ISO-certificering draait om aantoonbaar vastleggen welke processen, locaties en diensten binnen de scope vallen, zodat niet het schrijven van procedures de grootste uitdaging wordt, maar het bepalen wat precies gecertificeerd moet worden en welk bewijs de auditor straks overtuigend vindt.
ISO-certificering is het proces waarbij een onafhankelijke certificerende instelling beoordeelt of een organisatie aantoonbaar voldoet aan de eisen van een specifieke ISO-norm. Voor Nederlandse organisaties gaat het vaak om ISO 9001:2015 voor kwaliteitsmanagement, ISO/IEC 27001:2022 voor informatiebeveiliging of ISO 14001:2015 voor milieumanagement. De certificering zelf wordt niet door ISO uitgegeven; ISO ontwikkelt normen, terwijl geaccrediteerde certificerende instellingen de audit uitvoeren en het certificaat verstrekken.
De Nederlandse context: ISO, NEN, RvA en de certificerende instelling
In Nederland speelt NEN een belangrijke rol bij normalisatie en de beschikbaarheid van normen. Organisaties kopen of raadplegen daar de relevante normteksten en interpretaties, maar NEN is niet automatisch de partij die de certificering uitvoert. De feitelijke certificeringsaudit wordt gedaan door een certificerende instelling, ook wel certificatie-instelling genoemd.
De Raad voor Accreditatie, meestal RvA genoemd, accrediteert certificerende instellingen in Nederland. Die accreditatie is belangrijk omdat zij aangeeft dat de certificerende instelling volgens erkende eisen werkt voor het specifieke schema of de specifieke norm. Bij aanbestedingen, keteneisen en klantcontracten wordt vaak expliciet gevraagd om een certificaat van een geaccrediteerde instelling. Een certificaat zonder passende accreditatie kan in commerciële zin minder bruikbaar zijn, zelfs als het auditproces op papier vergelijkbaar lijkt.
Een verstandige selectie begint daarom niet bij de laagste offerte, maar bij vergelijkbaarheid. De organisatie moet iedere aanbieder dezelfde scope, locaties, aantallen medewerkers, uitbestede processen, gewenste taal, reisverwachtingen en beoogde auditperiode geven. Pas dan zijn auditdagen, reiskosten, doorlooptijd en beschikbaarheid goed te vergelijken. Ook de lead time verdient aandacht: populaire auditperioden raken snel vol, zeker wanneer certificering nodig is voor een tender of contractverlenging.
De juiste norm kiezen en de scope smal genoeg houden
De keuze voor een norm moet voortkomen uit het bedrijfsdoel. ISO 9001:2015 ligt voor de hand wanneer klanttevredenheid, procesbeheersing en consistente levering centraal staan. ISO/IEC 27001:2022 past wanneer informatiebeveiliging, risicobeheersing en klantvertrouwen rond data de belangrijkste drijfveren zijn. ISO 14001:2015 is relevant wanneer milieuprestaties, complianceverplichtingen en beheersing van milieu-impact aantoonbaar moeten worden gemaakt.
Een veelgemaakte fout is dat organisaties de scope te breed formuleren uit angst dat een smalle scope commercieel zwak lijkt. In werkelijkheid is een goed afgebakende scope vaak sterker, omdat zij auditbaar is. Een SaaS-bedrijf kan bijvoorbeeld beginnen met het ontwikkel-, beheer- en supportproces voor één platform, inclusief de cloudomgeving en relevante leveranciers, in plaats van meteen alle groepsmaatschappijen, nevenactiviteiten en experimentele diensten mee te nemen. Een productiebedrijf kan starten met één locatie of productlijn wanneer daar de klantvraag ligt, zolang de scope eerlijk beschrijft wat wel en niet onder het certificaat valt.
De scope moet processen, locaties, systemen en uitbesteding helder benoemen. Bij ISO/IEC 27001:2022 betekent dit bijvoorbeeld dat ook hostingpartijen, softwareleveranciers, identity providers en managed service providers in beeld komen wanneer zij invloed hebben op de beveiliging van informatie. Bij ISO 9001:2015 moet duidelijk zijn welke processen klantwaarde leveren en hoe afwijkingen, klachten en verbeteracties worden beheerst. Bij ISO 14001:2015 draait de afbakening onder meer om activiteiten, milieuaspecten, wettelijke verplichtingen en invloed op leveranciers of ketenpartners.
