ISO 42001 interne audit uitvoeren: AIMS-toetsing.
Clause 9.2 van ISO 42001 verplicht je om op geplande, risico-gebaseerde intervallen interne audits op het AI Management System uit te voeren; in de praktijk komt dat neer op minimaal jaarlijks het volledige AIMS dekken. De audit volgt de methodiek van ISO 19011:2018 en classificeert bevindingen als major, minor, observatie of verbeterkans. Deze gids beschrijft plannen, voorbereiden, uitvoeren, rapporteren en opvolgen van corrigerende maatregelen, met 40+ checklistitems over alle clauses (4-10) en de Annex A-categorieën.
Waarom interne audits onmisbaar zijn voor je AIMS.
Een AI Management System (AIMS) opzetten is stap een. Ervoor zorgen dat het systeem daadwerkelijk werkt zoals bedoeld, dat is stap twee. Clause 9.2 van ISO 42001 vereist dat organisaties op geplande intervallen interne audits uitvoeren op het AIMS. Dit is geen formaliteit of papieren exercitie; het is het mechanisme waarmee je vaststelt of je AI-governance in de praktijk functioneert.
De interne audit beantwoordt twee kernvragen. Ten eerste: voldoet het AIMS aan de eisen van ISO 42001 en aan het eigen beleid en de eigen procedures van de organisatie? Ten tweede: wordt het AIMS effectief geimplementeerd en onderhouden? Zonder interne audit mis je het controle-instrument dat de Check-fase van de PDCA-cyclus voedt. En zonder die Check-fase staat de Act-fase stil. Het resultaat: een AIMS dat op papier bestaat maar in de praktijk verwatert.
Interne audits dienen meerdere doelen tegelijk. Ze identificeren non-conformities voordat een externe auditor dat doet. Ze geven het management objectieve informatie over de werking van AI-governance. Ze creeren bewustzijn bij medewerkers: als je weet dat er geaudit wordt, neem je procedures serieuzer. En ze leveren verplichte input voor de management-review (Clause 9.3).
Voor organisaties die certificering nastreven is de interne audit een vereiste voordat de externe Stage-1 audit kan plaatsvinden. Maar ook zonder certificeringsambitie is het instrument waardevol. Als je een AIMS hebt opgezet conform onze ISO 42001 implementatiegids, is de interne audit de logische volgende stap om het systeem levend te houden.
Auditplanning: programma, scope en auditorcompetentie.
Een goede audit begint ver voor de eerste interviewafspraak. Het begint met een auditprogramma: het overkoepelende plan dat beschrijft wanneer welke delen van het AIMS geaudit worden, door wie, met welke frequentie en op basis van welke criteria.
Het auditprogramma.
Clause 9.2 stelt dat het auditprogramma rekening moet houden met het belang van de betrokken processen, veranderingen die de organisatie raken, en de resultaten van eerdere audits. Concreet betekent dit dat je de auditfrequentie en -diepte afstemt op risico. Een AI-systeem dat automatisch kredietbeslissingen neemt verdient meer audittijd dan een interne chatbot voor FAQ's.
Het auditprogramma bevat minimaal:
- Auditscope per audit: welke clauses, welke Annex A-controls, welke AI-systemen
- Auditcriteria: ISO 42001 eisen, eigen beleid en procedures, wettelijke eisen (AI Act, AVG)
- Frequentie: minimaal jaarlijks het volledige AIMS dekken, eventueel via rolling audits
- Auditoraanwijzing: wie voert uit, hoe is onafhankelijkheid gewaarborgd
- Rapportagelijn: aan wie worden resultaten gerapporteerd
- Middelen: tijd, toegang tot systemen, beschikbaarheid van medewerkers
Auditorcompetentie en onafhankelijkheid.
De auditor moet twee dingen zijn: competent en onafhankelijk. Competent betekent kennis van audit-methodiek (ISO 19011), kennis van ISO 42001 zelf, en voldoende begrip van AI-concepten om zinvolle vragen te stellen. De auditor hoeft geen data scientist te zijn, maar moet wel begrijpen wat bias inhoudt, wat model-drift is, hoe data-governance werkt en wat human oversight in de praktijk betekent.
