Een certificerende instelling mag geen advies geven over de inrichting van een ISO 27001-managementsysteem aan organisaties die zij ook certificeert. Dit is geen keuze, maar een harde eis vanuit accreditatienormen: de onafhankelijkheid van de auditor moet te allen tijde gewaarborgd zijn. Wie adviseert over het systeem dat hij vervolgens beoordeelt, kan niet objectief oordelen. Wil je meer weten over hoe wij dit aanpakken? Neem gerust contact op en wij helpen je verder. In dit artikel beantwoorden we de meest gestelde vragen over de scheiding tussen advies en certificering bij ISO 27001.
Mag een certificerende instelling ook advies geven over ISO 27001?
Nee, een certificerende instelling mag geen inhoudelijk advies geven aan organisaties die zij ook certificeert. Dit verbod vloeit voort uit internationale accreditatie-eisen, met name ISO/IEC 17021, de norm waaraan geaccrediteerde auditinstellingen moeten voldoen. Het verlenen van advies over de opzet of inrichting van een ISMS (Information Security Management System) geldt als een directe bedreiging voor de onpartijdigheid van de auditor.
De redenering is helder: wie meehelpt een systeem te bouwen, kan dat systeem niet onafhankelijk beoordelen. De auditor zou in dat geval feitelijk zijn eigen werk keuren. Accreditatie-eisen zoals die van de Raad voor Accreditatie (RvA) zijn hierover ondubbelzinnig. Een instelling die zowel adviseert als certificeert, riskeert haar accreditatie te verliezen en daarmee de geldigheid van alle door haar afgegeven certificaten.
Er is wel een nuance: lichte uitleg over de norm, het toelichten van bevindingen of het benoemen van tekortkomingen tijdens een audit valt niet onder “advies” in de verboden zin. Het gaat om het actief helpen ontwerpen of implementeren van maatregelen, processen of documentatie.
Wat is het verschil tussen een auditinstelling en een adviesbureau?
Een auditinstelling beoordeelt onafhankelijk of een organisatie voldoet aan een norm zoals ISO 27001. Een adviesbureau helpt een organisatie juist om aan die norm te voldoen door mee te denken, te ontwerpen en te implementeren. Dit zijn fundamenteel verschillende rollen met tegengestelde verantwoordelijkheden.
Een geaccrediteerde auditinstelling werkt vanuit een formele, onpartijdige positie. Haar taak is vaststellen wat er is, niet vertellen wat er moet komen. Dat vereist afstand en objectiviteit. Een adviesbureau heeft juist een coachende, ondersteunende rol: het denkt mee, bouwt mee en draagt bij aan het succes van de implementatie.
Beide rollen zijn waardevol, maar ze mogen niet worden gecombineerd door dezelfde partij ten aanzien van dezelfde klant. Organisaties die ISO 27001 willen behalen, doen er goed aan een adviesbureau in te schakelen voor de voorbereiding en een onafhankelijke, geaccrediteerde auditinstelling voor de certificeringsaudit zelf.
Welke risico’s ontstaan er als één partij zowel adviseert als certificeert?
Als één partij zowel adviseert als certificeert, ontstaat er een ernstige vorm van belangenverstrengeling. De auditor beoordeelt dan zijn eigen werk, wat de objectiviteit van de certificering ondermijnt. Het afgegeven certificaat verliest daarmee zijn geloofwaardigheid, zowel in de ogen van toezichthouders als van klanten en zakenpartners.
De concrete risico’s zijn als volgt:
- Verlies van accreditatie: De RvA kan de accreditatie intrekken als een instelling structureel de scheiding tussen advies en certificering schendt.
- Ongeldig certificaat: Een certificaat afgegeven door een niet-onafhankelijke partij is juridisch en commercieel niets waard.
- Aansprakelijkheidsrisico: Als een organisatie schade lijdt en het certificaat onrechtmatig verkregen blijkt, kan dit leiden tot aansprakelijkheidsvragen.
- Reputatieschade: Klanten, partners en aanbestedende diensten kunnen het vertrouwen in de gecertificeerde organisatie verliezen zodra de onregelmatigheid aan het licht komt.
- Geen aansluiting bij NIS2 of AVG: Regelgeving zoals de NIS2-richtlijn en de AVG veronderstellen dat certificeringen betrouwbaar zijn. Een ongeldig certificaat biedt geen juridische bescherming.
Kortom: de schade gaat verder dan alleen een formele overtreding. Het raakt de kern van wat een ISO 27001-certificering zou moeten betekenen: aantoonbaar en betrouwbaar grip op informatiebeveiliging.
Hoe herken je een onafhankelijke certificerende instelling?
Een onafhankelijke certificerende instelling is geaccrediteerd door een nationale accreditatie-instantie, in Nederland de Raad voor Accreditatie (RvA). Accreditatie is het formele bewijs dat een instelling voldoet aan de eisen voor onpartijdigheid, vakbekwaamheid en kwaliteit. Zonder accreditatie is er geen onafhankelijke toetsing van de instelling zelf.
