Stage 1 audit: wat gebeurt er en waarom is deze audit belangrijk?

De Stage 1 audit is de eerste formele stap in een externe certificatieaudit en bepaalt of uw organisatie klaar is om de volgende fase in te gaan. Toch bestaat er veel onduidelijkheid over wat er precies gebeurt. Wordt alleen de documentatie gecontroleerd? Is het al een volledige beoordeling? En wat betekent “gereed voor Stage 2” eigenlijk?

In deze blog leggen we vanuit de praktijk van een onafhankelijke certificatieauditor uit wat een Stage 1 audit is, waarom deze wordt uitgevoerd, wat de auditor onderzoekt, welk bewijs daarbij wordt gebruikt en hoe u zich goed voorbereidt. We baseren ons op de geldende normen voor certificatie en auditing: ISO/IEC 17021-1 (eisen aan certificatie-instellingen) en ISO 19011:2026 (richtlijnen voor het auditen van managementsystemen). De inhoudelijke eisen aan uw managementsysteem zelf komen uit de betreffende norm, zoals ISO 9001, ISO 14001 of ISO/IEC 27001.

Wat is een Stage 1 audit?

Een Stage 1 audit is het eerste deel van de initiële certificatieaudit. Een certificatie-instelling voert deze uit voordat de uitgebreidere Stage 2 audit plaatsvindt. Het doel is niet om vast te stellen of uw organisatie volledig voldoet, maar om te beoordelen of Stage 2 zinvol en uitvoerbaar kan worden gepland.

Volgens ISO/IEC 17021-1 heeft Stage 1 onder meer als doel: de gedocumenteerde informatie van het managementsysteem beoordelen, de locatie en de specifieke omstandigheden evalueren, begrijpen hoe uw organisatie de eisen van de norm heeft opgepakt, de nodige informatie over scope, processen, locaties en wettelijke eisen verzamelen, en beoordelen of interne audits en directiebeoordeling zijn ingepland en uitgevoerd. Op basis daarvan bepaalt de auditor of uw organisatie gereed is voor Stage 2.

Belangrijk: een Stage 1 audit is geen eenvoudige documentencontrole. De auditor kijkt verder dan papier en wil begrijpen hoe het systeem is opgezet en of het aansluit bij uw werkelijke organisatie. Tegelijk is Stage 1 ook geen volledige Stage 2 audit: de diepgaande beoordeling van de daadwerkelijke werking en effectiviteit volgt pas in Stage 2.

Wat doet de auditor tijdens Stage 1?

Tijdens Stage 1 verzamelt, beoordeelt en verifieert de auditor informatie. Dat gebeurt op verschillende manieren: door documentatie te bestuderen, vragen te stellen, korte interviews te houden, processen te bespreken en – afhankelijk van de situatie – de locatie te bekijken. ISO 19011:2026 beschrijft deze werkwijze als het verzamelen en verifiëren van informatie, waaruit vervolgens auditbevindingen en auditconclusies voortkomen.

Bij elke activiteit stelt de auditor zich in feite drie vragen: wát beoordeel ik, wáárom (welk normonderdeel of certificatiedoel raakt dit) en wát wil ik hiermee vaststellen (kan Stage 2 zinvol worden uitgevoerd)? Concreet beoordeelt de auditor onder meer:

• de context van de organisatie en de relevante interne en externe kwesties;

• de belanghebbenden en hun relevante eisen;

• de scope van het managementsysteem;

• de belangrijkste processen, de organisatiestructuur en de verdeling van verantwoordelijkheden en bevoegdheden;

• beleid, doelstellingen en de vastgestelde risico’s en kansen;

• relevante wettelijke en andere eisen;

• de managementsysteemdocumentatie en de beschikbaarheid van middelen en competenties;

• of interne audits en directiebeoordeling zijn ingepland en uitgevoerd;

• relevante veranderingen, locaties en de mate van implementatie.

