Een ISO 27001-certificerende instelling die niet bij je organisatie past, herken je aan een combinatie van signalen: gebrekkig begrip van je sector, slechte communicatie, onvoldoende onafhankelijkheid en een gebrek aan diepgang tijdens de audit. Deze signalen zijn niet altijd direct zichtbaar, maar ze worden merkbaar in hoe een auditor vragen stelt, feedback geeft en met je organisatie omgaat. In de secties hieronder bespreken we de belangrijkste waarschuwingssignalen per thema, zodat je een weloverwogen keuze kunt maken. Heb je direct een vraag? Neem gerust contact op en wij helpen je verder.
Hoe merk je dat een auditor je organisatie niet goed begrijpt?
Je merkt dat een auditor je organisatie niet goed begrijpt wanneer vragen generiek blijven, de context van je bedrijfsprocessen wordt genegeerd en bevindingen niet aansluiten op de werkelijkheid van jouw werkomgeving. Een goede auditor past zijn aanpak aan op jouw organisatiestructuur, niet andersom.
Concreet zie je dit terug in de voorbereiding. Heeft de auditor zich ingelezen in je branche, je bedrijfsomvang en je specifieke risicoprofiel? Als dat niet het geval is, zullen de vragen die gesteld worden standaard en oppervlakkig aanvoelen. Je herkent het ook aan de manier waarop bevindingen worden gepresenteerd: zijn ze relevant voor jouw situatie, of lijken ze rechtstreeks uit een generieke checklist te komen?
Een auditor die je organisatie begrijpt, stelt verdiepende vragen over de manier waarop jullie informatie verwerken, welke risico’s specifiek voor jullie sector spelen en hoe jullie beheersmaatregelen in de praktijk werken. Ontbreekt die diepgang, dan is dat een duidelijk signaal dat de fit niet goed is.
Wat zijn tekenen van slechte communicatie tijdens een ISO 27001-traject?
Slechte communicatie tijdens een ISO 27001-traject herken je aan trage reacties, onduidelijke uitleg van bevindingen, wisselende aanspreekpunten en een gebrek aan transparantie over de voortgang en verwachtingen. Goede communicatie is gedurende het hele auditproces essentieel, niet alleen op het moment van de eindrapportage.
Signalen voor de audit
Nog voordat de audit begint, kunnen communicatieproblemen zichtbaar worden. Denk aan een onduidelijke planning, weinig toelichting op wat er van jou als organisatie verwacht wordt, of moeite om een eenvoudige vraag beantwoord te krijgen. Als het al lastig is om afspraken te maken, is dat een voorbode voor hoe het traject verder zal verlopen.
Signalen tijdens en na de audit
Tijdens de audit zelf is het een slecht teken als de auditor bevindingen niet helder toelicht of als je het gevoel hebt dat je niet kunt doorvragen. Na afloop is het zorgwekkend wanneer het rapport vol staat met vaktermen zonder uitleg, of wanneer onduidelijk is wat de volgende stap is. Een goede auditinstelling zorgt ervoor dat je na elke fase weet waar je staat en wat je kunt verwachten.
Wanneer is een certificerende instelling niet onafhankelijk genoeg?
Een certificerende instelling is niet onafhankelijk genoeg wanneer ze ook advies- of implementatiediensten aanbiedt voor hetzelfde managementsysteem dat ze auditeert, wanneer er persoonlijke belangen spelen, of wanneer de auditinstelling niet geaccrediteerd is door een erkende nationale accreditatie-instantie.
Onafhankelijkheid is een fundamentele vereiste voor een betrouwbare ISO 27001-certificering. Een instelling die je eerst helpt met het opzetten van je ISMS en daarna ook de audit uitvoert, heeft een belangenconflict. Dat ondermijnt de geloofwaardigheid van het certificaat, zowel richting klanten als richting toezichthouders.
Controleer altijd of een certificerende instelling geaccrediteerd is. In Nederland is de Raad voor Accreditatie (RvA) de bevoegde instantie. Accreditatie garandeert dat de instelling voldoet aan internationale eisen voor onpartijdigheid en competentie. Wij zijn als DigiTrust geaccrediteerd onder RvA C618, wat betekent dat onze onafhankelijkheid structureel geborgd is.
Wat zegt de sectorkennis van een auditor over de kwaliteit van de audit?
De sectorkennis van een auditor bepaalt in grote mate hoe relevant en diepgaand de audit is. Een auditor met kennis van jouw branche begrijpt welke risico’s specifiek voor jouw sector gelden, welke wet- en regelgeving van toepassing is en hoe informatiebeveiliging in jouw operationele context werkt.
