Hoe verloopt een overstap naar een andere certificerende instelling?

Een overstap naar een andere certificerende instelling is mogelijk zonder dat je bestaande certificaat vervalt, zolang de overdracht zorgvuldig wordt gecoördineerd. Je neemt simpelweg een nieuwe auditpartner in de arm die jouw lopende certificering overneemt en de volgende audit uitvoert. Of je nu ontevreden bent over de huidige aanpak, een betere prijs-kwaliteitverhouding zoekt of behoefte hebt aan meer sectorspecifieke kennis, wisselen van certificerende instelling is een legitieme en haalbare stap. In dit artikel beantwoorden we de meest gestelde vragen over het proces, de kosten en de praktische gevolgen. Heb je direct een vraag? Neem gerust contact op, we helpen je graag verder.

Wanneer is overstappen naar een andere certificerende instelling zinvol?

Overstappen naar een andere certificerende instelling is zinvol wanneer de huidige samenwerking niet meer aansluit bij jouw verwachtingen of organisatiebehoeften. Denk aan situaties waarbij de communicatie stroef verloopt, de auditors onvoldoende sectorkennis hebben, de tarieven niet transparant zijn, of de audits weinig toegevoegde waarde leveren naast een stempel op papier.

Er zijn een aantal concrete signalen die aangeven dat wisselen van certificerende instelling de moeite waard is:

• Je ervaart de audits als een verplicht nummertje zonder inhoudelijke diepgang
• De auditrapportages zijn generiek en niet afgestemd op jouw organisatiecontext
• Er is weinig of geen begeleiding tussen de auditmomenten door
• De kosten stijgen jaar op jaar zonder duidelijke verklaring
• Je wilt een instelling die ook sterke punten benoemt, niet alleen tekortkomingen

Het is goed om te weten dat een overstap geen negatief signaal is richting klanten of opdrachtgevers. Zolang de ISO 27001 certificering geldig blijft, verandert er voor hen niets.

Wat zijn de praktische stappen bij een overstap?

Een overstap naar een andere certificerende instelling verloopt in een aantal duidelijke stappen en is doorgaans goed te regelen binnen enkele weken. De nieuwe instelling neemt de bestaande certificeringsstatus over en continueert het lopende auditschema, zodat er geen gat valt in je certificering.

De stappen zien er in de praktijk als volgt uit:

1. Informeer je huidige certificerende instelling over je voornemen om te wisselen. Dit is geen verplichting, maar wel netjes en soms contractueel vereist.
2. Vraag de certificatiedocumentatie op, inclusief het huidige certificaat, de auditverslagen en het auditschema. Deze informatie heeft de nieuwe instelling nodig.
3. Kies een nieuwe certificerende instelling die geaccrediteerd is door de Raad voor Accreditatie (RvA). Alleen dan blijft de geldigheid van je certificaat gewaarborgd.
4. Sluit een overeenkomst met de nieuwe instelling en stem het moment van overdracht af, bij voorkeur aansluitend op een afgeronde auditcyclus.
5. Voer een overdrachtsaudit of intakegesprek uit, zodat de nieuwe auditors jouw organisatie en ISMS goed leren kennen.

In de meeste gevallen is de overstap soepel te regelen. Een goede nieuwe instelling neemt proactief contact op met de vorige partij om de overdracht te coördineren.

Vervalt je certificaat bij een overstap?

Nee, je certificaat vervalt niet automatisch bij een overstap naar een andere certificerende instelling. Zolang de overdracht plaatsvindt binnen de geldigheidstermijn van het bestaande certificaat en de nieuwe instelling geaccrediteerd is, blijft de certificering ononderbroken van kracht.

Wel zijn er twee aandachtspunten. Ten eerste moet de nieuwe instelling erkend zijn door de RvA. Een certificaat dat wordt afgegeven door een niet-geaccrediteerde instelling heeft geen internationale erkenning en wordt door veel opdrachtgevers niet geaccepteerd. Ten tweede is het verstandig de overstap te plannen buiten een lopende hercertificeringsaudit, zodat er geen onduidelijkheid ontstaat over wie verantwoordelijk is voor welke auditfase.

Bij een zorgvuldig geplande overstap merkt jouw organisatie in de praktijk weinig van de wisseling, en klanten of partners al helemaal niet.

Hoe kies je een nieuwe certificerende instelling?

Bij het kiezen van een nieuwe certificerende instelling zijn accreditatie, sectorkennis en de kwaliteit van de auditaanpak de doorslaggevende factoren. Een goede instelling voegt inhoudelijk waarde toe en beperkt zich niet tot het afvinken van normvereisten.

Let bij je keuze op de volgende criteria:

• Accreditatie door de RvA: Dit is een harde eis. Controleer of de instelling geregistreerd staat bij de Raad voor Accreditatie voor de relevante norm, zoals ISO 27001 of NEN 7510 informatiebeveiliging.
• Sectorervaring: Een auditor die jouw branche kent, begrijpt de context van jouw risico’s en processen. Dat levert scherpere, relevantere bevindingen op.
• Auditfilosofie: Vraag hoe de instelling omgaat met bevindingen. Kijkt men alleen naar tekortkomingen, of worden ook sterke punten benoemd?
• Transparantie over kosten: Vraag een gedetailleerde offerte op en zorg dat je begrijpt wat er wel en niet inbegrepen is.
• Klantreferenties en beoordelingen: Vraag naar ervaringen van vergelijkbare organisaties of zoek naar onafhankelijke reviews.

Een eerste gesprek of intakegesprek met de nieuwe instelling geeft je snel een goed gevoel bij de aanpak en het kennisniveau van de auditors.

Wat kost een overstap naar een andere certificerende instelling?

De kosten van een overstap naar een andere certificerende instelling bestaan hoofdzakelijk uit de auditkosten van de nieuwe instelling en eventuele administratieve kosten voor de overdracht. Er zijn geen vaste overstapkosten of boetes verbonden aan het wisselen van instelling, tenzij je huidige contract een opzegtermijn of vergoeding kent.

De totale kosten hangen af van een aantal factoren:

• De omvang van je organisatie en het aantal medewerkers dat binnen de scope valt
• De complexiteit van je ISMS en de sector waarin je actief bent
• Of er een extra intakeaudit of transferbeoordeling nodig is
• De tarieven van de nieuwe instelling voor surveillance- en hercertificeringsaudits

In de meeste gevallen zijn de structurele jaarlijkse kosten bij de nieuwe instelling leidend. De eenmalige overstapkosten zijn doorgaans beperkt. Vraag altijd een transparante offerte op voordat je definitief besluit te wisselen, zodat je een eerlijke vergelijking kunt maken.

Overweeg je om van certificerende instelling te wisselen en wil je weten wat wij voor jouw organisatie kunnen betekenen? Neem contact op en we bespreken graag de mogelijkheden, zonder verplichtingen.

Gerelateerde artikelen

• Wat controleert de auditor extra bij een zorgorganisatie met NEN 7510 naast ISO 27001?
• Welke gebeurtenissen leiden meestal tot een schorsing van een ISO 27001 certificaat?
• Hoe pak je het aan als je een ISO 27001 certificering wilt halen?
• Is een risicoanalyse verplicht onder de NIS2 of CBW?
• Welke uitdagingen brengt thuiswerken voor ISO 27001?