De onafhankelijkheid van een certificerende instelling bepaalt direct de geloofwaardigheid en marktwaarde van je certificaat. Een certificaat afgegeven door een onafhankelijke, geaccrediteerde auditinstelling wordt erkend door opdrachtgevers, aanbestedende diensten en toezichthouders. Een certificaat van een niet-onafhankelijke instelling kan die erkenning missen, hoe zorgvuldig het auditproces ook is uitgevoerd. In dit artikel beantwoorden we de meest gestelde vragen over onafhankelijkheid, accreditatie en de praktische waarde van je informatiebeveiligingscertificaat. Wil je direct weten of jouw situatie in aanmerking komt voor certificering? Neem gerust contact op en we helpen je verder.
Wat maakt een certificerende instelling écht onafhankelijk?
Een certificerende instelling is écht onafhankelijk wanneer zij geen financieel, organisatorisch of persoonlijk belang heeft bij de uitkomst van de audit. Dat betekent dat de instelling geen advies- of implementatiediensten levert aan dezelfde organisatie die zij beoordeelt, dat auditors geen persoonlijke relatie hebben met de geauditeerde organisatie, en dat beslissingen over certificering worden genomen zonder commerciële druk.
Onafhankelijkheid gaat verder dan alleen het vermijden van directe belangenverstrengeling. Het omvat ook structurele waarborgen, zoals een scheiding tussen de auditfunctie en eventuele andere bedrijfsactiviteiten, heldere procedures voor het omgaan met mogelijke conflicten, en een cultuur waarin de auditor vrijuit kan rapporteren wat hij of zij aantreft. Zonder deze structurele waarborgen blijft onafhankelijkheid een papieren begrip.
In de praktijk betekent dit dat een certificerende instelling die ook consultancy aanbiedt aan dezelfde klant, of waarbij de auditor eerder als adviseur betrokken was bij de implementatie van het managementsysteem, nooit volledig onafhankelijk kan optreden. Normen zoals ISO 17021 stellen hier expliciete eisen aan en vormen de basis voor accreditatie.
Hoe beïnvloedt accreditatie de betrouwbaarheid van een certificaat?
Accreditatie door een erkende nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland, bevestigt dat een certificerende instelling structureel voldoet aan internationale eisen voor onafhankelijkheid, competentie en kwaliteit. Een geaccrediteerde instelling wordt periodiek getoetst, wat de betrouwbaarheid van elk certificaat dat zij afgeeft aanzienlijk vergroot.
Accreditatie is in feite de externe controle op de controleur. De RvA beoordeelt of de auditinstelling haar eigen processen op orde heeft: van de opleiding en ervaring van auditors tot de manier waarop certificeringsbeslissingen worden genomen en gedocumenteerd. Deze periodieke toetsing zorgt ervoor dat de kwaliteit van audits niet afhankelijk is van de goede wil van de instelling zelf, maar geborgd is in een onafhankelijk systeem.
Voor organisaties die een ISO 27001-certificering nastreven, betekent accreditatie dat het certificaat internationaal herkenbaar en erkend is. Wij zijn als DigiTrust volledig geaccrediteerd door de RvA (C618), wat betekent dat onze certificaten voldoen aan de strengste internationale normen voor onafhankelijke auditinstellingen.
Wat is het verschil tussen een geaccrediteerde en een niet-geaccrediteerde auditinstelling?
Het kernverschil is externe verificatie. Een geaccrediteerde auditinstelling wordt periodiek beoordeeld door een onafhankelijke accreditatie-instantie op competentie, onafhankelijkheid en proceskwaliteit. Een niet-geaccrediteerde instelling heeft die externe verificatie niet en kan haar eigen kwaliteitsnormen zelfstandig vaststellen, zonder dat iemand dit controleert.
Geaccrediteerde auditinstelling
Een geaccrediteerde instelling voldoet aantoonbaar aan normen zoals ISO 17021. Haar auditors worden getoetst op vakbekwaamheid, haar processen worden periodiek geïnspecteerd en haar certificaten worden internationaal erkend. Opdrachtgevers, aanbestedende diensten en toezichthouders vertrouwen op deze certificaten omdat de onafhankelijkheid en kwaliteit extern zijn geverifieerd.
Niet-geaccrediteerde auditinstelling
Een niet-geaccrediteerde instelling kan goede auditors in dienst hebben en serieus werk leveren, maar er is geen onafhankelijke partij die dit bevestigt. Het certificaat dat zij afgeeft, heeft geen externe validatie en wordt daardoor in veel sectoren en aanbestedingen niet geaccepteerd. De waarde van het certificaat hangt volledig af van de reputatie van de instelling zelf, zonder objectief toetsbare onderbouwing.
Waarom accepteren opdrachtgevers niet elk ISO 27001-certificaat?
Opdrachtgevers accepteren niet elk ISO 27001-certificaat omdat de waarde van een certificaat afhankelijk is van wie het heeft afgegeven en onder welke voorwaarden. Een certificaat van een niet-geaccrediteerde of niet-onafhankelijke instelling biedt geen afdoende zekerheid dat het managementsysteem daadwerkelijk aan de norm voldoet.
In aanbestedingen, met name bij overheidsorganisaties en grote bedrijven, wordt expliciet gevraagd naar certificaten afgegeven door geaccrediteerde instellingen. Dit is niet willekeurig: de opdrachtgever wil zekerheid dat de audit onafhankelijk en competent is uitgevoerd. Een certificaat van een instelling zonder accreditatie biedt die zekerheid niet en kan daarom worden geweigerd, ook al is de organisatie inhoudelijk goed beveiligd.
