ISO 9001-afwijkingen sluiten: van oorzaak tot auditbewijs

Een certificaat aan de muur zegt dat een kwaliteitssysteem binnen een bepaalde scope is beoordeeld. Het zegt niet dat iedere order, vrijgave of klacht vandaag goed wordt afgehandeld. De echte test komt na de audit: kun je van één afwijking laten zien wie handelde, welke oorzaak is weggenomen en welk bewijs aantoont dat het probleem niet terugkomt?

Voor kwaliteitsmanagers is dat de klus. Je moet een afwijking zo sluiten dat een auditor, klant of collega zes maanden later dezelfde redenering kan volgen. Redactionele statusnoot, gecontroleerd op 14 september 2026 om 09:02 (GMT+2). De ISO 9001:2015-pagina vermeldt de vijfde editie (2015-09) als gepubliceerd en actueel. De ISO 9001-pagina vermeldt de zesde editie, ISO 9001:2026 (2026-09), nog als “Under publication” en kondigt vervanging van 2015 aan op 16 september 2026. ISO vermeldt dat gecertificeerde organisaties een overgangsperiode krijgen en verwijst voor de precieze afspraken naar de certificatie-instelling. Dit is een onderhoudsinstructie: controleer vóór iedere publicatie en vóór ieder auditdossier opnieuw de lifecycle-status bij ISO en de overgangsmededeling van je certificatie-instelling. Noteer dan de editie op je certificaat, de auditdatum en de lokale overgangsdeadline. Zolang die controle niet is gedaan, citeer je in het dossier de editie die in het geldige auditplan of certificaat staat, niet de geplande editie.

Wat je nodig hebt

Eerst het onderscheid scherp krijgen

Een corrigerende actie is een maatregel die de oorzaak van een afwijking wegneemt, zodat dezelfde afwijking niet opnieuw optreedt. De directe correctie maakt het concrete probleem ongedaan of beheerst het risico. De effectiviteitscontrole bewijst daarna of de structurele maatregel heeft gewerkt. Die drie stappen horen bij elkaar, maar zijn niet hetzelfde.

ISO 9001 gaat over je managementsysteem, niet over een belofte dat elk product altijd foutloos is. Certificering is een onafhankelijke beoordeling van dat systeem binnen een afgesproken scope. ISO beschrijft certificering zelf als een manier om vertrouwen te geven, niet als een garantie voor iedere toekomstige output. ISO maakt ook duidelijk dat een organisatie zelf kiest of zij certificering laat uitvoeren.

De nuttige these is daarom eenvoudig: een certificaat is een momentopname van vertrouwen, een gesloten afwijking is dagelijks bewijs dat je systeem leert. Behandel het sluitingsdossier als een kleine reconstructie van je besluitvorming.

NEN publiceerde op 16 januari 2024 de Nederlandse Praktijkrichtlijn NPR 9021:2023 voor corrigerende maatregelen. De richtlijn is bedoeld om naast de directe correctie ook de oorzaak van een afwijking weg te nemen en is bruikbaar voor ISO 9001 en andere managementsystemen. NEN beschrijft de praktijkrichtlijn als handvat voor maatregelen die herhaling moeten voorkomen.

