Meer in de kennisbank over AI-compliance
AI-compliance / ISO 42001ISO 42001 certificering: audit voorbereiden - stage 1 en stage 2.
De ISO 42001-certificeringsaudit bestaat uit twee fasen: stage 1 toetst in 1 tot 2 dagen de documentatie en stage 2 in 2 tot 4 dagen de werking van het AI Management System. Tussen beide fasen zit een gap-periode van 1 tot 3 maanden om bevindingen op te lossen; het certificaat is daarna 3 jaar geldig met jaarlijkse surveillance-audits. Reken voor MKB 5-500 FTE op 6 tot 12 maanden voorbereiding, of 4 tot 6 maanden met een bestaande ISO 27001- of 9001-certificering. Deze gids geeft de documentchecklist, de tijdlijn en een readiness-checklist van 42 punten.
- Stage 1 beoordeelt documentatie en gereedheid; stage 2 toetst of het AIMS in de praktijk werkt
- Reken op 6-12 maanden voorbereiding voor MKB; 4-6 maanden bij bestaand ISO-systeem
- 30+ documenten nodig voor stage 1, van AIMS-scope tot corrective action records
- Reken voor het MKB op een flinke totale investering, inclusief begeleiding, audit en interne tijd
Wat betekent ISO 42001 certificering?
ISO 42001:2023 is de eerste internationale standaard voor AI Management Systems (AIMS). Een certificering bewijst dat jouw organisatie AI-systemen beheerst volgens een erkend kader: van risicomanagement en data-governance tot menselijk toezicht en continue verbetering. Het certificaat wordt uitgereikt door een geaccrediteerd certificeringsinstituut (Certification Body, CB) na een succesvolle externe audit in twee fasen: stage 1 en stage 2.
Voor MKB-organisaties die AI inzetten voor klanten, in producten of in interne processen, biedt ISO 42001-certificering drie concrete voordelen. Ten eerste: vertrouwen bij klanten en partners. Een certificaat toont aan dat je AI structureel beheert. Ten tweede: voorbereiding op de AI Act. De EU AI Act (van kracht sinds augustus 2024, met verplichtingen die gefaseerd ingaan tot 2027) vraagt om aantoonbaar AI-risicomanagement. ISO 42001 biedt hiervoor een erkend kader. Ten derde: operationele verbetering. Het implementatieproces dwingt je om processen, rollen en documentatie op orde te brengen wat direct waarde oplevert, ook zonder certificaat.
Wie certificeert?
Certificering wordt uitgevoerd door een Certification Body (CB) die geaccrediteerd is door een nationaal accreditatie-orgaan dat lid is van het International Accreditation Forum (IAF). In Nederland is dat de Raad voor Accreditatie (RvA). Bekende CB's met ISO 42001-scope zijn onder andere BSI, TUV (Rheinland en SUD), DNV, Bureau Veritas, LRQA en NEN-geaccrediteerde partijen. Niet elke CB heeft al auditoren met voldoende AI-kennis; controleer dit expliciet bij je offerteaanvraag.
De certificeringsaudit bestaat uit twee onderscheiden fasen die je apart moet voorbereiden. Stage 1 richt zich op documentatie en gereedheid; stage 2 op implementatie en effectiviteit. Tussen beide fasen zit een periode om bevindingen op te lossen. Na certificering volgen jaarlijkse surveillance-audits en een hercertificering in jaar 3. In deze gids behandelen we elke fase in detail, met specifieke aandacht voor wat MKB-organisaties kunnen verwachten.
Voor achtergrond bij de norm zelf, zie onze uitleg van ISO 42001. Voor het opzetten van het AIMS voorafgaand aan certificering, zie de implementatiegids.
Stage 1 versus stage 2: elke audit een eigen doel.
De certificeringsaudit is opgebouwd uit twee fasen met elk een eigen focus. Hieronder de kernverschillen op een rij.
Stage 1
Documentatiereview en gereedheid
De auditor beoordeelt of je AIMS-documentatie compleet is en of de organisatie klaar is voor de operationele audit.
- AIMS-scope en toepassingsgebied beoordelen
- AI-beleid en risicoanalyse controleren
- Statement of Applicability (SoA) reviewen
- Interne auditresultaten en management review checken
- Procesgedocumenteerde informatie toetsen
- Gereedheid voor stage 2 vaststellen
- Bevindingen en aandachtspunten rapporteren
Duur1-2 dagen
LocatieOp locatie of remote
ResultaatStage 1 rapport
Stage 2
Implementatie-effectiviteit
De auditor verifieert of het AIMS daadwerkelijk functioneert: interviews, bewijscontrole en procesobservatie.
