Waarom bedrijven overstappen
Laten we eerlijk zijn: de meeste bedrijven denken niet actief na over hun certificeerder. Je hebt ooit een keuze gemaakt, en sindsdien verlengt het contract automatisch. Maar is dat slim?
Uit onderzoek blijkt dat bedrijven om verschillende redenen overstappen:
- De audit levert te weinig op. Je krijgt een certificaat, maar geen echte inzichten die je bedrijf verder helpen.
- De auditor mist branchekennis. Een generieke aanpak werkt niet als je sector specifieke uitdagingen heeft.
- De service schiet tekort. Slechte bereikbaarheid, inflexibele planning, trage communicatie.
- De prijs klopt niet meer. Tarieven zijn gestegen, of je hebt ontdekt dat het elders voordeliger kan.
- Je wilt consolideren. Meerdere certificaten bij verschillende partijen is onhandig.
Internationaal is het zelfs gebruikelijk om elke vijf tot tien jaar van certificeerder te wisselen. Niet uit ontevredenheid, maar omdat een frisse blik nieuwe verbeterpunten aan het licht brengt. Dat voorkomt tunnelvisie.
Het succes van een audit staat of valt met de auditor. Certificeren blijft mensenwerk. Als de klik er niet is, mag je daar kritisch op zijn.
De internationale spelregels: IAF MD 2
Misschien denk je: "Maar mag ik zomaar overstappen? En wat gebeurt er dan met mijn certificaat?"
Goede vragen. En het antwoord is geruststellend.
Overstappen van certificeerder is geregeld in een internationaal document: IAF MD 2. Dit zijn de spelregels waar alle geaccrediteerde certificeerders zich aan moeten houden. De belangrijkste punten op een rij:
Je certificaat blijft geldig
Geen onderbreking tijdens of na de overstap. Je nieuwe certificeerder neemt de certificering over binnen je bestaande cyclus.
Je oude CI mag niet dwarsliggen
Ze mogen je certificaat niet intrekken omdat je overstapt. Meewerken aan de overdracht is verplicht.
Je auditcyclus loopt door
Geen extra audits, geen dubbel werk. De nieuwe certificeerder bouwt voort op je bestaande audithistorie.
Op elk moment mogelijk
Je hoeft niet te wachten tot je certificaat verloopt. Let wel op de opzegtermijn van je huidige contract (meestal 4-8 weken).
Hoe de overstap werkt
De praktijk is minder ingewikkeld dan je misschien verwacht. Dit is wat er gebeurt:
De pre-transfer review
Je nieuwe certificeerder bekijkt eerst je dossier. Ze checken je laatste auditrapporten, eventuele openstaande afwijkingen en klachtenhistorie. Dit heet de "pre-transfer review" en is geen audit, maar een administratieve check.
Bij de meeste bedrijven is dit een formaliteit die binnen een paar dagen geregeld is. Je geeft toestemming dat je huidige certificeerder de informatie deelt, en de nieuwe partij beoordeelt of alles in orde is.
Wat je nodig hebt
Voor een soepele overstap verzamel je deze documenten:
- Kopie van je huidige certificaat (met vervaldatum)
- Auditrapporten van de laatste drie jaar
- Status van eventuele openstaande afwijkingen
- Overzicht van klachten en hoe die zijn afgehandeld
Dat is het. Je nieuwe certificeerder regelt de rest.
De tijdlijn
Gemiddeld duurt het overstapproces twee tot vier weken vanaf het moment dat je kiest voor een nieuwe certificeerder. Dit hangt af van de beschikbaarheid van de nieuwe auditor en hoe snel de documentatie wordt overgedragen.
Wanneer is overstappen zinvol voor jou?
Niet iedereen hoeft over te stappen. Maar het is wel slim om regelmatig te evalueren of je huidige situatie nog past. Stel jezelf deze vragen:
- Levert de audit je iets op? Krijg je bruikbare inzichten, of voelt het als een verplicht nummertje?
- Begrijpt je auditor je branche? Of moet je elk jaar opnieuw uitleggen hoe jouw sector werkt?
- Hoe is de service? Ben je tevreden over de communicatie, planning en bereikbaarheid?
- Klopt de prijs nog? Heb je de laatste jaren vergeleken met andere aanbieders?
- Past de aanpak bij je bedrijf? Sommige certificeerders zijn formeel en procesmatig, andere persoonlijk en pragmatisch.
Als je op meerdere vragen "nee" of "weet ik niet" antwoordt, is het misschien tijd om te vergelijken.
Een ISO 27001-certificeerder kiezen
Er zijn ruim 25 certificeerders actief in Nederland voor ISO 27001. Ze verschillen in prijs, aanpak en specialisatie. Hoe kies je de juiste?
Vijf criteria om op te letten
Accreditatie
Niet-geaccrediteerde certificaten worden vaak niet erkend
Sectorervaring
Een auditor die IT en security snapt, voegt meer waarde toe
Prijs
Verschillen van 20-40% zijn normaal
Service
Vaste contactpersoon? Snelle reacties? Flexibiliteit?
Klik met auditor
Je werkt minstens drie jaar samen
Wat is accreditatie?
Accreditatie-instanties controleren certificeerders. Ze checken of auditoren gekwalificeerd zijn voor ISO 27001, of de certificeerder onafhankelijk werkt, en of de audit correct wordt uitgevoerd.
Elk land heeft een eigen instantie: de Nederlandse accreditatie-instantie, UKAS in het Verenigd Koninkrijk, DAkkS in Duitsland. Via het IAF (International Accreditation Forum) erkennen ze elkaars certificaten. Een certificaat van een UKAS-geaccrediteerde certificeerder is dus even geldig als een van een in Nederland geaccrediteerde.
Vragen om te stellen
Voordat je kiest, stel deze vragen aan potentiële certificeerders:
- Bent u geaccrediteerd voor ISO 27001? Bij welke instantie?
- Wat is uw ervaring in mijn sector (IT, finance, zorg)?
- Heeft de auditor ervaring met onze technologie (cloud, development, specifieke systemen)?
- Wie wordt mijn auditor? Kan ik diegene vooraf spreken?
- Wat is de doorlooptijd van offerte tot certificaat?
- Wat zijn de totale kosten voor drie jaar (inclusief surveillance)?
- Hoe gaat u om met afwijkingen tijdens de audit?
De juiste keuze is niet per se de goedkoopste. Een auditor die jouw IT-omgeving begrijpt en constructieve feedback geeft, is meer waard dan een paar honderd euro besparing.
Klaar om te vergelijken? Bekijk ons overzicht van alle certificeerders in Nederland en vind de partij die bij jouw bedrijf past.