Dit moet klaarstaan

• De vastgestelde eis. Noteer het relevante onderdeel uit een procedure, klantafspraak, wet, productspecificatie of ISO 9001. Schrijf de eis in je eigen woorden en bewaar de gecontroleerde bron.
• De feitelijke afwijking. Leg vast wat je hebt gezien, wanneer, op welke plek en in welke steekproef. Een oordeel als “de borging is onvoldoende” is te mager zonder observatie.
• De risicoscope. Bepaal welke producten, orders, locaties, klanten, medewerkers of dossiers mogelijk geraakt zijn. Dit voorkomt dat je één gevonden geval repareert en de rest vergeet.
• Een eigenaar met beslissingsmacht. De eigenaar moet mensen, tijd en toegang tot het proces kunnen regelen. Een kwaliteitsmanager kan bewaken, maar hoeft niet de persoon te zijn die de maatregel uitvoert.
• Een onafhankelijke vrijgever. Laat de persoon die de actie uitvoert niet alleen bepalen dat hij klaar is. De vrijgever beoordeelt oorzaak, bewijs en effectiviteit.
• Een beheerst register. Gebruik velden voor ID, eis, bron, eigenaar, deadline, oorzaak, actie, effectiviteitsmethode, bewijs en sluitingsbesluit. Zet die gegevens niet in één groot vrij tekstvak.
• Een bewijsstructuur. Bewaar auditrapport, analyse, besluiten, gewijzigde documenten, trainingsregistraties, steekproeven en meetresultaten met versie en datum.
• Een realistische meetperiode. Effectiviteit kun je pas beoordelen nadat het proces vaak genoeg heeft gedraaid. Een nieuwe werkinstructie die gisteren is geüpload, is nog geen bewijs dat de afwijking is opgelost.

Concrete stappen

Een audit-ready sluiting verbindt zes bewijsvragen: wat was de eis, wat ging mis, wat heb je direct beheerst, waarom kon het gebeuren, wat veranderde je en hoe weet je dat die verandering werkt? Loop de stappen in deze volgorde af. Iedere stap eindigt met een zichtbaar resultaat in je register.

1. Schrijf de afwijking als een controleerbaar feit

Open één record met een uniek nummer, bijvoorbeeld AFW-2026-014. Beschrijf drie dingen:

1. de eis waaraan niet is voldaan;
2. het bewijs waarmee je dat vaststelde;
3. de omvang van wat je daadwerkelijk hebt onderzocht.

Een goede formulering is: “In drie van twaalf gecontroleerde eindcontrole-dossiers uit juni tot en met augustus 2026 ontbreekt de tweede vrijgavecontrole die procedure INS-04 versie 3 voorschrijft.” Een zwakke formulering is: “De eindcontrole wordt niet goed uitgevoerd.”

Koppel het auditcriterium aan de observatie, maar doe niet alsof het clausulenummer zelf de oorzaak is. De norm of procedure zegt wat moet gebeuren. Je onderzoek moet nog verklaren waarom het in deze drie dossiers niet gebeurde.

Leg bij dit type dossier ook de toepasselijke clausules vast. Begin bij ISO 9001:2015 §10.2 (non-conformiteit en corrigerende actie) en koppel, afhankelijk van de observatie, §8.7 (beheersing van niet-conforme outputs), §7.5 (gedocumenteerde informatie) en §9.2 (interne audit). Voeg de concrete procedure, klantafspraak of wettelijke eis toe. Een clausulenummer zonder de feitelijke eis en gecontroleerde bron is geen auditbewijs.

Leg ook vast hoe je het vond: interne audit, klantklacht, retour, procesmeting, leveranciersmelding of certificatieaudit. Voeg het originele rapport, de steekproeflijst en eventuele foto’s of systeemexport toe. Bewaar een momentopname van het bewijs voordat iemand het record corrigeert.

Klaar wanneer: een buitenstaander de afwijking kan lokaliseren en dezelfde steekproef opnieuw kan beoordelen.

2. Beheers direct het risico en bepaal de reikwijdte

Doe eerst wat nodig is om verdere schade te voorkomen. Zet een product, dossier of proces tijdelijk op hold als vrijgave onzeker is. Controleer wat al naar een klant is gegaan. Informeer betrokkenen wanneer contract, veiligheid, wetgeving of klantbelang dat vereist. Beschrijf ook wanneer je besluit dat geen externe melding nodig is en wie dat besluit nam.

Onderzoek daarna de horizontale reikwijdte:

• dezelfde periode in andere dossiers;
• dezelfde werkinstructie op andere locaties;
• hetzelfde formulier in andere teams;
• vergelijkbare leveranciers, producten of klantorders;
• afwijkingen met een andere omschrijving maar dezelfde oorzaak.

