Competenties van interne auditors volgens ISO 19011:2026 – het team beoordelen en opleidingen plannen

De beoordeling van de competenties van een interne auditor hoort niet te beginnen met de vraag welke opleiding iemand heeft gevolgd. De relevante vraag is hoe betrouwbaar de conclusies zijn waarop de organisatie haar besluiten wil baseren. Als een audit de werkelijke effectiviteit van procesbeheersing moet bevestigen, moet het auditteam risico’s herkennen, auditbewijs beoordelen en papieren conformiteit onderscheiden van de feitelijke werking van een proces. Anders wordt de audit een formaliteit die documenten ordent, maar niet beschermt tegen een onjuiste beoordeling van de gereedheid, zwakke corrigerende maatregelen of een vals gevoel van beheersing.

Voor directieleden, kwaliteitsmanagers en operationeel verantwoordelijken is dit geen louter personele kwestie of uitsluitend een systeemeis. Het raakt rechtstreeks aan de beheersing van operationele risico’s, de betrouwbaarheid van managementinformatie en de kwaliteit van besluiten na een audit. Daarom moeten de beoordeling van het team en het opleidingsplan worden ontworpen vanuit processen, risico’s en auditdoelstellingen, en niet vanuit een opleidingskalender of de wens om een implementatiefase formeel af te ronden.

Een inhoudelijk zwakke audit kost meer dan geen audit

De grootste kosten van een zwakke interne audit ontstaan niet op de auditdag of bij het opstellen van het rapport. Ze worden later zichtbaar, wanneer de organisatie handelt op basis van een beeld dat betrouwbaar lijkt, maar de werkelijke toestand van het proces niet weergeeft. Het gevolg: verkeerd gestelde prioriteiten, gemiste afwijkingen, ineffectieve corrigerende maatregelen en de overtuiging dat een proces wordt beheerst terwijl dat in de praktijk niet zo is.

Het beoordelen van auditorcompetenties is daarom geen administratieve formaliteit. Het is een manier om vast te stellen of de organisatie beschikt over een team dat betrouwbaar kan beoordelen wat werkelijk relevant is voor procesprestaties, conformiteit en de klant. Veel organisaties gebruiken nog steeds indirecte maatstaven: deelname aan een cursus, aantal dienstjaren, aantal uitgevoerde audits of het correct invullen van een checklist. Elk van deze criteria kan ondersteunend zijn, maar geen ervan toont op zichzelf aan dat een auditor het proces begrijpt, risico’s kan herkennen en conclusies op objectief bewijs kan baseren.

Dit probleem is vooral zichtbaar bij organisaties die een managementsysteem implementeren of zich voorbereiden op certificatie. Daar wordt de interne audit regelmatig behandeld als een projectstap die moet worden afgevinkt, in plaats van als een instrument om de werkelijke auditgereedheid te beoordelen. Het team bevestigt dan dat de documentatie klopt, maar signaleert geen zwakke plekken in de procesbeheersing, verschillen tussen vestigingen, ineffectieve beheersmaatregelen of hiaten in de uitvoering door medewerkers en proceseigenaren. Zo’n audit kan er professioneel uitzien en toch niet waarschuwen voor problemen die pas tijdens een externe audit, een klantklacht of een operationele verstoring zichtbaar worden.

Daarom verdient de beoordeling van auditorcompetenties evenveel aandacht als het auditprogramma zelf. De beoordeling moet aansluiten op het auditdoel, de complexiteit van de processen, het risicoprofiel en de vereiste kwaliteit van de conclusies. In dat verband zijn zowel het artikel ‘Wijzigingen in de auditstandaard – de nieuwe ISO 19011:2026 en de betekenis ervan voor organisaties in Polen’ als de toelichting ISO 19011: richtlijnen voor het auditen van managementsystemen relevant — niet als verzameling formele aanwijzingen, maar als referentiekader voor volwassen governance en toezicht.

