Het opstellen van een effectieve auditplanning binnen ISO‑managementsystemen is voor veel organisaties een uitdaging. Normen zoals ISO 15189 en ISO 17025 vragen om een planning die rekening houdt met het belang van processen en de risico’s die daaraan verbonden zijn. Een goed opgebouwde planning zorgt ervoor dat tijd en energie worden besteed aan de onderwerpen die er echt toe doen, terwijl minder kritische processen minder vaak geaudit hoeven te worden. 

In deze blog beschrijven we een praktische methode om tot een risicogebaseerde auditplanning te komen. Deze aanpak maakt gebruik van een meerjarenplanning, maar vormt slechts één van de mogelijke manieren. Elke organisatie moet een methode kiezen die past bij de eigen structuur en werkwijze. 

Stap 1: Breng alle processen in kaart 

Een auditplanning moet alle onderdelen van het managementsysteem binnen een bepaalde periode afdekken. Een logische leidraad is de accreditatiecyclus: vier jaar in Nederland en vijf jaar in België. Om te bepalen welke onderwerpen in de planning moeten worden opgenomen, is het noodzakelijk om eerst de processen van het managementsysteem te identificeren. 

De norm kan hierbij richting geven, maar kijk vooral naar de praktijk binnen de organisatie. Een proces dat in de norm als één geheel wordt beschreven, kan in werkelijkheid bestaan uit meerdere deelprocessen die elk groot genoeg zijn voor een afzonderlijke audit. 

Schrijf alle processen uit en bepaal vervolgens op welk niveau audits zullen plaatsvinden. Dit kan op detailniveau, zoals het proces afwijkingen, of op een hoger niveau, zoals het overkoepelende proces verbetering waarin afwijkingen, klachten en continue verbetering samenkomen. 

Stap 2: Bepaal de risico’s van de processen 

Bij risicogerichte auditplanning draait het om het bepalen van de juiste frequentie. Processen met een hoog risico worden jaarlijks geaudit, terwijl minder kritische onderwerpen eens per paar jaar aan bod komen. Zorg er wel voor dat alle processen periodiek worden beoordeeld, zodat mogelijke tekortkomingen niet onopgemerkt blijven. 

Een risico-inschatting kan worden gemaakt op basis van meldingen uit het managementsysteem. Denk aan non-conformiteiten, klachten, interne auditbevindingen en externe auditbevindingen. Verzamel gegevens over de afgelopen één tot vier jaar en tel het aantal meldingen per proces of auditonderwerp. Vaak worden patronen zichtbaar waarbij bepaalde processen structureel meer meldingen hebben dan andere. 

Op basis hiervan kan een score worden toegekend: veel meldingen betekent een hogere risicoscore, weinig meldingen een lagere. Organisaties kunnen ervoor kiezen om alle meldingen samen te nemen of juist te differentiëren naar type melding. 

Naast deze data speelt professioneel inzicht een belangrijke rol. Sommige processen leveren weinig meldingen op, maar zijn wel kritisch voor de organisatie. Denk aan veiligheidsmiddelen of essentiële apparatuur. Voor deze processen kan gekozen worden om deze jaarlijks te auditen ondanks een lage meldingsfrequentie. 

Wanneer alle scores zijn vastgesteld, kan een gemiddelde risicoscore worden berekend. Processen met een hoge score worden jaarlijks ingepland, processen met een lage score minder frequent. Op basis hiervan kan een meerjarenplanning worden opgesteld, bij voorkeur in een overzichtelijke tabel. Vanuit deze meerjarenplanning volgt vervolgens de jaarplanning, waarin details worden vastgelegd zoals auditoren, aandachtspunten en relevante documentatie. 

Stap 3: Gebruik risico-inventarisaties voor auditfocus 

In deze methode worden risico-inventarisaties zoals FMEA, SAFER of PRI niet gebruikt om de auditfrequentie te bepalen. Ze kunnen echter uitstekend dienen als bron voor aandachtspunten binnen audits. 

Hoog risico’s uit deze inventarisaties kunnen worden meegegeven aan auditoren, zodat zij gericht controleren op kritische onderdelen. Denk aan het correct identificeren van inkomende monsters of het naleven van veiligheidsprocedures. Op deze manier worden audits inhoudelijk sterker en sluiten ze beter aan op de risico’s binnen de organisatie. 

Stap 4: Evalueer de planning jaarlijks 

Een meerjarenplanning is geen document dat na opstellen jarenlang onaangeroerd kan blijven. Het is verstandig om de planning jaarlijks te evalueren en opnieuw te kijken naar de risicoscores. Binnen een jaar kan veel veranderen. 

Een incident kan de prioriteiten verschuiven, een verbouwing of verhuizing kan nieuwe risico’s introduceren en de aanschaf van nieuwe apparatuur kan aanleiding zijn om bepaalde processen eerder of vaker te auditen. Door jaarlijks te evalueren blijft de auditplanning actueel en relevant. 

Extra tips voor een robuuste auditplanning 

Naast de stappen voor het opstellen van een risicogerichte auditplanning zijn er enkele aanvullende maatregelen die de effectiviteit van het auditsysteem verder kunnen versterken. 

• Het kan waardevol zijn om elk jaar één audit in te plannen zonder vooraf bepaald thema. Deze zogenoemde veegaudit biedt flexibiliteit binnen de planning. Ze kan worden ingezet wanneer zich onverwachte situaties voordoen die een audit noodzakelijk maken, zoals een incident of een plotseling risico. Daarnaast is dit type audit geschikt om onderwerpen op te pakken die in eerdere audits niet aan bod zijn gekomen, maar wel kritisch zijn om alsnog te beoordelen. Zo blijft het auditsysteem wendbaar en volledig. 

• Bij het opstellen van de auditplanning ligt de focus vaak op processen en risico’s. Toch is het belangrijk om ook de normparagrafen en de scope van de accreditatie-instantie mee te nemen. Wanneer alle processen zorgvuldig zijn beschreven, komen de norm- en scope-eisen in principe vanzelf aan bod. 

 Toch is het aan te raden om per auditonderwerp expliciet vast te leggen welke normparagrafen en scope-elementen worden getoetst. Dit verhoogt de aantoonbaarheid richting accreditatie-instanties en maakt het eenvoudiger om te controleren of alle vereisten systematisch worden afgedekt. 

Hulp nodig bij audits? 

Kerteza ondersteunt organisaties bij het opzetten, uitvoeren en verbeteren van hun auditsystemen. Wij kunnen onder andere helpen met: 

• Het opzetten of aanscherpen van een auditplanning 

• Het uitvoeren van (een deel van) de interne audits 

• Het trainen van nieuwe en ervaren auditoren in theorie en praktische vaardigheden 

Voor meer informatie of een vrijblijvend gesprek kunt u contact opnemen via: secretariaat@kerteza.com