ISO 42001 management review:
agenda en rapportage.

De management review is het moment waarop de directie het AI Management System (AIMS) beoordeelt op werking, resultaten en richting. Clause 9.3 van ISO 42001 beschrijft precies wat er aan bod moet komen en welke besluiten eruit moeten volgen. Deze gids geeft je kant-en-klare agenda-templates, rapportage-formats en KPI-selectie voor zowel kwartaal- als jaarreviews.

Bron: ISO/IEC 42001:2023 clause 9.3 (Management review), AI Act Verordening 2024/1689, ISO 19011:2018 (audit-richtlijnen), praktijkervaring Prometheus21 met AIMS-implementaties in het MKB.

Scope: Praktische invulling van management review voor MKB 5-500 FTE. Van eerste review tot volwassen kwartaalcadans. Dit artikel behandelt agenda, rapportage en KPIs; voor implementatie van het volledige AIMS zie onze dedicated gids.

9.3
Clause in ISO 42001 die de management review beschrijft: inputs, proces en verplichte outputs.
11 inputs
Verplichte input-items die clause 9.3.2 voorschrijft voor elke management review van het AIMS.
4x /jaar
Aanbevolen cadans: kwartaal operationele reviews plus jaarlijkse strategische review voor MKB.

Directie aan het stuur.
Niet op de achterbank.

De management review is het formele moment waarop het top-management het AI Management System beoordeelt. Dit is geen vergadering voor de IT-afdeling of de compliance-coordinator. Het is een directie-aangelegenheid. ISO 42001 clause 9.3 schrijft voor dat de hoogste leiding op geplande intervallen het AIMS evalueert op drie criteria: geschiktheid (past het systeem bij de organisatie), adequaatheid (dekt het wat het moet dekken) en doeltreffendheid (levert het de gewenste resultaten).

In de praktijk zien we dat veel MKB-organisaties de management review onderschatten. Het wordt een verplicht nummertje: een keer per jaar een handtekening onder een document, zonder echte bespreking. Dat is precies wat niet de bedoeling is. Een goed uitgevoerde management review is het scharnierpunt van de PDCA-cyclus. Het is waar de Check-fase overgaat in Act: waar informatie uit monitoring, audits en dagelijkse operatie wordt omgezet in concrete besluiten door de mensen die middelen en richting kunnen toewijzen.

Deze gids geeft je alles wat je nodig hebt om management reviews goed in te richten: de elf verplichte inputs uit clause 9.3.2, de drie verplichte output-categorieen uit clause 9.3.3, kant-en-klare agenda-templates voor zowel kwartaal- als jaarreviews, een rapportage-format dat auditors verwachten, en een selectie van KPIs die relevant zijn voor de directie. Specifiek afgestemd op het MKB, waar de directeur-eigenaar vaak ook de eindverantwoordelijke is voor het AIMS.

Voor de volledige context van ISO 42001 als standaard, zie onze ISO 42001 uitleg-gids. Voor het inrichten van het complete managementsysteem, bekijk de implementatie-gids. Voor het uitvoeren van de interne audit die input levert voor de review, zie interne audit AIMS.

Management review: Formele beoordeling door top-management van het managementsysteem op geschiktheid, adequaatheid en doeltreffendheid. Verplicht onderdeel van elke ISO-managementsysteem-standaard (Harmonized Structure clause 9.3).

PDCA-cyclus: Plan-Do-Check-Act. De management review bevindt zich op het kruispunt van Check en Act: informatie evalueren en besluiten nemen voor de volgende cyclus.

Directie-verantwoordelijkheid
De management review is geen delegeerbaar item. Top-management moet aantoonbaar deelnemen, besluiten nemen en middelen toewijzen.
11 verplichte inputs
Clause 9.3.2 specificeert elf items die aan bod moeten komen. Auditors controleren of elk item gedocumenteerd is behandeld.
Van check naar actie
Outputs moeten concreet zijn: verbeteracties, middelen-toewijzing, scope-aanpassingen. Geen review zonder besluiten.

De elf verplichte inputs voor de management review.