Eerst het risicoprofiel, daarna het auditorprofiel

De vereiste competenties van een interne auditor kunnen niet los worden gezien van de processen die worden onderzocht. Het risicoprofiel van de organisatie hoort het vertrekpunt te zijn. Een eenvoudige documentstroom stelt andere eisen aan een audit dan productie, kritieke inkoop, lassen, onderhoud of gezond en veilig werken. Als het doel is om de effectiviteit van procesbeheersing te beoordelen — en niet alleen de conformiteit van registraties — moet het auditorprofiel zijn afgeleid van het proceskarakter, de operationele variatie, de gevolgen van fouten en de managementbesluiten die op de auditbevindingen zullen worden gebaseerd.

In de praktijk betekent dit dat één universeel opleidingsprofiel niet volstaat. Het auditteam moet worden samengesteld op basis van de werkelijke behoeften van de organisatie, niet vanuit de aanname dat iedere auditor alles moet kunnen auditen. De beoordeling hoort minimaal vier dimensies te omvatten: kennis van de auditcriteria, inzicht in het proces, het vermogen om auditbewijs te verzamelen en te beoordelen, en professioneel auditgedrag. Daaronder vallen onpartijdigheid, discipline in de oordeelsvorming en weerbaarheid tegen sturing door de proceseigenaar.

Een veelgemaakte fout in Poolse ondernemingen is dat het team uitsluitend bestaat uit medewerkers die ‘het systeem kennen’. Zij kunnen doorgaans goed overweg met procedures, formulieren en documentatie-eisen, maar zijn niet altijd in staat om vast te stellen of de beheersing ook onder reële bedrijfsomstandigheden werkt. De audit bevestigt dan dat registraties aanwezig zijn, maar ontdekt geen zwakke beheerspunten, verschillen tussen ploegen, afhankelijkheid van individuele medewerkers of risico’s binnen inkoop, planning en onderhoud van apparatuur. In specialistische omgevingen is dit probleem nog duidelijker. Bij lasproductie moet een auditor niet alleen de systeemcriteria begrijpen, maar ook de technische eisen, kwaliteitsregistraties en beheerslogica van een speciaal proces. Daarom blijft in dit domein ook ISO 3834 – beheersing van lassen, competenties en kwaliteitsregistraties in de productie een logisch referentiepunt.

Vanuit managementperspectief vraagt dit om een competentiematrix voor het volledige auditteam en, waar nodig, om afzonderlijke profielen voor kritieke domeinen. In organisaties met meerdere vestigingen of ondernemingen die doorgroeien naar sectorspecifieke eisen, verandert het auditorprofiel mee met de volwassenheid van het systeem en de gewenste diepgang van de beoordeling. Hetzelfde geldt voor een procesexpert zonder auditopleiding. Zo iemand kan als teamlid zeer waardevol zijn, maar zonder auditdiscipline en onpartijdigheid gemakkelijk verschuiven van het onderzoeken van bewijs naar het verdedigen van eigen oplossingen. Het ontwikkelplan moet daarom voortkomen uit de proceskaart, het proceseigenaarschap, de auditcriteria en de gebieden met een hoog risico. Voor productiebedrijven wordt deze samenhang ook behandeld in Een roadmap plannen van NEN-EN-ISO 9001 naar IATF 16949 in een productiebedrijf.

Het team beoordelen zonder papieren competentie

Een beoordeling van het auditteam heeft alleen waarde als zij de werkelijke capaciteit toetst om op basis van auditbewijs tot juiste conclusies te komen. De meest misleidende indicatoren zijn indirecte maatstaven zoals een cursuscertificaat, lange ervaring of een groot aantal uitgevoerde audits. Die kunnen aanvullende informatie geven, maar beantwoorden niet de kernvraag: kan de auditor papieren conformiteit onderscheiden van effectieve procesbeheersing?

De beoordeling hoort daarom niet te beginnen met een overzicht van gevolgde opleidingen. Onderzoek hoe iemand een audit voorbereidt, een steekproef samenstelt, vragen formuleert, op tegenstrijdige antwoorden reageert en een conclusie onderbouwt met bewijs in plaats van intuïtie. Alleen het beoordelen van werkervaring is te beperkt als dit niet wordt gecombineerd met observatie tijdens een audit, analyse van eerdere auditregistraties en een gesprek over de gevolgde redenering.