Gebruik drie interne risiconiveaus als werkafspraak, bijvoorbeeld laag, hoog en kritiek. Leg per niveau vast wat er direct moet gebeuren, wie de beslissing neemt en hoeveel bewijs nodig is. ISO 9001 schrijft geen universele indeling “major” of “minor” voor jouw interne register voor. De betekenis van een classificatie moet uit je eigen procedure blijken.

Klaar wanneer: je een onderbouwde scope, tijdelijke maatregel en besluit over product- of klantimpact hebt vastgelegd.

3. Wijs eigenaar, reviewer en deadlines toe

Zet één naam als eigenaar op het record, niet alleen een afdeling. De eigenaar organiseert de analyse en levert bewijs. Wijs een reviewer aan die onafhankelijk genoeg is om de uitkomst kritisch te beoordelen. In een klein bedrijf kan dat de kwaliteitsverantwoordelijke of directie zijn. In een groter bedrijf kan de reviewer uit een andere ploeg of locatie komen.

Splits de planning in minimaal drie momenten:

• correctiedeadline: wanneer is het bestaande probleem beheerst;
• implementatiedeadline: wanneer zijn de structurele acties uitgevoerd;
• effectiviteitsdatum: wanneer is er genoeg nieuwe procesdata om te beoordelen of de maatregel werkt.

Maak de deadline afhankelijk van risico en blootstelling. Een ontbrekende ondertekening op een veilig intern formulier vraagt iets anders dan een fout in een vrijgave van medische producten. Zet de deadline van je certificatie-instelling apart van je interne doeldata.

Dat onderscheid is belangrijk. NQA vraagt volgens de actuele cliëntinstructie normaal om een reactie binnen 30 dagen en aanvullende objectieve bewijsvoering voor een major afwijking binnen 90 dagen, tenzij de auditor anders bepaalt. DNV noemt maximaal 90 dagen, maar laat bij minor afwijkingen onder voorwaarden een acceptabel actieplan toe waarna de implementatie later wordt geverifieerd. De deadline komt dus uit de procedure van jouw certificatie-instelling, niet uit een universele ISO 9001-regel.

Klaar wanneer: iedereen weet wie uitvoert, wie vrijgeeft, wat eerst af moet en wanneer effectiviteit beoordeeld wordt.

4. Zoek de oorzaak, niet een schuldige

Begin met de feitelijke processtap waar het misging en vraag daarna waarom die stap kon falen. Gebruik 5 Whys voor een enkelvoudige, overzichtelijke afwijking. Kies een Ishikawa-diagram, foutboomanalyse of 8D wanneer meerdere oorzaken of teams samenkomen. NQA noemt deze methoden als bruikbare technieken, maar schrijft geen specifieke methode voor. De kern is dat je analyse een onderliggende, aantoonbare systeemoorzaak oplevert.

“Een medewerker heeft het formulier niet ingevuld” is een directe oorzaak. Vraag door:

• Was de juiste instructie beschikbaar op de werkplek?
• Kon het proces worden afgesloten zonder dit veld?
• Was de medewerker aantoonbaar bekwaam?
• Was de oude versie nog in omloop?
• Was de controlefrequentie passend bij het risico?
• Kon iemand de ontbrekende stap signaleren voordat het product werd vrijgegeven?

Schrijf de oorzaak als een feitelijke zin zonder verborgen vraag. Bijvoorbeeld: “De vrijgaveworkflow accepteerde de oude formulier-versie en had geen verplichte tweede controle; het wijzigingsproces verwijderde papieren exemplaren niet.” Onderbouw elke schakel met een observatie, logregel, interview, documentversie of steekproef.

Controleer ten slotte of er meer dan één oorzaak is. Een ontbrekende training kan tegelijk voortkomen uit een slechte instructie, een ontbrekende trigger bij functiewijziging en een planning zonder eigenaar. Eén oorzaakzin die alles op “menselijke fout” schuift, is meestal een uitgestelde herhaling.

Klaar wanneer: de oorzaak door bewijs wordt gedragen en de voorgestelde actie die oorzaak rechtstreeks kan wegnemen.

