Stage 2 audit: zo verloopt de externe certificatieaudit

De Stage 2 audit is het moment waarop de externe certificatieaudit echt inhoudelijk wordt. Waar Stage 1 vooral onderzoekt of uw organisatie klaar is voor certificering, stelt de Stage 2 audit vast of uw managementsysteem daadwerkelijk is geïmplementeerd, aan de toepasselijke eisen voldoet en in de praktijk resultaten oplevert. In deze blog leest u wat er tijdens een Stage 2 audit gebeurt, wat de auditor onderzoekt, welk objectief bewijs wordt verzameld en hoe dit leidt tot de conclusie over certificatie.

De uitleg is gebaseerd op de actuele normen voor auditing en certificatie: ISO 19011:2026 (richtlijnen voor het auditen van managementsystemen) en ISO/IEC 17021-1:2015 (eisen voor certificatie-instellingen). Waar concrete eisen aan een managementsysteem worden genoemd, komen die uit de betreffende managementsysteemnorm — zoals ISO 9001 of ISO 14001 — en niet uit ISO 19011.

Wat is een Stage 2 audit?

De Stage 2 audit is de tweede fase van een initiële certificatieaudit. Volgens ISO/IEC 17021-1 heeft Stage 2 als doel de implementatie — inclusief de effectiviteit — van het managementsysteem te beoordelen. De audit vindt plaats op de locatie(s) van de organisatie, omdat de auditor de werking van het systeem in de praktijk wil vaststellen.

Een Stage 2 audit richt zich nadrukkelijk niet alleen op documentatie. De auditor onderzoekt of het managementsysteem daadwerkelijk is geïmplementeerd, voldoet aan de toepasselijke eisen, effectief wordt uitgevoerd, de relevante processen beheerst en aantoonbare resultaten oplevert.

ISO/IEC 17021-1 benoemt dat een Stage 2 audit ten minste aandacht besteedt aan: bewijs van conformiteit met alle eisen van de betreffende norm; het monitoren, meten, rapporteren en beoordelen van prestaties tegen doelstellingen; het vermogen om te voldoen aan wettelijke, contractuele en andere eisen; de operationele beheersing van processen; interne audit en directiebeoordeling; en de verantwoordelijkheid van het management voor het beleid.

Stage 1 versus Stage 2

Stage 1 en Stage 2 vullen elkaar aan. Stage 1 onderzoekt in belangrijke mate of de organisatie klaar is voor Stage 2: is de gedocumenteerde informatie aanwezig, zijn de scope en processen duidelijk, en zijn de interne audit en directiebeoordeling gepland en uitgevoerd? Stage 2 bouwt hierop voort en beoordeelt vervolgens de daadwerkelijke werking.

Onderwerp	Stage 1	Stage 2
Hoofddoel	Vaststellen of de organisatie gereed is voor Stage 2	Beoordelen of het systeem is geïmplementeerd en effectief werkt
Focus	Opzet en gereedheid	Werking, conformiteit en prestaties
Documentatie	Beoordeling van gedocumenteerde informatie	Toetsing van documentatie aan de praktijk
Implementatie	Eerste indruk van implementatiegraad	Diepgaande beoordeling van implementatie
Effectiviteit	Beperkt beoordeeld	Beoordeeld waar de criteria dat vereisen
Processen	Globaal in beeld gebracht	Procesgericht geauditeerd
Auditbewijs	Vooral documenten en gesprekken	Documenten, registraties, interviews en observaties
Interviews	Oriënterend	Gericht en verifiërend
Locaties	Beoordeling van locatiespecifieke omstandigheden	Audit op de operationele locatie(s)
Interne audit	Is deze gepland en uitgevoerd?	Beoordeling van uitvoering en opvolging
Directiebeoordeling	Is deze gepland en uitgevoerd?	Beoordeling van inhoud en besluitvorming
Non-conformiteiten	Aandachtspunten voor Stage 2	Formele bevindingen met normkoppeling
Certificatie	Nog geen besluit	Auditconclusie als basis voor het certificatiebesluit

Van documentatie naar praktijk

De centrale vraag tijdens een Stage 2 audit luidt: laat de organisatie in de praktijk zien dat het managementsysteem werkt? Een procedure die op papier klopt, is niet hetzelfde als een proces dat aantoonbaar functioneert.

