De onafhankelijkheid van een certificerende instelling (CI) is essentieel omdat het de geloofwaardigheid en objectiviteit van een certificaat garandeert. Zonder onafhankelijkheid verliest een certificaat zijn waarde: het zegt dan niets meer over de werkelijke staat van informatiebeveiliging binnen een organisatie. Als je vragen hebt over hoe wij hiermee omgaan, kun je altijd contact opnemen voor een vrijblijvend gesprek. In dit artikel beantwoorden we de meest gestelde vragen over onafhankelijkheid bij certificerende instellingen.
Wat betekent onafhankelijkheid bij een certificerende instelling?
Onafhankelijkheid bij een certificerende instelling betekent dat de CI geen zakelijke, financiële of persoonlijke belangen heeft die haar oordeel kunnen beïnvloeden. Een onafhankelijke CI beoordeelt een organisatie puur op basis van de norm, zonder druk van buitenaf of verstrengelde belangen van binnenuit.
In de praktijk houdt dit in dat de CI en haar auditors geen advies- of implementatiediensten mogen leveren aan de organisaties die zij certificeren. Ook mogen er geen financiële afhankelijkheden bestaan die het oordeel kunnen kleuren. Denk aan situaties waarbij dezelfde partij eerst helpt bij het opzetten van een managementsysteem en daarna ook de audit uitvoert. Dat levert een fundamenteel belangenconflict op.
Onafhankelijkheid is geen bijzaak, het is de kern van wat een certificaat betekent. Het is precies de reden waarom een informatiebeveiliging certificering waarde heeft voor klanten, opdrachtgevers en toezichthouders. Een certificaat van een afhankelijke partij is in feite een eigen verklaring, en dat is iets heel anders.
Welke risico’s ontstaan als een CI niet onafhankelijk is?
Als een certificerende instelling niet onafhankelijk is, ontstaan er risico’s op meerdere niveaus: het certificaat verliest zijn objectiviteit, beveiligingsrisico’s blijven onopgemerkt, en de organisatie die het certificaat draagt geeft een vals signaal af naar de buitenwereld.
De meest directe risico’s zijn:
- Valse zekerheid: Een organisatie denkt veilig te zijn, terwijl er aantoonbare kwetsbaarheden bestaan die niet zijn gesignaleerd.
- Reputatieschade: Als een datalek of incident plaatsvindt terwijl de organisatie gecertificeerd is, kan dat leiden tot serieuze reputatieschade, zeker als achteraf blijkt dat de audit niet onafhankelijk was.
- Juridische en contractuele gevolgen: Klanten en opdrachtgevers die een certificaat eisen, doen dat om zekerheid te krijgen. Als die zekerheid niet klopt, kan dat contractbreuk betekenen.
- Toezichthouders accepteren het certificaat niet: Zeker in sectoren zoals de zorg of overheid, waar normen als NEN 7510 of BIO gelden, wordt er gekeken naar de accreditatie van de CI.
Kortom: een onbetrouwbare CI beschermt niemand. Het geeft slechts de schijn van beveiliging, en dat is gevaarlijker dan helemaal geen certificaat hebben.
Hoe controleer je of een certificerende instelling echt onafhankelijk is?
Je controleert de onafhankelijkheid van een certificerende instelling door te kijken naar haar accreditatiestatus, haar beleid rondom belangenverstrengeling, en of zij advies- en implementatiediensten aanbiedt naast haar auditwerkzaamheden. Een geaccrediteerde CI is verplicht om onafhankelijkheid aantoonbaar te borgen.
Concrete stappen die je kunt zetten:
- Controleer de accreditatie: Kijk op de website van de Raad voor Accreditatie (RvA) of de CI daadwerkelijk geaccrediteerd is voor de betreffende norm. In Nederland is accreditatie het formele bewijs van onafhankelijkheid en competentie.
- Vraag naar het onpartijdigheidsbeleid: Serieuze CI’s hebben een gedocumenteerd beleid dat beschrijft hoe zij omgaan met potentiële belangenconflicten.
- Let op het dienstenaanbod: Biedt de CI ook implementatiehulp of advies aan? Dan is er een risico op verstrengeling. Onafhankelijke CI’s houden die rollen strikt gescheiden.
- Vraag wie de auditoren zijn: Hebben zij eerder voor jouw organisatie gewerkt in een andere hoedanigheid? Zo ja, dan moet dat worden gemeld en beoordeeld op mogelijke bias.
Wat is het verschil tussen een geaccrediteerde en een niet-geaccrediteerde CI?
Een geaccrediteerde certificerende instelling is formeel beoordeeld en goedgekeurd door een nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland. Een niet-geaccrediteerde CI heeft die externe toetsing niet ondergaan en biedt daarmee geen vergelijkbare garantie op onafhankelijkheid, competentie of consistentie.