Van gap-analyse naar een werkend managementsysteem
Een ISO-traject begint doorgaans met een gap-analyse: een vergelijking tussen de huidige werkwijze en de eisen van de gekozen norm. Dit is geen papieren exercitie. De waarde zit in het zichtbaar maken van ontbrekende verantwoordelijkheden, onduidelijke besluitvorming, zwakke registratie en processen die in de praktijk anders lopen dan in documenten staat beschreven.
Na de gap-analyse volgt de inrichting of verbetering van het managementsysteem. Voor ISO 9001 betekent dit vaak het verduidelijken van procesbeschrijvingen, kwaliteitsdoelen, klachtenafhandeling, leveranciersbeoordeling en corrigerende maatregelen. Voor ISO/IEC 27001 ligt de nadruk op risicobeoordeling, risicobehandeling, beleid, toegangsbeheer, incidentmanagement, leveranciersbeveiliging en de verklaring van toepasselijkheid. Voor ISO 14001 gaat het onder meer om milieuaspecten, complianceverplichtingen, doelstellingen, operationele beheersing en noodsituaties.
De High Level Structure, vaak gekoppeld aan Annex SL, maakt het eenvoudiger om meerdere managementsystemen te combineren. Organisaties die ISO 9001, ISO/IEC 27001 en ISO 14001 naast elkaar gebruiken, kunnen onderdelen zoals contextanalyse, leiderschap, interne audit, managementreview, documentbeheer en verbeteracties integreren. Dat voorkomt dubbele procedures en maakt de auditpraktijk overzichtelijker. De inhoudelijke risico’s blijven verschillend, maar de governance eromheen kan vaak op één manier worden ingericht.
In deze fase wordt ook duidelijk waarom training en rolverdeling belangrijk zijn. Directieleden moeten kunnen uitleggen waarom de norm relevant is voor de organisatie, proceseigenaren moeten hun KPI’s en risico’s begrijpen, en medewerkers moeten weten welke werkwijze van hen wordt verwacht. Een aanbieder zoals Readynez kan in dit bredere leertraject helpen bij het opbouwen van kennis rond normen, security en compliance, maar de organisatie blijft zelf verantwoordelijk voor implementatie, bewijs en besluitvorming.
Interne audit en managementreview zijn geen formaliteiten
Vóór de externe audit moet de organisatie zelf toetsen of het managementsysteem werkt. De interne audit controleert niet alleen of documenten bestaan, maar ook of de dagelijkse praktijk overeenkomt met de afspraken. Een interne auditor kijkt bijvoorbeeld of toegangsrechten periodiek worden beoordeeld, of leveranciersbeoordelingen op tijd plaatsvinden, of incidenten worden vastgelegd en of corrigerende maatregelen daadwerkelijk zijn afgerond.
De managementreview is het moment waarop de directie aantoonbaar beoordeelt of het systeem geschikt, passend en effectief is. Auditors verwachten daar geen symbolische notulen, maar zichtbare besluitvorming. Denk aan bespreking van auditresultaten, klantfeedback, KPI-trends, beveiligingsincidenten, wijzigingen in wet- en regelgeving, status van acties en benodigde middelen. Wanneer de managementreview alleen bestaat uit een korte goedkeuring zonder analyse, ontstaat al snel twijfel over leiderschap en continue verbetering.
Een praktisch voorbeeld is een IT-dienstverlener die voor ISO/IEC 27001:2022 een risicoregister opstelt met eigenaren, behandelplannen en deadlines. Tijdens de interne audit blijkt dat enkele risico’s wel zijn geaccepteerd, maar zonder onderbouwing door het management. De herstelactie is dan niet een extra beleidsdocument, maar een aantoonbaar besluitproces waarin risicotolerantie, klantimpact en resterend risico worden vastgelegd.
Wat er gebeurt tijdens Stage 1 en Stage 2
De externe certificeringsaudit bestaat doorgaans uit twee fasen. Stage 1 is gericht op documentatie, scope en gereedheid. De auditor beoordeelt of het managementsysteem voldoende is ingericht om door te gaan naar Stage 2. Daarbij wordt gekeken naar onder meer de scope, beleid, risicoanalyse, interne audit, managementreview en kernprocedures. Als essentiële onderdelen ontbreken, kan Stage 2 worden uitgesteld.
Stage 2 gaat dieper in op effectiviteit en bewijs. De auditor interviewt medewerkers, bekijkt dossiers, volgt processen en toetst of de organisatie doet wat zij heeft afgesproken. Bij ISO 9001 kan dat betekenen dat orderafhandeling, klachtenregistratie en leveranciersbeoordeling worden gevolgd. Bij ISO/IEC 27001 kan de auditor steekproeven nemen op toegangsbeheer, incidenten, back-ups, risicobehandeling en leveranciersassessments. Bij ISO 14001 kan de aandacht liggen op milieuaspecten, operationele controles, compliance-evaluaties en registraties van afwijkingen.
