Voor het eerst een ISO-certificaat halen: stappen en doorlooptijd

Het traject staat in ISO/IEC 17021-1, de norm met eisen aan certificeerders. Jij bouwt een systeem. De certificeerder toetst het in twee fasen. Iemand anders dan de auditor beslist. Dit zijn de stappen:

Je kiest de norm die past bij wat je wilt laten zien: kwaliteit, informatiebeveiliging, milieu of veiligheid. Vaak vraagt een klant of aanbesteder erom. Veel bedrijven certificeren ook om hun eigen werk te verbeteren. Daarna leg je het toepassingsgebied vast. Dat zijn het werk en de locaties die onder het certificaat vallen, en het aantal mensen dat daar werkt. Daarmee ligt grotendeels vast hoeveel auditdagen je betaalt. Het bepaalt ook welke certificeerders je mogen certificeren.

Vraag offertes op zodra je besluit. Dan loopt de wachttijd van de certificeerder gelijk op met je eigen werk. In je aanvraag geef je je toepassingsgebied, je locaties en processen, wat je uitbesteedt en of je een adviseur hebt gehad. De certificeerder controleert dan of hij bevoegd is voor jouw norm en werk. Ook berekent hij hoeveel tijd hij nodig heeft. Kies een certificeerder met accreditatie voor jouw norm. De nationale accreditatie-instantie of een buitenlandse zusterorganisatie toetst dan of hij zich aan ISO/IEC 17021-1 houdt. Een auditdag kost meestal €1.000 tot €1.800 exclusief btw. Hoe het aantal dagen en de prijs over drie jaar ontstaan, staat bij de kosten van certificeren.

Je beschrijft hoe je werkt. Je legt beleid, doelen, risico's en verantwoordelijkheden vast. Daarvoor gebruik je de eisen en verplichte documenten van jouw norm als lijst. Dat kan zelf of met een adviseur. Wanneer een adviseur loont en welke adviseur naast welke certificeerder past, staat bij implementatiebegeleiding.

Je werkt met je eigen afspraken en legt vast wat er gebeurt. Denk aan klachten, de meting van je doelen en fouten met wat je eraan deed. Die registraties zijn het bewijs dat de auditor in fase 2 zoekt. Geen regel noemt een vaste termijn hiervoor. Reken in de praktijk op minstens drie maanden.

Je controleert zelf of je systeem werkt. Of je laat een interne auditor dat doen. De leiding bespreekt in de directiebeoordeling wat er beter moet. Plan beide vóór fase 1. Rond ze af vóór fase 2. In fase 1 kijkt de auditor of ze gepland zijn en lopen. In fase 2 kijkt hij of ze iets opleveren.

In fase 1 kijkt de auditor of je klaar bent. Hij kijkt naar je toepassingsgebied, locaties, processen, de wetten die voor je gelden en je planning van interne audit en directiebeoordeling. In fase 2 toetst hij op locatie of je systeem in de praktijk werkt. Tussen de fasen krijg je tijd om op te lossen wat hij in fase 1 vond. Dat is meestal een paar weken. Wat de auditor per fase doet en welke rechten je hebt, staat bij de certificeringsaudit.

Een grote afwijking (major) moet aantoonbaar opgelost zijn voor je het certificaat krijgt. Bij een kleine afwijking (minor) is een goedgekeurd plan genoeg. Lukt het oplossen van een major niet binnen 6 maanden na de laatste dag van fase 2? Dan volgt een nieuwe fase 2. Die betaal je opnieuw. Over je certificaat beslist daarna iemand binnen de certificeerder. Die persoon heeft de audit niet gedaan.

Vanaf het besluit is je certificaat drie jaar geldig. De eerste controle-audit valt binnen 12 maanden na het besluit. Daarna volgt elk kalenderjaar een controle-audit. In het derde jaar volgt de hercertificering. Die moet klaar zijn voordat je certificaat verloopt. Een schema voor een bepaalde sector kan een andere cyclus voorschrijven. Bij de gangbare ISO-normen is het drie jaar.

Een eerste ISO 9001-certificering duurt vanaf nul ongeveer acht maanden. Dat geldt als je meteen offertes opvraagt. Voor ISO 27001 en NEN 7510 is dat hooguit ongeveer acht maanden. De stappen van elke norm zeggen wat daar de tijd bepaalt. Bij ISO 9001 bestaat de tijd uit deze onderdelen:

Werk je al met vaste afspraken, zoals werkinstructies en een klachtenlijst? Dan ben je in vier tot vijf maanden klaar. Ook dan moet je systeem nog maanden draaien. Vraag je pas offertes op als je systeem af is? Dan komt de wachttijd er nog bij. Moet het certificaat er op een vaste datum zijn, zoals voor een aanbesteding? Begin dan tien maanden van tevoren. Dan kost een major of een volle agenda je deadline niet. De audit zelf duurt bij een klein bedrijf maar een paar dagen.

Het traject is gelijk, maar elke norm heeft eigen eisen en een eigen rekenregel voor de auditdagen. Bij een bedrijf van 1 tot 5 mensen duren fase 1 en fase 2 samen voor ISO 9001 1,5 dag. Voor ISO 14001 en ISO 45001 duren ze 2,5 tot 3 dagen. Dat hangt af van hoe zwaar de milieu- of veiligheidsrisico's van je werk zijn. Zo staat het in Global ACI-TECH-3-004 (IAF MD 5). ISO 27001 heeft een eigen methode in bijlage C van ISO/IEC 27006-1:2024. Ook wie je mag certificeren verschilt. Bij ISO 9001 is een certificeerder per sector geaccrediteerd, met sectorcodes (IAF-codes). Niet elke certificeerder mag dus elk bedrijf doen.

Wat er per norm anders is, staat bij de stappen van die norm:

Wil je meer normen tegelijk halen? Dan kan dat in één gecombineerde audit.

De regels zijn bij elke geaccrediteerde certificeerder gelijk. De certificeerders zelf zijn dat niet. Ze verschillen in het aantal auditdagen dat ze rekenen. Ook verschillen ze in hun dagtarief, hun eerste vrije datum en hun kennis van jouw sector. Vergelijk daarom in elke offerte het aantal dagen voor fase 1 en fase 2. Vergelijk ook het dagtarief, de kosten van de controle-audits en de eerste datum voor fase 1. Waar je verder op let, staat bij certificeerder kiezen. Past je certificeerder later niet meer? Dan kun je overstappen zonder opnieuw te beginnen.

Bij CertificeerWijzer vraag je met één aanvraag offertes op. Die vraag je op bij certificeerders die jouw norm voor jouw werk mogen doen. Doe dat op de dag dat je besluit. Zo loopt hun wachttijd terwijl jij je systeem opbouwt.