Een certificerende instelling mag geen advies geven aan de organisaties die zij certificeert. Dit is geen keuze, maar een fundamentele eis die voortvloeit uit internationale accreditatienormen. Zodra een instelling zowel adviseert als certificeert, vervalt de onafhankelijkheid die de waarde van een certificaat juist garandeert. In dit artikel beantwoorden we de meest gestelde vragen over dit onderwerp, zodat je precies weet waar je op moet letten bij het kiezen van een certificeringspartner. Heb je vragen over onze werkwijze? Neem gerust contact op en we helpen je graag verder.
Wat zijn de regels rondom onafhankelijkheid van een certificerende instelling?
Een certificerende instelling is verplicht onafhankelijk te opereren op basis van de ISO 17021-norm, die de eisen beschrijft voor instellingen die managementsystemen certificeren. Deze norm verbiedt expliciet dat een certificerende instelling advies- of consultancydiensten aanbiedt aan de organisaties die zij beoordeelt. Accreditatie-instellingen zoals de Raad voor Accreditatie (RvA) handhaven deze regels actief.
De onafhankelijkheidseis geldt niet alleen voor de instelling als geheel, maar ook voor de individuele auditors. Een auditor mag geen organisatie beoordelen waarbij hij of zij eerder betrokken was als adviseur. Dit voorkomt dat de auditor zijn eigen werk beoordeelt, wat de objectiviteit per definitie zou ondermijnen.
Voor organisaties die een ISO 27001 certificering nastreven, is dit een belangrijk gegeven. De onafhankelijkheid van de certificerende instelling is namelijk precies wat de marktwaarde van het certificaat bepaalt. Een certificaat dat is afgegeven door een instelling die ook de implementatie heeft begeleid, zegt weinig over de werkelijke beveiligingsstatus van een organisatie.
Wat is het verschil tussen een certificerende instelling en een adviesbureau?
Een certificerende instelling beoordeelt objectief of een organisatie voldoet aan een norm, zoals ISO 27001 of NEN 7510. Een adviesbureau helpt een organisatie juist om aan die norm te voldoen, door het inrichten van processen, het schrijven van beleid en het begeleiden van de implementatie. Beide rollen zijn waardevol, maar ze mogen nooit door dezelfde partij worden vervuld voor dezelfde organisatie.
Het onderscheid zit hem in de positie die de partij inneemt. Een adviseur staat naast de organisatie en denkt mee. Een certificerende instelling staat buiten de organisatie en beoordeelt onpartijdig. Zodra een partij beide rollen combineert, ontstaat er een belangenconflict dat de geloofwaardigheid van de beoordeling aantast.
In de praktijk zien we dat organisaties soms verward raken over dit onderscheid, zeker wanneer partijen onduidelijk communiceren over hun rol. Het is daarom verstandig altijd expliciet te vragen: “Bieden jullie ook advies- of implementatiediensten aan?” Een geaccrediteerde certificerende instelling zal deze vraag ontkennend beantwoorden.
Wat gebeurt er als een certificerende instelling ook advies geeft?
Als een certificerende instelling ook advies geeft aan de organisaties die zij certificeert, verliest zij haar accreditatiestatus of riskeert zij schorsing door de nationale accreditatie-instantie. Bovendien verliest het afgegeven certificaat zijn marktwaarde, omdat de onafhankelijkheid van de beoordeling niet langer gewaarborgd is.
De gevolgen zijn dus tweeledig. Voor de instelling zelf betekent het een serieus risico op verlies van accreditatie. Voor de gecertificeerde organisatie betekent het dat het certificaat mogelijk niet wordt erkend door opdrachtgevers, aanbestedende diensten of toezichthouders die bewust controleren of de certificering door een onafhankelijke partij is uitgevoerd.
In sectoren zoals de zorg of overheid, waar informatiebeveiliging wettelijk verankerd is, kan een ongeldig certificaat vergaande consequenties hebben. Denk aan het mislopen van aanbestedingen of het niet voldoen aan wettelijke verplichtingen zoals de NIS2-richtlijn.
Hoe herken je een onafhankelijke certificerende instelling?
Een onafhankelijke certificerende instelling is geaccrediteerd door een erkende nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland. Je kunt de accreditatiestatus altijd openbaar verifiëren via het register van de RvA. Een instelling zonder accreditatie biedt geen garantie van onafhankelijkheid of vakbekwaamheid.
Naast accreditatie zijn er praktische signalen om op te letten:
- De instelling biedt geen implementatieadvies, consultancy of begeleiding aan als betaalde dienst aan haar auditklanten.
- De instelling communiceert transparant over haar rol en de scheiding tussen audit en advies.
- Auditors hebben geen eerdere betrokkenheid bij de organisatie als adviseur.
- De instelling is aantoonbaar lid van brancheorganisaties die ethische gedragscodes hanteren.
Wij zijn als DigiTrust volledig geaccrediteerd (RvA C618) en lid van Cyberveilig Nederland. Dit betekent dat wij gebonden zijn aan strenge onafhankelijkheidseisen en dat onze certificaten worden erkend in binnen- en buitenland.