5. Ontwerp een corrigerende actie met acceptatiecriteria

Vertaal de oorzaak naar een verandering in het proces. Schrijf per actie wat er verandert, wie het uitvoert, welke middelen nodig zijn, wanneer het klaar is en welk bewijs je verwacht.

Voorbeelden:

• maak een oud formulier onbeschikbaar en publiceer één beheerde versie;
• voeg een verplichte tweede goedkeuring toe aan de digitale vrijgave;
• wijzig de inwerkchecklist zodat een nieuwe medewerker automatisch een trainingstaak krijgt;
• herzie de leverancierscontrole en neem de ontbrekende productspecificatie op;
• pas het auditprogramma aan zodat het proces na een wijziging opnieuw wordt gecontroleerd.

Voeg altijd een horizontale controle toe. Vraag waar dezelfde oorzaak nog kan bestaan. Een actie die alleen het ene dossier herstelt, is een correctie. Een actie die de werkwijze, toegang, instructie of controle verandert, is corrigerend.

Maak de acceptatiecriteria meetbaar. “Medewerkers zijn geïnstrueerd” is vaag. “Alle zes gebruikers van de eindcontrole hebben de nieuwe instructie gelezen, de korte praktijktoets gehaald en werken vanaf 1 oktober uitsluitend met formulier INS-04 v4” is controleerbaar. Bewaar de deelnemerslijst, toetsuitkomst en versie van het gebruikte materiaal.

Klaar wanneer: een reviewer vooraf kan zien welk resultaat voldoende is om implementatie te accepteren.

6. Voer de wijziging uit en bouw het bewijs meteen op

Voer acties uit in de operationele omgeving en registreer het bewijs terwijl je werkt. Werk niet achteraf een sluitingsformulier bij uit je geheugen.

Bewijs kan bestaan uit:

• een goedgekeurde documentversie met wijzigingshistorie;
• een systeeminstelling of workflowversie;
• een trainingsrecord met datum en deelnemer;
• een lijst van gecontroleerde dossiers en de uitkomst per dossier;
• een besluit over geblokkeerde of vrijgegeven producten;
• een leveranciersreactie of contractwijziging;
• een foto van de fysieke aanpassing;
• een auditlog met wie, wanneer en wat heeft gewijzigd.

Een map met bestanden is alleen bruikbaar als de relatie met de afwijking duidelijk blijft. Geef bewijs een vaste naam, bijvoorbeeld AFW-2026-014-03-INS04-v4.pdf, en zet in het register waarom dit bestand relevant is. Gebruik versiebeheer in SharePoint, je QMS of de gekozen documentopslag. Laat een losse, overschrijfbare spreadsheet niet de enige geschiedenis zijn.

Als meldingen of taken automatisch verlopen, test dan ook de uitzonderingen. Een herinnering die alleen afgaat bij het aanmaken van een record, mist een deadline die later wordt gewijzigd. Test een wijziging, een verlopen taak, een afwezige eigenaar en een record dat opnieuw wordt geopend.

Klaar wanneer: elke actie een controleerbaar bewijsstuk heeft en de nieuwe werkwijze in de echte omgeving actief is.

7. Controleer effectiviteit met een vooraf gekozen test

Effectiviteit is de vraag of de oorzaak is weggenomen, niet of het nieuwe document bestaat. Kies vóór de test:

• periode: bijvoorbeeld de eerste vier weken na invoering;
• populatie: alle dossiers of een representatieve steekproef;
• maatstaf en steekproefplan: bijvoorbeeld 20 van 20 dossiers met een geldige tweede controle;
• grens: wat is een herhaling, wat is een incident en wanneer faalt de actie;
• onderbouwing: leg de populatie vast en motiveer census of steekproefomvang, selectie en faalgrens vanuit risico, procesvolume, variatie, eerdere afwijkingen en de gevolgen van een fout;
• reviewer: iemand die niet zelf alle acties uitvoerde.