- Alle AIMS-clauses (4-10) toetsen op werking
- Annex A-controls in de praktijk verifiëren
- Interviews met medewerkers op alle niveaus
- Bewijs van operationele AI-processen controleren
- Corrective actions uit stage 1 verifiëren
- Effectiviteit van risicomanagement beoordelen
- Certificeringsbesluit nemen
Duur2-4 dagen
LocatieOp locatie verplicht
ResultaatCertificaat of NC's
Tussen stage 1 en stage 2 zit een gap-periode van 1-3 maanden waarin je bevindingen oplost. Na succesvolle stage 2 wordt het certificaat uitgegeven, geldig voor 3 jaar met jaarlijkse surveillance.
Typisch voorbereidingspad: 6-12 maanden tot certificaat.
Onderstaande tijdlijn gaat uit van een MKB-organisatie zonder bestaand ISO-managementsysteem. Met bestaande ISO 27001 of 9001 kun je 2-4 maanden besparen.
Maand 1-2
Gap-analyse en scope-definitie
Interne beoordeling van huidige AI-praktijken tegen ISO 42001 eisen. Bepaal welke AI-systemen in scope vallen. Identificeer de grootste gaten in documentatie, processen en rollen. Stel een implementatieplan op met verantwoordelijken en deadlines.
Maand 2-4
Kerndocumentatie opbouwen
Stel op: AIMS-scope document, AI-beleid, risicoanalyse-methodiek, AI Impact Assessments, Statement of Applicability. Richt het AI-register in met alle systemen in scope. Definieer rollen, verantwoordelijkheden en RACI-matrix.
Maand 4-6
Operationele implementatie
Implementeer Annex A-controls in de dagelijkse praktijk. Richt monitoring in voor AI-systemen. Train medewerkers op AI-geletterdheid en AIMS-bewustzijn. Documenteer procedures voor Clause 8 (operationele uitvoering) inclusief AI-ontwikkeling, -inkoop en -inzet.
Maand 6-7
Interne audit en management review
Voer een volledige interne audit uit op alle AIMS-clauses en Annex A-controls. Rapporteer bevindingen en stel corrective actions op. Houd een formele management review met directie. Dit zijn verplichte inputs voor de certificeringsaudit. Zie onze gids voor interne audits en management review.
Maand 7-8
CB selecteren en stage 1 plannen
Selecteer een geaccrediteerd certificeringsinstituut. Vraag offertes op bij minimaal twee CB's. Plan de stage 1 audit in. Lever het documentatiepakket aan de lead auditor ter voorbereiding.
Maand 8-9
Stage 1 audit
Documentatiereview door de lead auditor. Beoordeling van gereedheid. Ontvang het stage 1 rapport met bevindingen, nonconformiteiten en aanbevelingen. De auditor stelt vast of de organisatie klaar is voor stage 2.
Maand 9-11
Gap-closure: bevindingen oplossen
Los alle nonconformiteiten uit stage 1 op. Verzamel aanvullend bewijs. Voer eventueel een beperkte interne her-audit uit op probleemgebieden. Bereid medewerkers voor op interviews tijdens stage 2.
Maand 11-12
Stage 2 audit en certificaat
Operationele audit op locatie. Interviews, bewijscontrole, procesverificatie. Bij succesvolle afronding: certificaatuitgifte door de CB. Start planning van surveillance-audits voor jaar 1 en 2.
De documentatiereview: wat de auditor toetst.
De stage 1 audit is primair een bureaubeoordeling. De lead auditor ontvangt je documentatiepakket vooraf en besteedt 1-2 dagen aan een review, al dan niet aangevuld met een kort bezoek of videocall. Het doel is drieledig: vaststellen dat de documentatie compleet is, beoordelen of het AIMS logisch opgebouwd is, en bepalen of de organisatie klaar is voor stage 2.
Wat de auditor concreet controleert
| Onderdeel | Wat de auditor controleert |
|---|---|
| AIMS-scope (Clause 4.3): | Is het toepassingsgebied helder afgebakend? Welke AI-systemen, afdelingen en locaties vallen eronder? Is de afbakening verdedigbaar of worden relevante systemen uitgesloten zonder goede reden? |
| AI-beleid (Clause 5.2): | Is er een door directie goedgekeurd AI-beleid dat aansluit bij de strategische richting? Bevat het beleid commitment aan continue verbetering, naleving van wettelijke eisen en verantwoord AI-gebruik? |
| Risicoanalyse (Clause 6.1): | Is er een gedocumenteerde risico-methodiek? Zijn risico's per AI-systeem geidentificeerd, beoordeeld en voorzien van behandelplan? Sluit de methodiek aan bij de aard en omvang van de organisatie? |
| AI Impact Assessments (Annex A.5): | Zijn er impact-assessments uitgevoerd voor alle AI-systemen in scope? Dekken deze de impact op individuen, groepen, rechten en maatschappij? |
| Statement of Applicability (SoA): | Zijn alle 38 Annex A-controls beoordeeld op toepasbaarheid? Zijn uitsluitingen onderbouwd? Verwijst de SoA naar implementatiestatus en bijbehorende procedures? |
| Interne audit (Clause 9.2): | Is er een interne audit uitgevoerd die het volledige AIMS dekt? Zijn bevindingen gedocumenteerd met corrective actions? Is er een auditplan en zijn auditoren onafhankelijk van de geauditeerde processen? |
| Management review (Clause 9.3): | Zijn er notulen van minimaal een management review? Zijn alle verplichte inputs behandeld (auditstatus, risicostatus, doelstellingen, klachten, verbetermaatregelen)? Zijn outputs vastgelegd met acties en verantwoordelijken? |
| Competentie-records (Clause 7.2): | Zijn er records die aantonen dat medewerkers met AIMS-verantwoordelijkheden competent zijn? Denk aan trainingsregistraties, certificaten, functieprofielen met competentie-eisen. |
| Gedocumenteerde informatie (Clause 7.5): | Is er een structuur voor documentbeheer met versiebeheer, goedkeuringsprocedure en toegangsrechten? Zijn alle verplichte records identificeerbaar en opvraagbaar? |
Typische duur voor MKB
Voor een MKB-organisatie met 5-500 FTE duurt stage 1 doorgaans 1-2 auditdagen. Bij een compacte scope (1-3 AI-systemen, een locatie) volstaat vaak 1 dag. Bij bredere scope (meerdere AI-systemen, meerdere locaties of afdelingen) is 2 dagen realistischer. De auditor kan een deel van de review vooraf doen op basis van aangeleverde documentatie, waardoor de tijd op locatie beperkt blijft.
