Wat is het verschil in aanpak tussen een RvA-geaccrediteerde en niet-geaccrediteerde auditor?

Een RvA-geaccrediteerde auditor verschilt fundamenteel van een niet-geaccrediteerde auditor doordat zijn werkwijze, competenties en onafhankelijkheid onafhankelijk zijn getoetst door de Raad voor Accreditatie (RvA). Dat onderscheid is niet louter formeel: het bepaalt of een afgegeven certificaat wettelijk en contractueel wordt erkend in Nederland. Voor organisaties die moeten voldoen aan wet- en regelgeving of aanbestedingseisen is dit verschil doorslaggevend. Wil je weten welke keuze bij jouw organisatie past? Neem gerust contact op en wij helpen je verder. In dit artikel beantwoorden we de meest gestelde vragen over accreditatie, auditaanpak en hoe je de juiste partner kiest.

Wat betekent RvA-accreditatie voor een auditinstelling?

RvA-accreditatie betekent dat een auditinstelling door de Raad voor Accreditatie formeel is erkend als competent en onafhankelijk om specifieke conformiteitsbeoordelingen uit te voeren. De RvA is de Nederlandse nationale accreditatie-instantie en opereert op basis van Europese regelgeving. Een geaccrediteerde auditinstelling heeft aangetoond dat haar processen, auditors en kwaliteitssysteem voldoen aan internationale normen, met name ISO/IEC 17021.

Accreditatie is geen eenmalig keurmerk. De RvA voert periodieke herbeoordelingen en tussentijdse controles uit om te verifiëren dat een instelling blijvend aan de gestelde eisen voldoet. Dat maakt accreditatie een levend bewijs van kwaliteit, niet slechts een papieren verklaring. DigiTrust beschikt over RvA-accreditatie onder nummer C618, wat betekent dat onze audits en de door ons afgegeven certificaten internationaal worden erkend.

Voor organisaties die een ISO 27001-audit voor informatiebeveiliging laten uitvoeren, biedt accreditatie de zekerheid dat het resultaat ook buiten de eigen landsgrenzen standhoudt.

Welke eisen gelden er voor een RvA-geaccrediteerde auditor?

Een RvA-geaccrediteerde auditor moet aantoonbaar voldoen aan strikte competentie-eisen op het gebied van opleiding, werkervaring, auditvaardigheden en sectorkennis. Daarnaast gelden eisen rondom onafhankelijkheid en onpartijdigheid, zodat de audit objectief en zonder belangenverstrengeling plaatsvindt.

Concreet betekent dit dat geaccrediteerde auditors:

• beschikken over relevante vakinhoudelijke opleiding en aantoonbare werkervaring in het betreffende domein;
• regelmatig worden bijgeschoold en geëvalueerd op hun auditprestaties;
• werken volgens gedocumenteerde procedures die zijn getoetst door de RvA;
• onafhankelijk zijn van de te auditeren organisatie, zowel financieel als organisatorisch;
• hun bevindingen vastleggen op een wijze die herleidbaar en controleerbaar is.

Bij DigiTrust combineren onze auditors technische kennis van IT- en OT-omgevingen met diepgaande kennis van sectorspecifieke regelgeving. Dat gaat verder dan het minimale dat de norm vereist: het zorgt ervoor dat een audit ook daadwerkelijk inzicht geeft in de beveiligingspositie van een organisatie.

Hoe verschilt de auditaanpak in de praktijk?

In de praktijk verschilt de aanpak van een RvA-geaccrediteerde auditor van een niet-geaccrediteerde auditor op drie wezenlijke punten: methodische structuur, onafhankelijkheidsborging en de wijze waarop bevindingen worden gedocumenteerd en onderbouwd.

Een geaccrediteerde auditinstelling werkt volgens een vastgesteld kwaliteitssysteem dat extern is getoetst. Elke audit doorloopt vaste fasen, van documentbeoordeling en risicoanalyse tot on-siteverificatie en rapportage. De bevindingen zijn herleidbaar en de conclusies worden onderbouwd met objectief bewijs, niet met subjectieve indrukken.

Een niet-geaccrediteerde auditor of adviesbureau kan kwalitatief werk leveren, maar is niet onderworpen aan dezelfde externe controle. Dat betekent dat de methodiek, de onafhankelijkheid en de diepgang per aanbieder sterk kunnen variëren. Er is geen externe instantie die periodiek toetst of de werkwijze consistent en betrouwbaar is.

Wij hanteren bij DigiTrust een aanpak die wij “waarderend auditen” noemen. Dat houdt in dat een audit niet alleen tekortkomingen blootlegt, maar ook expliciet erkent wat een organisatie al goed doet. Dat levert een realistischer en constructiever beeld op dan een puur corrigerende benadering.