Een documentwijziging is implementatiebewijs. Een reeks correcte procesuitkomsten is effectiviteitsbewijs. 20/20 is hier alleen een voorbeeld, geen ISO-regel. Bepaal eerst de volledige populatie. Kies daarna risicogestuurd tussen een volledige controle en een steekproef, onderbouw de omvang en leg vooraf vast welke foutgrens de actie laat falen. Een kleine, homogene populatie met hoge gevolgen kan een census rechtvaardigen; een grote of variabele populatie vraagt een steekproefplan dat je risico, volume, eerdere afwijkingen en gewenste zekerheid uitlegt. Als je een nieuwe controle toevoegt, beoordeel dan ook of mensen hem werkelijk gebruiken en of hij het risico afvangt. Als de afwijking terugkomt, heropen je het record, verruim je de oorzaak en plan je een nieuwe actie.

De ISO 9001 Auditing Practices Group beschrijft interne audits als feedbackmechanisme voor het management en adviseert de auditplanning te richten op processen met meer risico of eerdere afwijkingen. De APG-notitie van 19 juli 2020 is informele guidance, geen extra auditeis, maar het principe past precies bij deze stap: gebruik eerdere afwijkingen om je volgende audit te richten.

Klaar wanneer: de testdata de vooraf bepaalde grens haalt en de reviewer uitlegt waarom dat bewijs de oorzaak adresseert.

8. Sluit met menselijke vrijgave en een complete keten

De kwaliteitsverantwoordelijke of aangewezen reviewer leest het dossier van boven naar beneden. Controleer:

• klopt de oorspronkelijke eis;
• is de scope onderzocht;
• is de correctie uitgevoerd;
• is de oorzaak onderbouwd;
• passen de acties bij de oorzaak;
• zijn wijzigingen en trainingen aantoonbaar;
• is effectiviteit werkelijk gemeten;
• zijn risico’s, klantimpact en vervolg-audits bijgewerkt?

Zet daarna een sluitingsbesluit met datum, naam, rol en korte motivering. “Akkoord” is te weinig. Schrijf bijvoorbeeld: “Op 31 oktober 2026 is AFW-2026-014 gesloten. De 20 dossiers uit de afgesproken controleperiode bevatten allemaal de verplichte tweede vrijgavecontrole. De oude formulier-versie is niet meer aangetroffen. De kwaliteitsmanager heeft de wijziging, steekproef en trainingsregistraties beoordeeld.”

Een certificatieauditor kan je eigen sluiting later alsnog ter discussie stellen. Dat is geen probleem, zolang je besluit navolgbaar is en je niet doet alsof een ondertekend formulier op zichzelf effectiviteit bewijst.

Als je deze keten structureel moet uitvoeren, zie je snel hoeveel werk er achter één vinkje zit. Ik ontwerp en bouw workflows waarin eigenaar, deadline, bewijs en effectiviteitscontrole bij elkaar blijven, zodat je kwaliteitsproces niet afhankelijk is van losse herinneringen.

Valkuilen

De correctie krijgt een mooiere naam

Een verkeerd dossier opnieuw controleren, een product repareren of een formulier alsnog ondertekenen maakt de afwijking kleiner. Het verklaart niet waarom het kon gebeuren. Zet correctie en corrigerende actie naast elkaar in je register. Als de tweede kolom leeg blijft, ben je nog niet klaar.

“Menselijke fout” wordt het eindpunt

Mensen maken fouten. Dat is geen bruikbare systeemoorzaak zolang je niet weet waarom de fout niet werd voorkomen of ontdekt. Kijk naar instructie, ontwerp, training, werkdruk, bevoegdheden, toezicht en de mogelijkheid om een stap over te slaan. Een actie als “medewerker opnieuw informeren” werkt alleen als je kunt aantonen dat kennis het echte probleem was.

