Een consultant en een certificerende instelling vervullen elk een eigen, duidelijk afgebakende rol in een certificeringstraject. De consultant bereidt jouw organisatie voor op de audit, terwijl de certificerende instelling onafhankelijk beoordeelt of je aan de norm voldoet. Die scheiding is essentieel voor de geloofwaardigheid van het certificaat. In dit artikel beantwoorden we de meest gestelde vragen over hoe deze samenwerking in de praktijk werkt. Wil je alvast weten wat wij als certificerende instelling voor jou kunnen betekenen? Neem gerust contact op en we helpen je verder.
Wat doet een consultant in een certificeringstraject?
Een consultant helpt jouw organisatie om klaar te zijn voor de audit. Hij of zij analyseert de huidige situatie, identificeert gaten ten opzichte van de norm en begeleidt de implementatie van beleid, processen en maatregelen. De consultant werkt dus aan de voorkant van het traject, zodat jouw organisatie goed voorbereid de auditfase ingaat.
In de praktijk voert een consultant bij een certificeringstraject informatiebeveiliging taken uit zoals:
- Het uitvoeren van een nulmeting of gap-analyse
- Het opstellen of verbeteren van een informatiebeveiligingsbeleid
- Het begeleiden van risicobeoordelingen
- Het trainen van medewerkers en het vergroten van bewustwording
- Het voorbereiden van interne audits
- Het adviseren over de scope van het managementsysteem
Een goede ISO 27001 consultant kent de norm van binnen en van buiten, maar begrijpt ook de praktische realiteit van jouw organisatie. Dat maakt het verschil tussen een stapel documenten die niemand leest en een werkend managementsysteem dat echt bijdraagt aan informatiebeveiliging.
Wat is het verschil tussen een consultant en een certificerende instelling?
Het kernverschil is onafhankelijkheid. Een consultant werkt voor jouw organisatie en heeft als doel jou te helpen slagen. Een certificerende instelling beoordeelt onafhankelijk of jouw organisatie voldoet aan de norm en mag geen belang hebben bij de uitkomst van die beoordeling. Dit onderscheid is niet alleen praktisch, maar ook wettelijk en normatief verankerd.
Een certificerende instelling, ook wel CI of auditinstelling genoemd, voert de formele audit uit en verleent het certificaat. Zij handelt volgens geaccrediteerde procedures en is daarin gebonden aan strikte eisen van onpartijdigheid. Wij zijn bijvoorbeeld geaccrediteerd door de Raad voor Accreditatie (RvA C618), wat betekent dat onze audits aan internationale kwaliteitseisen voldoen.
Een consultant heeft geen accreditatie nodig voor zijn advieswerk en is vrij om partijdig te zijn, namelijk aan de kant van de opdrachtgever. Dat is ook precies zijn rol: jou zo goed mogelijk voorbereiden. De CI heeft die vrijheid niet. Zij moet objectief en onbevooroordeeld oordelen, ongeacht hoe goed de voorbereiding was.
Hoe werken consultant en certificerende instelling samen zonder de onafhankelijkheid te schaden?
Consultant en certificerende instelling werken parallel, niet samen. De consultant bereidt voor, de CI beoordeelt. Ze communiceren niet inhoudelijk over de uitkomst van de audit en de CI mag nooit afhankelijk zijn van de inbreng van de consultant. Zo blijft de onafhankelijkheid van het certificeringsproces gewaarborgd.
In de praktijk betekent dit dat de CI geen inzage heeft in de adviezen van de consultant en dat de consultant niet aanwezig is bij de audit zelf, tenzij hij een formele rol heeft binnen de organisatie. De CI beoordeelt wat er is, niet wat er beloofd is of wat de consultant heeft aanbevolen.
Wat wel mogelijk is, is dat beide partijen op operationeel niveau afstemmen over logistieke zaken, zoals de planning van de audit, de benodigde documentatie en de scope. Dat is geen inhoudelijke samenwerking, maar organisatorische afstemming. Zolang de CI haar oordeel onafhankelijk vormt, is die afstemming volkomen legitiem.
Wanneer schakel je een consultant in bij een certificeringstraject?
Je schakelt een consultant in wanneer je organisatie nog niet klaar is om direct een audit aan te gaan, of wanneer er intern onvoldoende kennis en capaciteit is om een managementsysteem op te zetten. Hoe eerder in het traject je een consultant betrekt, hoe meer tijd er is om verbeteringen door te voeren voordat de audit plaatsvindt.
Typische situaties waarin een consultant meerwaarde heeft:
- Je organisatie vraagt zich af hoe te beginnen met ISO 27001
- Er is geen interne informatiebeveiligingsfunctionaris of CISO
- Een eerdere audit heeft tekortkomingen aan het licht gebracht die je wil oplossen
- De organisatie groeit snel en de beveiliging moet meegroeien
- Er is tijdsdruk vanuit een opdrachtgever of aanbesteding
Sommige organisaties kiezen er bewust voor om zonder consultant te werken als ze voldoende interne expertise hebben. Dat is een legitieme keuze, maar het vereist wel dat iemand intern de norm goed kent en de capaciteit heeft om het traject te trekken.