Elk van deze items moet aantoonbaar aan bod komen. Bij een certificeringsaudit controleert de auditor of alle elf zijn gedocumenteerd en besproken. Hieronder een toelichting per input-item.

1

Status acties vorige reviews

Welke acties zijn er afgesproken in de vorige management review? Hoeveel zijn afgerond, hoeveel lopen nog, hoeveel zijn niet opgepakt? Dit is altijd het eerste agendapunt. Het toont of het systeem daadwerkelijk tot actie leidt. Toon een overzicht met per actie: omschrijving, verantwoordelijke, deadline en huidige status. Acties die herhaaldelijk niet worden afgerond zijn een signaal dat middelen of prioriteit ontbreken.

2

Wijzigingen externe en interne issues

Sinds de vorige review: wat is er veranderd in de context van de organisatie? Nieuwe regelgeving (AI Act-deadlines, NIS2), marktontwikkelingen, technologische verschuivingen, wijzigingen in klantbehoeften, organisatorische veranderingen (fusie, groei, personeel). Dit correspondeert met clause 4 (Context of the organization). Relevante wijzigingen kunnen aanleiding geven om scope, beleid of risico-beoordeling bij te stellen.

3

AI-beleid adequaatheid

Is het huidige AI-beleid nog passend? Reflecteert het de strategische richting van de organisatie? Sluit het aan bij de huidige externe eisen en interne ambities? De directie moet expliciet beoordelen of het beleid ongewijzigd kan blijven of herziening nodig heeft. Bij de jaarlijkse review is dit een dieper agendapunt; bij kwartaalreviews vaak een bevestiging tenzij er aanleiding is voor wijziging.

4

Prestaties van het AIMS (KPIs en metrics)

Hoe presteert het AI Management System als geheel? Dit omvat de doelstellingen die in clause 6.2 zijn vastgesteld en de bijbehorende KPIs. Hoeveel procent van de geplande acties is uitgevoerd? Wat is de status van control-implementatie? Worden deadlines gehaald? Presenteer dit als dashboard met trends over de afgelopen periode, niet alleen als momentopname.

5

Auditresultaten

Resultaten van zowel interne audits als eventuele externe audits (surveillance, certificering). Hierbij wordt beoordeeld hoeveel bevindingen er zijn, welke daarvan als major en welke als minor zijn geclassificeerd, hoeveel er inmiddels zijn opgelost en of er patronen zichtbaar zijn die op structurele zwaktes duiden. De interne audit (clause 9.2) is een directe feeder voor de management review, en zonder die audit-input mist de review een belangrijk evaluatie-instrument.

6

Afwijkingen en corrigerende maatregelen

Overzicht van alle geregistreerde non-conformities (clause 10.1) en de status van bijbehorende corrigerende maatregelen. De directie beoordeelt hierbij of root-causes adequaat zijn vastgesteld, of de genomen maatregelen effectief zijn gebleken en of bepaalde afwijkingen zich herhalen. Dit item overlapt met auditresultaten maar omvat ook afwijkingen die buiten audits zijn geidentificeerd, bijvoorbeeld door dagelijkse operatie of incidentmeldingen.

7

Monitoring- en meetresultaten

Resultaten van de monitoring en meting die conform clause 9.1 zijn opgezet. Dit betreft de operationele metingen: worden processen gevolgd, zijn controls effectief, presteren systemen binnen gestelde normen? Denk aan beschikbaarheidscijfers, responstijden, foutpercentages in AI-outputs, frequentie van menselijke interventie bij geautomatiseerde besluiten. Concrete cijfers, geen abstracte beoordelingen.

8

Feedback van belanghebbenden

Wat melden klanten, leveranciers, medewerkers, toezichthouders en andere stakeholders over het AIMS en de AI-systemen? Dit kan formele feedback zijn (klanttevredenheidsonderzoek, klachten, audits door klanten) of informele signalen (vragen over AI-gebruik, zorgen over privacy). Documenteer de belangrijkste feedback-thema's en de acties die daaruit voortvloeien.