Veelvoorkomende bevindingen in stage 1
Op basis van ervaringen met ISO-managementsysteemaudits en de eerste golf van ISO 42001-certificeringen zien we terugkerende thema's.
- Onvolledige SoA: Controls uitgesloten zonder onderbouwing, of de SoA mist verwijzingen naar implementatie-evidence. Oplossing: elke regel in de SoA voorzien van reden, status en documentverwijzing.
- Risicoanalyse te generiek: Risico's beschreven op organisatieniveau in plaats van per AI-systeem. De auditor wil zien dat je per systeem hebt nagedacht over specifieke AI-risico's zoals bias, hallucinaties, verkeerde automatisering. Oplossing: risico-register per AI-systeem met concrete scenario's.
- Interne audit te oppervlakkig: alleen de documentatie gecontroleerd en de werking overgeslagen. Of de interne auditor is niet onafhankelijk van het geauditeerde proces. Oplossing: gebruik een gekwalificeerde interne auditor (of huur extern in) en toets ook operationele effectiviteit.
- Management review incompleet: Niet alle verplichte inputs behandeld, of outputs missen concrete acties met eigenaar en deadline. Oplossing: gebruik een standaard management review agenda die alle vereiste punten afdekt.
- AI-systeeminventaris onvolledig: Niet alle AI-systemen in scope gedocumenteerd, of classificatie (risico, eigenaar, status) ontbreekt. Oplossing: volledige inventarisatie met per systeem minimaal: naam, doel, eigenaar, risiconiveau, status, laatste review.
- Competentie-records ontbreken: Geen aantoonbare link tussen rol-eisen en opleidingsrecords. Oplossing: per AIMS-rol vastleggen welke competenties nodig zijn en hoe deze zijn verkregen (training, ervaring, certificering).
Het stage 1 rapport bevat bevindingen gecategoriseerd als nonconformiteit (must fix) of observatie/opportunity for improvement (aanbeveling). Alle nonconformiteiten moeten voor stage 2 zijn opgelost. De auditor sluit af met een uitspraak over de gereedheid voor stage 2.
Gap-closure: bevindingen oplossen en bewijs verzamelen.
Na stage 1 ontvang je een rapport met bevindingen. De periode tussen stage 1 en stage 2 is je kans om gaten te dichten. De meeste CB's hanteren een periode van maximaal 6 maanden tussen stage 1 en stage 2, maar voor MKB is 1-3 maanden de typische doorlooptijd. Wacht niet te lang: als er meer dan 6 maanden verstrijkt, moet stage 1 mogelijk opnieuw worden uitgevoerd.
Stap 1: Bevindingen prioriteren
Categoriseer de bevindingen uit het stage 1 rapport. Nonconformiteiten (NC's) zijn verplicht op te lossen voor stage 2. Observaties zijn aanbevelingen; het is verstandig ze mee te nemen maar niet verplicht. Wijs per NC een eigenaar toe met een deadline die ruim voor stage 2 valt. Plan een korte wekelijkse check op voortgang.
Stap 2: Corrective actions implementeren
Voor elke NC doorloop je het standaard corrective action proces: root cause analyse (waarom bestaat deze afwijking?), correctieve maatregel (wat passen we aan?), implementatie (voer de aanpassing door), verificatie (controleer of de maatregel werkt). Documenteer elke stap in je corrective action register. De auditor wil dit register zien tijdens stage 2.
