ISO-certificering

Wat is ISO-certificering?

ISO-certificering is een formele bevestiging door een onafhankelijke certificerende instelling dat het managementsysteem van een organisatie voldoet aan de eisen van een ISO-norm. Het gaat om aantoonbaar beheersen en verbeteren van processen, risico’s en afspraken. Certificering helpt vertrouwen richting klanten en ketenpartners te vergroten en kan eisen uit aanbestedingen ondersteunen. De certificerende instelling beoordeelt periodiek of de organisatie nog voldoet.

ISO-certificering gaat niet over perfect zijn, maar over aantoonbaar werken aan verbetering. Een auditor wil zien dat u weet waar uw risico's liggen, dat u processen hebt ingericht om die te beheersen en dat u leert van fouten.

Welke ISO-normen zijn er en welke past bij u?

Er zijn duizenden ISO-normen, maar voor de meeste Nederlandse MKB-bedrijven zijn er vijf die ertoe doen:

Welke norm u kiest, hangt af van drie dingen: wat uw klanten vragen, in welke branche u werkt en welke risico's het grootst zijn. ISO 9001 is het breedst toepasbaar. IT-bedrijven en organisaties die persoonsgegevens verwerken, combineren dat vaak met ISO 27001. Twijfelt u? De ISO-selector laat zien welke normen en wetten voor uw organisatie van belang zijn.

Het certificeringstraject in zes stappen

Het traject is voor elke certificeerbare norm vergelijkbaar.

1. Norm kiezen en scope bepalen. Bepaal welke norm u wilt halen en voor welk deel van de organisatie. Certificeert u het hele bedrijf of één afdeling? Hoe smaller de scope, hoe sneller het traject.
2. Nulmeting (gap-analyse). Breng in kaart wat al goed gaat en waar de gaten zitten. U begint zelden bij nul, en een goede nulmeting laat zien waar u uw tijd in moet steken.
3. Processen verbeteren en vastleggen. Pak de gaten uit de nulmeting aan, met heldere, werkbare afspraken die medewerkers echt volgen. Een kwaliteitshandboek hoeft niet dik te zijn.
4. Interne audit. Elke certificeerbare managementsysteemnorm vraagt om een interne audit. Het is uw kans om zwakke plekken te vinden en te herstellen vóór de externe audit. Lees hoe u een interne audit aanpakt.
5. Externe audit (certificeringsaudit). Een auditor van een certificerende instelling toetst uw managementsysteem in twee fasen: eerst de documentatie (fase 1), daarna de praktijk (fase 2).
6. Certificaat en onderhoud. Na een geslaagde audit ontvangt u het certificaat, drie jaar geldig. Elk jaar volgt een surveillance-audit en na drie jaar een hercertificering.

Waar bestaan de kosten uit?

De kosten bestaan uit de audits van de certificerende instelling, uw eigen uren en de manier waarop u aan de documenten komt. Dat laatste kunt u zelf doen of uitbesteden; een adviseur is een keuze, geen verplichting.

De bedragen voor de audits verschillen per norm en per organisatiegrootte. Ze staan op de normpagina's, bijvoorbeeld voor ISO 9001 en ISO 27001. In de kostengids voor ISO 9001 leest u hoe de kosten zijn opgebouwd.

Wat vaak wordt onderschat

Het certificaat zelf is niet het doel; het rendement zit in het traject ernaartoe. Wie certificering benadert als een afvinkoefening, haalt het certificaat maar merkt weinig verbetering. Wie het traject gebruikt om écht naar de eigen processen te kijken, vindt inefficiënties en risico's die al jaren meeliepen.

Er bestaat ook een hardnekkig misverstand over documentatie. U hoeft geen ordners vol procedures te schrijven. Normen met de gemeenschappelijke structuur, zoals ISO 9001:2015 en later, spreken van "gedocumenteerde informatie". Dat mag een korte werkinstructie, een stroomschema of een registratie zijn. Hoe pragmatischer, hoe beter.

Succesfactoren voor de audit

1. Betrokkenheid van de directie. Als de directie het niet serieus neemt, doet niemand dat. De directiebeoordeling is niet voor niets een verplicht onderdeel.
2. Klein beginnen. Probeer niet alles tegelijk. Begin met de norm die het meest oplevert en bouw van daaruit verder.
3. Medewerkers betrekken. Mensen die meedenken over verbeteringen, voelen zich eigenaar. Zo leeft het systeem in plaats van een papieren tijger te zijn.
4. Praktische documentatie. Schrijf alleen op wat nodig is. Een handboek dat niemand leest, heeft geen waarde.
5. Continue verbetering als gewoonte. Plan vaste momenten om te evalueren en bij te sturen, volgens de PDCA-cyclus.

ISO-certificering en wetgeving

ISO-normen en wetgeving groeien naar elkaar toe. Door slim te combineren, voorkomt u dubbel werk: één managementsysteem kan meerdere normen en wettelijke eisen afdekken.

• Cyberbeveiligingswet (NIS2): organisaties in essentiële en belangrijke sectoren moeten aantoonbaar aan informatiebeveiliging doen. Een ISMS volgens ISO 27001 helpt om aan die zorgplicht te voldoen.
• AVG: ISO 27001 dekt een groot deel van de technische en organisatorische maatregelen die de AVG vraagt.
• ISO 9001:2026: de nieuwe versie van ISO 9001 neemt klimaatverandering op als aandachtspunt. Lees meer over de veranderingen in ISO 9001:2026.

Veelgemaakte fouten

1. Te veel documentatie schrijven. Auditors willen bewijs dat uw systeem werkt, geen stapel papier.
2. Het als eenmalig project zien. Certificering is een doorlopend proces. Zonder onderhoud loopt u bij de eerste surveillance-audit vast.
3. Medewerkers niet betrekken. Als alleen de kwaliteitsmanager het systeem kent, leeft het niet op de werkvloer.
4. De verkeerde norm kiezen. Begin bij wat uw klanten vragen en wat uw risico's zijn, niet bij wat het goedkoopst is.
5. Te laat beginnen met de interne audit. Doe die ruim vóór de externe audit, zodat u tijd hebt om verbeterpunten op te pakken.

Checklist: zo begint u

• Bepaal welke ISO-norm het meest oplevert voor uw organisatie
• Voer een nulmeting uit om uw huidige situatie in kaart te brengen
• Stel een projectteam samen met een duidelijke trekker
• Plan realistisch en stem de planning af met uw certificerende instelling
• Schrijf alleen documentatie die medewerkers ook echt gebruiken
• Voer de interne audit ruim vóór de externe audit uit
• Kies een certificerende instelling die door de Raad voor Accreditatie (RvA) is geaccrediteerd

Afbakening

ISO-certificering draait om het inrichten en aantonen van een managementsysteem en de toetsing daarop. Dit is iets anders dan juridische naleving (zoals privacywetgeving) of technische beveiligingsmaatregelen; die hebben een eigen invalshoek en pagina’s op deze site.