Onafhankelijk betekent dat de auditor niet zijn eigen werk mag auditen. Iemand die het AI-beleid heeft geschreven, mag niet toetsen of dat beleid aan de norm voldoet. In grotere organisaties is dit eenvoudig te organiseren via cross-audits. In het MKB met beperkte capaciteit zijn er drie oplossingen:
- Cross-auditing: collega van een andere afdeling die getraind is als auditor
- Externe interne auditor: een externe partij die de interne audit uitvoert namens de organisatie
- Combinatie: interne coordinator met externe lead-auditor voor de inhoudelijke toetsing
Welke variant je ook kiest: documenteer de competentie van de auditor (training, ervaring, certificaten) en leg vast hoe onafhankelijkheid is geborgd. Een externe certificeringsauditor zal hier specifiek naar vragen.
Voorbereiding: documentreview, auditplan en checklists.
Voordat de auditor het eerste gesprek voert, moet een grondige documentatie-review plaatsvinden. Dit is geen vluchtige blik op het handboek; het is een systematische beoordeling van de sleuteldocumenten van het AIMS.
Documentatie-review.
De auditor beoordeelt vooraf minimaal de volgende documenten:
- AI-beleid: is het actueel, ondertekend door directie, in lijn met scope en context?
- Statement of Applicability (SoA): zijn alle 38 Annex A-controls beoordeeld, inclusies en exclusies onderbouwd?
- Risico-register: zijn AI-specifieke risico's geidentificeerd, zijn mitigaties vastgelegd, is het register actueel?
- AI Impact Assessments: is er per AI-systeem in scope een assessment beschikbaar?
- Procedures en werkinstructies: voor AI-ontwikkeling, -inkoop, -monitoring, -incident-afhandeling
- Eerdere auditverslagen: welke bevindingen waren er, wat is de status van corrigerende maatregelen?
- Management-review notulen: is de review uitgevoerd, zijn besluiten genomen en opgevolgd?
- AI-register: overzicht van alle AI-systemen met eigenaar, status en risiconiveau
De documentatie-review levert twee dingen op: een eerste beeld van de AIMS-volwassenheid en specifieke aandachtspunten voor de uitvoering. Als het risico-register al acht maanden niet is bijgewerkt, is dat een signaal om risicomanagement extra diep te toetsen.
Het auditplan.
Op basis van de documentreview stelt de auditor een gedetailleerd auditplan op. Dit plan bevat:
- Doelstelling en scope van deze specifieke audit
- Tijdschema: wanneer worden welke onderdelen getoetst
- Gesprekspartners per onderdeel: wie wordt geinterviewd over welk onderwerp
- Te toetsen clauses en Annex A-controls met specifieke auditvragen
- Methoden per onderdeel: interview, observatie, documentbeoordeling, systeemcheck
- Logistiek: locatie, online of fysiek, toegang tot systemen
Het auditplan wordt vooraf gedeeld met de auditee zodat betrokkenen zich kunnen voorbereiden en beschikbaar zijn. Dit is geen verrassing maar een gepland onderzoek.
Auditchecklists.
Checklists zijn het werkdocument van de auditor. Per clause en per Annex A-categorie bevat de checklist specifieke vragen, te verwachten bewijs en criteria voor conformiteit. Verderop in dit artikel vind je een complete checklist met 40+ items. De checklist is een hulpmiddel, geen rigide script; een goede auditor volgt ook onverwachte sporen als antwoorden vragen oproepen.
Uitvoering: van opening meeting tot bewijs verzamelen.
De audit-uitvoering is het hart van het proces. Hier toetst de auditor of het AIMS in de praktijk werkt zoals op papier beschreven.
Wat te toetsen per AIMS-clause en Annex A-categorie.
Per clause en control-categorie: de kernvragen die de auditor moet stellen en het bewijs dat beschikbaar moet zijn. Dit vormt de basis voor je auditchecklists.
- Is de interne en externe context geanalyseerd met betrekking tot AI?
- Zijn belanghebbenden geidentificeerd met hun behoeften en verwachtingen?
- Is de AIMS-scope gedefinieerd en gedocumenteerd?
- Zijn de AI-systemen in scope geidentificeerd en geregistreerd?