Stap 3: Evidence verzamelen en beperkte her-audit
Verzamel concreet bewijs dat de corrective actions zijn doorgevoerd en effectief zijn. Denk aan: bijgewerkte documenten met versienummers, screenshots van systeem-configuraties, trainingsregistraties, notulen van overleggen, outputs van monitoring-tools. Organiseer het bewijs zo dat het per NC of per clause snel opvraagbaar is. Een evidence-map (Excel of Notion-tabel die per clause/control naar bewijs verwijst) bespaart veel tijd tijdens stage 2.
Als er veel of fundamentele NC's waren, overweeg een beperkte interne her-audit op de probleemgebieden voor je stage 2 ingaat. Dit geeft zekerheid dat de corrective actions daadwerkelijk werken en voorkomt verrassingen tijdens de externe audit.
De implementatie-audit: van papier naar praktijk.
Stage 2 is de operationele kern van de certificeringsaudit. De auditor komt op locatie en beoordeelt of het AIMS gedocumenteerd is en ook daadwerkelijk functioneert. Dit gebeurt door een combinatie van documentcontrole, interviews met medewerkers, observatie van processen en steekproeven op bewijs.
Wat de auditor toetst per clause
| Clause | Wat de auditor toetst |
|---|---|
| Clause 4 (Context): | Snapt de organisatie haar eigen context? Worden belanghebbenden actief betrokken? Is de scope nog actueel? De auditor vraagt management naar externe en interne factoren die het AIMS beinvloeden. |
| Clause 5 (Leiderschap): | Toont directie betrokkenheid? Kennen medewerkers het AI-beleid? Zijn rollen en verantwoordelijkheden helder en bemand? De auditor interviewt directie en vraagt naar concrete voorbeelden van leiderschap. |
| Clause 6 (Planning): | Worden risico's actief beheerd? Zijn doelstellingen meetbaar en gevolgd? Zijn AI Impact Assessments uitgevoerd en bijgewerkt? De auditor controleert het risico-register op actualiteit en vraagt risk-owners naar hun werkwijze. |
| Clause 7 (Ondersteuning): | Zijn middelen voldoende? Zijn medewerkers competent en bewust? Functioneert documentbeheer? De auditor controleert trainingsrecords, communicatie-uitingen en vraagt medewerkers naar hun AIMS-kennis. |
| Clause 8 (Uitvoering): | Werken de operationele processen? Worden AI-systemen beheerst ontwikkeld, ingekocht en ingezet? Is er controle op uitbestede AI-activiteiten? De auditor volgt een AI-systeem door de levenscyclus en controleert of procedures worden gevolgd. |
| Clause 9 (Evaluatie): | Wordt er gemonitord? Is de interne audit deugdelijk? Is de management review effectief? De auditor reviewt monitoring-data, auditrapport en management review notulen. |
| Clause 10 (Verbetering): | Worden nonconformiteiten opgelost? Is er aantoonbare continue verbetering? De auditor zoekt naar een patroon van leren en verbeteren, niet alleen reageren op problemen. |
Annex A-controls in de praktijk
Naast de clauses toetst de auditor de Annex A-controls die in de SoA als van toepassing zijn gemarkeerd. Per control zoekt de auditor bewijs van implementatie en effectiviteit. Voorbeelden:
| Control | Waar de auditor bewijs zoekt |
|---|---|
| A.4 Middelen: | Is er een actueel AI-register? Zijn data-assets gedocumenteerd? Zijn compute-resources voldoende? |
| A.5 Impact Assessment: | Zijn assessments per systeem uitgevoerd? Worden ze bijgewerkt bij wijzigingen? |
| A.6 Levenscyclus: | Is er een development/deployment-procedure? Wordt deze gevolgd? Bewijs van versioning, testing, validatie? |
| A.7 Data: | Is data-kwaliteit zekergesteld? Zijn herkomst en governance gedocumenteerd? Hoe ga je om met bias in trainingsdata? |
| A.8 Stakeholders: | Is er documentatie voor gebruikers van AI-systemen? Is uitlegbaarheid zekergesteld? Functioneert incident-rapportage? |
| A.9 Gebruik: | Wordt AI alleen ingezet voor het bedoelde doel? Hoe wordt misbruik voorkomen? |
Typische duur voor MKB
Stage 2 duurt voor MKB doorgaans 2-4 auditdagen op locatie. Bij een compacte scope (1-3 AI-systemen, een afdeling) is 2 dagen haalbaar. Bij bredere scope of meerdere locaties is 3-4 dagen realistischer. De auditor stelt vooraf een auditplan op dat je ontvangt, zodat je weet welke medewerkers wanneer beschikbaar moeten zijn.
Veelvoorkomende bevindingen in stage 2
- Medewerkers kennen het beleid niet: Het AI-beleid bestaat op papier. Bij interviews blijkt dat medewerkers het niet kennen of niet weten wat het betekent voor hun dagelijks werk. Oplossing: bewustzijnssessies, beleid toegankelijk communiceren, praktische samenvatting per team.