9

Resultaten risico- en kansen-beoordeling

Status van de risico-beoordeling uit clause 6.1. Zijn er nieuwe risicos geidentificeerd? Zijn bestaande risicos hoger of lager geworden? Zijn er nieuwe kansen die het AIMS kan benutten? Presenteer een risico-heatmap met vergelijking ten opzichte van de vorige review. De directie moet op basis hiervan besluiten of de huidige risico-acceptatie nog passend is of dat aanvullende maatregelen nodig zijn.

10

AI-systeemprestaties en incidenten

Specifiek voor ISO 42001 (aanvullend op generieke managementsysteem-inputs): hoe presteren de AI-systemen zelf? Nauwkeurigheid, bias-metrics, beschikbaarheid, incidenten (verkeerde outputs, onverwacht gedrag, klachten over AI-beslissingen). Hoeveel incidenten waren er, hoe snel zijn ze opgelost, wat waren de gevolgen? Dit is het punt waar technische AI-prestaties samenkomen met governance-verantwoordelijkheid.

11

Mogelijkheden voor verbetering

Welke verbeterkansen zijn er geidentificeerd? Dit is een brede categorie: procesverbeteringen, uitbreiding van scope, nieuwe AI-systemen die onder het AIMS moeten vallen, training-behoeften, tooling-upgrades. Het doel is dat de review niet alleen terugkijkt maar ook vooruit: waar kan het systeem beter, en welke middelen zijn daarvoor nodig? Dit vormt de brug naar de Act-fase van de PDCA-cyclus.

Drie verplichte output-categorieen.

Elke management review moet resulteren in concrete besluiten en acties. Een review zonder outputs is geen review maar een presentatie. Clause 9.3.3 definieert drie categorieen.

Verbeterkansen

Besluiten over verbetering van het AIMS en de AI-systemen, zoals welke processen worden aangepast, welke controls worden versterkt en welke nieuwe initiatieven worden gestart. Elke verbetering krijgt een eigenaar en deadline toegewezen. Dit is de directe vertaling van continue verbetering (clause 10.2) naar concrete actie.

Systeemwijzigingen

Besluiten over wijzigingen in het AIMS zelf: aanpassing van beleid, herziening van doelstellingen, scope-uitbreiding of -inperking, aanpassing van risico-criteria. Dit is waar de directie de strategische koers van het AIMS kan bijsturen op basis van de besproken inputs.

Middelen-toewijzing

Besluiten over toewijzing van benodigde middelen: budget, personeel, tooling, training-capaciteit, externe ondersteuning. Zonder middelen-toewijzing blijven verbeteracties op papier staan. De directie moet expliciet aangeven welke middelen beschikbaar worden gesteld voor de komende periode.

Belangrijk: De outputs moeten worden vastgelegd als documented information (clause 7.5). Dit betekent een formeel verslag met datum, deelnemers, besluiten en actiepunten. Bij een certificeringsaudit zal de auditor dit verslag opvragen en controleren of outputs traceerbaar zijn naar opvolging in de volgende review.

Kwartaal- en jaarlijkse review agenda.

Twee kant-en-klare agenda-templates die je direct kunt gebruiken. De kwartaalreview is operationeel en compact; de jaarreview is strategisch en uitgebreid.

Kwartaalreview

Operationele AIMS-review (Q1, Q2, Q3)

Duur: 60-90 minuten | Deelnemers: directie, AIMS-coordinator, optioneel IT-manager
  • 00:00
    Opening en vaststellen agendaDeelnemers, doelen van de sessie, wijzigingen in de agenda.
    5 min
  • 00:05
    Status acties vorige reviewOverzicht per actie: afgerond, lopend, niet opgepakt. Oorzaken voor vertraging. Input 1.
    10 min
  • 00:15
    KPI-dashboard en AIMS-prestatiesOverzicht doelstellingen, control-implementatie, audit-opvolging. Trends t.o.v. vorig kwartaal. Inputs 4 en 7.
    15 min
  • 00:30
    AI-systeemprestaties en incidentenBeschikbaarheid, nauwkeurigheid, bias-check, gemelde incidenten en afhandeling. Input 10.
    15 min
  • 00:45
    Afwijkingen en corrigerende maatregelenOpen non-conformities, root-cause-status, effectiviteit van maatregelen. Inputs 5 en 6.
    10 min
  • 00:55
    Wijzigingen in context en regelgevingRelevante externe of interne veranderingen: regelgeving, markt, organisatie. Inputs 2 en 8.
    10 min
  • 01:05
    Verbetermogelijkheden en besluitenConcrete verbeteracties, middelen-behoeften, verantwoordelijken en deadlines vaststellen. Inputs 9 en 11. Outputs 1-3.
    15 min
  • 01:20
    Samenvatting en actielijstRecap van alle besluiten, acties, eigenaren en deadlines. Afspraken over volgende review.
    10 min
Jaarreview

