ISO 42001 certificering: audit voorbereiden - stage 1 en stage 2.
De ISO 42001-certificeringsaudit bestaat uit twee fasen: stage 1 toetst in 1 tot 2 dagen de documentatie en stage 2 in 2 tot 4 dagen de werking van het AI Management System. Tussen beide fasen zit een gap-periode van 1 tot 3 maanden om bevindingen op te lossen; het certificaat is daarna 3 jaar geldig met jaarlijkse surveillance-audits. Reken voor MKB 5-250 FTE op 6 tot 12 maanden voorbereiding, of 4 tot 6 maanden met een bestaande ISO 27001- of 9001-certificering. Deze gids geeft de documentchecklist, de tijdlijn en een readiness-checklist van 42 punten.
Wat betekent ISO 42001 certificering?
ISO 42001:2023 is de eerste internationale standaard voor AI Management Systems (AIMS). Een certificering bewijst dat jouw organisatie AI-systemen beheerst volgens een erkend kader: van risicomanagement en data-governance tot menselijk toezicht en continue verbetering. Het certificaat wordt uitgereikt door een geaccrediteerd certificeringsinstituut (Certification Body, CB) na een succesvolle externe audit in twee fasen: stage 1 en stage 2.
Voor MKB-organisaties die AI inzetten voor klanten, in producten of in interne processen, biedt ISO 42001-certificering drie concrete voordelen. Ten eerste: vertrouwen bij klanten en partners. Een certificaat toont aan dat je AI niet ad hoc inzet maar structureel beheert. Ten tweede: voorbereiding op de AI Act. De EU AI Act (van kracht sinds augustus 2024, met verplichtingen die gefaseerd ingaan tot 2027) vraagt om aantoonbaar AI-risicomanagement. ISO 42001 biedt hiervoor een erkend kader. Ten derde: operationele verbetering. Het implementatieproces dwingt je om processen, rollen en documentatie op orde te brengen wat direct waarde oplevert, ook zonder certificaat.
Wie certificeert?
Certificering wordt uitgevoerd door een Certification Body (CB) die geaccrediteerd is door een nationaal accreditatie-orgaan dat lid is van het International Accreditation Forum (IAF). In Nederland is dat de Raad voor Accreditatie (RvA). Bekende CB's met ISO 42001-scope zijn onder andere BSI, TUV (Rheinland en SUD), DNV, Bureau Veritas, LRQA en NEN-geaccrediteerde partijen. Niet elke CB heeft al auditoren met voldoende AI-kennis; controleer dit expliciet bij je offerteaanvraag.
De certificeringsaudit bestaat uit twee onderscheiden fasen die je apart moet voorbereiden. Stage 1 richt zich op documentatie en gereedheid; stage 2 op implementatie en effectiviteit. Tussen beide fasen zit een periode om bevindingen op te lossen. Na certificering volgen jaarlijkse surveillance-audits en een hercertificering in jaar 3. In deze gids behandelen we elke fase in detail, met specifieke aandacht voor wat MKB-organisaties kunnen verwachten.
Voor achtergrond bij de norm zelf, zie onze uitleg van ISO 42001. Voor het opzetten van het AIMS voorafgaand aan certificering, zie de implementatiegids.
Stage 1 versus stage 2: twee audits, twee doelen.
De certificeringsaudit is opgebouwd uit twee fasen met elk een eigen focus. Hieronder de kernverschillen op een rij.
- AIMS-scope en toepassingsgebied beoordelen
- AI-beleid en risicoanalyse controleren
- Statement of Applicability (SoA) reviewen
- Interne auditresultaten en management review checken
- Procesgedocumenteerde informatie toetsen
- Gereedheid voor stage 2 vaststellen
- Bevindingen en aandachtspunten rapporteren
- Alle AIMS-clauses (4-10) toetsen op werking
- Annex A-controls in de praktijk verifiëren
- Interviews met medewerkers op alle niveaus
- Bewijs van operationele AI-processen controleren
- Corrective actions uit stage 1 verifiëren
- Effectiviteit van risicomanagement beoordelen
- Certificeringsbesluit nemen
Tussen stage 1 en stage 2 zit een gap-periode van 1-3 maanden waarin je bevindingen oplost. Na succesvolle stage 2 wordt het certificaat uitgegeven, geldig voor 3 jaar met jaarlijkse surveillance.