- Monitoring niet operationeel: Er is een monitoring-opzet beschreven. Die draait niet, of de output wordt niet actief beoordeeld. Oplossing: monitoring aantoonbaar inrichten en periodiek reviewen, met bewijs van acties op basis van monitoring-output.
- Corrective actions niet afgerond: NC's uit interne audit of stage 1 zijn niet volledig opgelost of missen verificatie. Oplossing: sluit elke CA formeel af met verificatie van effectiviteit.
- AI Impact Assessment verouderd: Assessment is gedaan bij implementatie maar niet bijgewerkt na wijzigingen in het AI-systeem. Oplossing: trigger voor herbeoordeling bij significante wijzigingen vastleggen in procedure.
- Data-governance gebrekkig: Trainingsdata of inputdata niet traceerbaar, geen data-kwaliteitscontroles. Oplossing: dataflows documenteren per AI-systeem, kwaliteitscontroles inrichten en vastleggen.
Na de stage 2 audit
De auditor stelt een stage 2 rapport op met bevindingen. Bij geen major NC's en alleen minor NC's of observaties: het audit-team doet een positieve aanbeveling voor certificering. De CB beoordeelt het rapport en geeft het certificaat uit, doorgaans binnen 2-4 weken na de audit. Bij minor NC's krijg je 90 dagen om deze op te lossen en bewijs te leveren. Bij major NC's is een vervolgbezoek nodig voordat het certificaat kan worden uitgegeven.
Alle documenten die je nodig hebt voor de audit.
ISO 42001 vereist circa 30-35 documenten en records voor een compleet AIMS. Hieronder gegroepeerd per thema met een visueel overzicht.
Governance en beleid
7 documenten
- AIMS-scope document (Clause 4.3)
- Context van de organisatie (Clause 4.1-4.2)
- AI-beleid goedgekeurd door directie (Clause 5.2)
- AIMS-doelstellingen en plannen (Clause 6.2)
- Rollen, verantwoordelijkheden en bevoegdheden (Clause 5.3)
- RACI-matrix voor AIMS-processen
- Procedure voor gedocumenteerde informatie (Clause 7.5)
Risicomanagement
6 documenten
- Risico-beoordelingsmethodiek (Clause 6.1)
- Risico-register per AI-systeem
- Risico-behandelplan met mitigaties
- AI Impact Assessments per systeem (Annex A.5)
- Statement of Applicability (SoA)
- Risico-acceptatie criteria en -tolerantie
AI-systemen en data
7 documenten
- AI-systeeminventaris / register
- Per systeem: doel, eigenaar, risiconiveau, status
- Data-governance beleid (Annex A.7)
- Data-kwaliteitsprocedures per systeem
- Data-herkomst en traceerbaarheidsdocumentatie
- AI-levenscyclus procedures (Annex A.6)
- Documentatie voor AI-systeemgebruikers (Annex A.8)
Operationele procedures
6 documenten
- Operationeel planningsprocedure (Clause 8.1)
- Procedure AI-ontwikkeling / -inkoop
- Procedure AI-deployment en -monitoring
- Procedure voor uitbestede AI-activiteiten
- Communicatieprocedure intern en extern (Clause 7.4)
- Incident-management procedure voor AI
Mensen en competenties
4 documenten
- Competentie-eisen per AIMS-rol (Clause 7.2)
- Trainingsregistraties en opleidingsplan
- AI-awareness programma (Clause 7.3)
- Human-oversight procedure per AI-systeem (A.9)
Audit, review en verbetering
6 documenten
- Intern auditprogramma en -plan (Clause 9.2)
- Intern auditrapport met bevindingen
- Management review notulen (Clause 9.3)
- Corrective action register (Clause 10.1)
- Monitoring- en meetresultaten (Clause 9.1)
- Continue verbeteringsplan
Totaal: 36 documenten en records. Voor MKB kan documentatie compact worden gehouden; kwaliteit en bruikbaarheid zijn belangrijker dan volume. Gebruik een evidence-map die per document verwijst naar de bijbehorende clause of Annex A-control.
Wie wordt geinterviewd en wat vraagt de auditor?
Tijdens stage 2 interviewt de auditor medewerkers op alle niveaus. Goede voorbereiding maakt het verschil tussen een soepele audit en onnodige bevindingen.
Directie / Top Management
Leiderschap en commitment
De auditor wil zien dat directie het AIMS begrijpt, ondersteunt en actief stuurt. Een handtekening onder het beleid is te weinig; het gaat om werkelijke betrokkenheid.
- Wat is je rol binnen het AIMS?
- Hoe bepaal je de risico-tolerantie voor AI?
- Welke middelen heb je beschikbaar gesteld?
- Hoe zorg je dat het AI-beleid wordt nageleefd?
- Wat zijn de AIMS-doelstellingen en hoe meet je voortgang?
AIMS-coordinator
Operationeel beheer
De coordinator is het eerste aanspreekpunt voor de auditor. Moet het volledige AIMS kunnen uitleggen en naar bewijs kunnen verwijzen.
