Hercertificering van een ISO-certificaat

Een hercertificering is de audit in het derde jaar die je certificaat met drie jaar verlengt. Elke geaccrediteerde certificeerder werkt volgens ISO/IEC 17021-1, de norm met eisen aan certificeerders. Die norm legt de cyclus vast. Eerst komt de eerste audit in twee fasen. Daarna volgt in het eerste en tweede jaar een controle-audit. In het derde jaar volgt vóór de vervaldatum de hercertificering. Hoe de eerste audit en de controle-audits verlopen, staat bij de certificeringsaudit.

De certificeerder plant de hercertificering al bij het begin. Hij moet een auditprogramma maken voor de hele cyclus van drie jaar, en daar hoort de hercertificering bij. Een schema voor een bepaalde sector kan een andere cyclus voorschrijven. Bij de gangbare ISO-normen is het drie jaar.

Bij een hercertificering kijkt de auditor of je systeem de hele periode van drie jaar heeft gewerkt. Een controle-audit kijkt naar een deel. De hercertificering kijkt naar het geheel. De audit vindt plaats op locatie. ISO/IEC 17021-1 noemt drie dingen die hij toetst:

Vooraf leest de certificeerder de rapporten van je controle-audits terug. Is er bij jou veel veranderd? Dan kan hij eerst een fase 1 doen, net als bij een eerste audit. Denk aan een nieuwe vestiging, een nieuw soort werk of nieuwe wetten voor je sector. Zo'n verandering kan ook midden in de cyclus een extra audit opleveren.

Over het nieuwe certificaat beslist iemand die de audit niet heeft gedaan. Die persoon kijkt naar de uitkomst van de hercertificering. Hij kijkt ook naar hoe je systeem de hele periode presteerde.

Alles moet klaar zijn vóór de vervaldatum op je certificaat. Dat geldt voor de audit, het oplossen van afwijkingen en het besluit. ISO/IEC 17021-1 geeft daarvoor drie regels:

Hoe lang je krijgt voor een afwijking, staat in het reglement van je certificeerder. Dat is het document met zijn eigen regels. Plan de audit daarom ruim vóór de vervaldatum. Dan blijft er tijd over om een major op te lossen en om het besluit te nemen. Is de hercertificering bijna aan de beurt? Vraag je certificeerder dan nu om de datum.

Bij ISO 9001, ISO 14001 en ISO 45001 kost een hercertificering ongeveer twee derde van een nieuwe eerste audit. Dat staat in Global ACI-TECH-3-004 (was IAF MD 5). De certificeerder rekent met je huidige omvang. Hij neemt dus geen twee derde van wat je eerste audit drie jaar geleden kostte. Ook bij een klein bedrijf is een hercertificering zelden korter dan één dag.

Een auditdag kost €1.000 tot €1.800 exclusief btw. Neem een ISO 9001-bedrijf met 10 fte en gemiddeld risico. Een eerste audit is daar 2 dagen. De hercertificering is dan ongeveer 1,3 dag, dus €1.300 tot €2.340 exclusief btw.

Bij 30 fte is een eerste audit 4 dagen. De hercertificering is dan ongeveer 2,7 dagen, dus €2.700 tot €4.860 exclusief btw. Is dat bedrijf gegroeid naar 50 fte? Dan is een eerste audit 5 dagen, en wordt de hercertificering ongeveer 3,3 dagen.

Geef daarom wijzigingen op tijd door, zoals meer mensen of een nieuwe vestiging. De certificeerder moet bij elke audit je gegevens bijwerken en de audittijd opnieuw bekijken. Heb je meerdere vestigingen? Dan bezoekt de auditor bij de hercertificering weer een volle steekproef. Werkte je systeem de hele cyclus goed, dan mag die steekproef kleiner zijn. Dat staat in Global ACI-TECH-3-001 (was IAF MD 1). Voor ISO 27001 en NEN 7510 staan de rekenregels in ISO/IEC 27006-1. Hoe de dagen per norm ontstaan, staat bij de kosten van certificeren.

Mis je de vervaldatum, dan heb je vanaf die dag geen geldig certificaat. Wat je dan nog kunt doen, hangt af van hoe lang het geleden is:

Een klant of aanbesteder kan zien dat je een tijd zonder certificaat zat. Hij ziet het als hij je certificaat opzoekt bij de certificeerder of in IAF CertSearch. Niet elk certificaat staat daar. Een verlopen certificaat kun je ook niet overzetten naar een andere certificeerder. Herstel het eerst, of begin bij de nieuwe certificeerder opnieuw. Wat dat betekent, staat bij overstappen.

Valt je hercertificering in de periode van een normovergang, dan kun je de overgang daarin meenemen. Bij ISO 9001:2026 mag de overgang tijdens een gewone controle-audit of hercertificering. Dat staat in Global ACI-TECH-3-TR 2029-09-30. De overgang moet klaar zijn vóór 30 september 2029. Wat er in de nieuwe versie verandert, staat bij de overgang naar ISO 9001:2026. Vraag je certificeerder of hij al op de nieuwe versie mag certificeren.

De hercertificering is een logisch moment om certificeerders te vergelijken. Je begint toch aan een nieuwe periode van drie jaar en je hebt toch een nieuwe offerte nodig. Overstappen kan dan zonder opnieuw te beginnen: je cyclus en je vervaldatum lopen door. De nieuwe certificeerder moet wel besluiten voordat hij aan de hercertificering begint. Hoe dat gaat, staat bij overstappen van certificeerder. Wil je juist blijven, dan geeft een vergelijking je ook iets om met je huidige certificeerder over te praten.

Bij CertificeerWijzer vraag je met één aanvraag offertes op bij certificeerders die je certificaat mogen overnemen. Vraag in elke offerte naar de dagen voor de komende drie jaar, met de hercertificering erbij. Dan zie je wat je volgende periode echt kost.