Als een adviesbureau zich voordoet als certificerende instelling, loopt een organisatie het risico een ongeldig certificaat te ontvangen dat door opdrachtgevers, toezichthouders en aanbestedende partijen niet wordt erkend. Dit onderscheid is cruciaal: een adviesbureau helpt bij de voorbereiding op een certificering, maar mag de certificering zelf niet uitvoeren. In dit artikel beantwoorden we de meest gestelde vragen over dit onderwerp, zodat je weet waar je op moet letten. Heb je vragen over een specifieke situatie? Neem gerust contact op en wij helpen je graag verder.
Wat is het verschil tussen een adviesbureau en een certificerende instelling?
Een adviesbureau helpt organisaties bij het inrichten van processen, beleid en maatregelen om aan een norm te voldoen. Een certificerende instelling beoordeelt onafhankelijk of een organisatie daadwerkelijk aan die norm voldoet en mag bij een positief oordeel een officieel certificaat afgeven. Alleen geaccrediteerde certificerende instellingen mogen deze rol vervullen.
Het fundamentele verschil zit in onafhankelijkheid en accreditatie. Een adviesbureau staat aan de kant van de klant en heeft er belang bij dat de klant slaagt. Een certificerende instelling moet juist objectief en onpartijdig oordelen, zonder commercieel belang bij de uitkomst. Daarom worden certificerende instellingen geaccrediteerd door een nationale accreditatieorganisatie, in Nederland de Raad voor Accreditatie (RvA). Wij opereren als geaccrediteerde auditinstelling onder RvA-kenmerk C618, wat betekent dat onze certificaten internationaal worden erkend.
Een adviesbureau mag een organisatie begeleiden bij de implementatie van bijvoorbeeld een informatiebeveiligingsbeleid, maar het mag nooit de bijbehorende certificeringsaudit uitvoeren. Die rollen zijn bewust gescheiden om de integriteit van het certificeringssysteem te waarborgen.
Waarom doen sommige adviesbureaus zich voor als certificerende instelling?
Sommige adviesbureaus positioneren zich als “certificerende instelling” omdat er commercieel voordeel in zit: ze kunnen een volledig traject aanbieden van advies tot certificaat, zonder tussenkomst van een externe partij. Dit klinkt aantrekkelijk voor klanten die snel en goedkoop een certificaat willen behalen.
De verwarring ontstaat ook doordat termen als “certificaat”, “verklaring” en “keurmerk” in de markt losjes worden gebruikt. Een adviesbureau kan een eigen verklaring of bewijs van deelname afgeven dat op een certificaat lijkt, maar juridisch en normatief geen certificaat is. Organisaties die hier niet goed op letten, betalen voor iets dat geen enkele waarde heeft bij een aanbesteding of voor een toezichthouder.
Daarnaast speelt gebrek aan marktkennis een rol. Niet elke inkoper of bestuurder weet precies wat accreditatie inhoudt of hoe hij of zij het verschil kan herkennen. Adviesbureaus die hiervan profiteren, opereren in een grijs gebied dat schadelijk is voor de hele sector.
Welke concrete risico’s loopt een organisatie hierbij?
Een organisatie die een certificaat ontvangt van een niet-geaccrediteerde partij, loopt meerdere serieuze risico’s: het certificaat wordt niet erkend door opdrachtgevers of toezichthouders, organisaties kunnen worden uitgesloten van aanbestedingen, en in het ergste geval kan er sprake zijn van misleiding richting klanten of partners.
De meest directe schade is financieel en operationeel. De organisatie heeft geïnvesteerd in een traject dat geen geldig resultaat oplevert. Als dit aan het licht komt tijdens een aanbesteding of een controle door een toezichthouder, kan dat leiden tot uitsluiting, reputatieschade of zelfs juridische consequenties.
Daarnaast is er een beveiligingsrisico. Een onafhankelijke audit door een geaccrediteerde instelling toetst of de beveiligingsmaatregelen daadwerkelijk effectief zijn. Een adviesbureau dat zijn eigen werk beoordeelt, heeft geen prikkel om kritisch te zijn. Kwetsbaarheden blijven zo onopgemerkt, wat de digitale weerbaarheid van de organisatie ondermijnt in plaats van versterkt.
Tot slot is er het risico van valse zekerheid. Medewerkers, management en klanten vertrouwen op een certificaat als bewijs van betrouwbaarheid. Als dat certificaat niet deugt, is dat vertrouwen onterecht en potentieel schadelijk.
Hoe herken je een legitieme certificerende instelling?