Wat zijn de risico’s als consultant en CI te nauw samenwerken?
Als consultant en certificerende instelling te nauw samenwerken, komt de onafhankelijkheid van de audit in gevaar. De CI mag niet worden beïnvloed door de belangen van de consultant en mag zeker niet financieel of organisatorisch verbonden zijn met de consultancypartij die de organisatie heeft voorbereid. Dit is een fundamentele eis vanuit de accreditatienormen.
Concrete risico’s zijn:
- Schijnzekerheid: een certificaat dat is behaald zonder dat de organisatie werkelijk aan de norm voldoet
- Verlies van accreditatie: als een CI haar onpartijdigheid niet kan aantonen, riskeert zij haar accreditatie
- Reputatieschade: zowel voor de organisatie als voor de betrokken partijen
- Juridische en contractuele gevolgen: opdrachtgevers die op het certificaat vertrouwen, kunnen schade ondervinden als het niet deugdelijk is afgegeven
Een betrouwbare CI zal altijd transparant zijn over haar onafhankelijkheidspositie en actief voorkomen dat er belangenverstrengeling ontstaat. Vraag hier gerust naar als je een CI selecteert.
Hoe kies je de juiste consultant en certificerende instelling?
Kies een consultant op basis van aantoonbare ervaring met jouw sector en de relevante norm, en een CI op basis van accreditatie, reputatie en de manier waarop zij audits uitvoert. Laat je niet leiden door prijs alleen, want zowel de voorbereiding als de audit bepalen de waarde van het uiteindelijke certificaat.
Waar let je op bij een consultant?
Een goede consultant heeft praktijkervaring met de norm die jij wil behalen, kent jouw sector en denkt mee in oplossingen die passen bij jouw organisatie. Vraag naar referenties, vraag hoe zij omgaan met de scheiding tussen advies en audit en check of zij lid zijn van een beroepsvereniging of gecertificeerd zijn als auditor of adviseur.
Waar let je op bij een certificerende instelling?
Een CI moet geaccrediteerd zijn door een erkende accreditatie-instelling, zoals de Raad voor Accreditatie in Nederland. Kijk ook naar de aanpak van de CI: voert zij audits uit als een checkbox-oefening, of is er ruimte voor diepgang en context? Wij hanteren een waarderende auditaanpak waarbij we niet alleen kijken naar wat ontbreekt, maar ook erkennen wat al goed geregeld is. Dat levert meer inzicht op dan een puur corrigerende benadering.
Zorg er tot slot voor dat de consultant en de CI niet aan elkaar gelieerd zijn. Dat is niet alleen een normatieve eis, maar ook gewoon goed voor de geloofwaardigheid van jouw certificaat. Neem contact op om te bespreken hoe wij jouw certificeringstraject onafhankelijk en deskundig kunnen begeleiden.
Veelgestelde vragen
Wat is het verschil tussen een consultant en een certificerende instelling?
Een consultant werkt voor jouw organisatie en bereidt je voor op de audit, terwijl een certificerende instelling onafhankelijk beoordeelt of je aan de norm voldoet. Die onafhankelijkheid is essentieel: de CI mag geen belang hebben bij de uitkomst en is gebonden aan strenge accreditatie-eisen die objectiviteit en onpartijdigheid garanderen.
Wanneer is het zinvol om een consultant in te schakelen voor een certificeringstraject?
Het is verstandig een consultant in te schakelen zodra je merkt dat er intern onvoldoende kennis of capaciteit is om een managementsysteem op te zetten, of wanneer een eerdere audit tekortkomingen heeft blootgelegd. Hoe vroeger je een consultant betrekt, hoe meer tijd je hebt om verbeteringen door te voeren vóór de audit plaatsvindt.
Hoe voorkom je belangenverstrengeling tussen een consultant en een certificerende instelling?
Zorg ervoor dat de consultant en de certificerende instelling niet organisatorisch of financieel aan elkaar gelieerd zijn, en controleer of de CI een geldige accreditatie heeft van een erkende instelling zoals de Raad voor Accreditatie. Een betrouwbare CI is altijd transparant over haar onafhankelijkheidspositie en neemt actief maatregelen om belangenverstrengeling te voorkomen.
Waarom is de onafhankelijkheid van een certificerende instelling zo belangrijk voor de waarde van een certificaat?
Zonder onafhankelijkheid verliest een certificaat zijn geloofwaardigheid, omdat opdrachtgevers en andere belanghebbenden erop moeten kunnen vertrouwen dat de beoordeling objectief heeft plaatsgevonden. Als de onafhankelijkheid niet geborgd is, riskeer je schijnzekerheid, reputatieschade en mogelijk juridische gevolgen wanneer het certificaat niet deugdelijk blijkt te zijn afgegeven.
Gerelateerde artikelen
- Welke escalatiemogelijkheden heb je bij een omstreden auditbevinding?
- Wat controleert de auditor tijdens een ISO 27001 surveillance audit?
- Wat is het verschil tussen informatiebeveiliging en cybersecurity?
- Welke norm is het meest relevant voor een organisatie ISO 27001 of NEN 7510?
- Wat is een behandelingsplan volgens NEN 7510?