Typisch voorbereidingspad: 6-12 maanden tot certificaat.
Onderstaande tijdlijn gaat uit van een MKB-organisatie zonder bestaand ISO-managementsysteem. Met bestaande ISO 27001 of 9001 kun je 2-4 maanden besparen.
De documentatiereview: wat de auditor toetst.
De stage 1 audit is primair een bureaubeoordeling. De lead auditor ontvangt je documentatiepakket vooraf en besteedt 1-2 dagen aan een review, al dan niet aangevuld met een kort bezoek of videocall. Het doel is drieledig: vaststellen dat de documentatie compleet is, beoordelen of het AIMS logisch opgebouwd is, en bepalen of de organisatie klaar is voor stage 2.
Wat de auditor concreet controleert
- AIMS-scope (Clause 4.3): Is het toepassingsgebied helder afgebakend? Welke AI-systemen, afdelingen en locaties vallen eronder? Is de afbakening verdedigbaar of worden relevante systemen uitgesloten zonder goede reden?
- AI-beleid (Clause 5.2): Is er een door directie goedgekeurd AI-beleid dat aansluit bij de strategische richting? Bevat het beleid commitment aan continue verbetering, naleving van wettelijke eisen en verantwoord AI-gebruik?
- Risicoanalyse (Clause 6.1): Is er een gedocumenteerde risico-methodiek? Zijn risico's per AI-systeem geidentificeerd, beoordeeld en voorzien van behandelplan? Sluit de methodiek aan bij de aard en omvang van de organisatie?
- AI Impact Assessments (Annex A.5): Zijn er impact-assessments uitgevoerd voor alle AI-systemen in scope? Dekken deze de impact op individuen, groepen, rechten en maatschappij?
- Statement of Applicability (SoA): Zijn alle 38 Annex A-controls beoordeeld op toepasbaarheid? Zijn uitsluitingen onderbouwd? Verwijst de SoA naar implementatiestatus en bijbehorende procedures?
- Interne audit (Clause 9.2): Is er een interne audit uitgevoerd die het volledige AIMS dekt? Zijn bevindingen gedocumenteerd met corrective actions? Is er een auditplan en zijn auditoren onafhankelijk van de geauditeerde processen?
- Management review (Clause 9.3): Zijn er notulen van minimaal een management review? Zijn alle verplichte inputs behandeld (auditstatus, risicostatus, doelstellingen, klachten, verbetermaatregelen)? Zijn outputs vastgelegd met acties en verantwoordelijken?
- Competentie-records (Clause 7.2): Zijn er records die aantonen dat medewerkers met AIMS-verantwoordelijkheden competent zijn? Denk aan trainingsregistraties, certificaten, functieprofielen met competentie-eisen.
- Gedocumenteerde informatie (Clause 7.5): Is er een structuur voor documentbeheer met versiebeheer, goedkeuringsprocedure en toegangsrechten? Zijn alle verplichte records identificeerbaar en opvraagbaar?
Typische duur voor MKB
Voor een MKB-organisatie met 10-250 FTE duurt stage 1 doorgaans 1-2 auditdagen. Bij een compacte scope (1-3 AI-systemen, een locatie) volstaat vaak 1 dag. Bij bredere scope (meerdere AI-systemen, meerdere locaties of afdelingen) is 2 dagen realistischer. De auditor kan een deel van de review vooraf doen op basis van aangeleverde documentatie, waardoor de tijd op locatie beperkt blijft.
Veelvoorkomende bevindingen in stage 1
Op basis van ervaringen met ISO-managementsysteemaudits en de eerste golf van ISO 42001-certificeringen zien we terugkerende thema's.
- Onvolledige SoA: Controls uitgesloten zonder onderbouwing, of de SoA mist verwijzingen naar implementatie-evidence. Oplossing: elke regel in de SoA voorzien van reden, status en documentverwijzing.
- Risicoanalyse te generiek: Risico's beschreven op organisatieniveau in plaats van per AI-systeem. De auditor wil zien dat je per systeem hebt nagedacht over specifieke AI-risico's zoals bias, hallucinaties, verkeerde automatisering. Oplossing: risico-register per AI-systeem met concrete scenario's.