Een goed ingerichte beoordeling kijkt niet alleen of een auditor ‘een afwijking heeft gevonden’, maar ook of hij of zij de operationele betekenis ervan begrijpt. Een ontbrekende handtekening op een formulier is iets anders dan aantonen dat onvoldoende beheersing van een gewijzigde procesparameter het risico op klachten, stilstand of onjuiste inkoopbesluiten verhoogt. Bruikbare criteria voor een competentiematrix zijn doorgaans eenvoudig:

• voorbereiding van de audit,
• relevantie en diepgang van de vragen,
• kwaliteit van de steekproef,
• logica en onderbouwing van de bevindingen,
• kwaliteit van het auditrapport,
• de wijze waarop de audit wordt afgesloten met een boodschap die voor de proceseigenaar helder en bruikbaar is.

Interpersoonlijke vaardigheden zijn vooral belangrijk in operationele zin, niet als kwestie van uitstraling. Een auditor kan de eisen goed kennen en toch een gesprek zo voeren dat het beeld van het proces wordt vertekend: verklaringen worden te snel geaccepteerd, managementdruk beïnvloedt het oordeel, lastige onderwerpen worden vermeden of bevindingen blijven zo algemeen dat er geen gerichte actie uit kan volgen. De teambeoordeling moet daarom ook aandacht besteden aan weerbaarheid tegen hiërarchische druk, discipline in het gebruik van bewijs en het vermogen om een audit duidelijk af te sluiten.

Voor een beginnende auditor kan het voldoende zijn om een deel van het interview correct te voeren en auditbewijs zorgvuldig vast te leggen. Van een lead auditor mag meer worden verwacht: onderscheid kunnen maken tussen symptoom en oorzaak, de relevantie van risico’s beoordelen en bevindingen zo formuleren dat ze bruikbaar zijn voor managementbesluiten. Organisaties die hun managementsysteem nog structureren of zich op certificatie voorbereiden, doen er goed aan de werkelijke gereedheid te beoordelen in plaats van volledige volwassenheid te suggereren. Deze benadering wordt duidelijk geïllustreerd in Een nulmeting vóór NEN-EN-ISO 9001 – de gereedheid van de organisatie betrouwbaar beoordelen zonder onnodige kosten.

Plan opleidingen op basis van hiaten, niet van de kalender

Een ontwikkelplan voor interne auditors heeft alleen waarde als het is gebaseerd op vastgestelde competentiehiaten. De ene medewerker moet de auditmethodiek beter beheersen: voorbereiding, steekproeven, formulering van bevindingen en afsluiting van de audit. Een andere auditor beheerst de auditvaardigheden, maar begrijpt productie, inkoop of onderhoud onvoldoende om een formele afwijking te onderscheiden van een operationeel risico. Weer een ander heeft ondersteuning nodig bij oorzaakanalyse, rapportage of het voeren van auditgesprekken onder druk of bij een meningsverschil.

Een identieke opleiding voor iedereen levert doorgaans vooral aanvullende opleidingsregistraties op, zonder dat de kwaliteit van de auditbevindingen verbetert. Het ontwikkelplan moet daarom een gemeenschappelijke basis voor het hele team combineren met specialistische leertrajecten voor kritieke domeinen. Het gezamenlijke minimum betreft meestal auditbeginselen, beoordeling van bewijs, logische oordeelsvorming en rapportkwaliteit. Daarnaast is gerichte ontwikkeling nodig voor auditors die risicovolle gebieden onderzoeken, zoals gezond en veilig werken, productie, inkoop, onderhoud of speciale processen.

In zulke gebieden is kennis van de managementsysteemeisen alleen niet voldoende. De auditor moet kunnen beoordelen of een afwijking gevolgen kan hebben voor de veiligheid, productkwaliteit, bedrijfscontinuïteit of betrouwbaarheid van registraties. De organisatie moet hier bewust besluiten of zij brede competenties in het hele team opbouwt, specialistische rollen ontwikkelt en hoeveel medewerkers daadwerkelijk het niveau van lead auditor nodig hebben.