- Zijn scope-grenzen en uitsluitingen onderbouwd?
- Heeft top management het AI-beleid vastgesteld en ondertekend?
- Is het beleid gecommuniceerd aan alle relevante medewerkers?
- Zijn rollen en verantwoordelijkheden (RACI) gedefinieerd?
- Levert de directie aantoonbaar middelen en prioriteit?
- Is er een management-vertegenwoordiger voor het AIMS aangewezen?
- Is er een AI-risicoanalyse per systeem uitgevoerd?
- Zijn risico's en kansen geadresseerd met maatregelen?
- Zijn AI-doelstellingen meetbaar en met KPI's vastgelegd?
- Zijn AI Impact Assessments uitgevoerd conform A.5?
- Is er een change-management-proces voor het AIMS?
- Zijn benodigde middelen bepaald en beschikbaar gesteld?
- Zijn competentie-eisen per rol vastgesteld?
- Zijn AI-literacy-trainingen uitgevoerd en geregistreerd?
- Is er een communicatieplan voor AI-gerelateerde onderwerpen?
- Is gedocumenteerde informatie beheerst (versies, goedkeuring, distributie)?
- Zijn AI-levenscyclusprocessen gedefinieerd en operationeel?
- Worden Annex A-controls conform SoA toegepast?
- Is uitbesteed AI-werk beheerst en gemonitord?
- Is er een proces voor onboarding nieuwe AI-systemen?
- Worden operationele wijzigingen beheerst gedocumenteerd?
- Worden AI-systemen gemonitord op performance en risico's?
- Is het interne auditprogramma vastgesteld en uitgevoerd?
- Zijn auditresultaten gerapporteerd aan management?
- Is een management-review uitgevoerd met alle verplichte input?
- Zijn management-review-output en besluiten gedocumenteerd?
- Worden non-conformities geregistreerd en geanalyseerd?
- Zijn corrigerende maatregelen vastgesteld met eigenaar en deadline?
- Wordt effectiviteit van corrigerende maatregelen geverifieerd?
- Is er een proces voor continue verbetering van het AIMS?
- Worden verbeteringen teruggeleid naar beleid en procedures?
- A.2: Is AI-beleid specifiek, actueel en gecommuniceerd?
- A.3: Zijn rollen voor AI duidelijk belegd met mandaat?
- A.4: Zijn middelen (data, tooling, compute, personeel) vastgelegd?
- A.5: Is per AI-systeem een impact assessment beschikbaar?
- A.5: Worden impact assessments periodiek herzien?
- A.6: Zijn levenscyclusprocessen per AI-systeem gedocumenteerd?
- A.7: Zijn data-kwaliteit, herkomst en governance geborgd?
- A.8: Is documentatie voor gebruikers en stakeholders beschikbaar?
- A.9: Wordt AI-gebruik getoetst aan oorspronkelijk doel?
- A.10: Zijn afspraken met derden en klanten over AI vastgelegd?
De bovenstaande kaarten vormen een samenvatting. In de praktijk bevat de auditor per control meerdere specifieke vragen. De volledige Annex A-controls deep dive geeft per control de inhoud en implementatie-eisen. Voor de basisuitleg van de standaard: ISO 42001 uitgelegd.
Bevindingen classificeren: vier niveaus.
Niet elke afwijking weegt even zwaar. De classificatie bepaalt de urgentie van de corrigerende maatregel en de impact op een eventuele certificeringsbeslissing.
Elke bevinding moet onderbouwd zijn met objectief bewijs. Een non-conformiteit zonder bewijs is geen non-conformiteit. Noteer bij elke bevinding: de norm-eis die niet wordt nageleefd, het bewijs dat de afwijking aantoont, en de classificatie met motivatie. Dit maakt het auditrapport controleerbaar en geeft de auditee de informatie die nodig is voor een gerichte corrigerende maatregel.
Een veelgemaakte fout is het combineren van meerdere kleinere afwijkingen in een enkel norm-onderdeel tot een major. Dat mag alleen als de afwijkingen samen aantonen dat het onderdeel systematisch faalt. Drie losse incompletheden in documentatie vormen niet automatisch een major; drie bewijzen dat documentatiebeheer als proces niet werkt, mogelijk wel.
