Managementsysteem laten certificeren: het traject stap voor stap

Welke certificaten zijn er?

Bij managementsysteem-certificatie toetst een onafhankelijke certificerende instelling of jouw managementsysteem voldoet aan de eisen van een norm, zoals ISO 27001, NEN 7510 of ISO 9001. Het traject bestaat uit een voorbereidingsfase (nulmeting, interne audit en directiebeoordeling) en een externe audit in twee fasen: eerst de documentatiebeoordeling, daarna de implementatie-audit. Slaag je voor beide fasen, dan ontvang je een certificaat dat drie jaar geldig is.

De bekendste certificeerbare normen in Nederland zijn:

• ISO 27001: de internationale norm voor informatiebeveiliging, met een volwaardig certificatieschema.
• NEN 7510: informatiebeveiliging in de zorg. Zorgorganisaties moeten aantoonbaar voldoen aan NEN 7510; een certificaat is mogelijk en helpt daarbij, maar is niet wettelijk verplicht.
• ISO 9001: de norm voor kwaliteitsmanagement, wereldwijd breed toegepast in vrijwel elke sector.

Niet elk kader kent een certificaat. De BIO (Baseline Informatiebeveiliging Overheid) werkt met verantwoording in plaats van certificatie: gemeenten leggen bijvoorbeeld via ENSIA verantwoording af over hun informatiebeveiliging. En voor de AVG bestaat er in de praktijk geen certificaat voor organisaties; je toont naleving aan met je eigen documentatie, registers en processen.

Ben je er klaar voor? De nulmeting

Heb je nog geen werkend managementsysteem? Richt dat dan eerst in. In de gids managementsysteem inrichten lees je hoe je dat stap voor stap aanpakt. Certificatie is de afsluiting van dat werk, niet het begin.

De nulmeting (ook wel gap-analyse) vergelijkt je huidige situatie met de eisen van de norm. Je loopt alle normeisen langs en beoordeelt per eis of die geregeld, deels geregeld of nog afwezig is. Het resultaat is een concrete actielijst met de gaten die je moet dichten voordat een auditor langskomt.

Doe de nulmeting ruim voor je een certificerende instelling benadert, zodat je realistisch kunt plannen. In ManagementSysteem.nl zet je de uitkomsten om in taken met eigenaren en deadlines, zodat je de voortgang op een Kanban-bord volgt in plaats van in een losse spreadsheet.

Interne audit en directiebeoordeling

Elke certificeerbare norm eist dat je vóór de externe audit zelf hebt gecontroleerd of je managementsysteem werkt. Dat doe je met een interne audit: iemand die niet verantwoordelijk is voor het onderwerp toetst of de afspraken uit je managementsysteem in de praktijk worden nageleefd. Dat mag een collega zijn met wat afstand tot het onderwerp, maar ook een externe auditor die je inhuurt.

De directiebeoordeling (management review) is de tweede verplichte stap. De directie beoordeelt of het managementsysteem nog past bij de organisatie: wat zeggen de resultaten van interne audits, incidenten, risico's en doelstellingen, en welke verbeteringen of middelen zijn er nodig? Leg de uitkomsten vast in een verslag, want de auditor vraagt hier vrijwel altijd naar.

Zonder aantoonbare interne audit en directiebeoordeling kom je niet door fase 1. Plan ze daarom enkele weken tot maanden voor de externe audit, zodat je tijd overhoudt om eigen bevindingen op te lossen. Werk daarbij met een auditprogramma: een planning waarin je vastlegt welke onderdelen van de norm je wanneer intern toetst, zodat over de looptijd van het certificaat alles minstens één keer aan bod komt.

Een certificerende instelling kiezen

Certificaten worden uitgegeven door certificerende instellingen, niet door de normorganisaties zelf. Kies bij voorkeur een instelling die door de Raad voor Accreditatie (RvA) is geaccrediteerd voor de norm die jij nodig hebt. RvA-accreditatie betekent dat de instelling zelf onder toezicht staat en volgens vaste regels audit; een certificaat van een geaccrediteerde instelling wordt daardoor breder erkend door klanten en toezichthouders.

Vraag offertes aan bij meerdere instellingen en vergelijk niet alleen de prijs. Let op ervaring in jouw sector, de beschikbaarheid van auditoren en hoe de instelling omgaat met planning en herstelperiodes. Het aantal auditdagen dat een instelling rekent volgt uit de omvang van je organisatie en de scope van het certificaat, dus zorg dat elke offerte op dezelfde scope is gebaseerd.