Strategische AIMS-review (Q4 / jaareinde)

Duur: 3-4 uur | Deelnemers: volledige directie, AIMS-coordinator, interne auditor, IT-manager, optioneel privacy officer
  • 00:00
    Opening, jaardoelen en terugblikContext: wat was het plan voor dit jaar, wat is de status op hoofdlijnen.
    10 min
  • 00:10
    Status acties alle kwartaalreviewsJaaroverzicht van alle afgesproken acties. Patroonanalyse: welke typen acties worden wel/niet afgerond.
    15 min
  • 00:25
    AIMS-prestaties jaardashboardKPIs over het hele jaar. Trends, doelstellingen behaald of niet. Benchmarking waar mogelijk.
    20 min
  • 00:45
    AI-beleid beoordeling en herzieningDiepte-evaluatie: is het beleid nog passend? Voorstel tot aanpassing waar nodig. Input 3.
    20 min
  • 01:05
    Pauze
    15 min
  • 01:20
    Risico-herbeoordeling en kansenVolledige risico-heatmap. Vergelijking met vorig jaar. Nieuwe risicos en kansen. Risico-acceptatie door directie. Input 9.
    25 min
  • 01:45
    Audit-resultaten en afwijkingenJaaroverzicht interne en externe audits. Structurele bevindingen, herhalende non-conformities. Inputs 5 en 6.
    20 min
  • 02:05
    Stakeholder-feedback en compliance-positieOverzicht feedback klanten, leveranciers, toezichthouders. AI Act-readiness status. NIS2-overlap. Input 8.
    15 min
  • 02:20
    AI-systeem-portfolio reviewWelke AI-systemen zijn er? Welke zijn nieuw, welke uitgefaseerd? Prestaties en incidenten jaaroverzicht. Input 10.
    20 min
  • 02:40
    Scope-evaluatie AIMSIs de huidige scope nog passend? Moeten nieuwe AI-systemen of afdelingen worden opgenomen?
    15 min
  • 02:55
    Strategische doelstellingen komend jaarVaststellen van AIMS-doelstellingen voor het komende jaar. Middelen-planning. Budget-allocatie.
    20 min
  • 03:15
    Besluiten, actielijst en samenvattingAlle besluiten vastleggen. Acties met eigenaren en deadlines. Planning volgende reviews. Formele goedkeuring.
    15 min

Kwartaalreview vs. jaarreview: wanneer wat?

Beide reviews dekken de verplichte inputs, maar met verschillende diepte en focus. De kwartaalreview houdt het systeem actief; de jaarreview stuurt de strategische koers bij.

Kwartaalreview

60-90 minuten | Operationeel | Q1, Q2, Q3
  • Focus op operationele prestaties en lopende acties
  • KPIs en metrics over afgelopen kwartaal
  • Incidenten en afwijkingen van afgelopen periode
  • Snelle check op context-wijzigingen
  • Beleid alleen besproken bij aanleiding
  • Compact besluitenblok met operationele acties
  • Geen uitgebreide risico-herbeoordeling
  • Geschikt voor directeur-eigenaar plus AIMS-coordinator

Jaarreview

3-4 uur | Strategisch | Q4 of jaareinde
  • Focus op strategische richting en beleid-herziening
  • KPIs en metrics over het hele jaar met trendanalyse
  • Volledige risico-herbeoordeling met nieuwe heatmap
  • Diepte-evaluatie AI-beleid met eventuele herziening
  • Scope-evaluatie: uitbreiden of inperken
  • Budget en middelen-planning komend jaar
  • Stakeholder-analyse en compliance-positie
  • Breed gezelschap: directie, auditor, IT, privacy officer

Wat het management review rapport moet bevatten.