Structuur van het auditrapport.
Het auditrapport is het formele eindresultaat van de audit. Het dient als input voor de management-review, als referentie voor corrigerende maatregelen, en als bewijs voor de certificeringsauditor dat de interne auditcyclus functioneert. Een goed rapport is feitelijk, volledig en begrijpelijk voor niet-auditors.
Het rapport wordt binnen vijf werkdagen na de closing meeting opgeleverd. De auditee krijgt gelegenheid om feitelijke onjuistheden te corrigeren voordat het rapport definitief wordt. Het definitieve rapport gaat naar de management-vertegenwoordiger en naar top management als input voor de management-review.
Corrigerende maatregelen en follow-up.
Een audit zonder follow-up is zinloos. Elke non-conformiteit (major en minor) vereist een corrigerende maatregel. Het proces verloopt in vier stappen:
Stap 1: Oorzaakanalyse.
Voor elke non-conformiteit bepaalt de verantwoordelijke de grondoorzaak. Niet het symptoom maar de onderliggende reden. Waarom ontbreekt het risico-assessment voor dat AI-systeem? Omdat er geen trigger is in het onboardingsproces? Omdat de risk-owner niet op de hoogte was? Omdat de procedure onduidelijk is? De grondoorzaak bepaalt de juiste maatregel. Zonder oorzaakanalyse behandel je symptomen en komt de afwijking terug.
Stap 2: Maatregel definieren.
Per non-conformiteit wordt een corrigerende maatregel vastgesteld die de grondoorzaak adresseert. De maatregel bevat: wat er moet gebeuren, wie verantwoordelijk is, wanneer het gereed moet zijn, en hoe de effectiviteit wordt gemeten. Major non-conformiteiten vereisen onmiddellijke actie en hebben een korte deadline (typisch 30 dagen). Minor non-conformiteiten hebben een langere termijn (30-90 dagen).
Stap 3: Implementatie.
De verantwoordelijke voert de maatregel uit en documenteert het bewijs. Een nieuwe procedure geschreven? Documenteer de versie, de goedkeuring en de communicatie. Een training uitgevoerd? Leg de deelnemerslijst en het materiaal vast. Een risico-assessment alsnog uitgevoerd? Archiveer het volledige document.
Stap 4: Verificatie.
De auditor of een aangewezen persoon verifieert of de maatregel is uitgevoerd en of de grondoorzaak is geadresseerd. Dit kan via documentreview, hercontrole of een beperkte follow-up audit. Pas na succesvolle verificatie wordt de non-conformiteit afgesloten. Bij certificering verifieert de externe auditor de status van openstaande interne non-conformities.
Acht veelgemaakte fouten bij AIMS-audits.
Deze fouten zien we in de praktijk terugkomen. Herken ze vooraf en voorkom ze.
40+ auditpunten per clause en Annex A-categorie.
Complete interne auditchecklist voor ISO 42001 AIMS-toetsing. Gebruik als werkdocument en pas aan op jouw specifieke scope en context.
