Veel organisaties bereiden zich op een audit voor alsof er een inspectie plaatsvindt. Dossiers worden aangevuld, documenten worden nog snel gemaakt of bijgewerkt, en medewerkers krijgen een briefing: dit kun je verwachten, dit kun je het best zeggen. Alles om ervoor te zorgen dat er geen afwijkingen zijn.
Die aanpak is begrijpelijk, maar gebaseerd op een misverstand. Auditoren zoeken namelijk niet naar perfectie. Ze zoeken naar vertrouwen in het managementsysteem.
De kernvraag achter elke audit
Achter elk auditgesprek, elke documentreview en elke rondgang schuilt dezelfde fundamentele vraag: kunnen we erop vertrouwen dat deze organisatie haar processen beheerst en blijft verbeteren?
Dat vertrouwen ontstaat niet door foutloze documenten of vlekkeloze antwoorden. Het ontstaat door samenhang: de logische verbinding tussen wat een organisatie zegt te doen (beleid), hoe ze het doet (processen), wat medewerkers in de praktijk doen (gedrag), en wat dat oplevert (resultaten).
Een auditor zoekt dus niet naar losse bewijsstukken, maar naar een verhaal dat klopt. Sluiten de doelstellingen aan bij de risico’s? Zijn de processen ingericht om die doelstellingen te bereiken? Weten medewerkers wat hun rol daarin is? En wordt er geleerd van wat niet goed gaat?
Documenten versus werkelijkheid
Documentatie is een belangrijk onderdeel van elk managementsysteem. Maar voor auditoren is documentatie een middel, geen doel. Het gaat er niet om dát er documenten zijn, maar om wat die documenten vertellen over hoe de organisatie werkt.
Daarbij weten auditoren uit ervaring: documenten lopen bijna altijd achter op de werkelijkheid. Een procedure die twee jaar geleden is geschreven, beschrijft zelden nog exact hoe het proces nu verloopt. Dat is op zichzelf niet erg, het wordt pas een probleem als de organisatie niet kan uitleggen hoe het dan wél werkt, of als er geen bewustzijn is dat de documentatie niet meer actueel is.
Concreet kijken auditoren naar zaken als:
- Welke interne afspraken zijn er en welke rollen zijn toebedeeld?
- Sluit de praktijk aan bij wat is beschreven? Worden afspraken daadwerkelijk nageleefd?
- Begrijpen medewerkers hun rol en verantwoordelijkheden: niet alleen op papier, maar in hun dagelijks werk?
- Is er een logisch verband tussen risico’s, doelstellingen, processen en verbeteracties?
Samenhang boven perfectie
Een goed managementsysteem is niet per se het meest uitgebreide of het best gedocumenteerde systeem. Het is het systeem dat het meest samenhangend is. Dat betekent: de onderdelen van het systeem versterken elkaar en vormen samen een logisch geheel.
Neem als voorbeeld een organisatie die informatiebeveiliging als strategisch risico heeft benoemd. Een auditor verwacht dan niet alleen een informatiebeveiligingsbeleid, maar ook dat de doelstellingen op dit vlak concreet en meetbaar zijn, dat er processen zijn ingericht om die doelstellingen te bereiken, dat medewerkers weten hoe zij bijdragen aan informatiebeveiliging, en dat er wordt gemonitord of de maatregelen effectief zijn.
Die samenhang hoeft niet perfect te zijn. Maar de rode draad moet zichtbaar zijn. Een organisatie die kan uitleggen wáárom bepaalde keuzes zijn gemaakt , ook als die keuzes niet ideaal zijn, wekt meer vertrouwen dan een organisatie met een dik handboek waarin alles keurig staat beschreven, maar waarvan niemand precies weet hoe het in de praktijk werkt.
Waarom afwijkingen geen probleem zijn
Een punt dat niet vaak genoeg gemaakt kan worden: afwijkingen zijn geen falen. Ze zijn signalen van een werkend systeem. Een organisatie die afwijkingen constateert , intern of extern, laat zien dat er kritisch wordt gekeken naar de eigen processen.
Organisaties die in audit na audit geen enkele afwijking hebben, roepen bij auditoren juist vragen op. Is het interne toezicht scherp genoeg? Wordt er werkelijk kritisch gekeken? Of is er een cultuur ontstaan waarin problemen niet worden benoemd?
Organisaties die open zijn over wat goed gaat én wat beter kan, ervaren audits als waardevoller. Ze krijgen relevantere feedback, scherpere observaties en bruikbaardere verbeterpunten. Niet omdat de auditor soepeler is, maar omdat openheid het gesprek verrijkt.
Wat betekent dit voor de voorbereiding op de audit?
De beste voorbereiding op een audit is niet het perfectioneren van dossiers. Het is ervoor zorgen dat de mensen die in de audit aan tafel zitten, hun eigen werk kennen en kunnen uitleggen. Niet vanuit een script, maar vanuit hun eigen ervaring en kennis.
Concreet betekent dat:
- Informeer medewerkers over welk onderwerp met hen wordt besproken, zodat ze kunnen nadenken over wat ze daarover kunnen vertellen.
- Stimuleer eerlijkheid: het is beter om te zeggen “hier lopen we tegenaan” dan om een probleem te verhullen.
- Zorg dat je zelf als organisatie weet waar je staat, niet alleen op papier, maar in de praktijk. Wat gaat goed? Waar zijn verbeterpunten? Wat is er gedaan met eerdere bevindingen?
- Laat ontwikkeling zien: auditoren waarderen het als organisaties kunnen laten zien hoe ze zich hebben verbeterd ten opzichte van de vorige audit.
Tot slot
Auditoren zoeken geen perfectie. Ze zoeken naar organisaties die hun processen begrijpen, die kritisch naar zichzelf kijken en die bereid zijn om te leren en te verbeteren. Dat vraagt geen vlekkeloze systemen, maar wel eerlijke systemen. Systemen waarin de samenhang klopt, waarin mensen hun rol kennen, en waarin er ruimte is om fouten te benoemen en ervan te leren.
Organisaties die vanuit die houding een audit ingaan, halen er het meeste uit. Niet alleen een certificaat, maar ook concrete inzichten die het managementsysteem — en daarmee de organisatie — sterker maken.