Het rapport is documented information onder clause 7.5. Het moet compleet, traceerbaar en ondertekend zijn. Hieronder de onderdelen die auditors verwachten.

1. Voorblad en administratie

  • Datum en tijdstip van de review
  • Type review: kwartaal of jaar
  • Deelnemers met naam en functie
  • Versienummer van het rapport
  • Referentie naar vorig review-rapport

2. Management summary

Maximaal een half A4. Drie tot vijf kernbevindingen, belangrijkste besluiten, en een overall beoordeling van de AIMS-status (groen/oranje/rood of vergelijkbaar). De directie moet in 60 seconden kunnen zien hoe het ervoor staat.

3. KPI-overzicht

Eén pagina met de geselecteerde KPIs, actuele waarde, doelwaarde, trend (pijl omhoog/omlaag/stabiel) en een korte toelichting per KPI die buiten doelwaarde valt. Visueel: dashboard-formaat met kleurindicatie.

4. Per input-categorie: bevindingen

Voor elk van de elf input-items een sectie met: status/bevindingen, conclusie en eventueel voorstel tot actie. Niet elk item hoeft uitgebreid; sommige items zijn een bevestiging dat er geen wijzigingen zijn. Maar elk item moet benoemd zijn.

5. Besluiten en actielijst

  • Per besluit: omschrijving en rationale
  • Per actie: eigenaar, deadline, prioriteit
  • Middelen-toewijzing per besluit
  • Scope-wijzigingen indien van toepassing
  • Beleidsaanpassingen indien besloten

6. Goedkeuring en ondertekening

Formele goedkeuring door de directie. Dit kan een fysieke handtekening zijn of een digitale goedkeuring in het document-management-systeem. De auditor wil zien dat top-management het rapport heeft gezien en goedgekeurd, niet alleen de AIMS-coordinator.

Tip: Gebruik een vast template dat je elk kwartaal hergebruikt. Zo vergeet je geen secties, is vergelijking over periodes eenvoudig en went de directie aan het format. Bewaar alle rapporten centraal en zorg dat ze vindbaar zijn voor de auditor.

KPI-dashboard voor de directie.

Selecteer 10-15 KPIs die de directie in een oogopslag laten zien hoe het AIMS en de AI-systemen presteren. Hieronder een voorbeeld-dashboard met vier categorieen.

AIMS-prestatie

87%
Acties afgerond (van vorige review)
+12% t.o.v. Q2
92%
Controls geimplementeerd
+8% t.o.v. Q2
3
Open non-conformities
Was 7 in Q2
1
Open audit-bevindingen (major)
Stabiel t.o.v. Q2

AI-systeemprestatie

99.2%
Beschikbaarheid AI-systemen
Boven SLA (99%)
4
AI-incidenten dit kwartaal
Was 9 in Q2
2.1u
Gemiddelde oplostijd incidenten
Was 4.5u in Q2
0
Bias-alerts boven drempel
Geen alerts dit kwartaal

Compliance en risico

74%
AI Act-readiness score
+11% t.o.v. Q2
100%
AI-systemen met impact assessment
Doelwaarde bereikt
2
Hoog-risico items in register
Ongewijzigd
85%
Medewerkers AI-literate
+15% t.o.v. Q2

Noot: Bovenstaande waarden zijn ter illustratie. Stel je eigen baseline vast bij de eerste management review en meet vanaf dat punt. Kies KPIs die je daadwerkelijk kunt meten met de middelen die je hebt. Een KPI die je niet kunt vullen is erger dan geen KPI, want het ondermijnt het vertrouwen in het dashboard.

Tien tips voor effectieve management reviews in het MKB.

Management review hoeft niet ingewikkeld te zijn. Met de juiste voorbereiding en discipline wordt het een waardevol besluitmoment in plaats van een verplicht nummertje.

1

Plan reviews een jaar vooruit

Zet alle vier de review-data in de agenda van de directie aan het begin van het jaar. Kwartaalreviews die niet ingepland zijn worden steevast uitgesteld. Behandel het als vaste directie-vergadering, niet als optioneel overleg.