Daarnaast speelt reputatierisico een rol. Wie een leverancier of partner selecteert op basis van een ISO 27001-certificaat, neemt een risico als dat certificaat niet is afgegeven door een erkende certificeringsinstelling. Als later blijkt dat het certificaat weinig waarde heeft, raakt dat ook de opdrachtgever zelf.
Hoe controleer je of een certificerende instelling onafhankelijk is?
Je controleert de onafhankelijkheid van een certificerende instelling door te verifiëren of zij geaccrediteerd is door een erkende nationale accreditatie-instantie, zoals de RvA in Nederland. Dit kun je direct nakijken in het openbare accreditatieregister op de website van de RvA. Geaccrediteerde instellingen staan hier vermeld met hun accreditatienummer en de scope van hun accreditatie.
Naast accreditatie zijn er aanvullende signalen om op te letten:
- Biedt de instelling ook consultancy of implementatiehulp aan dezelfde klanten? Dat is een risicofactor voor onafhankelijkheid.
- Is er een duidelijke scheiding tussen de auditfunctie en andere bedrijfsactiviteiten?
- Zijn de auditors aantoonbaar gekwalificeerd en worden zij periodiek bijgeschoold?
- Is de instelling transparant over haar processen en besluitvorming rondom certificering?
- Is de instelling lid van een erkende brancheorganisatie, zoals Cyberveilig Nederland?
Een instelling die open is over haar accreditatiestatus, haar auditprocedures en haar onafhankelijkheidsbeleid, geeft daarmee al een sterk signaal van betrouwbaarheid.
Welke risico’s loop je als je kiest voor een minder onafhankelijke instelling?
Wie kiest voor een minder onafhankelijke of niet-geaccrediteerde certificerende instelling, loopt het risico een certificaat te behalen dat in de praktijk weinig waarde heeft. Opdrachtgevers kunnen het weigeren, toezichthouders erkennen het niet en het biedt geen echte zekerheid over de kwaliteit van je informatiebeveiliging.
De risico’s zijn concreet en kunnen verstrekkende gevolgen hebben:
- Verlies van opdrachten: Als een aanbesteding een geaccrediteerd certificaat vereist en jij hebt een niet-geaccrediteerd exemplaar, val je af, ongeacht hoe goed je beveiliging op orde is.
- Reputatieschade: Als later blijkt dat je certificaat niet valide is, ondermijnt dat het vertrouwen van klanten en partners.
- Dubbele kosten: Je betaalt opnieuw voor een audit bij een geaccrediteerde instelling, terwijl de eerste investering verloren gaat.
- Valse zekerheid: Een minder kritische audit kan echte beveiligingsproblemen over het hoofd zien, waardoor je denkt dat je risico’s beheerst terwijl dat niet het geval is.
- Juridische kwetsbaarheid: Bij een datalek of incident kan een niet-valide certificaat je positie tegenover toezichthouders verzwakken in plaats van versterken.
De keuze voor een onafhankelijke, geaccrediteerde auditinstelling is daarmee niet alleen een kwestie van compliance, maar van echte bescherming van je organisatie en de waarde van je investering in informatiebeveiliging.
Wil je zeker weten dat jouw ISO 27001-certificering wordt afgegeven door een volledig onafhankelijke en geaccrediteerde instelling? Wij staan voor je klaar. Neem contact op en plan een vrijblijvend gesprek over jouw certificeringstraject.
Veelgestelde vragen
Wat houdt accreditatie door de RvA precies in voor een certificerende instelling?
V: Wat houdt accreditatie door de RvA precies in voor een certificerende instelling? A: Accreditatie door de Raad voor Accreditatie betekent dat een onafhankelijke instantie heeft gecontroleerd of de certificerende instelling voldoet aan internationale normen voor onafhankelijkheid, vakbekwaamheid en proceskwaliteit. Deze periodieke toetsing zorgt ervoor dat de kwaliteit van de audits niet afhankelijk is van de instelling zelf, maar geborgd is in een extern verificatiesysteem.
Hoe controleer ik of een certificerende instelling écht onafhankelijk en geaccrediteerd is?
V: Hoe controleer ik of een certificerende instelling écht onafhankelijk en geaccrediteerd is? A: Je kunt dit direct nakijken in het openbare accreditatieregister op de website van de RvA, waar geaccrediteerde instellingen staan vermeld met hun accreditatienummer en scope. Let daarnaast op signalen zoals het aanbieden van consultancy aan dezelfde klanten, want dat vormt een concrete risicofactor voor de onafhankelijkheid van de instelling.
Waarom wordt een niet-geaccrediteerd ISO 27001-certificaat geweigerd bij aanbestedingen?
V: Waarom wordt een niet-geaccrediteerd ISO 27001-certificaat geweigerd bij aanbestedingen? A: Opdrachtgevers en aanbestedende diensten eisen een geaccrediteerd certificaat omdat alleen dan extern is geverifieerd dat de audit onafhankelijk en competent is uitgevoerd. Een certificaat zonder accreditatie biedt geen objectief toetsbare zekerheid over de kwaliteit van je informatiebeveiliging, waardoor het in veel sectoren simpelweg niet wordt geaccepteerd.
Welke concrete gevolgen kan het hebben als ik kies voor een niet-geaccrediteerde auditinstelling?
V: Welke concrete gevolgen kan het hebben als ik kies voor een niet-geaccrediteerde auditinstelling? A: De gevolgen kunnen verstrekkend zijn: je kunt opdrachten verliezen bij aanbestedingen, dubbele auditkosten maken wanneer je alsnog een geaccrediteerd certificaat nodig hebt, en bij een datalek sta je zwakker tegenover toezichthouders. Bovendien kan een minder kritische audit echte beveiligingsproblemen over het hoofd zien, wat een gevaarlijke valse zekerheid creëert.