Begin ruim op tijd met deze keuze. Populaire instellingen hebben vaak maanden wachttijd voor een eerste audit, en je wilt de auditdata kunnen plannen op een moment dat jouw voorbereiding echt af is.

Fase 1: de documentatiebeoordeling

Fase 1 is de documentatiebeoordeling. De auditor controleert of je managementsysteem op papier compleet is en of je klaar bent voor de eigenlijke audit. Denk aan de scope van je managementsysteem, je beleid, de risicoanalyse, verplichte procedures en het bewijs dat je een interne audit en directiebeoordeling hebt uitgevoerd. Bij ISO 27001 hoort daar ook de Verklaring van Toepasselijkheid bij, waarin je per beheersmaatregel aangeeft of en hoe je die toepast.

Fase 1 vindt vaak geheel of deels op afstand plaats. De auditor levert een verslag op met bevindingen: punten die je vóór fase 2 moet oplossen en aandachtspunten voor de implementatie-audit. Tussen fase 1 en fase 2 zitten meestal enkele weken, precies bedoeld om die punten weg te werken.

Fase 2: de implementatie-audit

Fase 2 is de implementatie-audit: de auditor toetst of de praktijk overeenkomt met wat er op papier staat. Dat gebeurt met interviews met medewerkers en management, rondgangen en steekproeven in je registers en bewijsmateriaal. Werkt het incidentproces echt? Worden risico's beoordeeld en opgevolgd? Zijn maatregelen aantoonbaar geïmplementeerd?

Bereid je team hierop voor. De auditor spreekt niet alleen met de kwaliteits- of securityverantwoordelijke, maar ook met medewerkers op de werkvloer. Zij hoeven de norm niet te kennen, maar moeten wel kunnen uitleggen hoe zij in de praktijk omgaan met bijvoorbeeld incidenten, wachtwoorden of klachten.

Bevindingen legt de auditor vast als afwijkingen. Een kleine afwijking (minor) mag je meestal oplossen met een corrigerend actieplan; een grote afwijking (major) moet aantoonbaar zijn opgelost voordat het certificaat kan worden afgegeven. Na afronding schrijft de auditor een rapport en neemt de certificerende instelling het certificatiebesluit. Bij een positief besluit ontvang je het certificaat, met een geldigheid van drie jaar.

Doorlooptijd en kostenopbouw

Hoe lang het hele traject duurt, hangt vooral af van je startpunt. De voorbereiding kost de meeste tijd: een managementsysteem opbouwen, het een tijd laten draaien en een interne audit en directiebeoordeling uitvoeren doe je niet in een paar weken. De externe audit zelf (fase 1 plus fase 2) is daarna een relatief korte en goed planbare stap.

De kosten van certificatie zijn opgebouwd uit een aantal onderdelen:

• Auditkosten van de certificerende instelling, gebaseerd op het aantal auditdagen. Dat aantal hangt af van de omvang van je organisatie en de scope van het certificaat.
• Jaarlijkse surveillance-audits gedurende de looptijd van het certificaat.
• Een hercertificeringsaudit na drie jaar, die uitgebreider is dan een surveillance-audit.
• Interne uren en eventueel externe begeleiding tijdens de voorbereiding.

Je stuurt op kosten door je scope scherp af te bakenen en de voorbereiding zoveel mogelijk zelf te doen. Een kleinere scope betekent minder auditdagen, maar kies wel een scope die voor je klanten geloofwaardig is.

Na het certificaat: surveillance en hercertificering

Een certificaat is geen eindpunt. Elk jaar komt de certificerende instelling terug voor een surveillance-audit: een kortere audit waarin een deel van de norm en de opvolging van eerdere bevindingen wordt getoetst. Na drie jaar volgt een volledige hercertificeringsaudit, waarna het certificaat opnieuw drie jaar geldig is.

Je managementsysteem moet dus blijven draaien: interne audits, directiebeoordelingen, risicobeoordelingen en het bijwerken van registers gaan gewoon door. Hoe je dat organiseert zonder dat het elk jaar een sprint richting de audit wordt, lees je in de gids managementsysteem onderhouden. Een automatische audittrail en actuele dashboards, zoals in ManagementSysteem.nl, maken surveillance-audits een stuk rustiger: het bewijs is er al, je hoeft niets achteraf te reconstrueren.

Twijfel je welke norm of route bij jouw organisatie past? Stel je vraag via ons contactformulier, dan denken we mee over een realistisch traject.