2

Bereid 80% voor, bespreek 20%

De AIMS-coordinator bereidt het rapport en dashboard voor. De directie hoeft niet alle details te zien; stuur het rapport twee werkdagen van tevoren. Besteed vergadertijd aan bespreking en besluiten, niet aan het doornemen van cijfers.

3

Gebruik een vast template

Dezelfde structuur elk kwartaal maakt vergelijking eenvoudig, verlaagt voorbereidingstijd en went de directie aan het format. Na twee cycli weet iedereen wat er komt en waar de aandacht naartoe moet.

4

Houd het compact

Een kwartaalreview van 90 minuten is voldoende. Ga niet proberen om alle details van elk AI-systeem door te spreken. Focus op afwijkingen van het plan, incidenten en besluiten die nodig zijn. Geen incidenten en alles op koers? Dan is een kort agendapunt voldoende.

5

Begin altijd met acties vorige review

Dit is niet optioneel. Het eerste agendapunt toont of besluiten daadwerkelijk worden uitgevoerd. Als acties herhaaldelijk niet worden afgerond, is dat een signaal dat het systeem niet werkt op directie-niveau. Dat moet besproken worden, niet genegeerd.

6

Laat de directie daadwerkelijk besluiten

De AIMS-coordinator presenteert; de directie besluit. Niet andersom. Als de coordinator alle besluiten voorkookt en de directie alleen aftekent, mist de review zijn doel. Stel open vragen: willen we dit risico accepteren? Geven we hier budget voor vrij?

7

Documenteer besluiten direct

Wacht niet tot na de vergadering met het schrijven van notulen. Leg besluiten, acties en eigenaren vast tijdens de sessie. Gebruik een geprojecteerd document of gedeeld scherm zodat iedereen meeleest. Verstuur het definitieve verslag binnen vijf werkdagen.

8

Combineer met bestaande overleggen

In een klein MKB is een apart management-review-overleg soms te veel. Het is toegestaan om de management review te combineren met een bestaande directie-vergadering, mits het als apart agendapunt met eigen notulen wordt behandeld en alle inputs aan bod komen.

9

Maak trends zichtbaar

Eenmalige getallen zeggen weinig. Toon altijd de ontwikkeling over ten minste twee periodes. Een dalende trend in open non-conformities is meer waard dan het absolute getal. Trends maken patronen zichtbaar en helpen de directie bij het prioriteren.

10

Gebruik de review als leermoment

De management review is ook het moment om te bespreken wat de organisatie heeft geleerd over AI-inzet. Welke aannames bleken onjuist? Welke risicos materialiseerden zich? Wat ging goed? Dit versterkt de AI-volwassenheid van de hele directie, niet alleen van de AIMS-coordinator.

Management review checklist (28 items).

Gebruik deze checklist voor het voorbereiden, uitvoeren en opvolgen van elke management review. Vier categorieen: voorbereiding, uitvoering, documentatie en opvolging.

Voorbereiding (voor de review)

  • Reviewdatum minimaal 4 weken van tevoren ingepland
  • Agenda opgesteld en verstuurd naar deelnemers
  • Status acties vorige review geactualiseerd
  • KPI-dashboard bijgewerkt met actuele data
  • Auditresultaten samengevat (intern en extern)
  • Overzicht open non-conformities en corrigerende maatregelen
  • AI-systeem-incidentenrapportage opgesteld
  • Risico-register geactualiseerd
  • Feedback van belanghebbenden verzameld en samengevat
  • Wijzigingen in regelgeving of context geinventariseerd
  • Rapportage-document twee werkdagen vooraf verstuurd

Uitvoering (tijdens de review)

  • Top-management aanwezig (niet alleen AIMS-coordinator)
  • Agenda gevolgd; alle elf inputs behandeld
  • Beleid-adequaatheid expliciet beoordeeld
  • Risico-acceptatie door directie bevestigd of bijgesteld
  • Concrete besluiten genomen per agendapunt
  • Middelen-toewijzing voor verbeteracties besproken
  • Scope-adequaatheid beoordeeld (jaarreview)

