Een rode vlag bij een certificerende instelling is een antwoord dat te snel zekerheid belooft, accreditatie niet kan aantonen of geen ruimte laat voor kritische vragen. Wie een ISO 27001-certificering of vergelijkbaar keurmerk nastreeft, verdient een auditpartner die transparant, deskundig en onafhankelijk opereert. Twijfel je over een specifieke instelling? Neem gerust contact op en wij helpen je verder. In dit artikel behandelen we de meest gestelde vragen over het herkennen van onbetrouwbare certificerende instellingen.
Welke antwoorden verraden een onbetrouwbare certificerende instelling?
Een onbetrouwbare certificerende instelling verraadt zichzelf door vaag te blijven over haar werkwijze, geen heldere uitleg te geven over het auditproces en te vermijden concrete vragen te beantwoorden. Wie geen duidelijk antwoord geeft op vragen over accreditatie, auditorachtergrond of de inhoud van de audit, is een rode vlag als certificerende instelling.
Concreet zijn dit veelvoorkomende waarschuwingssignalen:
- Vaagheid over de auditinhoud: een instelling die niet uitlegt wat er precies wordt getoetst, werkt waarschijnlijk met een oppervlakkige checklist.
- Geen inzicht in auditorprofielen: als je niet te weten kunt komen wie de audit uitvoert en welke achtergrond die persoon heeft, is dat zorgelijk.
- Ontwijkende antwoorden over klachten of bevindingen: een betrouwbare instelling staat open voor vragen over hoe zij omgaat met tekortkomingen en bezwaren.
- Geen transparantie over kosten en planning: onduidelijkheid over tarieven of doorlooptijden wijst op een gebrek aan professionele structuur.
Een goede auditinstelling beantwoordt al deze vragen zonder aarzeling. Transparantie is geen gunst, maar een basisvereiste.
Hoe herken je een certificerende instelling die te snel belooft?
Een certificerende instelling die te snel belooft, is herkenbaar aan uitspraken als “u bent binnen drie maanden gecertificeerd” of “wij garanderen dat u slaagt” nog voordat er enige intake of beoordeling heeft plaatsgevonden. Zulke beloften zijn een duidelijk waarschuwingssignaal, want een serieuze audit vereist voorbereiding en onafhankelijke beoordeling.
Certificering is geen product dat je koopt, maar een beoordeling die je verdient. Een instelling die het resultaat al vastlegt voordat de audit begint, is per definitie niet onafhankelijk. Dat ondermijnt de waarde van het certificaat volledig, zowel intern als in de ogen van klanten, aanbestedende partijen en toezichthouders.
Let ook op instellingen die de voorbereiding en de audit combineren in één pakket zonder onderscheid te maken tussen advies en beoordeling. Dat zijn twee gescheiden rollen. Een instelling die eerst adviseert hoe je systeem ingericht moet worden en vervolgens zelf de audit uitvoert, heeft een belangenconflict dat de onafhankelijkheid aantast.
Wat moet een certificerende instelling kunnen vertellen over haar accreditatie?
Een serieuze certificerende instelling moet direct en concreet kunnen vertellen bij welke accreditatieorganisatie zij geaccrediteerd is, voor welke normen die accreditatie geldt en wat het accreditatienummer is waarmee je dit zelf kunt verifiëren. Kan een instelling dit niet helder beantwoorden, dan is dat een ernstige rode vlag.
In Nederland is de Raad voor Accreditatie (RvA) de aangewezen instantie die certificerende instellingen beoordeelt en accrediteert. Een accreditatienummer, zoals RvA C618, is openbaar verifieerbaar via de website van de RvA. Zo kun je als organisatie zelf controleren of een instelling daadwerkelijk bevoegd is om bepaalde certificeringen uit te geven.
Vraag ook voor welke specifieke normen de accreditatie geldt. Een instelling kan geaccrediteerd zijn voor ISO 27001, maar niet voor NEN 7510 of de BIO. Accreditatie is normspecifiek, niet generiek. Een instelling die dit onderscheid niet maakt of niet kan uitleggen, geeft blijk van onvoldoende transparantie.
Welke vragen kun je stellen om een certificerende instelling te toetsen?
Om een certificerende instelling te toetsen, stel je gerichte vragen over accreditatie, auditorachtergrond, werkwijze en onafhankelijkheid. De antwoorden onthullen snel of een instelling professioneel en betrouwbaar is of juist niet. Een sterke instelling verwelkomt zulke vragen en beantwoordt ze zonder omwegen.
Gebruik de volgende vragen als toetssteen bij het kiezen van een certificerende instelling:
- Bij welke accreditatieorganisatie bent u geaccrediteerd en wat is uw accreditatienummer?
- Voor welke normen geldt uw accreditatie specifiek?
- Wie voert de audit bij ons uit en wat is diens achtergrond en sectorkennis?