Een voorbeeld. Een procedure schrijft voor dat klachten worden geregistreerd, onderzocht en geanalyseerd. De auditor onderzoekt vervolgens of klachten daadwerkelijk worden geregistreerd, hoe medewerkers ermee omgaan, welke dossiers beschikbaar zijn, hoe oorzaken worden onderzocht, welke maatregelen zijn genomen en of de effectiviteit daarvan wordt beoordeeld. Ook kijkt de auditor of trends worden geanalyseerd en of hierover managementinformatie beschikbaar is.

De auditor onderzoekt zo de volledige keten: normeis → proces → uitvoering → bewijs → resultaat → evaluatie → verbetering.

Voorbereiding en opening

Stage 2 bouwt voort op de informatie uit Stage 1. Vastgestelde aandachtspunten, de scope, de auditcriteria, de locaties en de betrokken processen vormen de basis voor het auditplan. De certificatie-instelling stelt een auditteam samen en bepaalt de auditduur op basis van onder meer de omvang en complexiteit van de organisatie.

De audit begint doorgaans met een openingsbijeenkomst. Volgens ISO/IEC 17021-1 en de auditmethodiek van ISO 19011 worden hierin onder meer het auditteam geïntroduceerd, de scope en auditdoelstellingen bevestigd, de auditcriteria en planning toegelicht en praktische afspraken gemaakt over begeleiding, toegang tot informatie, veiligheid en vertrouwelijkheid. Sommige elementen zijn normatief vereist; andere horen bij goede auditpraktijk.

Steeds vaker worden Stage 2-audits uitgevoerd met een combinatie van audit op locatie en audit op afstand. ISO 19011:2026 biedt hiervoor uitgebreidere richtlijnen, maar benadrukt dat auditmethoden op afstand fysieke waarneming niet vervangen wanneer een auditor anders geen betrouwbare conclusie kan trekken.

Wat onderzoekt de auditor?

Dit is het inhoudelijke hart van de Stage 2 audit. De auditor beoordeelt niet elk document en spreekt niet met iedere medewerker. In plaats daarvan verzamelt de auditor voldoende en geschikt auditbewijs om onderbouwde conclusies te kunnen trekken.

De auditor besteedt onder meer aandacht aan: de processen en hun onderlinge samenhang; verantwoordelijkheden en bevoegdheden; risico’s en kansen; beleid en doelstellingen; operationele beheersing; wettelijke en andere eisen; competenties en communicatie; monitoring, meting, analyse en evaluatie; interne audit en directiebeoordeling; afwijkingen en corrigerende maatregelen; en de gerealiseerde prestaties en resultaten.

Procesgericht auditen

Een auditor onderzoekt een proces vaak stap voor stap. Wat komt er binnen (input)? Welke activiteiten vinden plaats? Wie is verantwoordelijk? Welke beheersmaatregelen zijn er? Welke risico’s spelen? Wat levert het proces op (output)? Hoe wordt gemonitord of het proces goed functioneert, en welke resultaten worden bereikt? En wat gebeurt er wanneer de resultaten onvoldoende zijn?

Zo controleert de auditor niet alleen of procedures bestaan, maar of processen daadwerkelijk werken en beheerst worden.

Objectief auditbewijs en steekproeven

Auditbewijs is verifieerbare informatie die als basis dient voor auditbevindingen. Bronnen zijn onder meer documenten, registraties, dossiers, systemen, rapportages, meetresultaten, KPI’s, klachten, incidenten, observaties en interviews. Een van de kernprincipes van ISO 19011 is de evidence-based benadering: alleen informatie die geverifieerd kan worden, is bruikbaar als betrouwbaar auditbewijs.

De auditor werkt daarbij volgens de lijn: bewering → verificatie → objectief bewijs → auditbevinding.

Een uitspraak in een interview is een bewering. Pas nadat de auditor die uitspraak heeft geverifieerd met ander bewijs — bijvoorbeeld een registratie of een observatie — kan het een onderbouwde bevinding worden.

Steekproeven

Bij een externe audit controleert de auditor doorgaans niet alles. Op basis van een representatieve, risico-gebaseerde steekproef van bijvoorbeeld dossiers, medewerkers, locaties of transacties komt de auditor tot een onderbouwde conclusie, binnen de grenzen van de audit. Belangrijk: het feit dat een auditor één dossier controleert, betekent niet dat alleen dat dossier relevant is. Een steekproef is bedoeld om representatieve conclusies te trekken over het geheel.