Documentatie (na de review)

  • Review-rapport opgesteld binnen vijf werkdagen
  • Alle besluiten gedocumenteerd met rationale
  • Actielijst met eigenaar, deadline en prioriteit per actie
  • Rapport goedgekeurd en ondertekend door directie
  • Rapport opgeslagen als documented information (clause 7.5)

Opvolging (tussen reviews)

  • Actielijst maandelijks gereviewed door AIMS-coordinator
  • Vertraagde acties geescaleerd naar directie
  • KPIs maandelijks bijgewerkt (niet pas vlak voor review)
  • Incidenten doorlopend geregistreerd en gecategoriseerd
  • Datum volgende review bevestigd in agenda directie

De eerste management review: verwachtingen temperen, fundament leggen.

Bij de allereerste management review na het opzetten van een AIMS ontbreken historische gegevens. Er zijn geen trends, geen vergelijkingsperiodes, soms nog geen volledige interne audit. Dat is normaal en geen reden om de review uit te stellen.

De eerste review heeft een ander karakter dan de reviews die volgen. Het is voor een groot deel een bevestigingsmoment: de directie keurt het AI-beleid formeel goed, bevestigt de scope van het AIMS, stelt baseline-KPIs vast en wijst middelen toe voor de eerste operationele periode. De eerste review is minder evaluatie en meer richting-bepaling.

Wat je wel kunt presenteren bij de eerste review.

Het AI-beleid ter formele goedkeuring. De scope-definitie met lijst van AI-systemen die onder het AIMS vallen. De eerste versie van het risico-register met initiele risico-beoordeling. De status van control-implementatie: welk percentage is gereed, welke zijn in uitvoering, welke moeten nog starten. De planning voor de eerste interne audit. De voorgestelde KPIs en meetmethoden ter goedkeuring.

Wat je niet kunt presenteren bij de eerste review.

Trends over meerdere periodes. Vergelijking met vorige reviews (die er niet zijn). Volledige audit-resultaten als de audit nog niet is uitgevoerd. KPI-waarden over periodes die nog niet zijn verstreken. Wees eerlijk hierover; een auditor begrijpt dat de eerste review anders is dan volgende reviews. Wat de auditor wel verwacht is dat alle verplichte inputs zijn benoemd (ook als het antwoord is: niet van toepassing in deze eerste cyclus) en dat er concrete outputs zijn.

Opbouw van volwassenheid.

Na twee tot drie kwartaalreviews ontstaat een ritme. De AIMS-coordinator weet wat er moet worden voorbereid, de directie weet wat er wordt verwacht, het dashboard vult zich met data en trends worden zichtbaar. Na een volledig jaar heb je genoeg materiaal voor een betekenisvolle jaarreview. Na twee jaar kun je jaar-op-jaar vergelijken en is de volwassenheid van de review-praktijk merkbaar. Dat is het doel: een levend systeem dat elk kwartaal iets beter functioneert.

Zie voor meer over de opbouw van het volledige AIMS onze implementatie-gids. Voor het opzetten van een AI-governance-raamwerk dat de management review voedt, lees de governance framework-pagina.

Over de ISO 42001 management review.