Mag een certificerende instelling wel uitleg geven tijdens een audit?
Ja, een certificerende instelling mag uitleg geven over de norm en over wat zij tijdens de audit observeert. Dit is geen advies, maar toelichting. Het verschil is subtiel maar belangrijk: uitleg gaat over wat de norm vereist of wat de auditor ziet; advies gaat over hoe de organisatie haar processen moet inrichten om aan de norm te voldoen.
Een auditor mag bijvoorbeeld uitleggen waarom een bepaalde bevinding als tekortkoming wordt aangemerkt en welke eisen de norm stelt. Wat de auditor niet mag, is vertellen hoe de organisatie die tekortkoming concreet moet oplossen. Dat is de grens tussen toelichting en advies.
Wij hanteren bij DigiTrust een aanpak die wij “waarderend auditen” noemen. Dat betekent dat we niet alleen tekortkomingen benoemen, maar ook helder communiceren wat er goed gaat en waarom. Dit is geen advies, maar een eerlijke en volledige terugkoppeling die organisaties helpt hun beveiligingsniveau te begrijpen.
Wie helpt dan wél met de voorbereiding op een ISO 27001-certificering?
Voor de voorbereiding op een ISO 27001-certificering schakel je een onafhankelijk adviesbureau of consultant in, niet de certificerende instelling zelf. Gespecialiseerde informatiebeveiligingsadviseurs helpen je bij het inrichten van een Information Security Management System (ISMS), het schrijven van beleid en het uitvoeren van risicoanalyses.
De samenwerking verloopt dan als volgt: een adviseur helpt je de organisatie gereed te maken, waarna een onafhankelijke certificerende instelling beoordeelt of je daadwerkelijk aan de norm voldoet. Deze strikte scheiding is geen bureaucratische formaliteit, maar de basis voor een certificaat dat echt iets zegt.
Wil je weten welke stappen er nodig zijn om je organisatie klaar te maken voor certificering en hoe je de juiste partijen selecteert? Neem contact op met ons team en we denken graag met je mee over de beste aanpak voor jouw situatie.
Veelgestelde vragen
Waarom mag een certificerende instelling geen advies geven aan de organisaties die zij certificeert?
V: Waarom mag een certificerende instelling geen advies geven aan de organisaties die zij certificeert?nA: Zodra een certificerende instelling ook advies geeft, ontstaat er een belangenconflict dat de objectiviteit van de beoordeling ondermijnt. De onafhankelijkheid is vastgelegd in de ISO 17021-norm en wordt gehandhaafd door accreditatie-instanties zoals de RvA, omdat juist die onafhankelijkheid de marktwaarde van een certificaat garandeert.
Hoe controleer ik of een certificerende instelling echt onafhankelijk en geaccrediteerd is?
V: Hoe controleer ik of een certificerende instelling echt onafhankelijk en geaccrediteerd is?nA: Je kunt de accreditatiestatus van een certificerende instelling eenvoudig verifiëren via het openbare register van de Raad voor Accreditatie (RvA). Controleer daarnaast of de instelling geen advies- of implementatiediensten aanbiedt aan haar auditklanten, want dat is een direct signaal dat de onafhankelijkheid in het geding is.
Wat zijn de gevolgen voor mijn organisatie als blijkt dat mijn certificaat is afgegeven door een niet-onafhankelijke instelling?
V: Wat zijn de gevolgen voor mijn organisatie als blijkt dat mijn certificaat is afgegeven door een niet-onafhankelijke instelling?nA: Een certificaat van een niet-onafhankelijke instelling wordt mogelijk niet erkend door opdrachtgevers, aanbestedende diensten of toezichthouders, wat kan leiden tot het mislopen van aanbestedingen of het niet voldoen aan wettelijke verplichtingen zoals de NIS2-richtlijn. Het is daarom essentieel om vooraf de accreditatiestatus van je certificerende instelling te controleren.
Wie schakel ik in voor de voorbereiding op een ISO 27001-certificering als de certificerende instelling dat niet mag doen?
V: Wie schakel ik in voor de voorbereiding op een ISO 27001-certificering als de certificerende instelling dat niet mag doen?nA: Voor de voorbereiding schakel je een onafhankelijk adviesbureau of gespecialiseerde informatiebeveiligingsconsultant in, die je helpt bij het inrichten van een ISMS, het schrijven van beleid en het uitvoeren van risicoanalyses. Daarna beoordeelt de certificerende instelling objectief of jouw organisatie daadwerkelijk aan de norm voldoet.
Gerelateerde artikelen
- Ben je direct gezakt als een auditor een afwijking constateert bij ISO 27001?
- Kan een kleine zorgorganisatie ook terecht bij een certificerende instelling?
- Wat zijn kritieke afwijkingen bij een ISO 27001 certificering?
- Wat zijn de jaarlijkse kosten van ISO 27001 onderhoud?
- Hoe verbeter je continu je ISMS?