Let bij de keuze van een certificerende instelling op de volgende kenmerken:
- RvA-accreditatie: Controleer of de instelling geregistreerd staat bij de RvA en voor welke normen zij geaccrediteerd is. Wij zijn geaccrediteerd onder nummer RvA C618.
- Geen combinatie van diensten: Een betrouwbare auditinstelling biedt geen implementatiebegeleiding of advies aan voor de normen waarvoor zij ook certificeert.
- Transparantie over het proces: Een onafhankelijke instelling legt helder uit wat de audit inhoudt, welke criteria gelden en hoe bevindingen worden vastgesteld.
- Geen financieel belang bij de uitkomst: De instelling mag geen commercieel belang hebben bij een positieve of negatieve uitkomst van de audit.
- Aantoonbare vakbekwaamheid: Auditors moeten aantoonbaar gekwalificeerd zijn voor de normen die zij beoordelen, inclusief sectorspecifieke kennis.
Wat moet een organisatie doen als haar certificerende instelling ook advies aanbiedt?
Als een certificerende instelling ook advies aanbiedt over ISO 27001-implementatie, moet een organisatie kritisch nagaan of de onafhankelijkheid van de auditor nog gewaarborgd is. De eerste stap is na te vragen of de instelling geaccrediteerd is en hoe zij de scheiding tussen advies en certificering intern borgt. Is dat antwoord onduidelijk of ontbreekt een accreditatie, dan is het verstandig over te stappen naar een geaccrediteerde instelling.
Concreet zijn dit de stappen die een organisatie kan zetten:
- Controleer de accreditatiestatus via het publieke register van de RvA (rva.nl).
- Vraag expliciet of de instelling advies heeft gegeven of zal geven over het systeem dat zij certificeert.
- Beoordeel de contractuele afspraken: staan advies en certificering als aparte diensten omschreven, of worden ze gecombineerd aangeboden?
- Overweeg een overstap naar een instelling die uitsluitend certificeert en geen implementatieadvies levert aan haar certificeringsklanten.
- Informeer intern het management en relevante stakeholders als er twijfels zijn over de geldigheid van een bestaand certificaat.
Een ISO 27001-certificering is alleen geloofwaardig als zij is afgegeven door een partij die volledig onafhankelijk staat van de gecertificeerde organisatie. Dat is geen formaliteit, maar de kern van wat certificering betrouwbaar maakt. Wil je zeker weten dat jouw certificeringstraject voldoet aan alle onafhankelijkheidseisen? Neem contact op en wij vertellen je precies hoe wij dat waarborgen.
Veelgestelde vragen
Waarom mag een certificerende instelling geen advies geven over ISO 27001?
V: Waarom mag een certificerende instelling geen advies geven over ISO 27001? A: Een certificerende instelling die ook advies geeft over de inrichting van een ISMS, beoordeelt feitelijk haar eigen werk, wat objectief oordelen onmogelijk maakt. Internationale accreditatienormen zoals ISO/IEC 17021 verbieden dit expliciet om de onpartijdigheid van de auditor te waarborgen en de geloofwaardigheid van het certificaat te garanderen.
Wat is het verschil tussen een auditinstelling en een adviesbureau bij ISO 27001?
V: Wat is het verschil tussen een auditinstelling en een adviesbureau bij ISO 27001? A: Een auditinstelling beoordeelt onafhankelijk of jouw organisatie voldoet aan ISO 27001, terwijl een adviesbureau je actief helpt om aan die norm te voldoen door mee te denken en te implementeren. Beide rollen zijn waardevol, maar mogen nooit door dezelfde partij voor dezelfde klant worden gecombineerd.
Hoe controleer ik of mijn certificerende instelling echt onafhankelijk is?
V: Hoe controleer ik of mijn certificerende instelling echt onafhankelijk is? A: Controleer via het publieke register op rva.nl of de instelling een geldige RvA-accreditatie heeft en voor welke normen deze geldt. Een betrouwbare auditinstelling biedt daarnaast geen implementatiebegeleiding of advies aan voor de normen waarvoor zij ook certificeert, en heeft geen financieel belang bij de uitkomst van de audit.
Wat moet ik doen als mijn certificerende instelling ook advies aanbiedt?
V: Wat moet ik doen als mijn certificerende instelling ook advies aanbiedt? A: Vraag de instelling direct hoe zij de scheiding tussen advies en certificering intern borgt en controleer haar accreditatiestatus via rva.nl. Als het antwoord onduidelijk is of een accreditatie ontbreekt, is overstappen naar een volledig onafhankelijke, geaccrediteerde auditinstelling de verstandigste stap om de geldigheid van jouw certificaat te beschermen.