Non-conformities worden meestal onderscheiden naar ernst. Een minor non-conformity wijst op een beperkte afwijking, bijvoorbeeld een enkele ontbrekende registratie terwijl het proces verder werkt. Een major non-conformity duidt op een structureel probleem of een ontbrekend kernelement, zoals het ontbreken van een uitgevoerde interne audit of een risicobeoordeling die niet past bij de scope. Hersteltermijnen en acceptatie van corrigerende maatregelen worden door de certificerende instelling bepaald; organisaties moeten daarom vooraf begrijpen hoe de instelling met afwijkingen, opvolging en certificatiebesluiten omgaat.
Tijdlijn, kostenfactoren en interne capaciteit
De doorlooptijd van ISO-certificering varieert sterk. Een kleine organisatie met een beperkte scope, volwassen processen en beschikbare beslissers kan sneller auditklaar zijn dan een grotere organisatie met meerdere locaties, verouderde documentatie en veel uitbestede processen. Wie een vaste certificeringsdatum nodig heeft, bijvoorbeeld voor een aanbesteding, moet rekening houden met interne implementatietijd én beschikbaarheid van de externe auditor.
De kosten bestaan uit meer dan de offerte van de certificerende instelling. Interne uren vormen vaak het grootste verborgen deel. Tijd gaat naar de gap-analyse, beleid en procesinrichting, risicobeoordeling, bewijsverzameling, interne audit, managementreview, training, correctieve acties en begeleiding van de externe audit. Daarnaast kunnen kosten ontstaan voor tooling, externe ondersteuning, normdocumenten, vertalingen of aanvullende technische maatregelen.
| Fase |
Belangrijkste inzet |
Waar organisaties zich vaak op verkijken |
| Gap-analyse |
Interviews, documentreview en scopebepaling |
Onvoldoende betrokkenheid van proceseigenaren |
| Implementatie |
Processen, risico’s, beleid, controles en registraties |
Te veel documentatie maken zonder werkende praktijk |
| Interne audit |
Toetsing van werking en opvolging van afwijkingen |
Audit te laat plannen, waardoor herstel weinig ruimte krijgt |
| Managementreview |
Besluitvorming over prestaties, risico’s en middelen |
Geen aantoonbare analyse of directiebesluiten vastleggen |
| Externe audit |
Stage 1, Stage 2 en opvolging van bevindingen |
Auditdagen vergelijken zonder identieke scope en randvoorwaarden |
Change-management is hierbij vaak bepalend. Nieuwe procedures werken alleen wanneer teams begrijpen waarom zij nodig zijn en hoe zij in het dagelijkse werk passen. Een securityteam kan bijvoorbeeld een leveranciersevaluatie ontwerpen, maar als inkoop die stap niet in het contractproces opneemt, blijft het bewijs fragmentarisch. Een kwaliteitsmanager kan KPI’s definiëren, maar zonder vaste reviewmomenten worden trends niet gebruikt voor verbetering.
Bewijs dat auditors overtuigend vinden
Auditors zoeken samenhang tussen normvereisten, risico’s, processen, verantwoordelijkheden en registraties. Een beleidsdocument is zelden voldoende als de uitvoering niet zichtbaar is. Sterk bewijs laat zien dat de organisatie een proces beheerst, afwijkingen herkent en maatregelen opvolgt.
- KPI-trends met analyse, eigenaarschap en acties bij afwijkingen.
- Risicoregisters met actuele beoordeling, eigenaar, behandelkeuze en reststatus.
- Opleidingsmatrijzen die aantonen welke rollen welke kennis nodig hebben.
- Leveranciersbeoordelingen inclusief criteria, uitkomsten en opvolging.
- Logboeken van incidenten, klachten, afwijkingen en corrigerende maatregelen.
- Verslagen van interne audits en managementreviews met concrete besluiten.
Een anoniem praktijkvoorbeeld maakt dit concreet. Een zakelijke dienstverlener die ISO 9001 wilde behalen, had uitgebreide procesbeschrijvingen maar nauwelijks bewijs van sturing. Klachten werden wel opgelost, maar niet geanalyseerd op oorzaak of trend. Door een eenvoudig klachtenregister, maandelijkse KPI-bespreking en vastgelegde corrigerende maatregelen in te voeren, werd zichtbaar dat het kwaliteitsproces niet alleen bestond, maar ook werd gebruikt.