Interviews en observaties

Interviews leveren informatie op die vervolgens waar nodig wordt geverifieerd. Aan de directie kan de auditor vragen: “Wat zijn de belangrijkste risico’s voor uw organisatie?” of “Hoe weet u of het managementsysteem effectief is?” Aan een proceseigenaar: “Hoe bewaakt u de prestaties, en wat doet u als een doelstelling niet wordt gehaald?” Aan een medewerker: “Wat doet u wanneer u een afwijking constateert?”

Daarnaast observeert de auditor werkzaamheden — productie, dienstverlening, opslag, onderhoud, informatieverwerking of veiligheidsmaatregelen — om vast te stellen of de beschreven werkwijze overeenkomt met de feitelijke praktijk.

Leiderschap, risico’s, interne audit en directiebeoordeling

Een Stage 2 audit is niet alleen een beoordeling van de kwaliteits- of KAM-afdeling. Het managementsysteem hoort onderdeel te zijn van de besturing van de organisatie. De auditor beoordeelt daarom ook het leiderschap: is het management betrokken, stelt het middelen beschikbaar, en stuurt het op prestaties en verbetering?

Bij risico’s en kansen kijkt de auditor verder dan de vraag “waar staat uw risicoanalyse?”. Relevanter is: welke risico’s zijn relevant, hoe worden ze beheerst, wie is verantwoordelijk en hoe wordt de effectiviteit van maatregelen beoordeeld? De precieze eisen hangen af van de betreffende managementsysteemnorm.

De auditor beoordeelt ook de interne auditfunctie — programma, scope, onafhankelijkheid, uitvoering, resultaten en opvolging — zonder die interne audit over te doen. De beschikbare informatie is onderdeel van het totale auditbewijs. Bij de directiebeoordeling onderzoekt de auditor of het management het systeem daadwerkelijk gebruikt om te sturen: worden input, prestaties, auditresultaten, risico’s en verbeterkansen behandeld, en leiden die tot besluiten en acties?

Non-conformiteiten, correcties en conclusies

Een non-conformiteit is het niet voldoen aan een eis. De auditor stelt deze alleen vast op basis van objectief bewijs en koppelt de bevinding altijd aan de specifieke norm- of systeemeis waaraan niet is voldaan. Daarbij houdt de auditor onderscheid tussen feit (wat is waargenomen), bewijs (waaruit dat blijkt) en conclusie (wat dit betekent voor conformiteit).

Non-conformiteiten worden in de certificatiepraktijk vaak geclassificeerd, bijvoorbeeld als major of minor. De precieze definities en gevolgen van deze classificaties volgen uit de toepasselijke certificatieprocedure van de certificatie-instelling (mede gebaseerd op de geldende accreditatie- en IAF-eisen). In grote lijnen betreft een major-bevinding een tekortkoming die ernstige twijfel oproept over het vermogen van het systeem om de beoogde resultaten te bereiken, terwijl een minor-bevinding een enkele, geïsoleerde tekortkoming betreft.

Bij het afhandelen van een non-conformiteit horen drie verschillende stappen:

• Correctie — het direct herstellen van de geconstateerde afwijking.

• Oorzaakanalyse — onderzoeken waarom de afwijking is ontstaan.

• Corrigerende maatregel — maatregelen om herhaling te voorkomen.

Voorbeeld: worden temperatuurcontroles niet geregistreerd, dan is het alsnog invoeren van de ontbrekende registratie de correctie. De oorzaakanalyse laat zien dat een werkinstructie ontbrak; de corrigerende maatregel is het opstellen van die instructie plus borging. De precieze opvolging en beoordeling verlopen volgens de toepasselijke certificatieprocedure.

Van auditbevinding naar auditconclusie

De auditor werkt toe naar een conclusie langs een vaste lijn: normeis → auditbewijs → beoordeling → auditbevinding → eventuele non-conformiteit → auditconclusie. Conclusies mogen nooit op aannames berusten, maar altijd op geverifieerd bewijs.

De rol van de auditor en het certificatiebesluit

De auditor verzamelt auditbewijs, beoordeelt conformiteit en — waar de criteria dat vereisen — effectiviteit, rapporteert bevindingen en trekt auditconclusies. De auditor schrijft géén procedures voor, implementeert géén maatregelen, neemt géén managementbesluiten en treedt tijdens de audit niet op als consultant. Het onderscheid tussen auditen en adviseren is essentieel voor de onpartijdigheid.