In sectoren zoals de zorg, de overheid of de maakindustrie gelden specifieke normen en risicoprofielen. Een auditor zonder sectorkennis zal moeite hebben om te beoordelen of beheersmaatregelen daadwerkelijk passend zijn. Hij of zij zal eerder terugvallen op generieke normeisen, zonder te toetsen of die in jouw context ook effectief zijn.
Vraag een certificerende instelling dan ook expliciet naar ervaring in jouw sector. Hebben ze eerder gewerkt met organisaties zoals de jouwe? Kennen ze de relevante wet- en regelgeving? Begrijpen ze de technische omgeving, inclusief eventuele OT-systemen of cloudinfrastructuur? De antwoorden op die vragen zeggen veel over de kwaliteit die je kunt verwachten. Meer over informatiebeveiliging en hoe wij daarnaar kijken, lees je op onze website.
Hoe weet je of een andere certificerende instelling beter bij je past?
Je weet dat een andere certificerende instelling beter bij je past wanneer de huidige instelling structureel tekortschiet op begrip van je organisatie, communicatie, onafhankelijkheid of sectorkennis, en wanneer gesprekken met andere partijen direct een duidelijk verschil laten zien in aanpak en betrokkenheid.
Het switchen van auditinstelling is een serieuze stap, maar soms de juiste. Zeker als je merkt dat audits een formaliteit zijn geworden zonder toegevoegde waarde, als je het gevoel hebt dat de auditor niet echt meekijkt met je organisatie, of als de communicatie structureel teleurstelt.
Een goed startpunt is het aanvragen van een oriënterend gesprek met een andere instelling. Let daarbij op hoe ze vragen stellen, of ze doorvragen op jouw specifieke situatie en of ze transparant zijn over hun werkwijze. Vraag ook naar referenties uit jouw sector en informeer naar de accreditatiestatus. Een instelling die ISO 27001-certificering serieus neemt, zal die vragen waarderen in plaats van ontwijken.
Wil je weten of wij als DigiTrust beter bij jouw organisatie passen? Neem contact op en plan een vrijblijvend kennismakingsgesprek. We denken graag met je mee over wat een goede auditpartner voor jou zou moeten zijn.
Veelgestelde vragen
Wat zijn de belangrijkste signalen dat een certificerende instelling niet bij mijn organisatie past?
V: Wat zijn de belangrijkste signalen dat een certificerende instelling niet bij mijn organisatie past? A: Je herkent een slechte fit aan generieke vragen zonder diepgang, trage of onduidelijke communicatie, een gebrek aan sectorkennis en twijfelachtige onafhankelijkheid. Als audits aanvoelen als een formaliteit zonder toegevoegde waarde en bevindingen niet aansluiten op jouw werkelijkheid, is het tijd om een andere instelling te overwegen.
Hoe controleer ik of een certificerende instelling voldoende onafhankelijk is?
V: Hoe controleer ik of een certificerende instelling voldoende onafhankelijk is? A: Controleer altijd of de instelling geaccrediteerd is door een erkende nationale accreditatie-instantie, zoals de Raad voor Accreditatie (RvA) in Nederland, en ga na of ze geen advies- of implementatiediensten aanbieden voor hetzelfde systeem dat ze auditen, want dat leidt tot een belangenconflict dat de geloofwaardigheid van het certificaat ondermijnt.
Waarom is sectorkennis van een auditor zo belangrijk voor de kwaliteit van mijn ISO 27001-audit?
V: Waarom is sectorkennis van een auditor zo belangrijk voor de kwaliteit van mijn ISO 27001-audit? A: Een auditor met sectorkennis begrijpt welke risico’s, wet- en regelgeving en technische omgevingen specifiek voor jouw branche gelden, waardoor de audit relevant en diepgaand is. Zonder die kennis valt een auditor terug op generieke normeisen die mogelijk niet effectief zijn in jouw specifieke operationele context.
Hoe begin ik met het zoeken naar een certificerende instelling die beter bij mijn organisatie past?
V: Hoe begin ik met het zoeken naar een certificerende instelling die beter bij mijn organisatie past? A: Start met het aanvragen van een oriënterend gesprek bij een andere instelling en let op hoe ze vragen stellen, of ze doorvragen op jouw situatie en of ze transparant zijn over hun werkwijze. Vraag daarnaast naar referenties uit jouw sector en controleer de accreditatiestatus voordat je een definitieve keuze maakt.
Gerelateerde artikelen
- Wat doe je als je niet meer tevreden bent over je huidige ISO 27001 certificerende instelling?
- Kan een kleine zorgorganisatie ook terecht bij een certificerende instelling?
- Hoe gaat een auditor te werk tijdens een fase 1 audit?
- Wat is het verschil tussen een minor en een major non-conformiteit?
- Wat zijn de anti-malware vereisten in ISO 27001?