- Interne audit te oppervlakkig: Alleen documentatie gecontroleerd, niet de werking. Of de interne auditor is niet onafhankelijk van het geauditeerde proces. Oplossing: gebruik een gekwalificeerde interne auditor (of huur extern in) en toets ook operationele effectiviteit.
- Management review incompleet: Niet alle verplichte inputs behandeld, of outputs missen concrete acties met eigenaar en deadline. Oplossing: gebruik een standaard management review agenda die alle vereiste punten afdekt.
- AI-systeeminventaris onvolledig: Niet alle AI-systemen in scope gedocumenteerd, of classificatie (risico, eigenaar, status) ontbreekt. Oplossing: volledige inventarisatie met per systeem minimaal: naam, doel, eigenaar, risiconiveau, status, laatste review.
- Competentie-records ontbreken: Geen aantoonbare link tussen rol-eisen en opleidingsrecords. Oplossing: per AIMS-rol vastleggen welke competenties nodig zijn en hoe deze zijn verkregen (training, ervaring, certificering).
Het stage 1 rapport bevat bevindingen gecategoriseerd als nonconformiteit (must fix) of observatie/opportunity for improvement (aanbeveling). Alle nonconformiteiten moeten voor stage 2 zijn opgelost. De auditor sluit af met een uitspraak over de gereedheid voor stage 2.
Gap-closure: bevindingen oplossen en bewijs verzamelen.
Na stage 1 ontvang je een rapport met bevindingen. De periode tussen stage 1 en stage 2 is je kans om gaten te dichten. De meeste CB's hanteren een periode van maximaal 6 maanden tussen stage 1 en stage 2, maar voor MKB is 1-3 maanden de typische doorlooptijd. Wacht niet te lang: als er meer dan 6 maanden verstrijkt, moet stage 1 mogelijk opnieuw worden uitgevoerd.
Stap 1: Bevindingen prioriteren
Categoriseer de bevindingen uit het stage 1 rapport. Nonconformiteiten (NC's) zijn verplicht op te lossen voor stage 2. Observaties zijn aanbevelingen; het is verstandig ze mee te nemen maar niet verplicht. Wijs per NC een eigenaar toe met een deadline die ruim voor stage 2 valt. Plan een korte wekelijkse check op voortgang.
Stap 2: Corrective actions implementeren
Voor elke NC doorloop je het standaard corrective action proces: root cause analyse (waarom bestaat deze afwijking?), correctieve maatregel (wat passen we aan?), implementatie (voer de aanpassing door), verificatie (controleer of de maatregel werkt). Documenteer elke stap in je corrective action register. De auditor wil dit register zien tijdens stage 2.
Stap 3: Evidence verzamelen
Verzamel concreet bewijs dat de corrective actions zijn doorgevoerd en effectief zijn. Denk aan: bijgewerkte documenten met versienummers, screenshots van systeem-configuraties, trainingsregistraties, notulen van overleggen, outputs van monitoring-tools. Organiseer het bewijs zo dat het per NC of per clause snel opvraagbaar is. Een evidence-map (Excel of Notion-tabel die per clause/control naar bewijs verwijst) bespaart veel tijd tijdens stage 2.
Stap 4: Beperkte her-audit
Als er veel of fundamentele NC's waren, overweeg een beperkte interne her-audit op de probleemgebieden voor je stage 2 ingaat. Dit geeft zekerheid dat de corrective actions daadwerkelijk werken en voorkomt verrassingen tijdens de externe audit.
De implementatie-audit: van papier naar praktijk.
Stage 2 is de operationele kern van de certificeringsaudit. De auditor komt op locatie en beoordeelt of het AIMS niet alleen gedocumenteerd is, maar ook daadwerkelijk functioneert. Dit gebeurt door een combinatie van documentcontrole, interviews met medewerkers, observatie van processen en steekproeven op bewijs.
Wat de auditor toetst per clause
- Clause 4 (Context): Snapt de organisatie haar eigen context? Worden belanghebbenden actief betrokken? Is de scope nog actueel? De auditor vraagt management naar externe en interne factoren die het AIMS beinvloeden.
