Dit verschilt per type audit. Voor een compliance-audit verkrijgt B&B inzicht in het wettelijk kader dat op de organisatie van toepassing is, waarin specifieke verplichtingen zijn vastgelegd. Vervolgens worden samen met de opdrachtgever de bedrijfsactiviteiten en bijbehorende risico’s geëvalueerd. Op basis van deze risico-evaluatie wordt de scope van de audit bepaald, gericht op relevante complianceverplichtingen en risicovolle processen en installaties. De auditfrequentie wordt eveneens gezamenlijk vastgesteld, waarbij de nadruk ligt op de frequentie van toetsing voor de meest risicovolle bedrijfsactiviteiten, terwijl andere minder risicovolle aspecten minder vaak worden ge-audit.
Voor een systeemaudit en/of procesaudit wordt er gekeken naar een auditprogramma dat een organisatie in een eerder stadium heeft moeten opstellen. In principe moet gecertificeerde ISO-organisatie een auditprogramma hebben en continu actualiseren. Nu blijkt in de praktijk dat dit niet altijd goed gebeurt. Samen met de opdrachtgever zal naar het auditprogramma gekeken worden of dit nog de huidige stand van zaken binnen de organisatie goed weergeeft. Samen kan bepaalt worden om deze eventueel te actualiseren op basis van risico-gebaseerd auditen. Aan de hand van het auditprogramma wordt de scope en auditfrequentie bepaald.
Wanneer een organisatie geen gecertificeerd managementsysteem heeft, gaan we gezamenlijk kijken waar de risico’s liggen binnen de organisatie en stellen we met de opdrachtgever een auditprogramma op om de scope van de audits scherp te krijgen en de auditfrequentie.
Op deze manier waarborgen we vanuit Borger & Burghouts risico-gestuurd auditen.