De scope blijft bij het gevonden dossier

Een auditor vindt één afwijkend record, waarna het team alleen dat record repareert. Controleer dezelfde periode en dezelfde werkwijze op andere plekken. Bij een multisite-organisatie moet je expliciet beslissen of de oorzaak lokaal is of in het centrale systeem zit. NQA waarschuwt dat terugkerende bevindingen op meerdere locaties kunnen wijzen op een organisatiebreed systeemprobleem, met een zwaardere corrigerende actie als gevolg.

De deadline wordt verward met effectiviteit

Een actie kan op tijd zijn uitgevoerd en toch niet werken. Zet daarom implementatiedatum en effectiviteitsdatum apart. “De instructie is op 10 september aangepast” zegt niets over de dossiers die daarna zijn verwerkt.

Een screenshot wordt bewijs van werking

Een screenshot bewijst dat een instelling bestond toen je hem maakte. Het bewijst niet dat iedereen hem gebruikt of dat het risico verdwenen is. Combineer configuratiebewijs met procesdata, interviews, observaties of een gerichte interne audit.

De eigenaar heeft geen macht

Een kwaliteitsmedewerker krijgt een record toegewezen, maar de productieplanning, IT-toegang of budgetbeslissing ligt elders. De deadline schuift dan vanzelf op. Wijs een eigenaar toe die de actie kan organiseren en escalatie kan starten. Zet de directie in beeld bij risico’s die niet binnen één team oplosbaar zijn.

Een universele termijn wordt gekopieerd

“ISO geeft 90 dagen” is een populaire maar onjuiste verkorting. De ISO-eis gaat over reageren, oorzaak beoordelen, handelen, effectiviteit beoordelen en bewijs bewaren. De precieze termijnen en wijze van verificatie staan in de afspraken met je certificatie-instelling. Bewaar die afspraken bij het auditdossier.

De geschiedenis is overschreven

Een record krijgt de status gesloten en de oorspronkelijke tekst wordt vervangen door de eindoplossing. Daarmee verlies je precies de tijdlijn die je later nodig hebt. Gebruik statuswijzigingen, versies en een append-only activiteitenlog. Heropenen moet een nieuwe gebeurtenis zijn, geen stil herstel van oude tekst.

De reviewer keurt zijn eigen werk goed

In een klein team is volledige organisatorische onafhankelijkheid soms onmogelijk. Leg dan vast hoe je het risico beperkt: een tweede persoon controleert de steekproef, de directie tekent kritieke dossiers of een externe auditor doet de effectiviteitscheck. Transparantie over die keuze is sterker dan doen alsof er geen belangenconflict bestaat.

Beslis-kader: spreadsheet, QMS of maatwerk

De juiste registratie hangt niet af van je certificaat alleen. Kijk naar vier assen:

1. Volume: hoeveel afwijkingen, klachten en acties ontstaan er per maand?
2. Verspreiding: werk je op één locatie of met meerdere teams en sites?
3. Gevolgen: raakt een fout veiligheid, wetgeving, klantvrijgave of traceerbaarheid?
4. Keten: komt de afwijking uit één formulier, of moet zij gegevens ophalen uit ERP, CRM, planning en documentbeheer?

Voor een klein team met weinig afwijkingen kan een beheerde lijst plus documentbibliotheek voldoende zijn. Je hebt dan vooral een goede werkwijze, toegangsbeheer, versiehistorie en menselijke vrijgave nodig. Een spreadsheet is geen probleem omdat hij simpel is. Hij wordt een probleem zodra deadlines, versies en bewijs alleen nog in het hoofd van de kwaliteitsmanager bestaan.

Een organisatie met meerdere locaties, veel CAPA’s, auditplannen, inspecties en documentversies heeft meestal meer aan een QMS. Op de actuele ISO 9001-pagina van Qooling noemt de aanbieder CAPA- en taakbeheer, NCR- en issuemanagement, auditbeheer, documentbeheer, risicobeheer en due dates. De aanbieder werkt met een demo en een offerte, dus behandel de prijs als maatwerk en vergelijk vooral de export, bewaartermijn, rollen en auditgeschiedenis.