- Clause 5 (Leiderschap): Toont directie betrokkenheid? Kennen medewerkers het AI-beleid? Zijn rollen en verantwoordelijkheden helder en bemand? De auditor interviewt directie en vraagt naar concrete voorbeelden van leiderschap.
- Clause 6 (Planning): Worden risico's actief beheerd? Zijn doelstellingen meetbaar en gevolgd? Zijn AI Impact Assessments uitgevoerd en bijgewerkt? De auditor controleert het risico-register op actualiteit en vraagt risk-owners naar hun werkwijze.
- Clause 7 (Ondersteuning): Zijn middelen voldoende? Zijn medewerkers competent en bewust? Functioneert documentbeheer? De auditor controleert trainingsrecords, communicatie-uitingen en vraagt medewerkers naar hun AIMS-kennis.
- Clause 8 (Uitvoering): Werken de operationele processen? Worden AI-systemen beheerst ontwikkeld, ingekocht en ingezet? Is er controle op uitbestede AI-activiteiten? De auditor volgt een AI-systeem door de levenscyclus en controleert of procedures worden gevolgd.
- Clause 9 (Evaluatie): Wordt er gemonitord? Is de interne audit deugdelijk? Is de management review effectief? De auditor reviewt monitoring-data, auditrapport en management review notulen.
- Clause 10 (Verbetering): Worden nonconformiteiten opgelost? Is er aantoonbare continue verbetering? De auditor zoekt naar een patroon van leren en verbeteren, niet alleen reageren op problemen.
Annex A-controls in de praktijk
Naast de clauses toetst de auditor de Annex A-controls die in de SoA als van toepassing zijn gemarkeerd. Per control zoekt de auditor bewijs van implementatie en effectiviteit. Voorbeelden:
- A.4 Middelen: Is er een actueel AI-register? Zijn data-assets gedocumenteerd? Zijn compute-resources voldoende?
- A.5 Impact Assessment: Zijn assessments per systeem uitgevoerd? Worden ze bijgewerkt bij wijzigingen?
- A.6 Levenscyclus: Is er een development/deployment-procedure? Wordt deze gevolgd? Bewijs van versioning, testing, validatie?
- A.7 Data: Is data-kwaliteit geborgd? Zijn herkomst en governance gedocumenteerd? Hoe ga je om met bias in trainingsdata?
- A.8 Stakeholders: Is er documentatie voor gebruikers van AI-systemen? Is uitlegbaarheid geborgd? Functioneert incident-rapportage?
- A.9 Gebruik: Wordt AI alleen ingezet voor het bedoelde doel? Hoe wordt misbruik voorkomen?
Typische duur voor MKB
Stage 2 duurt voor MKB doorgaans 2-4 auditdagen op locatie. Bij een compacte scope (1-3 AI-systemen, een afdeling) is 2 dagen haalbaar. Bij bredere scope of meerdere locaties is 3-4 dagen realistischer. De auditor stelt vooraf een auditplan op dat je ontvangt, zodat je weet welke medewerkers wanneer beschikbaar moeten zijn.
Veelvoorkomende bevindingen in stage 2
- Medewerkers kennen het beleid niet: Het AI-beleid bestaat op papier, maar bij interviews blijkt dat medewerkers het niet kennen of niet weten wat het betekent voor hun dagelijks werk. Oplossing: bewustzijnssessies, beleid toegankelijk communiceren, praktische samenvatting per team.
- Monitoring niet operationeel: Er is een monitoring-opzet beschreven maar die draait niet, of de output wordt niet actief beoordeeld. Oplossing: monitoring aantoonbaar inrichten en periodiek reviewen, met bewijs van acties op basis van monitoring-output.
- Corrective actions niet afgerond: NC's uit interne audit of stage 1 zijn niet volledig opgelost of missen verificatie. Oplossing: sluit elke CA formeel af met verificatie van effectiviteit.
- AI Impact Assessment verouderd: Assessment is gedaan bij implementatie maar niet bijgewerkt na wijzigingen in het AI-systeem. Oplossing: trigger voor herbeoordeling bij significante wijzigingen vastleggen in procedure.
- Data-governance gebrekkig: Trainingsdata of inputdata niet traceerbaar, geen data-kwaliteitscontroles. Oplossing: dataflows documenteren per AI-systeem, kwaliteitscontroles inrichten en vastleggen.
