Goede redenen om over te stappen naar een andere certificerende instelling zijn er zeker. De meest voorkomende zijn een gebrek aan diepgang in de audits, slechte communicatie, wisselende auditors die de organisatiecontext niet kennen, of het gevoel dat audits een formaliteit zijn geworden in plaats van een waardevolle toets. Als je je herkent in een of meer van deze signalen, is het de moeite waard om te verkennen wat een andere auditinstelling jou te bieden heeft. Neem gerust contact op als je wilt sparren over jouw situatie. In dit artikel beantwoorden we de meest gestelde vragen over het wisselen van certificeringspartner.
Wanneer is overstappen naar een andere auditinstelling zinvol?
Overstappen naar een andere auditinstelling is zinvol wanneer de huidige samenwerking structureel tekortschiet in kwaliteit, communicatie of toegevoegde waarde. Dat kan betekenen dat audits oppervlakkig aanvoelen, dat de auditor de sector niet begrijpt, of dat je jaar na jaar dezelfde bevindingen ziet zonder dat er echt iets verandert. Het is ook zinvol als de kosten niet in verhouding staan tot wat je terugkrijgt.
Veel organisaties blijven uit gewoonte bij dezelfde instelling, ook als de tevredenheid al jaren matig is. Toch is een certificeringspartner een strategische keuze. Een goede auditinstelling denkt mee, kent jouw branche en levert audits die de organisatie daadwerkelijk sterker maken. Wanneer dat niet meer het geval is, is overstappen niet alleen begrijpelijk, maar ook verstandig.
Signalen die wijzen op een zinvolle overstap zijn onder andere:
- Wisselende auditors die elke keer opnieuw moeten worden bijgepraat
- Audits die aanvoelen als een afvinklijst zonder diepgang
- Gebrekkige communicatie voor, tijdens of na de audit
- Bevindingen die niet aansluiten op de werkelijke risico’s van jouw organisatie
- Het gevoel dat de instelling niet meedenkt over verbetering
Wat zijn de meest genoemde klachten over certificerende instellingen?
De meest genoemde klachten over certificerende instellingen zijn gebrek aan continuïteit in de auditorrelatie, onvoldoende sectorkennis, beperkte communicatie en het gevoel dat audits slechts een formaliteit zijn. Organisaties verwachten een partner die de context begrijpt en waarde toevoegt, maar ervaren in de praktijk soms een afstandelijke of procedurele aanpak.
Concrete klachten die regelmatig terugkomen zijn:
- Geen vaste auditor: elke auditcyclus een nieuw gezicht dat de organisatie opnieuw moet leren kennen
- Checklistdenken: audits die de letter van de norm volgen maar de geest ervan missen
- Slechte bereikbaarheid: moeizame communicatie bij vragen of planningskwesties
- Weinig terugkoppeling: rapporten die weinig inzicht geven in wat er echt goed of minder goed gaat
- Geen meerwaarde: het certificaat wordt behaald, maar de organisatie wordt er niet beter van
Deze klachten zijn niet uniek voor een bepaalde sector. Ze spelen bij ICT-bedrijven, zorginstellingen en overheden in gelijke mate. Het goede nieuws is dat een overstap naar een instelling die wél contextgericht werkt, een merkbaar verschil maakt in de kwaliteit en de beleving van het auditproces.
Hoe verloopt het proces van overstappen naar een nieuwe certificeringsinstelling?
Overstappen naar een nieuwe certificeringsinstelling verloopt doorgaans in een paar overzichtelijke stappen en is minder ingrijpend dan veel organisaties denken. De nieuwe instelling neemt het bestaande certificaat over, beoordeelt de status van het managementsysteem en plant de volgende audit in op basis van de lopende certificeringscyclus.
In de praktijk ziet het proces er zo uit:
- Opzeggen bij de huidige instelling: controleer de opzegtermijn in je contract en zeg tijdig op.
- Nieuwe instelling selecteren: vraag offertes aan, voer kennismakingsgesprekken en vergelijk de aanpak.
- Overdracht van documentatie: de nieuwe instelling ontvangt relevante auditdocumentatie, zoals het meest recente auditrapport en de certificaatstatus.
- Intakegesprek of transferaudit: afhankelijk van de fase in de certificeringscyclus voert de nieuwe instelling een transferaudit of een aansluitende surveillance-audit uit.
- Continuering van het certificaat: bij een positieve beoordeling loopt het certificaat gewoon door.
De overdracht is in de meeste gevallen soepel te regelen, zeker als je tijdig begint en de nieuwe instelling ervaring heeft met transfertrajecten. Bij het certificeringsproces van DigiTrust begeleiden wij organisaties actief door deze stap, zodat er geen gaten vallen in de certificeringsstatus.
Verlies je je certificaat als je wisselt van auditinstelling?
Nee, je verliest je certificaat niet als je wisselt van auditinstelling. Een bestaand ISO 27001-certificaat blijft geldig zolang het managementsysteem aan de norm voldoet. De nieuwe instelling neemt de lopende certificeringscyclus over en borgt de continuïteit via een transferaudit of een reguliere surveillance-audit.
Wel is het belangrijk om de overstap goed te plannen. Als je wisselt vlak voor een hercertificeringsaudit, kan de nieuwe instelling die audit uitvoeren. Wissel je halverwege een driejarige cyclus, dan sluit de nieuwe instelling aan op de bestaande planning. Het certificaat zelf wordt in beide gevallen niet ingetrokken, mits het managementsysteem aantoonbaar op orde is.