- Hoe gaat u om met bevindingen en non-conformiteiten tijdens de audit?
- Wat is uw werkwijze als wij het niet eens zijn met een auditbevinding?
- Kunt u referenties geven van vergelijkbare organisaties die u heeft gecertificeerd?
- Hoe waarborgt u de scheiding tussen advies en audit?
Een instelling die op meerdere van deze vragen vaag of ontwijkend antwoordt, verdient geen vertrouwen als auditpartner.
Wat is het verschil tussen een gecertificeerde en een geaccrediteerde instelling?
Het verschil tussen een gecertificeerde en een geaccrediteerde instelling is fundamenteel: een gecertificeerde instelling heeft zelf een certificaat behaald voor een bepaalde norm, terwijl een geaccrediteerde instelling officieel erkend is om anderen te certificeren. Alleen geaccrediteerde instellingen mogen certificaten afgeven die internationaal en juridisch geldig zijn.
Dit onderscheid is cruciaal bij het beoordelen van een auditinstelling. Een organisatie die zegt “gecertificeerd” te zijn voor ISO 27001 heeft aangetoond dat haar eigen managementsysteem voldoet aan de norm. Maar dat betekent niet dat zij bevoegd is om andere organisaties te certificeren. Daarvoor is accreditatie door een nationale accreditatieorganisatie zoals de RvA vereist.
Een geaccrediteerde instelling wordt zelf periodiek beoordeeld op haar werkwijze, onafhankelijkheid en vakbekwaamheid. Dat biedt de organisatie die gecertificeerd wil worden een extra laag zekerheid: niet alleen de norm is geborgd, maar ook de kwaliteit van de audit zelf staat onder toezicht. Voor een norm als informatiebeveiliging is dat geen luxe, maar een noodzaak.
Kies daarom altijd voor een instelling met aantoonbare accreditatie voor de norm waarvoor je gecertificeerd wilt worden. Vraag het accreditatienummer op en verifieer het zelf. Dat is de meest directe manier om te voorkomen dat je investeert in een certificaat zonder echte waarde.
Het kiezen van de juiste certificerende instelling is een beslissing die directe gevolgen heeft voor de geloofwaardigheid en waarde van je certificaat. Rode vlaggen zoals vage beloften, ontbrekende accreditatie of een gebrek aan transparantie zijn signalen die je serieus moet nemen. Wil je zeker weten dat je met een betrouwbare, geaccrediteerde auditpartner werkt? Neem contact op en wij vertellen je graag hoe wij werken en wat je van ons kunt verwachten.
Veelgestelde vragen
Wat maakt een certificerende instelling betrouwbaar?
Een betrouwbare certificerende instelling is transparant over haar accreditatie, werkwijze en auditorachtergrond, en beantwoordt kritische vragen zonder aarzeling. Ze maakt een duidelijk onderscheid tussen advies en beoordeling, zodat haar onafhankelijkheid gewaarborgd blijft en het afgegeven certificaat echte waarde heeft voor klanten en toezichthouders.
Hoe controleer ik of een certificerende instelling echt geaccrediteerd is?
Vraag het accreditatienummer op bij de instelling en verifieer dit zelf via de website van de Raad voor Accreditatie (RvA). Controleer daarbij ook voor welke specifieke normen de accreditatie geldt, want accreditatie is normspecifiek en geeft geen algemene bevoegdheid om elk type certificaat af te geven.
Waarom is het gevaarlijk als een instelling zowel adviseert als audits uitvoert?
Wanneer één instelling zowel adviseert over de inrichting van je systeem als de audit uitvoert, ontstaat er een belangenconflict dat de onafhankelijkheid van de beoordeling ondermijnt. Een onafhankelijke audit vereist dat de beoordelende partij geen belang heeft bij de uitkomst, want alleen dan heeft het certificaat geloofwaardige waarde.
Wanneer moet ik twijfelen aan de waarde van een certificaat dat ik al heb behaald?
Twijfel is op zijn plaats als de instelling die je certificeerde niet geaccrediteerd blijkt te zijn, onduidelijk was over haar werkwijze of het resultaat leek vast te staan nog vóór de audit begon. Een certificaat van een niet-geaccrediteerde instelling heeft geen internationale of juridische geldigheid en biedt daardoor weinig bescherming bij aanbestedingen of toezicht.
Gerelateerde artikelen
- Wat is het verschil in aanpak tussen een RvA-geaccrediteerde en niet-geaccrediteerde auditor?
- Wat zijn signalen dat een ISO 27001 certificerende instelling niet bij je past?
- Waar moet een directiebeoordeling bij een NEN 7510 certificering aan voldoen?
- Hoe kwetsbaar is een organisatie voor een ransomware aanval?
- Wat doe je als je het niet eens bent met de bevinding van een auditor?