Tijdens de afsluitende bijeenkomst (closing meeting) presenteert het auditteam een samenvatting van de auditresultaten, de bevindingen, eventuele non-conformiteiten en de auditconclusie, en licht het de vervolgprocedure toe. De organisatie krijgt de gelegenheid de bevindingen te begrijpen.

Belangrijk: de auditor neemt niet zelf het certificatiebesluit. ISO/IEC 17021-1 vereist dat dit besluit wordt genomen door een bevoegde persoon of instantie die niet betrokken was bij de audit. Op hoofdlijnen: Stage 2 wordt uitgevoerd, auditbewijs wordt verzameld, bevindingen worden vastgesteld en de auditconclusie wordt opgesteld; vervolgens neemt een onafhankelijke, bevoegde functie het certificatiebesluit overeenkomstig de toepasselijke certificatieprocedure.

Praktijkvoorbeeld — De Waterlelie Zorg B.V. (ISO 9001)

Zorgorganisatie De Waterlelie stelt dat zij cliënttevredenheid meet. De auditor vraagt door: hoe wordt tevredenheid gemeten, hoe vaak, en welke resultaten zijn beschikbaar? Wat laten de trends zien? Wat doet de organisatie met negatieve resultaten, welke verbetermaatregelen zijn genomen, en hoe weet men dat die maatregelen effectief zijn?

Zo verschuift de audit van “wij hebben een procedure” naar “wij kunnen aantonen dat het systeem werkt”. De auditor volgt het proces: proces → risico → uitvoering → medewerker → dossier → KPI → resultaat → afwijking → verbetering — en toetst elke schakel aan objectief bewijs.

Tien veelgemaakte fouten tijdens Stage 2

1. Alleen documenten tonen. Papier bewijst opzet, niet werking.

2. Geen medewerkers beschikbaar hebben. De auditor kan de praktijk dan niet verifiëren.

3. Niet kunnen uitleggen hoe processen werken. Dit wijst op onvoldoende implementatie.

4. Geen objectief bewijs beschikbaar hebben. Beweringen zonder bewijs leiden niet tot conformiteit.

5. KPI’s niet kunnen verklaren. Cijfers zonder duiding tonen geen sturing aan.

6. Interne audits als formaliteit uitvoeren. Zonder diepgang en opvolging missen ze waarde.

7. Directiebeoordeling te oppervlakkig uitvoeren. Het management stuurt dan aantoonbaar niet.

8. Afwijkingen niet analyseren. Zonder oorzaakanalyse blijft herhaling waarschijnlijk.

9. Corrigerende maatregelen niet op effectiviteit beoordelen. Onbekend blijft of het probleem is opgelost.

10. De auditor willen overtuigen zonder bewijs. Een auditor concludeert op basis van bewijs, niet van overtuiging.

Voorbereidingschecklist voor de organisatie

Management

☐  Beleid is bekend

☐  Doelstellingen zijn bekend

☐  Prestaties kunnen worden toegelicht

☐  Directiebeoordeling is aantoonbaar

Processen

☐  Processen en rollen zijn duidelijk

☐  Risico’s worden beheerst

☐  Processen worden daadwerkelijk uitgevoerd

Auditbewijs

☐  Registraties, KPI’s en monitoring beschikbaar

☐  Relevante dossiers beschikbaar

☐  Auditresultaten beschikbaar

Evaluatie en verbetering

☐  Interne audit uitgevoerd

☐  Bevindingen opgevolgd

☐  Oorzaakanalyses uitgevoerd waar relevant

☐  Corrigerende maatregelen opgevolgd

☐  Effectiviteit beoordeeld

Conclusie

Een Stage 2 audit is de fase waarin de certificatie-instelling met voldoende en geschikt auditbewijs vaststelt of uw managementsysteem daadwerkelijk is geïmplementeerd, aan de toepasselijke eisen voldoet en relevante resultaten laat zien. Waar Stage 1 vooral de gereedheid onderzoekt, toetst Stage 2 de werking in de praktijk. Organisaties die processen, prestaties en verbeteringen aantoonbaar kunnen maken, gaan een Stage 2 audit met vertrouwen tegemoet.