Na de stage 2 audit
De auditor stelt een stage 2 rapport op met bevindingen. Bij geen major NC's en alleen minor NC's of observaties: het audit-team doet een positieve aanbeveling voor certificering. De CB beoordeelt het rapport en geeft het certificaat uit, doorgaans binnen 2-4 weken na de audit. Bij minor NC's krijg je 90 dagen om deze op te lossen en bewijs te leveren. Bij major NC's is een vervolgbezoek nodig voordat het certificaat kan worden uitgegeven.
Alle documenten die je nodig hebt voor de audit.
ISO 42001 vereist circa 30-35 documenten en records voor een compleet AIMS. Hieronder gegroepeerd per thema met een visueel overzicht.
- AIMS-scope document (Clause 4.3)
- Context van de organisatie (Clause 4.1-4.2)
- AI-beleid goedgekeurd door directie (Clause 5.2)
- AIMS-doelstellingen en plannen (Clause 6.2)
- Rollen, verantwoordelijkheden en bevoegdheden (Clause 5.3)
- RACI-matrix voor AIMS-processen
- Procedure voor gedocumenteerde informatie (Clause 7.5)
- Risico-beoordelingsmethodiek (Clause 6.1)
- Risico-register per AI-systeem
- Risico-behandelplan met mitigaties
- AI Impact Assessments per systeem (Annex A.5)
- Statement of Applicability (SoA)
- Risico-acceptatie criteria en -tolerantie
- AI-systeeminventaris / register
- Per systeem: doel, eigenaar, risiconiveau, status
- Data-governance beleid (Annex A.7)
- Data-kwaliteitsprocedures per systeem
- Data-herkomst en traceerbaarheidsdocumentatie
- AI-levenscyclus procedures (Annex A.6)
- Documentatie voor AI-systeemgebruikers (Annex A.8)
- Operationeel planningsprocedure (Clause 8.1)
- Procedure AI-ontwikkeling / -inkoop
- Procedure AI-deployment en -monitoring
- Procedure voor uitbestede AI-activiteiten
- Communicatieprocedure intern en extern (Clause 7.4)
- Incident-management procedure voor AI
- Competentie-eisen per AIMS-rol (Clause 7.2)
- Trainingsregistraties en opleidingsplan
- AI-awareness programma (Clause 7.3)
- Human-oversight procedure per AI-systeem (A.9)
- Intern auditprogramma en -plan (Clause 9.2)
- Intern auditrapport met bevindingen
- Management review notulen (Clause 9.3)
- Corrective action register (Clause 10.1)
- Monitoring- en meetresultaten (Clause 9.1)
- Continue verbeteringsplan
Totaal: 36 documenten en records. Voor MKB kan documentatie compact worden gehouden; kwaliteit en bruikbaarheid zijn belangrijker dan volume. Gebruik een evidence-map die per document verwijst naar de bijbehorende clause of Annex A-control.
Wie wordt geinterviewd en wat vraagt de auditor?
Tijdens stage 2 interviewt de auditor medewerkers op alle niveaus. Goede voorbereiding maakt het verschil tussen een soepele audit en onnodige bevindingen.
- Wat is uw rol binnen het AIMS?
- Hoe bepaalt u de risico-tolerantie voor AI?
- Welke middelen heeft u beschikbaar gesteld?
- Hoe zorgt u dat het AI-beleid wordt nageleefd?
- Wat zijn de AIMS-doelstellingen en hoe meet u voortgang?
- Hoe is het AIMS opgebouwd en onderhouden?
- Kunt u de SoA toelichten en de uitsluitingen onderbouwen?
- Hoe verloopt het interne auditproces?
- Welke verbeteringen zijn doorgevoerd na de laatste review?
- Hoe worden nieuwe AI-systemen in scope gebracht?
- Welke risico's heeft u geidentificeerd voor dit AI-systeem?
- Welke mitigerende maatregelen zijn getroffen?
- Hoe monitort u de effectiviteit van die maatregelen?
- Wat doet u als het systeem onverwacht gedrag vertoont?
- Wanneer is de laatste Impact Assessment bijgewerkt?
- Welke AI-systemen gebruikt u in uw werk?
- Weet u wat het AI-beleid inhoudt voor uw rol?