- Hoe is het AIMS opgebouwd en onderhouden?
- Kun je de SoA toelichten en de uitsluitingen onderbouwen?
- Hoe verloopt het interne auditproces?
- Welke verbeteringen zijn doorgevoerd na de laatste review?
- Hoe worden nieuwe AI-systemen in scope gebracht?
Risk-owner / Technical Lead
Risicomanagement per AI-systeem
De auditor toetst of risicomanagement per systeem concreet wordt uitgevoerd, niet alleen op papier staat.
- Welke risico's heb je geidentificeerd voor dit AI-systeem?
- Welke mitigerende maatregelen zijn getroffen?
- Hoe monitor je de effectiviteit van die maatregelen?
- Wat doe je als het systeem onverwacht gedrag vertoont?
- Wanneer is de laatste Impact Assessment bijgewerkt?
Operationele medewerker
Dagelijkse AI-praktijk
De auditor controleert of awareness en procedures doordringen tot de werkvloer. Medewerkers moeten hun eigen verantwoordelijkheden kennen. De norm zelf hoeven ze niet te kennen.
- Welke AI-systemen gebruik je in je werk?
- Weet je wat het AI-beleid inhoudt voor jouw rol?
- Wat doe je als een AI-systeem een fout maakt?
- Heb je training gehad over AI-gebruik?
- Bij wie meld je een AI-incident?
Interne auditor
Auditproces en onafhankelijkheid
De auditor verifieert dat de interne audit deugdelijk is uitgevoerd, met voldoende diepgang en onafhankelijkheid.
- Hoe ben je opgeleid voor de interne audit?
- Hoe wordt onafhankelijkheid zekergesteld?
- Welke criteria heb je gehanteerd bij de audit?
- Wat waren de belangrijkste bevindingen?
- Hoe zijn corrective actions gevolgd?
HR / Competentiebeheer
Competenties en training
Bij MKB kan dit ook bij de AIMS-coordinator liggen. De auditor wil zien dat competentie-eisen zijn gedefinieerd en dat training plaatsvindt.
- Hoe worden competentie-eisen voor AIMS-rollen bepaald?
- Welke trainingen zijn gegeven aan medewerkers?
- Hoe wordt bijgehouden of medewerkers competent zijn?
- Wat gebeurt er als iemand niet aan de eisen voldoet?
Tips voor interviewvoorbereiding
| Tip | Hoe je dat doet |
|---|---|
| Organiseer een interne briefing | 1-2 weken voor stage 2. Loop per rol door welke vragen verwacht kunnen worden. Laat medewerkers oefenen met het verwoorden van hun werkpraktijk in relatie tot het AIMS. |
| Benadruk eerlijkheid. | Auditoren waarderen eerlijke antwoorden boven gepolijste verhalen. Als iets nog niet goed werkt, benoem dat en leg uit welke stappen worden genomen. Dat toont volwassenheid. |
| Ken je eigen documentatie. | Medewerkers moeten weten waar hun procedures staan, wie verantwoordelijk is en wat ze moeten doen bij afwijkingen. De norm hoeven ze niet uit hun hoofd te kennen. |
| Bereid bewijs voor. | Zorg dat per te interviewen medewerker het relevante bewijs snel opvraagbaar is: trainingsrecords, monitoring-screenshots, procesbeschrijvingen, incident-logs. |
| Wees specifiek. | Geef concrete voorbeelden. Zeg dus "we controleren wekelijks de drift-metrics in Evidently en vorige maand hebben we op basis daarvan het model hertrained", in plaats van "we monitoren onze AI-systemen". |
Surveillance-audits en hercertificering: het driejarige patroon.
Het ISO 42001-certificaat is geldig voor drie jaar. In die periode volgen surveillance-audits en uiteindelijk een hercertificering. Dit is geen formaliteit; de CB controleert actief of het AIMS blijft functioneren en verbeteren.
Jaar 1: eerste surveillance-audit
Ongeveer 12 maanden na de initiële certificering. De surveillance is compacter dan stage 2: typisch 1-2 auditdagen voor MKB. De auditor focust op:
- Status van corrective actions uit de certificeringsaudit
- Wijzigingen in scope, AI-systemen of organisatie
- Interne audits en management review in de afgelopen 12 maanden
- Een selectie van AIMS-clauses en Annex A-controls (niet allemaal)
- Bewijs van continue verbetering
Jaar 2: tweede surveillance-audit
Vergelijkbare opzet als jaar 1, maar de auditor dekt andere clauses en controls. Over de drie jaar wordt het volledige AIMS gedekt. Focus op veranderingen sinds de laatste audit en de effectiviteit van verbetermaatregelen.