Een integratielaag is logisch wanneer je afwijking automatisch moet ontstaan uit een klacht in je CRM, een blokkade in je ERP of een mislukte controle in je productieapplicatie. n8n rekent op de actuele cloudplannen per volledige workflow-uitvoering. Het Starter-plan kost 20 euro per maand bij jaarlijkse betaling en bevat 2.500 uitvoeringen met onbeperkt aantal stappen. De gratis self-hosted Community-editie bestaat ook, maar mist onder meer projecten, delen van workflows, SSO en Git-versiebeheer. De actuele n8n-documentatie benoemt die grenzen expliciet.

Gebruik voor de keuze deze korte route:

De keuzehulp verandert niets aan de beslisregel. Begin met een lijst en documentbibliotheek als de complexiteit laag is. Kies een QMS als rollen, sites, audits en bewijsbeheer de kern worden. Laat een eigen workflow bouwen als de afwijking onderdeel is van een langere gegevensketen. Koop geen software om een onduidelijke sluitingsprocedure te verbergen.

Uitgewerkt praktijkgeval: Universitas Negeri Semarang

Een echte casus met een volledig openbaar CAPA-dossier is zeldzaam: organisaties publiceren hun oorzaakanalyse en effectiviteitsbewijs meestal niet. Daarom gebruik ik hier een openbare SGS-surveillancerapportage over Universitas Negeri Semarang als praktijkgeval. Het rapport is gedateerd 19 februari 2014 en beschrijft audits van 17 tot en met 19 februari 2014 tegen ISO 9001:2008 en IWA 2:2007. Het noemt job-ID-2845, document GS0304, issue 15, 1770 medewerkers in de scope en zes minor non-conformities, tegenover nul major. De editie is verouderd; de casus laat dus de bewijslogica zien, niet de actuele normstatus. In het openbaar gedeelde SGS-auditrapport staan de bevindingen en de vervolgverwachting.

Wat het rapport daadwerkelijk laat zien

De scope omvatte curriculum- en lesmateriaal en bacheloronderwijs in acht faculteiten, plus ondersteunende functies. De eerste van de zes bevindingen beschrijft terugkeer in meerdere opleidingen. Zo was Form-02-AKD-19 Rev. 01, uitgegeven op 1 september 2013, voor een calculus-examen van 8 januari 2014 niet gevalideerd. Het rapport vermeldt ook dat verschillende opleidingen het vorige SGS-auditrapport niet hadden ontvangen en dat de interpretatie van validatie bij upload in SIKADU verschilde.

Een andere bevinding, nummer 3 van 6, legt vast dat in een bibliotheek slechts twee van zes ventilatoren normaal functioneerden en dat tijdens het bezoek geen brandblusser was geplaatst. Bevinding nummer 4 meldt bovendien dat een eerdere bevinding, nummer 6 van 9, niet adequaat kon worden gesloten en daarom opnieuw als minor non-conformity werd beschreven. Dat is precies het soort herhaling waarvoor een oppervlakkige correctie tekortschiet.

Zo maak je deze casus audit-ready

1. Open het record met de bronidentiteit. Leg vast: Universitas Negeri Semarang, SGS, job-ID-2845, document GS0304, issue 15, audit 17-19 februari 2014, de normeditie uit het rapport en “minor 1 van 6” als bevinding-ID. Bewaar de pagina’s met de zes bevindingen, de scope en de eerdere bevinding. Zo kan een reviewer dezelfde observaties terugvinden.

2. Beperk de scope niet tot één formulier. Controleer de acht genoemde faculteiten en de ondersteunende functies op dezelfde validatieregel, dezelfde SIKADU-workflow en verspreide oude procedures. Neem voor de bibliotheekbevinding ook onderhoudsregistraties en brandveiligheidsvoorzieningen mee. Dit is een opvolgplan op basis van de gepubliceerde bevindingen, geen bewering dat deze controle later zo is uitgevoerd.