Let op: dit is geen vaste checklist die voor elk systeem identiek is. De precieze onderwerpen hangen af van de norm, de scope, de complexiteit, het aantal locaties en de aard van uw organisatie. Onderwerpen zoals context, belanghebbenden, interne audit en directiebeoordeling zijn bovendien eisen uit de betreffende managementsysteemnorm (bijvoorbeeld ISO 9001) en niet uit ISO 19011 of ISO/IEC 17021-1.

Waarom documenten alleen niet genoeg zijn

Een auditor wil nooit uitsluitend documenten zien. Het verschil tussen een mooi opgeschreven systeem en een werkend systeem is precies wat een audit moet aantonen. Daarom maakt de auditor onderscheid tussen gedocumenteerde informatie (vastgelegde procedures, beleid en registraties), mondelinge informatie (wat medewerkers vertellen), objectief bewijs (aantoonbare, verifieerbare feiten) en de daadwerkelijke implementatie (hoe het systeem in de praktijk werkt).

Een kort voorbeeld. Een organisatie toont een procedure voor klachtenafhandeling. De auditor wil vervolgens begrijpen hoe die procedure in de praktijk wordt toegepast, wie verantwoordelijk is, hoe medewerkers ermee werken, welk bewijs van uitvoering beschikbaar is en hoe de organisatie controleert of het proces effectief is.

Tijdens Stage 1 blijft die beoordeling vaak op hoofdlijnen: de auditor stelt vast of het systeem voldoende is opgezet en geïmplementeerd om Stage 2 uit te voeren. De diepgang neemt in Stage 2 toe. ISO 19011:2026 besteedt daarnaast expliciet aandacht aan digitaal bewijs en aan audits die deels op afstand worden uitgevoerd.

Interviews tijdens Stage 1

Interviews helpen de auditor te begrijpen of het managementsysteem leeft binnen de organisatie. Tijdens Stage 1 zijn deze gesprekken meestal kort en gericht op inzicht, niet op een uitputtende toetsing. Afhankelijk van de context spreekt de auditor bijvoorbeeld met de directie, de KAM- of kwaliteitsmanager, een proceseigenaar of een medewerker. Realistische vragen zijn onder andere:

• “Kunt u uitleggen wat de scope van uw managementsysteem is?”

• “Welke belangrijkste processen heeft uw organisatie?”

• “Welke risico’s en kansen heeft u vastgesteld?”

• “Hoe weet u of uw managementsysteem effectief werkt?”

• “Wanneer heeft u voor het laatst een interne audit uitgevoerd en wat kwam daaruit?”

• “Wat is uit de laatste directiebeoordeling naar voren gekomen?”

De auditor gebruikt alleen vragen die passen bij uw norm en certificatiecontext.

Locatiebezoek en rondgang

Of een locatiebezoek of rondgang tijdens Stage 1 nodig is, hangt af van het soort organisatie, de scope, de processen, de locaties, de risico’s, de managementsysteemnorm en de certificatiecontext. ISO/IEC 17021-1 vraagt wel dat de auditor de locatie en de specifieke omstandigheden beoordeelt.

Tijdens een rondgang probeert de auditor bijvoorbeeld te begrijpen hoe processen daadwerkelijk verlopen, welke activiteiten plaatsvinden, welke fysieke omstandigheden relevant zijn, welke operationele risico’s bestaan en welke locaties en processen binnen de scope vallen. Dit geeft een realistisch beeld dat documenten alleen niet bieden.

“Gereed voor Stage 2”: wat betekent dat precies?

Dit is misschien wel de kern van Stage 1. De auditor beoordeelt of uw organisatie gereed is voor Stage 2. Daarbij is één misverstand hardnekkig, dus laten we het meteen wegnemen:

“Gereed voor Stage 2” betekent niet hetzelfde als “volledig conform en gecertificeerd”.