Wat is een management review onder ISO 42001?
Een management review is een formele beoordeling door het top-management van het AI Management System (AIMS). Clause 9.3 schrijft voor dat de directie op geplande intervallen het AIMS beoordeelt op geschiktheid, adequaatheid en doeltreffendheid. Het doel is vaststellen of het systeem werkt, besluiten nemen over wijzigingen en middelen toewijzen voor verbetering. Het is een strategisch besluitmoment, geen operationeel overleg.
Hoe vaak moet een management review plaatsvinden?
ISO 42001 schrijft geplande intervallen voor zonder specifieke frequentie. Minimaal jaarlijks is de praktijknorm voor certificering. Wij adviseren MKB-organisaties een kwartaalcadans: drie operationele reviews plus een strategische jaarreview. Kwartaalreviews houden het systeem actief en voorkomen dat de jaarreview een inhaalslag wordt. Bij significante veranderingen of incidenten kan een tussentijdse review nodig zijn.
Welke inputs zijn verplicht bij de management review?
Clause 9.3.2 specificeert elf verplichte inputs: status vorige acties, wijzigingen in context, AI-beleid adequaatheid, AIMS-prestaties, auditresultaten, afwijkingen en corrigerende maatregelen, monitoring- en meetresultaten, feedback van stakeholders, risico- en kansen-beoordeling, AI-systeemprestaties en incidenten, en verbeterkansen. Elk item moet aantoonbaar behandeld zijn in de review.
Wat zijn de verplichte outputs van een management review?
Clause 9.3.3 definieert drie output-categorieen: verbeterkansen voor het AIMS en AI-systemen, eventuele wijzigingen in het AIMS (beleid, doelstellingen, scope, middelen), en toewijzing van benodigde middelen. Elke review moet concrete besluiten en acties opleveren met eigenaren en deadlines. Een review zonder outputs is onvoldoende.
Wie moet aanwezig zijn bij de management review?
Top-management moet de review uitvoeren. In MKB-context: de directie of het bestuur. Daarnaast typisch de AIMS-coordinator, de interne auditor en optioneel de IT-manager of privacy officer. De directie moet het volledige overzicht krijgen en alle besluiten nemen. Bij een audit wordt gecontroleerd of top-management daadwerkelijk heeft deelgenomen, niet alleen heeft ondertekend.
Hoe ziet een kwartaal-agenda voor management review eruit?
Een kwartaalreview duurt 60-90 minuten. Typische agenda: opening (5 min), status vorige acties (10 min), KPI-dashboard en AIMS-prestaties (15 min), AI-systeemprestaties en incidenten (15 min), afwijkingen en maatregelen (10 min), context-wijzigingen (10 min), verbetermogelijkheden en besluiten (15 min), samenvatting actielijst (10 min). Focus is operationeel: lopen dingen volgens plan.
Wat moet het management review rapport bevatten?
Minimaal: datum en deelnemers, management summary, KPI-overzicht, per input-categorie de bevindingen, besluiten met rationale, actielijst met eigenaar en deadline per actie, en goedkeuring door de directie. Het rapport is documented information onder clause 7.5 en moet met versie- en datum-registratie worden bewaard. De auditor zal het rapport opvragen en controleren op volledigheid en traceerbaarheid.
Hoe koppel je de management review aan de PDCA-cyclus?
De management review bevindt zich op het kruispunt van Check en Act. In Check evalueer je prestaties via monitoring, meting en audits. De management review bundelt al die informatie en legt deze voor aan de directie. In Act voer je de besluiten uit: corrigerende maatregelen, verbeteringen, scope-aanpassingen. De acties uit Act worden inputs voor de volgende Plan-fase. Zonder management review mist de PDCA-cyclus het strategische besluitvormingsmoment.
Welke KPIs moet je presenteren aan de directie?
Vier categorieen. AIMS-prestatie: percentage afgeronde acties, open non-conformities, audit-opvolging, control-implementatie. AI-systeemprestatie: beschikbaarheid, incidenten, oplostijd, bias-metrics. Compliance: AI Act-readiness, percentage AI-systemen met impact assessment, AI-literacy percentage. Risico: aantal hoog-risico items, risico-trend per kwartaal. Beperk tot 10-15 KPIs. Toon trends, niet alleen absolute getallen.
Hoe bereid je de eerste management review voor?
Bij de eerste review ontbreken historische gegevens en trends. Focus op: formele goedkeuring van AI-beleid, bevestiging van scope, vaststelling van baseline-KPIs, eerste risico-beoordeling, status control-implementatie, planning interne audit en identificatie ontbrekende middelen. De eerste review is meer richting-bepaling dan evaluatie. Documenteer expliciet dat de directie het AIMS bevestigt en middelen toewijst. Vanaf de tweede review kun je beginnen met vergelijken.

Hulp nodig bij je management review?

Prometheus21 helpt MKB-directies bij het opzetten van effectieve management reviews voor het AIMS. Van agenda-ontwerp en KPI-selectie tot het voorbereiden en begeleiden van de eerste review. Plan een orienterend gesprek.

Plan een management review-gesprek