- Interne en externe context geanalyseerd met specifiek AI-perspectief Clause 4.1
- Relevante wet- en regelgeving geidentificeerd (AI Act, AVG, sectorspecifiek) Clause 4.1
- Belanghebbenden geidentificeerd met hun eisen en verwachtingen Clause 4.2
- AIMS-scope gedefinieerd, gedocumenteerd en beschikbaar Clause 4.3
- AI-systemen in scope geregistreerd in centraal register Clause 4.3
- Scope-uitsluitingen onderbouwd en gedocumenteerd Clause 4.3
- Top management toont aantoonbaar commitment aan het AIMS Clause 5.1
- AI-beleid vastgesteld, ondertekend door directie Clause 5.2
- AI-beleid bevat doelstellingen, principes en commitments Clause 5.2
- AI-beleid gecommuniceerd aan alle relevante medewerkers Clause 5.2
- Rollen en verantwoordelijkheden gedefinieerd in RACI-matrix Clause 5.3
- Management-vertegenwoordiger aangewezen met mandaat Clause 5.3
- Risico's en kansen geidentificeerd en beoordeeld Clause 6.1
- AI-risicoanalyse per systeem uitgevoerd met kans-impact-beoordeling Clause 6.1
- Mitigerende maatregelen per risico vastgesteld Clause 6.1
- AI-doelstellingen meetbaar, met KPI's en verantwoordelijke Clause 6.2
- AI Impact Assessments uitgevoerd per AI-systeem in scope Clause 6.1 + A.5
- Change-management-proces voor AIMS-wijzigingen operationeel Clause 6.3
- Benodigde middelen voor AIMS bepaald en beschikbaar gesteld Clause 7.1
- Competentie-eisen per AI-gerelateerde rol vastgesteld Clause 7.2
- AI-literacy-trainingen uitgevoerd en geregistreerd Clause 7.2
- Awareness-programma operationeel voor alle relevante medewerkers Clause 7.3
- Communicatieplan voor AI-gerelateerde interne en externe communicatie Clause 7.4
- Documentbeheer ingericht met versioning, goedkeuring en distributie Clause 7.5
- AI-levenscyclusprocessen gedefinieerd en operationeel Clause 8.1
- Statement of Applicability (SoA) opgesteld en actueel Clause 8.1
- Annex A-controls geimplementeerd conform SoA Clause 8.1
- Uitbestede AI-activiteiten beheerst met contractuele afspraken Clause 8.1
- Onboardingsproces voor nieuwe AI-systemen operationeel Clause 8.1
- Operationele wijzigingen beheerst en gedocumenteerd Clause 8.1
- Monitoring-metrieken per AI-systeem gedefinieerd en gemeten Clause 9.1
- Monitoringresultaten geanalyseerd en gerapporteerd Clause 9.1
- Auditprogramma vastgesteld met frequentie, scope en criteria Clause 9.2
- Auditor(s) competent en onafhankelijk van te auditen werkgebied Clause 9.2
- Management-review uitgevoerd met alle verplichte input Clause 9.3
- Management-review-besluiten gedocumenteerd en opgevolgd Clause 9.3
- Non-conformities worden geregistreerd met grondoorzaak-analyse Clause 10.1
- Corrigerende maatregelen vastgesteld met eigenaar en deadline Clause 10.1
- Effectiviteit van corrigerende maatregelen geverifieerd Clause 10.1
- Continue verbeterproces gedefinieerd en aantoonbaar actief Clause 10.2
- A.2 AI-beleid: specifiek, actueel, breder dan generiek IT-beleid A.2.2-A.2.4
- A.3 Organisatie: AI-rollen belegd met mandaat en capaciteit A.3.2-A.3.6
- A.4 Middelen: data, tooling, compute en personeel vastgelegd per AI-systeem A.4.2-A.4.7
- A.5 Impact: per AI-systeem assessment op rechten, veiligheid, samenleving A.5.2-A.5.7
- A.6 Levenscyclus: ontwikkel-, test-, deploy- en monitorprocessen gedocumenteerd A.6.2-A.6.8
- A.7 Data: kwaliteit, herkomst, governance en voorbereiding geborgd A.7.2-A.7.5
- A.8 Stakeholders: gebruikersdocumentatie, incident-rapportage, uitlegbaarheid A.8.2-A.8.5
- A.9 Gebruik: AI-systemen ingezet conform oorspronkelijk doel A.9.2-A.9.3
- A.10 Derden: afspraken met leveranciers en klanten over AI vastgelegd A.10.2
- Human oversight ingericht bij systemen met significante autonomie A.6 + beleid
Over interne AIMS-audits.
Hoe vaak moet een interne audit van het AIMS plaatsvinden?
ISO 42001 Clause 9.2 vereist geplande intervallen. In de praktijk: minimaal jaarlijks het volledige AIMS dekken. Bij snelle veranderingen, na incidenten of bij nieuwe AI-deployments kan hogere frequentie nodig zijn. Het auditprogramma moet risico-gebaseerd zijn: gebieden met hogere AI-risico's of eerdere non-conformities verdienen vaker aandacht.
Mag de interne auditor ook betrokken zijn bij het AIMS?
De auditor mag niet zijn eigen werk auditen. Clause 9.2 vereist objectiviteit en onpartijdigheid. In kleine organisaties: gebruik cross-auditing (afdeling A audit afdeling B) of huur een externe interne auditor in. De auditor mag wel onderdeel zijn van de organisatie, zolang er geen directe betrokkenheid is bij het te auditen werkgebied.