Jaar 3: hercertificering
De hercertificeringsaudit is vergelijkbaar met de initiële stage 2 audit: het volledige AIMS wordt opnieuw beoordeeld. Typisch 2-3 auditdagen voor MKB. Na succesvolle hercertificering start een nieuwe driejarige cyclus. Belangrijke aandachtspunten:
- Het AIMS moet drie jaar aantoonbare werking en verbetering tonen
- Alle wijzigingen in scope of systemen moeten zijn verwerkt
- Normwijzigingen (als ISO 42001 wordt geupdate) moeten zijn verwerkt
- Plan de hercertificering ruim voor de vervaldatum; een verlopen certificaat vereist een volledig nieuwe certificering
Onderschat surveillance niet. Organisaties die na de initiële certificering verslappen, krijgen major NC's tijdens surveillance wat tot schorsing of intrekking van het certificaat kan leiden. Plan na certificering direct je jaarlijkse ritme: interne audit, management review, surveillance-audit.
Wat kost ISO 42001 certificering voor MKB?
De investering in ISO 42001 certificering bestaat uit drie componenten: externe auditkosten, implementatiebegeleiding en interne tijdsbesteding. Hieronder een indicatief overzicht voor MKB-organisaties.
Kostenpost
MKB 5-50 FTE
MKB 50-250 FTE
2.000 - 4.000
4.000 - 8.000
3.000 - 6.000
6.000 - 12.000
2.500 - 4.000
4.000 - 8.000
5.000 - 15.000
15.000 - 35.000
200 - 400 uur
400 - 800 uur
15.000 - 30.000
30.000 - 60.000
Toelichting bij de bedragen. Auditkosten zijn afhankelijk van de CB, het aantal auditdagen (bepaald door scope en organisatiegrootte) en of reiskosten apart worden berekend. Implementatiebegeleiding varieert sterk: een hands-on consultant die meeschrijft kost meer dan een adviseur die alleen toetst. Interne uren zijn vaak de grootste verborgen kostenpost: het schrijven van documentatie, inrichten van processen, voorbereiden van medewerkers en deelnemen aan audits kost tijd.
Kostenbesparing bij bestaand ISO-systeem. Organisaties met ISO 27001 of ISO 9001 besparen op implementatiebegeleiding doordat de managementsysteemstructuur al staat. Bij een gecombineerde audit bespaar je ook op auditdagen. Zie onze vergelijking van ISO-standaarden combineren.
Return on investment. De waarde van certificering zit in klantvertrouwen, compliance-voorbereiding en operationele verbetering. Voor organisaties die AI aan zakelijke klanten leveren, is ISO 42001-certificering steeds vaker een procurement-eis. De toegevoegde waarde van certificering kan aanzienlijk zijn wanneer het direct leidt tot contracten of contractbehoud.
Volledige gereedheids-checklist voor audit-readiness.
Loop deze checklist door voor je de stage 1 audit inplant. Elk punt moet met "ja" beantwoord kunnen worden.
| Onderdeel | Checkpunten |
|---|---|
| Governance en leiderschap (Clause 4-5) |
|
| Risicomanagement en planning (Clause 6) |
|
| Ondersteuning en competenties (Clause 7) |
|
| Operationele uitvoering (Clause 8 + Annex A) |
|
| Evaluatie en verbetering (Clause 9-10) |
|
| Audit-voorbereiding specifiek |
|
Waar staan MKB-organisaties typisch?
Op basis van implementatie-ervaringen: waar MKB-organisaties per AIMS-gebied vaak staan als ze beginnen met certificeringsvoorbereiding.
Governance en beleid
De meeste MKB-organisaties hebben een vorm van AI-beleid, maar mist vaak formeel directie-mandaat, expliciete scope-afbakening en gestructureerde rolverdeling.
Risicomanagement
AI-specifiek risicomanagement is meestal het grootste gat. Risico's worden ad hoc besproken maar niet systematisch geidentificeerd, beoordeeld en behandeld per AI-systeem.
Documentatie
De omvang van de documentatie-eis wordt vaak onderschat. Procedures bestaan informeel maar zijn niet geformaliseerd met versiebeheer en goedkeuringsproces.
Operationele AI-processen
AI-ontwikkeling en -deployment zijn vaak goed ingericht. Monitoring, incident-management en data-governance zijn typisch minder volwassen.
Competenties en awareness
Technische teams zijn competent maar formele registratie van competenties en een structureel awareness-programma ontbreken bijna altijd bij de start.
Audit en review cyclus
Zonder eerder ISO-systeem is er doorgaans geen intern auditproces en geen formele management review. Dit wordt volledig nieuw opgezet bij de implementatie.
Over ISO 42001 certificeringsaudit voorbereiding.
Wat is het verschil tussen stage 1 en stage 2?
Stage 1 is een documentatiereview: de auditor beoordeelt of je AIMS-documentatie compleet en logisch is. Stage 2 is de implementatie-audit: de auditor verifieert op locatie of het AIMS daadwerkelijk werkt door interviews, bewijscontrole en procesobservatie. Pas na succesvolle stage 2 wordt het certificaat uitgegeven.
Hoe lang duurt de voorbereiding?