Veel ontwikkelplannen schieten tekort doordat elk hiaat met klassikale training wordt aangepakt. Een deel van de competenties ontwikkelt zich effectiever tijdens echte audits: via gezamenlijke audits, observatie van een ervaren auditor, beoordeling van auditrapporten, analyse van praktijkcases en begeleiding bij de eerste zelfstandige opdrachten. Als de zwakke plek de analyse van auditbewijs is, levert een workshop op basis van de eigen registraties en bevindingen meer op dan nog een theoretische toelichting op de eisen. Als iemand moeite heeft met auditgesprekken, is mentoring tijdens de audit doorgaans effectiever dan opnieuw een algemene cursus. Ook voor specialistische gebieden moeten leertrajecten worden gedifferentieerd: een auditor voor kantoorprocessen vraagt om een ander profiel dan een auditor voor gezond en veilig werken of voor onderwerpen zoals ISO 3834 – beheersing van lassen, competenties en kwaliteitsregistraties in de productie.

Een goed ontwikkelplan vermeldt niet alleen onderwerp en datum, maar vooral het beoogde operationele resultaat. Leg vooraf vast welk gedrag moet veranderen, binnen welk type audit en aan welke indicatoren de organisatie kan zien dat de ontwikkeling effect heeft gehad. Deelname aan een opleiding is geen resultaat op zich. Relevantere maatstaven zijn bijvoorbeeld betere vraagstelling, doelgerichtere steekproeven, minder bevindingen zonder managementwaarde, betere rapporten of meer zelfstandigheid bij audits van meerdere vestigingen. De richtlijnen van de norm bieden een referentiekader, maar vervangen geen ontwikkelbesluit dat op observatie van de praktijk is gebaseerd.

Het auditprogramma moet aansluiten op de werkelijke competenties

Zelfs een goed opgeleide auditor kan fouten in het auditprogramma niet compenseren. Als de scope te breed is, de beschikbare tijd onrealistisch, de steekproeven willekeurig zijn en kritieke processen dezelfde aandacht krijgen als ondersteunende activiteiten, lijkt het resultaat mogelijk correct maar is het misleidend voor het management. Het auditteam gaat dan reactief werken: gesprekken worden ingekort, bewijs wordt minder diepgaand geverifieerd en verklaringen worden beoordeeld in plaats van de feitelijke werking van het proces.

Het auditprogramma moet daarom worden opgebouwd vanuit doel en uitvoeringscapaciteit, niet vanuit een jaarlijkse kalender. Routinematig toezicht vraagt om een andere aanpak dan een beoordeling van de gereedheid vóór een belangrijke projectfase, de verificatie van technologische, organisatorische of eigendomswijzigingen of de voorbereiding op certificatie. Niet alleen het niveau van het auditteam telt, maar ook de beschikbaarheid van procesexperts, seizoensinvloeden, geografisch verspreide vestigingen en de vraag of een proces aan de hand van registraties kan worden beoordeeld of tijdens een specifiek deel van de cyclus moet worden geobserveerd.

De relevante vraag is niet uitsluitend of elk proces jaarlijks moet worden geaudit, maar of frequentie en diepgang passen bij het risico, de procesvolwassenheid en de kwaliteit van eerdere bevindingen. Het differentiëren van auditvormen levert meestal het beste resultaat op. Een volledige audit is passend als de samenhang van processen en beheersmaatregelen moet worden beoordeeld. Een gerichte audit is effectiever bij de verificatie van een specifieke wijziging, de bron van klachten, terugkerende afwijkingen of een proces met een verhoogd risico. Met een thematische review kan één beheersmechanisme over verschillende afdelingen of locaties worden vergeleken, zoals documentbeheer, leverancierskwalificatie of beheersing van afwijkende producten.