- Wat doet u als een AI-systeem een fout maakt?
- Heeft u training gehad over AI-gebruik?
- Bij wie meldt u een AI-incident?
- Hoe bent u opgeleid voor de interne audit?
- Hoe wordt onafhankelijkheid geborgd?
- Welke criteria heeft u gehanteerd bij de audit?
- Wat waren de belangrijkste bevindingen?
- Hoe zijn corrective actions gevolgd?
- Hoe worden competentie-eisen voor AIMS-rollen bepaald?
- Welke trainingen zijn gegeven aan medewerkers?
- Hoe wordt bijgehouden of medewerkers competent zijn?
- Wat gebeurt er als iemand niet aan de eisen voldoet?
Tips voor interviewvoorbereiding
- Organiseer een interne briefing 1-2 weken voor stage 2. Loop per rol door welke vragen verwacht kunnen worden. Laat medewerkers oefenen met het verwoorden van hun werkpraktijk in relatie tot het AIMS.
- Benadruk eerlijkheid. Auditoren waarderen eerlijke antwoorden boven gepolijste verhalen. Als iets nog niet perfect werkt, benoem dat en leg uit welke stappen worden genomen. Dat toont volwassenheid.
- Ken je eigen documentatie. Medewerkers hoeven de norm niet uit hun hoofd te kennen, maar moeten wel weten waar hun procedures staan, wie verantwoordelijk is en wat ze moeten doen bij afwijkingen.
- Bereid bewijs voor. Zorg dat per te interviewen medewerker het relevante bewijs snel opvraagbaar is: trainingsrecords, monitoring-screenshots, procesbeschrijvingen, incident-logs.
- Wees specifiek. Geef concrete voorbeelden. Niet "we monitoren onze AI-systemen" maar "we controleren wekelijks de drift-metrics in Evidently en vorige maand hebben we op basis daarvan het model hertrained."
Surveillance-audits en hercertificering: het driejarige patroon.
Het ISO 42001-certificaat is geldig voor drie jaar. In die periode volgen surveillance-audits en uiteindelijk een hercertificering. Dit is geen formaliteit; de CB controleert actief of het AIMS blijft functioneren en verbeteren.
Jaar 1: eerste surveillance-audit
Ongeveer 12 maanden na de initiële certificering. De surveillance is compacter dan stage 2: typisch 1-2 auditdagen voor MKB. De auditor focust op:
- Status van corrective actions uit de certificeringsaudit
- Wijzigingen in scope, AI-systemen of organisatie
- Interne audits en management review in de afgelopen 12 maanden
- Een selectie van AIMS-clauses en Annex A-controls (niet allemaal)
- Bewijs van continue verbetering
Jaar 2: tweede surveillance-audit
Vergelijkbare opzet als jaar 1, maar de auditor dekt andere clauses en controls. Over de drie jaar wordt het volledige AIMS gedekt. Focus op veranderingen sinds de laatste audit en de effectiviteit van verbetermaatregelen.
Jaar 3: hercertificering
De hercertificeringsaudit is vergelijkbaar met de initiële stage 2 audit: het volledige AIMS wordt opnieuw beoordeeld. Typisch 2-3 auditdagen voor MKB. Na succesvolle hercertificering start een nieuwe driejarige cyclus. Belangrijke aandachtspunten:
- Het AIMS moet drie jaar aantoonbare werking en verbetering tonen
- Alle wijzigingen in scope of systemen moeten zijn verwerkt
- Normwijzigingen (als ISO 42001 wordt geupdate) moeten zijn verwerkt
- Plan de hercertificering ruim voor de vervaldatum; een verlopen certificaat vereist een volledig nieuwe certificering
Onderschat surveillance niet. Organisaties die na de initiële certificering verslappen, krijgen major NC's tijdens surveillance wat tot schorsing of intrekking van het certificaat kan leiden. Plan na certificering direct je jaarlijkse ritme: interne audit, management review, surveillance-audit.
Wat kost ISO 42001 certificering voor MKB?
De investering in ISO 42001 certificering bestaat uit drie componenten: externe auditkosten, implementatiebegeleiding en interne tijdsbesteding. Hieronder een indicatief overzicht voor MKB-organisaties.
