Kosten van een ISO 42001-certificaat

Een ISO 42001-certificaat kost het aantal auditdagen maal het dagtarief van de certificeerder. Een auditdag kost €1.000 tot €1.800 exclusief btw. Een certificaat geldt drie jaar. Je betaalt in die tijd een eerste audit in twee fasen. Daarna volgt in jaar 1 en in jaar 2 een controle-audit. Vóór het certificaat verloopt, volgt een hercertificering. Losse posten, zoals reiskosten en je eigen tijd, komen erbij. Hoe die in een offerte zitten, geldt voor elke norm. Dat staat bij kosten van certificeren.

Elke geaccrediteerde certificeerder rekent de audittijd voor ISO 42001 uit met bijlage A van ISO/IEC 42006:2025. Die bijlage is normatief: de certificeerder moet haar volgen. Bijlage B geeft voorbeelden van zo'n berekening. De tabel voor ISO 9001, 14001 en 45001 geldt hier niet, en de tabel voor ISO 27001 ook niet. ISO verkoopt ISO/IEC 42006 voor 159 Zwitserse frank. De tabel met dagen staat alleen in die betaalde tekst, en daarom staat hier geen tabel en geen voorbeeld in dagen. Je weet het aantal dagen pas als een certificeerder het in zijn offerte noemt.

Wat wel vaststaat, is waar een certificeerder naar kijkt. De norm voor elke certificeerder is ISO/IEC 17021-1. Die verplicht hem rekening te houden met onder meer de complexiteit van je bedrijf en je systeem. Hij moet ook je techniek en de wetten die voor je gelden meenemen. Daarnaast telt uitbesteed werk, het aantal locaties en de risico's van je werk. Ook moet hij vastleggen hoeveel tijd hij rekent en waarom. Daarom kun je ernaar vragen. ISO/IEC 42006 heeft daarnaast eigen paragrafen over audittijd (9.1.4), meerdere vestigingen (9.1.5) en meerdere managementsystemen (9.1.6).

Hoe complex je AI is, telt mee in de audittijd. Dat zie je terug in de accreditaties. In de nationale accreditatie-instantie-scope van één certificeerder staan twee soorten AI-managementsystemen: hoog complex en beperkt complex. Die accreditatie is verleend volgens ISO/IEC 42006. Hoe ISO/IEC 42006 die soorten in dagen vertaalt, staat in de betaalde bijlage A. Vraag daarom in elke offerte in welke soort de certificeerder jouw systeem indeelt, en waarom.

Bij de complexiteit tellen in elk geval de punten die ISO/IEC 17021-1 noemt. Voor AI zijn dat vooral deze vragen:

Zo krijgt een softwarebedrijf dat eigen modellen traint en verkoopt meer dagen. Een adviesbureau van dezelfde grootte dat alleen een ingekochte AI-assistent gebruikt, krijgt er minder.

Heb je al ISO 27001 of ISO 9001, dan kan een gecombineerde audit dagen schelen. ISO/IEC 42006 heeft een eigen paragraaf over meerdere managementsystemen (9.1.6). Hoeveel dagen een combinatie scheelt, zie je dus alleen in de offerte. Alle vier de certificeerders met een accreditatie voor ISO 42001 mogen ook ISO 27001 doen. Leg je beide normen bij één certificeerder neer, dan vraag je in de offerte hoeveel dagen hij voor de combinatie rekent. Vraag ook hoeveel dagen hij voor elke norm apart rekent. Dan zie je wat de combinatie je oplevert.

Werk je vanuit meer dan één vestiging, dan bepaalt de certificeerder welke locaties hij bezoekt. ISO/IEC 42006 heeft daarvoor een eigen paragraaf (9.1.5) en een paragraaf over audits op afstand (9.2.4). Veel AI draait in de cloud. Vraag dan welk deel van de audit op afstand kan. Dat scheelt reiskosten.

Twee certificeerders komen met dezelfde gegevens niet altijd op hetzelfde aantal dagen uit. Ze schatten je complexiteit namelijk anders in. Verschillen twee offertes 2 dagen voor de eerste audit? Dan scheelt dat €2.000 tot €3.600. De offerte met minder dagen is niet vanzelf beter. Met minder audittijd kijkt de auditor minder diep in je systeem. Vraag elke certificeerder daarom naar:

Met een volledige lijst van je AI-systemen en je rol vul je de aanvraag eerlijker en sneller in. Dat staat bij de stappen voor ISO 42001. Heb je al een certificaat en past de berekening van je certificeerder niet meer bij je bedrijf? Dan kun je overstappen zonder opnieuw te beginnen.

Bij CertificeerWijzer gaat één aanvraag naar certificeerders met ISO 42001 in hun accreditatie. Ze krijgen allemaal dezelfde antwoorden over je AI-systemen, je rol en je mensen. Zo zie je hoe elk van hen jouw complexiteit inschat.