Het betekent dat de auditor voldoende inzicht heeft om Stage 2 op een zinvolle en uitvoerbare manier te plannen en uit te voeren. Daarvoor moet onder meer duidelijk zijn:

• dat de scope helder en verdedigbaar is;

• dat de belangrijkste processen en locaties bekend zijn;

• dat de relevante wettelijke en andere eisen in beeld zijn;

• dat het managementsysteem voldoende is gedocumenteerd;

• dat interne audits en directiebeoordeling zijn ingepland en uitgevoerd;

• dat er voldoende middelen en competenties beschikbaar zijn;

• dat het systeem in voldoende mate is geïmplementeerd en de belangrijke risico’s herkenbaar zijn.

Zijn er grote hiaten? Dan kan de auditor concluderen dat Stage 2 nog niet zinvol is en adviseren deze uit te stellen. Dat is geen straf, maar voorkomt dat u een Stage 2 audit ingaat met een grote kans op forse tekortkomingen. ISO/IEC 17021-1 vraagt ook dat de tijd tussen Stage 1 en Stage 2 wordt bepaald, zodat u eventuele aandachtspunten kunt oppakken.

Stage 1 versus Stage 2 in één oogopslag

Aspect	Stage 1	Stage 2
Hoofddoel	Beoordelen of Stage 2 zinvol en uitvoerbaar is	Beoordelen van conformiteit en effectiviteit
Focus	Opzet, inrichting en gereedheid	Werking en effectiviteit in de praktijk
Managementsysteem	Op hoofdlijnen begrijpen	Diepgaand toetsen
Documentatie	Beoordelen op opzet en volledigheid	Toetsen op toepassing en naleving
Implementatie	Vaststellen of voldoende aanwezig	Uitgebreid verifiëren
Processen	Belangrijkste processen in beeld brengen	Processen in werking beoordelen
Auditbewijs	Beperkt, gericht op gereedheid	Uitgebreid, gericht op conformiteit
Interne audit	Nagaan of ingepland en uitgevoerd	Resultaten en effectiviteit beoordelen
Directiebeoordeling	Nagaan of ingepland en uitgevoerd	Inhoud en opvolging beoordelen
Locaties	Relevante locaties identificeren	Locaties in scope daadwerkelijk auditen
Auditdiepgang	Op hoofdlijnen	Diepgaand
Certificatie	Nog geen besluit	Basis voor het certificatiebesluit

Bevindingen en conclusies

Aan het einde van Stage 1 legt de auditor bevindingen vast. Het is belangrijk daarbij de juiste termen te gebruiken:

• auditbevinding: het resultaat van het beoordelen van auditbewijs tegen de auditcriteria;

• aandachtspunt: een onderwerp dat in Stage 2 extra aandacht nodig heeft;

• risico voor Stage 2: een punt dat, als het onveranderd blijft, in Stage 2 tot een tekortkoming kan leiden;

• non-conformiteit: het niet voldoen aan een eis, indien en voor zover van toepassing;

• auditconclusie: het totaaloordeel over de gereedheid voor Stage 2.

In de praktijk worden Stage 1-bevindingen vaak vastgelegd als aandachtspunten (“areas of concern”): punten die in Stage 2 tot een non-conformiteit zouden kunnen leiden. Of formele non-conformiteiten en de indeling in minor en major al bij Stage 1 worden gebruikt, hangt af van de procedure van de certificatie-instelling. In alle gevallen geldt: de auditor onderbouwt elke conclusie met objectief auditbewijs.

Afsluiting en rapportage

Stage 1 wordt afgesloten met een korte eindbespreking (closing meeting). Daarin vat de auditor de audit samen en bespreekt hij de belangrijkste bevindingen, de conclusies, de aandachtspunten voor Stage 2, het vervolgproces en de eventuele gevolgen voor de planning.

Hierbij geldt een belangrijk principe: de auditor treedt niet op als adviseur. De onafhankelijkheid en onpartijdigheid van de certificatie-instelling mogen niet in het geding komen. De auditor mag dus wél aangeven wát een aandachtspunt is, maar niet voórschrijven hoé u dit precies moet oplossen; ISO/IEC 17021-1 stelt hier duidelijke eisen aan.