Toelichting bij de bedragen. Auditkosten zijn afhankelijk van de CB, het aantal auditdagen (bepaald door scope en organisatiegrootte) en of reiskosten apart worden berekend. Implementatiebegeleiding varieert sterk: een hands-on consultant die meeschrijft kost meer dan een adviseur die alleen toetst. Interne uren zijn vaak de grootste verborgen kostenpost: het schrijven van documentatie, inrichten van processen, voorbereiden van medewerkers en deelnemen aan audits kost tijd.
Kostenbesparing bij bestaand ISO-systeem. Organisaties met ISO 27001 of ISO 9001 besparen 30-40% op implementatiebegeleiding doordat de managementsysteemstructuur al staat. Bij een gecombineerde audit bespaar je ook op auditdagen. Zie onze vergelijking van ISO-standaarden combineren.
Return on investment. De waarde van certificering zit in klantvertrouwen, compliance-voorbereiding en operationele verbetering. Voor organisaties die AI aan zakelijke klanten leveren, is ISO 42001-certificering steeds vaker een procurement-eis. De toegevoegde waarde van certificering kan aanzienlijk zijn wanneer het direct leidt tot contracten of contractbehoud.
Volledige gereedheids-checklist: 42 punten voor audit-readiness.
Loop deze checklist door voor je de stage 1 audit inplant. Elk punt moet met "ja" beantwoord kunnen worden.
- AIMS-scope is gedefinieerd en gedocumenteerd
- Interne en externe context is geanalyseerd
- Belanghebbenden zijn geidentificeerd met hun eisen
- AI-beleid is opgesteld en goedgekeurd door directie
- Beleid is gecommuniceerd aan alle medewerkers
- Rollen en verantwoordelijkheden zijn toegewezen
- RACI-matrix is opgesteld voor AIMS-processen
- Directie toont aantoonbare betrokkenheid
- Risico-beoordelingsmethodiek is gedocumenteerd
- Risico's zijn per AI-systeem geidentificeerd en beoordeeld
- Risico-behandelplan is opgesteld met mitigaties
- AI Impact Assessments zijn uitgevoerd per systeem
- AIMS-doelstellingen zijn meetbaar en gevolgd
- Statement of Applicability is compleet
- Risico-acceptatie criteria zijn vastgesteld
- Middelen zijn beschikbaar gesteld voor AIMS
- Competentie-eisen per rol zijn gedefinieerd
- Trainingsregistraties zijn bijgehouden
- AI-awareness programma is uitgevoerd
- Interne en externe communicatieprocedure staat
- Documentbeheerprocedure is ingericht en werkt
- AI-systeeminventaris is compleet en actueel
- Per systeem: doel, eigenaar, risico, status gedocumenteerd
- AI-levenscyclus procedures zijn ingericht
- Data-governance beleid is geimplementeerd
- Data-kwaliteit wordt actief gemonitord
- Uitbestede AI-activiteiten zijn beheerst
- Documentatie voor AI-gebruikers is beschikbaar
- Incident-management procedure voor AI is operationeel
- Human-oversight is ingericht voor relevante systemen
- Monitoring van AI-systemen is actief en levert output
- Interne audit is uitgevoerd en dekt het volledige AIMS
- Auditbevindingen zijn gedocumenteerd
- Corrective actions zijn opgesteld en gevolgd
- Management review is gehouden met alle verplichte inputs
- Management review outputs zijn gedocumenteerd met acties
- Monitoring- en meetresultaten zijn beschikbaar
- Continue verbeteringsproces is aantoonbaar
- Certificeringsinstituut is geselecteerd en gecontracteerd
- Documentatiepakket is aangeleverd aan de auditor
- Evidence-map is opgesteld per clause en control
- Medewerkers zijn gebrieft over audit-interviews
Waar staan MKB-organisaties typisch?
Op basis van implementatie-ervaringen: de gemiddelde startscore per AIMS-gebied voor MKB-organisaties die beginnen met certificeringsvoorbereiding. Gebruik dit als benchmark.
Over ISO 42001 certificeringsaudit voorbereiding.
Wat is het verschil tussen stage 1 en stage 2?
Stage 1 is een documentatiereview: de auditor beoordeelt of je AIMS-documentatie compleet en logisch is. Stage 2 is de implementatie-audit: de auditor verifieert op locatie of het AIMS daadwerkelijk werkt door interviews, bewijscontrole en procesobservatie. Pas na succesvolle stage 2 wordt het certificaat uitgegeven.