Een goede nieuwe auditinstelling maakt dit proces transparant en zorgt ervoor dat je altijd weet waar je staat in de cyclus en wat er van je verwacht wordt.
Waar moet je op letten bij het kiezen van een nieuwe auditinstelling?
Bij het kiezen van een nieuwe auditinstelling moet je letten op accreditatie, sectorkennis, continuïteit van de auditorrelatie en de manier waarop de instelling communiceert en rapporteert. Een geaccrediteerde instelling geeft zekerheid over de kwaliteit en onafhankelijkheid van de audits.
Concrete aandachtspunten bij de keuze zijn:
- Accreditatie: controleer of de instelling geaccrediteerd is door een erkende accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland.
- Sectorkennis: heeft de instelling auditors met ervaring in jouw branche, of wordt er een generalist ingezet?
- Vaste auditor: werkt de instelling met een vaste contactpersoon die de organisatie door de jaren heen leert kennen?
- Aanpak en rapportage: gaat de instelling verder dan een checklist en levert zij inzichtelijke rapporten die ook de sterke punten benoemen?
- Klanttevredenheid: vraag naar referenties of klantervaringen om een realistisch beeld te krijgen.
- Communicatie: hoe bereikbaar is de instelling en hoe snel reageert zij op vragen?
DigiTrust is volledig geaccrediteerd (RvA C618) en werkt met auditors die zowel technische IT- en OT-kennis hebben als sectorspecifieke expertise op het gebied van informatiebeveiliging. Met een gemiddelde klanttevredenheid van 8,9+ en een waarderende auditaanpak is onze focus altijd gericht op echte meerwaarde.
Wat is het beste moment om over te stappen?
Het beste moment om over te stappen naar een andere certificeringsinstelling is aan het einde van een certificeringscyclus, vlak voor de hercertificeringsaudit. Op dat moment sluit de nieuwe instelling naadloos aan op het begin van een nieuwe driejarige periode, wat de overdracht het eenvoudigst maakt.
Toch is een overstap ook halverwege een cyclus goed mogelijk. Als de samenwerking met de huidige instelling structureel niet werkt, is het beter om eerder te wisselen dan te wachten tot het einde van de cyclus. Uitstel kost tijd, energie en soms ook kwaliteit in het auditproces.
Praktische tips voor de timing:
- Begin de oriëntatie op een nieuwe instelling minimaal zes maanden voor het einde van je huidige contract.
- Controleer de opzegtermijn in je overeenkomst, zodat je niet onbedoeld automatisch verlengt.
- Plan het eerste gesprek met de nieuwe instelling ruim voor de volgende geplande audit.
Een goede auditpartner helpt je bij het bepalen van het juiste moment en neemt de logistiek van de overdracht zoveel mogelijk uit handen. Neem contact op met DigiTrust om te bespreken wanneer en hoe een overstap voor jouw organisatie het beste werkt.
Veelgestelde vragen
Wanneer is het zinvol om over te stappen naar een andere certificerende instelling?
V: Wanneer is het zinvol om over te stappen naar een andere certificerende instelling? A: Overstappen is zinvol wanneer audits oppervlakkig aanvoelen, de auditor jouw sector niet begrijpt, of de kosten niet opwegen tegen de toegevoegde waarde. Een goede certificeringspartner denkt actief mee en maakt jouw organisatie aantoonbaar sterker, en als dat structureel ontbreekt, is wisselen de verstandige keuze.
Hoe verloopt het overstapproces naar een nieuwe auditinstelling in de praktijk?
V: Hoe verloopt het overstapproces naar een nieuwe auditinstelling in de praktijk? A: Het proces bestaat uit het opzeggen bij de huidige instelling, het selecteren van een nieuwe partner, het overdragen van auditdocumentatie en het uitvoeren van een transfer- of surveillance-audit door de nieuwe instelling. Bij een goede voorbereiding is de overstap soepel te regelen zonder onderbrekingen in je certificeringsstatus.
Wat moet ik controleren bij het kiezen van een nieuwe certificerende instelling?
V: Wat moet ik controleren bij het kiezen van een nieuwe certificerende instelling? A: Let bij je keuze op een geldige accreditatie, aantoonbare sectorkennis, de beschikbaarheid van een vaste auditor en de kwaliteit van communicatie en rapportage. Vraag daarnaast naar referenties of klantervaringen, zodat je een realistisch beeld krijgt van hoe de instelling in de praktijk werkt.
Waarom verliezen organisaties hun certificaat niet bij een wissel van auditinstelling?
V: Waarom verliezen organisaties hun certificaat niet bij een wissel van auditinstelling? A: Een ISO 27001-certificaat blijft geldig zolang het managementsysteem aan de norm voldoet, ongeacht welke instelling de audits uitvoert. De nieuwe instelling sluit aan op de lopende certificeringscyclus via een transferaudit of reguliere surveillance-audit, waardoor de continuïteit van het certificaat gewaarborgd blijft.
Gerelateerde artikelen
- Welke veelgemaakte fouten in een verklaring van toepasselijkheid merkt de auditor direct op?
- Waarom is het belangrijk dat een certificerende instelling niet ook advies geeft?
- Hoe voorkom je dat een certificaat vervalt tijdens een heraudit?
- Is ISO 27001 geschikt voor kleine bedrijven?
- Hoe rapporteer je over informatiebeveiliging prestaties?