Voor organisaties die zich op certificatie voorbereiden, is het bijzonder belangrijk om de projectplanning niet te verwarren met de werkelijke auditgereedheid. De gefaseerde benadering van organisatorische volwassenheid in Een bedrijf in 90, 180 of 270 dagen voorbereiden op NEN-EN-ISO 9001-certificatie – realistische scenario’s biedt hierbij houvast. Het auditprogramma moet bovendien regelmatig worden bijgesteld op basis van wat de organisatie al over zichzelf weet: resultaten van eerdere audits, klachten, afwijkingen, organisatorische veranderingen, procesprestaties, incidenten op het gebied van gezond en veilig werken en besluiten uit beoordelingen en analyses. Als één gebied structureel zwak presteert terwijl een ander proces stabiel functioneert zonder belangrijke afwijkingen, is een identieke auditfrequentie en -diepgang niet te rechtvaardigen.

Welke besluiten de directie na deze beoordeling moet nemen

De beoordeling van het auditteam heeft pas waarde als zij leidt tot managementbesluiten, niet alleen tot een opleidingsplan. De directie moet allereerst vaststellen welke processen auditors met aanvullende competenties vereisen vanwege het risico, de technologische complexiteit, de geografische spreiding of het belang voor conformiteit en operationele prestaties. Daarnaast moet zij onderscheid maken tussen hiaten die intern kunnen worden gesloten en situaties waarin tijdelijke externe ondersteuning gerechtvaardigd is. Dat kan bijvoorbeeld gelden voor de eerste audits in specialistische domeinen, beoordelingen van meerdere vestigingen of gevallen waarin interne onafhankelijkheid slechts op papier bestaat.

Uit de beoordeling moet een eenvoudig maar eenduidig model voor competentiebeheersing voortkomen. Wijs een eigenaar aan voor het ontwikkelproces van auditors, leg minimumeisen vast voor teamleden en lead auditors en definieer hoe bevoegdheden worden toegekend, uitgebreid en onderhouden. In de praktijk gaat het om een bewuste keuze: wordt de competentiematrix onderdeel van een formele procedure of een operationeel instrument onder verantwoordelijkheid van de kwaliteits- of systeemmanager?

Even belangrijk is het vaststellen van criteria voor de effectiviteit van audits na 6–12 maanden: kwaliteit van de bevindingen, juistheid van de conclusies, tijdige uitvoering van vervolgacties, herhaling van afwijkingen en bruikbaarheid van de resultaten voor de directiebeoordeling en operationele besluitvorming. In organisaties die het systeem nog implementeren, moeten deze besluiten aansluiten op het tijdpad naar auditgereedheid, zonder competentie op papier te creëren om een certificatiedatum te halen.

Als een onderneming na een grote technologische wijziging een interne audit van het productieproces plant, terwijl het team alleen algemene auditkennis heeft, is het vaak verstandiger om functiegerichte opleiding te combineren met deelname van een ervaren lead auditor. De eerste audit kan dan worden beperkt tot de belangrijkste beheersmechanismen. Ook in een kleine onderneming is dit model toepasbaar zonder een uitgebreide kwaliteitsorganisatie, mits rollen helder worden gescheiden en externe deskundigheid bewust wordt ingezet waar het interne team nog geen betrouwbare basis voor conclusies kan bieden.

• bepaal welke processen alleen met specialistisch competente auditors mogen worden onderzocht,
• bepaal welke competentiehiaten met opleiding, mentoring of auditpraktijk worden gesloten,
• leg vast wanneer onafhankelijke externe ondersteuning wordt ingezet en hoe de verantwoordelijkheden worden afgebakend.

Een goed ontworpen systeem voor auditorcompetenties ondersteunt niet alleen de conformiteit met auditrichtlijnen, maar vooral de kwaliteit van managementbesluiten, verbetermaatregelen en risicobeheersing. Als de organisatie na een jaar minder oppervlakkige audits ziet, de diepgang beter afstemt op het risico en het management bruikbaardere bevindingen ontvangt, is de competentiebeoordeling uitgegroeid tot een werkelijk onderdeel van de governance — en niet blijven steken in opleidingsdocumentatie.