Hoe lang duurt de voorbereiding?
Voor MKB zonder bestaand ISO-systeem: 6-12 maanden. Met bestaande ISO 27001 of 9001: 4-6 maanden. Dit omvat implementatie, interne audit, management review en alle documentatievoorbereiding. De auditfase zelf (stage 1 + gap-closure + stage 2) duurt daar nog 3-4 maanden bovenop.
Welke documenten zijn nodig voor stage 1?
Minimaal 30-35 documenten: AIMS-scope, AI-beleid, risicoanalyse, SoA, AI-systeeminventaris, AI Impact Assessments, interne auditrapport, management review notulen, competentie-records, procedures voor alle clauses (4-10), corrective action register, en data-governance documentatie. Zie de documentchecklist hierboven voor het volledige overzicht.
Wat kost de certificering?
Auditkosten voor MKB (5-250 FTE): 5.000-20.000 euro voor initiële certificering. Plus jaarlijkse surveillance: 2.500-8.000 euro. Plus implementatiebegeleiding: 5.000-35.000 euro. Plus interne tijdsbesteding: 200-800 uur. Totaal jaar 1: 15.000-60.000 euro afhankelijk van scope en startpositie.
Wat als ik nonconformiteiten krijg?
Minor NC's: je krijgt doorgaans 90 dagen om ze op te lossen. De auditor verifieert het bewijs op afstand. Major NC's: het certificaat kan niet worden uitgegeven totdat ze zijn opgelost, soms via een vervolgbezoek op locatie. In stage 1 worden NC's als aandachtspunten meegegeven die voor stage 2 moeten zijn opgelost.
Wie worden geinterviewd tijdens stage 2?
Typisch 5-12 personen bij MKB: directie, AIMS-coordinator, risk-owners per AI-systeem, medewerkers die dagelijks met AI werken, de interne auditor, en eventueel HR en IT. De auditor stelt vooraf een auditplan op zodat je weet wie wanneer beschikbaar moet zijn.
Kan ik ISO 42001 combineren met ISO 27001 in dezelfde audit?
Ja, als je CB geaccrediteerd is voor beide normen. Dit heet een gecombineerde audit. Gedeelde clauses worden eenmaal beoordeeld, wat tijd en kosten bespaart. Certificaten worden apart uitgegeven. Bespreek dit bij je offerteaanvraag. Zie ook onze uitleg over ISO-standaarden combineren.
Hoe kies ik een certificeringsinstituut?
Let op: accreditatie door een IAF-lid (RvA in Nederland), ervaring met ISO 42001, kennis van AI bij de auditoren, beschikbaarheid, en tariefstructuur. Vraag referenties op. Bekende CB's: BSI, TUV, DNV, Bureau Veritas, LRQA. Vraag minimaal twee offertes op en vergelijk op kwaliteit, niet alleen prijs.
Wat is het verschil tussen een observatie en een nonconformiteit?
Een nonconformiteit (NC) is een formele afwijking van een norm-eis. Minor NC: gedeeltelijke tekortkoming. Major NC: fundamenteel falen. Een observatie (OFI) is een suggestie voor verbetering, niet verplicht op te lossen maar verstandig om mee te nemen. Het verschil is relevant voor je certificeringsbesluit.
Hoe vaak zijn surveillance-audits?
Jaarlijks in jaar 1 en 2 na certificering. Compacter dan de initiële audit: 1-2 dagen voor MKB. In jaar 3 volgt een volledige hercertificering (2-3 dagen). Dit driejarige patroon herhaalt zich. Het certificaat vervalt als je een surveillance mist of te veel major NC's krijgt.
Opgesteld met AI-ondersteuning door de redactie van Prometheus21, laatst bijgewerkt op 7 september 2026. Hoe wij content maken
Klaar voor ISO 42001 certificering?
Prometheus21 begeleidt MKB-organisaties van gap-analyse tot certificaat. Hands-on ondersteuning bij documentatie, implementatie en auditvoorbereiding. Geen papieren exercitie maar een werkend AIMS dat de audit doorstaat.
Plan een certificeringsgesprek