Welk certificaat is geldig voor wet- en regelgeving in Nederland?

Voor wet- en regelgeving in Nederland is uitsluitend een ISO 27001-certificaat geldig dat is afgegeven door een RvA-geaccrediteerde auditinstelling of door een buitenlandse instelling die is geaccrediteerd door een lid van de Europese accreditatiesamenwerking EA. Certificaten van niet-geaccrediteerde partijen worden in formele en juridische contexten niet erkend.

Dit is relevant in meerdere situaties:

• Aanbestedingen: Overheden en grote organisaties eisen in hun contracten vaak een geldig, geaccrediteerd certificaat als bewijs van informatiebeveiliging.
• NIS2-richtlijn: Organisaties die onder de NIS2-richtlijn vallen, moeten kunnen aantonen dat hun beveiligingsmaatregelen voldoen aan erkende normen.
• AVG/GDPR: Een geaccrediteerd ISO 27001-certificaat ondersteunt de aantoonbaarheid van passende technische en organisatorische maatregelen.
• Samenwerkingsovereenkomsten: Opdrachtgevers en partners stellen steeds vaker accreditatie als voorwaarde voor het aangaan van een samenwerking.

Een certificaat van een niet-geaccrediteerde partij kan in deze contexten worden afgewezen, ongeacht de inhoudelijke kwaliteit van de audit.

Wanneer volstaat een niet-geaccrediteerde auditor?

Een niet-geaccrediteerde auditor kan volstaan wanneer een organisatie een interne gap-analyse wil uitvoeren, zich wil voorbereiden op een formele certificeringsaudit of behoefte heeft aan advies over de inrichting van een informatiebeveiligingsbeleid. In deze gevallen gaat het om interne verbetering, niet om externe erkenning.

Denk aan situaties zoals:

• een nulmeting voorafgaand aan een certificeringstraject;
• een interne audit als onderdeel van een managementsysteem;
• een second opinion op bestaande beveiligingsmaatregelen;
• bewustwordingssessies of risicoworkshops voor medewerkers.

Zodra het doel echter een formeel erkend certificaat is, of zodra een externe partij om bewijs van conformiteit vraagt, is accreditatie onmisbaar. Het is dan ook verstandig om bij de start van een traject helder te definiëren wat het einddoel is: intern leren of extern aantonen.

Hoe kies je de juiste auditpartner voor informatiebeveiliging?

De juiste auditpartner voor informatiebeveiliging kies je op basis van vier criteria: accreditatiestatus, sectorkennis, auditfilosofie en transparantie in het proces. Een partner die op al deze punten sterk scoort, levert niet alleen een geldig certificaat op, maar versterkt ook daadwerkelijk de digitale weerbaarheid van je organisatie.

Controleer de accreditatiestatus

Verifieer altijd of een auditinstelling is geaccrediteerd door de RvA of een equivalente buitenlandse instantie. De accreditatiestatus is openbaar te raadplegen via de RvA-website. Instellingen die claimen gecertificeerd te zijn zonder aantoonbare accreditatie, bieden geen garantie op erkenning van het afgegeven certificaat.

Beoordeel sectorkennis en auditfilosofie

Naast accreditatie is sectorspecifieke kennis bepalend voor de waarde van een audit. Een auditor die vertrouwd is met de specifieke risico’s en regelgeving in jouw sector, stelt scherpere en relevantere vragen. Kijk ook naar de auditfilosofie: werkt de instelling met een puur corrigerende benadering, of erkent zij ook wat goed gaat? Een constructieve aanpak leidt doorgaans tot meer draagvlak binnen de organisatie en betere resultaten op de lange termijn.

Wil je weten hoe wij jouw organisatie kunnen begeleiden bij het behalen van een certificering? Wij denken graag met je mee over de aanpak die het beste aansluit bij jouw context en ambities.

Bij DigiTrust combineren wij RvA-accreditatie (C618), diepgaande sectorkennis en een waarderende auditbenadering. Dat resulteert in audits die verder gaan dan minimale compliance en die organisaties concrete handvatten geven om hun informatiebeveiliging structureel te verbeteren. Neem contact op en ontdek wat wij voor jouw organisatie kunnen betekenen.

Gerelateerde artikelen

• Welke documentatiefouten zorgen het vaakst voor vertraging bij een ISO 27001 audit?
• Welke officiële registers gebruik je om een ISO 27001 certificaat te verifiëren?
• Wat is een schorsing van het ISO 27001 certificaat?
• Wat is een VVT verklaring van toepasselijkheid bij een NEN 7510?
• Wat is het verschil tussen een ISO 27001 certificaat en een eigen verklaring?