Bij ISO/IEC 27001 ziet een vergelijkbare situatie er anders uit. Een organisatie kan technisch sterke beveiligingsmaatregelen hebben, maar toch tekortschieten als risico-eigenaren ontbreken, uitzonderingen niet worden goedgekeurd of leveranciers niet periodiek worden beoordeeld. De auditor beoordeelt dan niet alleen de aanwezigheid van controles, maar ook de bestuurlijke beheersing eromheen.
Veelgemaakte fouten die het traject vertragen
De meeste vertraging ontstaat niet door de normtekst zelf, maar door late keuzes. Een onduidelijke scope leidt tot herwerk in risicoanalyse, documentatie en auditplanning. Een te late interne audit laat weinig ruimte om afwijkingen goed te herstellen. Een certificerende instelling pas benaderen wanneer alles klaar lijkt, kan leiden tot ongewenste wachttijd.
Ook overdocumentatie is een hardnekkig probleem. Organisaties schrijven soms uitgebreide handboeken die niemand gebruikt, terwijl auditors juist willen zien dat processen begrijpelijk, actueel en aantoonbaar uitgevoerd worden. Een korte procedure met goede registraties is vaak waardevoller dan een lang document zonder praktijkbewijs. Dat geldt zeker bij kleinere organisaties, waar eenvoud de naleving ondersteunt.
Een andere fout is het isoleren van het ISO-traject bij één kwaliteitsmanager, security officer of complianceverantwoordelijke. Certificering raakt verkoop, HR, inkoop, IT, operations, management en soms juridische of facilitaire functies. Als die teams pas vlak voor de audit worden betrokken, ontstaan inconsistenties in interviews en bewijs. In practice wordt het traject sterker wanneer proceseigenaren vanaf de gap-analyse verantwoordelijk zijn voor hun eigen verbeteracties.
Na certificering: surveillance, verbetering en normwijzigingen
Een ISO-certificaat is geen eindpunt. Na de initiële certificering volgen periodieke surveillance-audits, meestal jaarlijks binnen de certificatiecyclus. Daarbij controleert de certificerende instelling of het managementsysteem blijft functioneren en of eerdere bevindingen zijn opgevolgd. Organisaties die na de certificeringsaudit stoppen met registreren, interne audits overslaan of managementreviews uitstellen, lopen bij surveillance snel tegen problemen aan.
Continue verbetering hoeft niet ingewikkeld te zijn. Het begint met regelmatige bespreking van prestaties, risico’s, incidenten, klachten, leveranciers en wijzigingen. Wanneer een organisatie groeit, nieuwe locaties opent, nieuwe systemen invoert of activiteiten uitbesteedt, moet worden beoordeeld of de scope, risicoanalyse en controles nog kloppen. Een certificaat dat de werkelijkheid niet meer goed beschrijft, verliest praktische waarde.
Normen wijzigen bovendien. ISO/IEC 27001:2022 is een voorbeeld van een versie-upgrade die organisaties vraagt hun managementsysteem, verklaring van toepasselijkheid en controle-indeling opnieuw te beoordelen. Bij zulke wijzigingen is het verstandig om niet te wachten tot de surveillance-audit. Een overgangsplan met impactanalyse, aangepaste documentatie, interne communicatie en bewijs van implementatie voorkomt dat de upgrade een losstaand project wordt naast het bestaande managementsysteem.
Auditklaar worden zonder het doel uit het oog te verliezen
ISO-certificering wordt eenvoudiger wanneer de organisatie het traject benadert als bedrijfsverbetering met een externe toets, niet als documentatieproject. De normkeuze moet aansluiten op het commerciële of operationele doel, de scope moet eerlijk en auditbaar zijn, en het bewijs moet laten zien dat processen werken. De Nederlandse context vraagt daarnaast om zorgvuldige selectie van een RvA-geaccrediteerde certificerende instelling en duidelijke afspraken over auditdagen, taal, planning en opvolging.
De meest praktische volgende stap is het vastleggen van de beoogde norm, scope, belangrijkste processen, locaties, systemen en uitbestede activiteiten, gevolgd door een gerichte gap-analyse. Organisaties die daarbij kennis willen opbouwen rond informatiebeveiliging, governance of compliance kunnen Readynez gebruiken als onderdeel van hun opleidingsaanpak, naast de eigen implementatie en onafhankelijke certificeringsaudit. For a deeper dive, see Geef je carrière de boost van de opleiding tot datawetenschapper.
