Certificeringsaudit voor een ISO-certificaat: fase 1, fase 2 en afwijkingen

Elke geaccrediteerde certificeerder werkt volgens ISO/IEC 17021-1, de norm met eisen aan certificeerders. In Nederland controleert de nationale accreditatie-instantie (de nationale accreditatie-instantie) of hij zich daaraan houdt. Die norm geldt voor het certificeren van managementsystemen, van ISO 9001 tot ISO 14001. Wat per norm verschilt, zoals de sectoren waarvoor een certificeerder bij ISO 9001 is goedgekeurd, staat op de normpagina's.

Drie regels merk je al voor de audit begint:

De eerste cyclus van drie jaar ziet er bij elke norm zo uit:

Hoe je je op de dagen zelf voorbereidt, staat bij audit voorbereiden.

In fase 1 bekijkt de auditor of je klaar bent voor de echte toets. Hij kijkt naar:

De auditor legt vast wat nog niet goed is. Staan die punten in fase 2 nog open, dan kunnen ze een afwijking worden. Ligt er te veel open, dan kan de certificeerder fase 2 uitstellen. Hij kan fase 1 ook helemaal of deels overdoen. Hoeveel tijd er tussen de fasen zit, hangt af van wat jij moet oplossen. Na fase 1 hoor je wat de auditor heeft besloten.

In fase 2 komt de auditor op locatie kijken of je systeem in de praktijk werkt. Hij loopt mee op de werkvloer en praat met medewerkers. Hij vraagt bijvoorbeeld aan je monteur of wijkverpleegkundige hoe die een klacht doorgeeft. Weet die dat niet, dan helpt geen handboek. Verder toetst hij of je je doelen meet en bespreekt. Hij kijkt ook of je je aan wetten en klantafspraken houdt en hoe je je processen beheerst. Tot slot kijkt hij of je interne audit en directiebeoordeling zijn afgerond en iets opleveren.

Een deel van de audit kan op afstand, via video. Volgens Global ACI-TECH-3-003 (was IAF MD 4) beoordeelt de certificeerder eerst de risico's daarvan. Jullie spreken het samen af voordat het gebeurt. Hoeveel dagen de auditor komt, staat in de offerte. Hoe dat aantal ontstaat, staat bij de kosten van certificeren.

Wat niet aan de norm voldoet, schrijft de auditor op als afwijking. Hij voegt het bewijs erbij. Hij bespreekt elke afwijking met je. Ben je het oneens, dan komt dat verschil in het verslag. ISO/IEC 17021-1 kent twee soorten:

Een verbeterpunt of observatie in je rapport is geen afwijking. Je bent er niets mee verplicht. Het is wel vaak slim om het op te pakken.

Bij elke afwijking zoek je de oorzaak. Daarna herstel je de fout. Dat heet een correctie. Je neemt ook een maatregel zodat het niet terugkomt. Dat heet een corrigerende maatregel. Je doet dat binnen een termijn die de certificeerder stelt. Een major moet aantoonbaar opgelost zijn voordat je het certificaat krijgt. Bij een minor is een goedgekeurd plan genoeg. Kan de certificeerder de oplossing van een major niet binnen 6 maanden na de laatste dag van fase 2 vaststellen? Dan moet hij fase 2 opnieuw doen. Die betaal je opnieuw.

Op internet zie je vaak vaste termijnen, zoals "90 dagen". Die staan niet in ISO/IEC 17021-1. De termijn staat in het reglement van je certificeerder. Dat is het document met zijn eigen regels. Vraag ernaar voordat je tekent.

De auditor geeft een advies. Het besluit neemt iemand anders binnen de certificeerder. Die persoon was niet bij de audit. Hij of zij controleert eerst of het verslag compleet is. Ook controleert die persoon of elke major is opgelost. Verder controleert die of er voor elke minor een plan ligt. Vanaf dat besluit loopt je eerste periode van drie jaar.

Na het besluit komt de auditor minstens één keer per kalenderjaar terug voor een controle-audit. Dat geldt niet in het jaar van de hercertificering. De eerste controle-audit valt binnen 12 maanden na het besluit. Hij kijkt dan in elk geval naar je interne audits en directiebeoordeling. Ook kijkt hij naar je klachten en wat je met eerdere afwijkingen hebt gedaan. Verder kijkt hij of je je doelen haalt en wat er bij je is veranderd. Krijg je bij een controle-audit een major? Dan geldt de termijn van je certificeerder. Los je hem niet op tijd op, dan kan hij je certificaat schorsen.

Je rondt de hercertificering af vóór je certificaat verloopt. Wat er gebeurt als dat net niet lukt, en hoe je certificaat binnen 6 maanden nog te herstellen is, staat bij hercertificering.

De hercertificering is ook een logisch moment om certificeerders te vergelijken. Je kunt dan overstappen zonder opnieuw te beginnen.

Een certificeerder schorst je certificaat als je niet meer aan de eisen voldoet. Dat gebeurt ook als je een controle-audit of hercertificering niet op tijd laat doen. Soms vraag je er zelf om. Tijdens een schorsing is je certificaat tijdelijk niet geldig. ISO/IEC 17021-1 noemt in een toelichting dat een schorsing meestal niet langer duurt dan 6 maanden. De precieze termijn staat in het reglement. Los je het probleem op, dan herstelt de certificeerder je certificaat. Lukt dat niet, dan trekt hij het in. Of hij haalt het werk of de vestiging waar het misging van je certificaat af.

Bij een klacht over jouw bedrijf, na een wijziging bij jou of na een schorsing mag de certificeerder kort van tevoren komen. Hij mag ook onaangekondigd komen. Onder welke voorwaarden dat gebeurt, moet hij je vooraf laten weten. Dat staat meestal in zijn reglement. Omdat je dan geen bezwaar kunt maken tegen wie er komt, moet hij extra zorgvuldig kiezen welke auditors hij stuurt.

Vind je een besluit of een major onterecht, dan kun je bezwaar maken bij de certificeerder. Heb je een klacht over hoe hij werkt, dan dien je een klacht in. Voor beide geldt volgens ISO/IEC 17021-1:

Kom je er met de certificeerder niet uit, dan kun je een melding doen bij de nationale accreditatie-instantie. De nationale accreditatie-instantie ziet toe op de certificeerder.

De regels voor de audit zijn bij elke geaccrediteerde certificeerder gelijk. De certificeerders zelf verschillen wel. Ze verschillen in prijs, in kennis van jouw sector en in hun reglement. Het reglement bepaalt bijvoorbeeld de termijn voor afwijkingen en de voorwaarden voor een onaangekondigde audit. Hoe het aantal auditdagen wordt berekend en wat een dag kost, staat bij de kosten van certificeren.

Bij CertificeerWijzer vraag je met één aanvraag offertes op. Die gaan naar certificeerders die jouw norm voor jouw sector mogen doen. Vraag in elke offerte naar de berekening van de auditdagen. Vraag ook naar de termijn voor afwijkingen. Dan weet je die voordat je tekent.