Na afloop ontvangt u een Stage 1-rapport. In hoofdlijnen bevat dit het auditdoel, de auditcriteria, de auditomvang, de uitgevoerde activiteiten, de relevante bevindingen, de conclusies, de aandachtspunten voor Stage 2 en eventuele gevolgen voor de planning. De precieze inhoud en vorm kunnen per certificatie-instelling verschillen.

Zo bereidt u zich voor op Stage 1

Zorg dat u de volgende vragen helder kunt beantwoorden:

☐  Wat is onze scope?

☐  Welke processen hebben wij en wie is waarvoor verantwoordelijk?

☐  Wat zijn onze belangrijkste risico’s en kansen?

☐  Welke wettelijke en andere eisen zijn op ons van toepassing?

☐  Welke doelstellingen hebben wij en hoe beoordelen wij onze prestaties?

☐  Wanneer is de interne audit uitgevoerd en wat kwam daaruit?

☐  Wanneer heeft de directiebeoordeling plaatsgevonden en wat waren de uitkomsten?

☐  Welke locaties vallen binnen de scope?

☐  Welke medewerkers en processen moeten voor de auditor beschikbaar zijn?

☐  Welke belangrijke veranderingen hebben zich voorgedaan?

Veelgemaakte fouten tijdens Stage 1

1. Stage 1 zien als alleen een documentencontrole – u onderschat dan de gesprekken en de beoordeling van implementatie.

2. De scope niet helder kunnen uitleggen – dan kan de auditor Stage 2 niet goed afbakenen.

3. Processen niet kunnen beschrijven – het beeld van uw organisatie blijft dan onvolledig.

4. Rollen en verantwoordelijkheden niet duidelijk hebben – er ontstaat twijfel over sturing en eigenaarschap.

5. Risico’s en kansen niet kunnen toelichten – een kerneis van moderne normen ontbreekt dan zichtbaar.

6. Interne audits niet kunnen aantonen – dit is een belangrijk signaal van gereedheid.

7. Directiebeoordeling onvoldoende kunnen toelichten – de betrokkenheid van de leiding blijft dan onduidelijk.

8. Medewerkers niet voorbereiden – zij raken onnodig onzeker tijdens de gesprekken.

9. De auditor als adviseur behandelen – dat kan de onpartijdigheid onder druk zetten.

10. Niet kunnen uitleggen hoe het systeem in de praktijk werkt – papier alleen overtuigt niet.

Een kort praktijkvoorbeeld

Stel: MetaalPrecisie, een fictief productiebedrijf, wil zich laten certificeren voor ISO 9001. Tijdens Stage 1 bespreekt de auditor eerst de scope: welke vestigingen en activiteiten vallen eronder? Daarna worden de belangrijkste processen doorgenomen, van offerte tot levering. De auditor bekijkt de vastgestelde risico’s en kansen en steekproefsgewijs de documentatie. In korte interviews toetst hij of de proceseigenaren hun processen herkennen, en een rondgang laat zien hoe de productie werkelijk verloopt. Vervolgens beoordeelt hij of de interne audit en de directiebeoordeling zijn uitgevoerd. De conclusie: de opzet is grotendeels aanwezig, maar de interne audit dekt nog niet alle processen. Dat wordt een aandachtspunt voor Stage 2 – de organisatie is gereed, mits dit punt wordt opgepakt.

Conclusie

Een Stage 1 audit is veel meer dan een documentencontrole. De auditor onderzoekt of uw managementsysteem goed is opgezet, of het aansluit bij uw werkelijke organisatie en of Stage 2 zinvol kan worden uitgevoerd. Wie de scope, processen, risico’s, interne audits en directiebeoordeling helder kan toelichten én kan laten zien hoe het systeem in de praktijk werkt, gaat goed voorbereid de externe certificatieaudit in. “Gereed voor Stage 2” is geen eindstreep, maar een startpunt: het bevestigt dat u klaar bent voor de diepgaandere beoordeling die tot certificatie leidt.