Het verschil zit niet alleen in papier. Accreditatie betekent dat de CI periodiek wordt gecontroleerd op haar werkwijze, de kwalificaties van haar auditors, en haar procedures rondom onpartijdigheid. Die externe controle is wat het systeem geloofwaardig maakt.
Voor organisaties die een ISO 27001 certificering nastreven die ook internationaal erkend wordt, is accreditatie geen optie maar een vereiste. Veel aanbestedingen, klantcontracten en toezichthouders accepteren uitsluitend certificaten van geaccrediteerde instellingen. Wij zijn geaccrediteerd door de RvA (C618), wat betekent dat onze certificaten aan die hoogste standaard voldoen.
Waarom weigeren onafhankelijke CI’s advies te geven over implementatie?
Onafhankelijke certificerende instellingen weigeren implementatieadvies te geven omdat dit een direct belangenconflict zou opleveren. Als een CI helpt bij het bouwen van een managementsysteem en vervolgens ook de audit uitvoert, beoordeelt ze in feite haar eigen werk. Dat maakt een objectief oordeel onmogelijk.
Dit principe is vastgelegd in internationale normen voor conformiteitsbeoordelingsinstanties, zoals ISO 17021. Die norm stelt expliciet dat een CI geen managementadvies mag geven aan haar certificatieklanten. Het is geen keuze van de CI, maar een eis die hoort bij het accreditatiestelsel.
Dat betekent niet dat je er als organisatie alleen voor staat. Je kunt voor de implementatiefase samenwerken met een onafhankelijke consultant of adviseur. De CI voert daarna de audit uit. Die scheiding van rollen is juist wat het certificaat zijn waarde geeft: twee onafhankelijke ogen kijken naar het systeem, zonder dat de een afhankelijk is van het oordeel van de ander.
Hoe beïnvloedt de onafhankelijkheid van een CI de waarde van je certificaat?
De onafhankelijkheid van een certificerende instelling bepaalt direct de geloofwaardigheid van het certificaat. Een certificaat van een onafhankelijke, geaccrediteerde CI is een extern, objectief bewijs van naleving. Een certificaat van een partij zonder die onafhankelijkheid is in de praktijk weinig meer dan een eigen verklaring.
Klanten, opdrachtgevers en toezichthouders weten dit. Zij kijken steeds vaker niet alleen of een organisatie gecertificeerd is, maar ook door wie. Zeker in sectoren als de zorg, overheid en kritieke infrastructuur wordt er actief gecontroleerd of de uitgevende CI geaccrediteerd en onafhankelijk is.
Een certificaat van een onafhankelijke CI biedt ook intern voordelen. Het geeft het managementteam en de medewerkers een eerlijk beeld van waar de organisatie staat op het gebied van informatiebeveiliging. Dat is alleen mogelijk als de auditor geen reden heeft om mild te zijn of bevindingen te verzachten.
Kortom: onafhankelijkheid is geen formele bijzaak. Het is de basis waarop de hele waarde van een certificaat rust. Kies je een CI, kies dan bewust voor een geaccrediteerde, onafhankelijke partij. Neem contact op om te bespreken hoe wij jouw organisatie kunnen begeleiden naar een certificering die echt iets zegt.
Veelgestelde vragen
Wat maakt een certificaat van een geaccrediteerde CI meer waard dan dat van een niet-geaccrediteerde partij?
Een geaccrediteerde CI wordt periodiek extern gecontroleerd op onafhankelijkheid, competentie en werkwijze, waardoor haar certificaten internationaal erkend worden. Niet-geaccrediteerde partijen bieden die garantie niet, waardoor hun certificaten door klanten, aanbestedingen en toezichthouders vaak niet worden geaccepteerd.
Hoe weet ik of de CI die ik overweeg echt onafhankelijk opereert?
Controleer de accreditatiestatus van de CI via de website van de Raad voor Accreditatie (RvA) en vraag naar het onpartijdigheidsbeleid. Let er ook op of de CI naast auditwerkzaamheden ook implementatieadvies aanbiedt, want dat is een duidelijk teken van mogelijke belangenverstrengeling.
Waarom mag een certificerende instelling mij niet helpen met de implementatie van mijn managementsysteem?
Als een CI helpt bij de opzet van een managementsysteem en daarna ook de audit uitvoert, beoordeelt zij in feite haar eigen werk, wat een objectief oordeel onmogelijk maakt. Dit verbod is vastgelegd in internationale norm ISO 17021 en is een harde eis binnen het accreditatiestelsel.
Wanneer loopt mijn organisatie risico als de CI niet onafhankelijk blijkt te zijn?
Het risico ontstaat direct: een niet-onafhankelijke CI kan kwetsbaarheden over het hoofd zien of bevindingen verzachten, waardoor jouw organisatie een vals gevoel van veiligheid heeft. Bij een incident of datalek kan dit leiden tot reputatieschade, juridische gevolgen en het niet-accepteren van het certificaat door toezichthouders.