3. Schrijf de oorzaak nog niet als vaststaand feit. Het openbare rapport publiceert geen volledige oorzaakanalyse of sluitingsbewijs. Schrijf daarom niet dat “slechte communicatie” de oorzaak was. Verifieer eerst de distributielog van het auditrapport, de actuele procedure, de versie-instellingen in SIKADU en de beheersing van fysieke kopieën. Markeer de oorzaak als voorlopig totdat observaties, interviews of logregels haar dragen.

4. Leg corrigerende acties vast als voorstel, niet als historische uitkomst. Een passende opvolging zou één beheerde validatieregel in SIKADU kunnen afdwingen, procedure PM-akD-06 Rev. 01 kunnen intrekken waar die niet meer geldt, de verspreiding van auditrapporten kunnen registreren en onderhouds- en brandveiligheidscontroles aan een eigenaar kunnen koppelen. Noteer per actie de eigenaar, deadline, versie en acceptatiecriterium. Deze maatregelen zijn een hedendaagse toepassing van de bevindingen, niet een reconstructie van wat Universitas Negeri Semarang aantoonbaar heeft gedaan.

5. Kies de effectiviteitstest vóór uitvoering. Definieer de populatie van opleidingen, documenten en faciliteiten in de scope. Kies een census of risicogestuurde steekproef en leg omvang en faalgrens vast voordat je test. Controleer bijvoorbeeld opnieuw validatiebewijzen, oude versies, distributieregistraties, onderhoudsstatus en de herhaling van eerdere bevindingen. Het openbare rapport bevat geen uitkomsten van zo’n test, dus schrijf niet dat deze casus gesloten is.

6. Sluit alleen met gepubliceerd of intern bewijs. Voor sluiting heb je een gedragen oorzaak, uitgevoerde acties, effectiviteitsdata en een gemotiveerde vrijgave nodig. Deze openbare casus bewijst wel hoe concrete auditobservaties eruitzien en waarom herhaling moet worden onderzocht, maar bewijst niet dat de organisatie de corrigerende acties effectief heeft afgerond. Houd dat onderscheid zichtbaar in je eigen auditdossier.

Vergelijkingstabel: waar leg je het sluitingsproces vast?

Prijzen en productdetails hieronder zijn gecontroleerd op 14 september 2026. Microsoft 365 Business Basic staat op de Nederlandse prijspagina op 6,07 euro per gebruiker per maand bij jaarlijkse betaling, exclusief btw. Een licentie is geen kwaliteitsbewijs. De tabel vergelijkt alleen de praktische registratie- en automatiseringslaag.

Microsoft Lists kan zonder maatwerk al een eenvoudige meldlaag vormen. De lijstregels kunnen iemand waarschuwen bij een gewijzigde kolom, nieuwe waarde of naderende datum. Voor complexere vertakkingen kun je Power Automate gebruiken. De SharePoint-connector ondersteunt een trigger bij aanmaken of wijzigen en kan met versiebeheer bepalen welke kolommen veranderden. Microsoft waarschuwt ook dat zo’n flow in de praktijk meestal binnen enkele minuten draait en niet noodzakelijk direct. Plan daarom een echte controle op gemiste of vertraagde meldingen.

Een eenvoudige start is vaak verstandig. Als je proces na drie maanden nog steeds stukloopt op koppelingen, rollen, terugkerende uitzonderingen of bewijs uit meerdere systemen, heb je een concreet argument voor een QMS of maatwerkworkflow. Een eerder gemaakte keuze voor één afgebakende automatiseringsworkflow helpt om die grens te meten in plaats van op gevoel te bepalen.

Wat een gesloten afwijking echt bewijst

Een gesloten afwijking is geen groen vinkje. Het is een controleerbare redenering van eis naar feit, van feit naar oorzaak, van oorzaak naar verandering en van verandering naar gemeten resultaat. Het certificaat krijgt pas inhoud wanneer die redenering zich bij ieder nieuw probleem herhaalt. Vraag daarom bij elke vrijgave: welk bewijs zou een kritische lezer over zes maanden nodig hebben om dit besluit te begrijpen?