. De auditor kan niet fysiek door uw kantoor lopen om documenten in te zien of processen te observeren. Zorg daarom voor het volgende:
- Digitaal documentbeheersysteem: Alle relevante documenten — beleid, procedures, registraties, logboeken — moeten digitaal beschikbaar en goed georganiseerd zijn. Gebruik een gestructureerde mappenstructuur die de normclausules weerspiegelt.
- Versiebeheer: Zorg dat alle documenten actueel zijn en dat het versiebeheer op orde is. Verouderde documenten leiden tot non-conformiteiten.
- Bewijsmateriaal: Bereid screenshots, logbestanden, foto's en video's voor van fysieke processen die niet live gedemonstreerd kunnen worden.
- Toegang verlenen: Richt tijdelijke, beveiligde toegang in tot uw documentbeheersysteem zodat de auditor zelfstandig documenten kan raadplegen.
Technologievereisten
Een succesvolle remote audit staat of valt met betrouwbare technologie. IAF MD 4 stelt geen specifiek platform voor, maar de volgende eisen zijn in de praktijk essentieel:
| Component | Vereiste | Aanbeveling |
|---|---|---|
| Internetverbinding | Stabiel, minimaal 10 Mbps upload/download | Bekabelde verbinding als back-up voor Wi-Fi |
| Videoconferentie | HD-video, schermdeling, opnamemogelijkheid | MS Teams, Zoom of Google Meet met enterprise-licentie |
| Documentdeling | Beveiligde toegang met rechtenbeheer | SharePoint, Google Workspace of een dedicated DMS |
| Back-upkanaal | Alternatief communicatiekanaal bij storing | Telefonische verbinding of secondair platform |
| Beveiliging | End-to-end versleuteling, MFA | VPN-toegang voor externe auditors bij gevoelige data |
Veelvoorkomende valkuilen
Organisaties die voor het eerst een remote audit ondergaan, maken vaak dezelfde fouten. Door deze valkuilen te kennen, kunt u ze vermijden:
- Onvoldoende testrun: Test de volledige technische opstelling minimaal één week voor de audit. Controleer audio, video, schermdeling en documenttoegang met alle betrokken partijen.
- Te veel deelnemers: Beperk het aantal deelnemers per sessie. Te veel mensen in een videovergadering leiden tot verwarring en vertragingen.
- Geen vaste contactpersoon: Wijs een auditcoördinator aan die als vast aanspreekpunt fungeert voor de auditor en technische problemen direct kan oplossen.
- Fysieke processen negeren: Sommige processen vereisen fysieke verificatie. Bereid live video-walkthroughs voor of lever vooraf opgenomen beeldmateriaal aan.
- Tijdzoneproblemen: Bij internationale audits kunnen tijdsverschillen de planning bemoeilijken. Spreek werkbare tijdblokken af die voor beide partijen acceptabel zijn.
De hybride audit — het beste van twee werelden
In de praktijk kiezen steeds meer organisaties voor een hybride auditaanpak: een combinatie van remote sessies en on-site verificatie. Dit model biedt de efficiëntie van een remote audit met de diepgang van fysieke inspectie.
Een typische hybride audit verloopt als volgt:
- Fase 1 — Remote: Documentatiebeoordeling, interviews met management, beoordeling van beleid en procedures, en verificatie van registraties via schermdeling.
- Fase 2 — On-site: Fysieke inspectie van faciliteiten, observatie van operationele processen, steekproefcontroles en verificatie van fysieke beveiligingsmaatregelen.
IAF MD 4 ondersteunt deze aanpak expliciet, mits de certificeringsinstantie in haar auditplan duidelijk vastlegt welke activiteiten remote en welke on-site worden uitgevoerd.
Tips voor de auditdag
Op de dag van de audit zelf kunt u met een aantal praktische maatregelen het verschil maken:
- Stille, professionele ruimte: Zorg dat alle deelnemers vanuit een rustige omgeving deelnemen met goede verlichting en een professionele achtergrond.
- Documenten klaarleggen: Houd alle benodigde documenten geopend in tabbladen of mappen, zodat u snel kunt schakelen wanneer de auditor om bewijs vraagt.
- Notulen bijhouden: Wijs iemand aan om de sessie te notuleren. Dit helpt bij het opvolgen van bevindingen en het voorbereiden van corrigerende maatregelen.
- Pauzes respecteren: Remote audits zijn vermoeiend. Plan pauzes van 10–15 minuten per anderhalf uur in om de concentratie te behouden.
- Wees transparant: Als iets niet beschikbaar is of een proces niet live gedemonstreerd kan worden, communiceer dit proactief. Auditors waarderen eerlijkheid en een constructieve houding.
Het remote auditproces van BALTUM
BALTUM heeft een gestructureerd remote auditproces ontwikkeld dat volledig in lijn is met IAF MD 4 en de richtlijnen van nationale accreditatie-instanties. Ons proces omvat:
- Pre-audit technische check: Twee weken voor de audit voeren we een volledige technische test uit met uw team om verbindingen, platforms en documenttoegang te verifiëren.
- Gestructureerd auditplan: We stellen een gedetailleerd auditplan op waarin per sessie de te beoordelen clausules, benodigde documenten en betrokken personen zijn vastgelegd.
- Beveiligd auditportaal: Onze auditors werken via een beveiligd platform met end-to-end versleuteling voor het delen en beoordelen van vertrouwelijke documentatie.
- Hybride flexibiliteit: Waar fysieke verificatie noodzakelijk is, plannen we gerichte on-site bezoeken in combinatie met remote sessies.
- Rapportage binnen 5 werkdagen: Na afloop van de audit ontvangt u een volledig auditrapport met bevindingen, observaties en eventuele corrigerende maatregelen.
Wilt u meer weten over hoe BALTUM uw organisatie kan ondersteunen bij een remote of hybride certificeringsaudit? Neem contact op voor een vrijblijvend gesprek.