Een legitieme certificerende instelling is geaccrediteerd door een erkende nationale accreditatieorganisatie, in Nederland de Raad voor Accreditatie (RvA). Je kunt dit controleren via de openbare registers op de website van de RvA. Geaccrediteerde instellingen hebben een uniek kenmerk, zoals ons RvA-kenmerk C618, dat publiek verifieerbaar is.
Let bij het beoordelen van een aanbieder op de volgende punten:
- Accreditatiebewijs: Vraag naar het RvA-accreditatiekenmerk en controleer dit op de RvA-website.
- Onafhankelijkheid: Een certificerende instelling mag niet tegelijkertijd advies verlenen aan de organisatie die zij certificeert.
- Transparantie over het proces: Een legitieme instelling legt helder uit hoe de audit verloopt, welke normen worden gehanteerd en wat de geldigheidsduur van het certificaat is.
- Erkende certificaten: Vraag of het certificaat wordt erkend door relevante opdrachtgevers, sectornormen of toezichthouders in jouw branche.
Wil je weten of een ISO 27001-certificering via een geaccrediteerde instelling voor jouw organisatie de juiste stap is? Wij denken graag met je mee.
Wat zegt de wet over de scheiding tussen advies en certificering?
De wet en internationale normen verplichten een strikte scheiding tussen advies en certificering. Dit principe heet onpartijdigheid en is verankerd in ISO/IEC 17021, de internationale norm voor certificerende instellingen. Een partij die advies geeft over de inrichting van een managementsysteem, mag datzelfde systeem niet certificeren.
In Nederland houdt de Raad voor Accreditatie toezicht op de naleving van deze regels. Certificerende instellingen die zijn geaccrediteerd, worden periodiek beoordeeld op hun onpartijdigheidsbeleid, hun procedures en de daadwerkelijke scheiding van rollen. Als een instelling deze scheiding niet kan aantonen, verliest zij haar accreditatie.
Voor organisaties betekent dit dat een adviesbureau dat stelt ook te kunnen certificeren, per definitie niet voldoet aan de internationale eisen voor onpartijdigheid. Het certificaat dat zo’n partij afgeeft, heeft geen grondslag in een geaccrediteerd systeem en wordt door erkende partijen dan ook niet als geldig beschouwd. Dit is geen grijs gebied: de regels zijn duidelijk en de handhaving is reëel.
Het kiezen van de juiste certificerende instelling is daarmee niet alleen een kwestie van kwaliteit, maar ook van juridische zekerheid. Wil je zeker weten dat je certificeringstraject voldoet aan alle eisen? Neem contact op en plan een vrijblijvend gesprek met ons team.
Veelgestelde vragen
Wat is het verschil tussen een adviesbureau en een certificerende instelling?
V: Wat is het verschil tussen een adviesbureau en een certificerende instelling? A: Een adviesbureau helpt je organisatie bij de voorbereiding op een certificering, terwijl een certificerende instelling onafhankelijk beoordeelt of je daadwerkelijk aan de norm voldoet en een officieel certificaat mag afgeven. Alleen geaccrediteerde instellingen, zoals partijen met een RvA-kenmerk, zijn bevoegd om deze beoordeling uit te voeren.
Waarom is het gevaarlijk als een adviesbureau zich voordoet als certificerende instelling?
V: Waarom is het gevaarlijk als een adviesbureau zich voordoet als certificerende instelling? A: Een adviesbureau dat zijn eigen werk beoordeelt, mist de vereiste onafhankelijkheid, waardoor het afgegeven certificaat juridisch en normatief ongeldig is en niet wordt erkend door opdrachtgevers of toezichthouders. Dit kan leiden tot uitsluiting van aanbestedingen, reputatieschade en een vals gevoel van veiligheid binnen je organisatie.
Hoe controleer ik of een certificerende instelling echt geaccrediteerd is?
V: Hoe controleer ik of een certificerende instelling echt geaccrediteerd is? A: Je kunt de accreditatiestatus van een certificerende instelling eenvoudig controleren via het openbare register op de website van de Raad voor Accreditatie (RvA), waar geaccrediteerde instellingen staan vermeld met hun unieke kenmerk. Vraag de aanbieder altijd om hun RvA-accreditatiekenmerk en verifieer dit zelf voordat je een traject start.
Wat zegt de wet over de scheiding tussen advies en certificering?
V: Wat zegt de wet over de scheiding tussen advies en certificering? A: De internationale norm ISO/IEC 17021 verplicht een strikte scheiding tussen advies en certificering op basis van het onpartijdigheidsprincipe, wat betekent dat een partij die advies geeft nooit hetzelfde systeem mag certificeren. In Nederland houdt de Raad voor Accreditatie actief toezicht op deze scheiding en kan een instelling haar accreditatie verliezen als zij deze regels overtreedt.