Wat is het verschil tussen een major en minor non-conformiteit?
Een major betekent dat een norm-eis volledig niet wordt nageleefd of dat een heel proces ontbreekt. Een minor is een gedeeltelijke afwijking: het proces bestaat maar wordt niet consistent gevolgd. Majors blokkeren certificering tot ze opgelost zijn. Minors moeten binnen een afgesproken termijn gecorrigeerd worden maar blokkeren certificering niet direct.
Welke competenties moet een AIMS-auditor hebben?
Audit-vaardigheden (bij voorkeur ISO 19011-gebaseerd), kennis van ISO 42001 clauses en Annex A, en voldoende begrip van AI-concepten. De auditor hoeft geen deep learning-expert te zijn maar moet begrijpen wat bias is, hoe data-governance werkt, wat human oversight inhoudt en hoe model-monitoring functioneert. Zonder die basiskennis kan de auditor niet doorvragen op antwoorden.
Kan een interne audit het AIMS voorbereiden op certificering?
Ja, dat is een van de primaire doelen. Een volledige interne auditcyclus voorafgaand aan de Stage-1 audit identificeert non-conformities die intern opgelost kunnen worden. Organisaties die dit doen presteren aantoonbaar beter bij de externe audit. Het toont ook aan dat de PDCA-cyclus draait, wat de certificeringsauditor als positief signaal beschouwt.
Hoe lang duurt een interne AIMS-audit?
Voor MKB met 2-5 AI-systemen: 2-3 dagen voorbereiding, 2-4 dagen uitvoering, 1-2 dagen rapportage. Totaal 5-9 werkdagen. Eerste audits kosten meer tijd omdat alles nieuw is. Bij vervolgaudits wordt dit korter. De exacte duur hangt af van scope, complexiteit van de AI-systemen en de beschikbaarheid van medewerkers en documentatie.
Wat als er geen non-conformities gevonden worden?
Dat komt zelden voor en kan een teken zijn dat de audit niet diep genoeg ging. Elk systeem heeft verbeterpunten. Rapporteer dan minimaal observaties en verbeterkansen. Een audit zonder bevindingen wordt door externe auditors soms kritisch bekeken, omdat het de geloofwaardigheid van het interne auditproces kan aantasten.
Moet de interne audit alle clauses tegelijk dekken?
Niet per se. Een rolling audit-aanpak is toegestaan: verschillende audits dekken verschillende delen, zolang alle clauses en relevante Annex A-controls binnen de programmacyclus aan bod komen. Elke individuele audit moet wel een samenhangend geheel toetsen. Management-review en corrigerende maatregelen verdienen elk jaar aandacht.
Hoe verhouden interne audits zich tot management-review?
Interne auditresultaten zijn verplichte input voor de management-review (Clause 9.3). Het management beoordeelt bevindingen, status van maatregelen en trends. De review leidt tot besluiten over middelen, beleidswijzigingen en verbeterdoelen. Zonder auditresultaten mist de review een essentieel informatiekanaal over de daadwerkelijke werking van het AIMS.
Is een interne audit ook nuttig zonder certificeringsambitie?
Absoluut. De interne audit is een management-instrument dat objectief inzicht geeft in of AI-governance werkt. Het helpt risico's te identificeren voordat ze problemen worden, het houdt medewerkers scherp op procedures en het geeft de directie informatie om weloverwogen beslissingen te nemen over AI-investeringen en -governance. De waarde zit in het inzicht, niet in het certificaat.
Gerelateerde pagina's over ISO 42001 en AI-audit.
Deze zes pagina's geven aansluitende context voor het interne auditproces van je AIMS.
Opgesteld met AI-ondersteuning door de redactie van Prometheus21, laatst bijgewerkt op 7 september 2026. Hoe wij content maken
Interne AIMS-audit laten begeleiden?
Prometheus21 voert interne audits uit op AI Management Systems voor MKB-organisaties. Als externe interne auditor of als begeleider van jouw eigen auditteam. Onafhankelijk, pragmatisch en met AI-domeinkennis.
Plan een auditgesprek