Voor MKB zonder bestaand ISO-systeem: 6-12 maanden. Met bestaande ISO 27001 of 9001: 4-6 maanden. Dit omvat implementatie, interne audit, management review en alle documentatievoorbereiding. De auditfase zelf (stage 1 + gap-closure + stage 2) duurt daar nog 3-4 maanden bovenop.
Welke documenten zijn nodig voor stage 1?
Minimaal 30-35 documenten: AIMS-scope, AI-beleid, risicoanalyse, SoA, AI-systeeminventaris, AI Impact Assessments, interne auditrapport, management review notulen, competentie-records, procedures voor alle clauses (4-10), corrective action register, en data-governance documentatie. Zie de documentchecklist hierboven voor het volledige overzicht.
Wat kost de certificering?
Auditkosten voor MKB (5-500 FTE): 5.000-20.000 euro voor initiële certificering. Plus jaarlijkse surveillance: 2.500-8.000 euro. Plus implementatiebegeleiding: 5.000-35.000 euro. Plus interne tijdsbesteding: 200-800 uur. Totaal jaar 1: 15.000-60.000 euro afhankelijk van scope en startpositie.
Wat als ik nonconformiteiten krijg?
Minor NC's: je krijgt doorgaans 90 dagen om ze op te lossen. De auditor verifieert het bewijs op afstand. Major NC's: het certificaat kan niet worden uitgegeven totdat ze zijn opgelost, soms via een vervolgbezoek op locatie. In stage 1 worden NC's als aandachtspunten meegegeven die voor stage 2 moeten zijn opgelost.
Wie worden geinterviewd tijdens stage 2?
Typisch 5-12 personen bij MKB: directie, AIMS-coordinator, risk-owners per AI-systeem, medewerkers die dagelijks met AI werken, de interne auditor, en eventueel HR en IT. De auditor stelt vooraf een auditplan op zodat je weet wie wanneer beschikbaar moet zijn.
Kan ik ISO 42001 combineren met ISO 27001 in dezelfde audit?
Ja, als je CB geaccrediteerd is voor beide normen. Dit heet een gecombineerde audit. Gedeelde clauses worden eenmaal beoordeeld, wat tijd en kosten bespaart. Certificaten worden apart uitgegeven. Bespreek dit bij je offerteaanvraag. Zie ook onze uitleg over ISO-standaarden combineren.
Hoe kies ik een certificeringsinstituut?
Let op: accreditatie door een IAF-lid (RvA in Nederland), ervaring met ISO 42001, kennis van AI bij de auditoren, beschikbaarheid, en tariefstructuur. Vraag referenties op. Bekende CB's: BSI, TUV, DNV, Bureau Veritas, LRQA. Vraag minimaal twee offertes op en vergelijk op kwaliteit, niet alleen prijs.
Wat is het verschil tussen een observatie en een nonconformiteit?
Een nonconformiteit (NC) is een formele afwijking van een norm-eis. Minor NC: gedeeltelijke tekortkoming. Major NC: fundamenteel falen. Een observatie (OFI) is een vrijwillige suggestie voor verbetering die verstandig is om mee te nemen. Het verschil is relevant voor je certificeringsbesluit.
Hoe vaak zijn surveillance-audits?
Jaarlijks in jaar 1 en 2 na certificering. Compacter dan de initiële audit: 1-2 dagen voor MKB. In jaar 3 volgt een volledige hercertificering (2-3 dagen). Dit driejarige patroon herhaalt zich. Het certificaat vervalt als je een surveillance mist of te veel major NC's krijgt.
Verder lezen binnen ISO 42001 en AI-compliance.
Implementatie
ISO 42001 implementatie: AIMS opzetten
Van gap-analyse tot operationeel AIMS, inclusief alle 38 Annex A-controls en PDCA-cyclus.
Achtergrond
ISO 42001 uitgelegd
De eerste internationale AI Management standaard: wat het is, voor wie, en waarom het ertoe doet.
Deep dive
ISO 42001 Annex A-controls
Alle 38 controls in 9 categorieen: per control uitgelegd met MKB-implementatietips.
Interne audit
Interne audit uitvoeren voor AIMS
Stap-voor-stap gids voor de interne audit die je nodig hebt voor certificering.
Management review
Management review agenda en rapportage
Alle verplichte inputs en outputs voor de management review, inclusief template.
AI Act koppeling
AI Act vs ISO 42001
Hoe ISO 42001 en de EU AI Act zich tot elkaar verhouden: wet versus standaard.
Opgesteld met AI-ondersteuning door de redactie van Prometheus21. Hoe wij content maken
Lees ook
Klaar voor ISO 42001 certificering?
Prometheus21 begeleidt MKB-organisaties van gap-analyse tot certificaat. Hands-on ondersteuning bij documentatie, implementatie en auditvoorbereiding. Het resultaat is een werkend AIMS dat de audit doorstaat. De ISO 42001 certificeringsaudit toetst dan wat in de organisatie al dagelijks werkt.
