Kies een geaccrediteerde certificatie-instelling
Een certificaat heeft de meeste waarde als het is afgegeven door een certificatie-instelling die voor ISO 27001 is geaccrediteerd. In Nederland verzorgt de Raad voor Accreditatie die accreditatie. Vraag offertes op bij meerdere instellingen en vergelijk het aantal auditdagen, de beschikbaarheid van auditors en de ervaring in uw sector.
Fase 1: is de organisatie gereed?
In de fase 1-audit beoordeelt de auditor uw documentatie en uw gereedheid. Zijn scope, beleid, risicoanalyse, Verklaring van Toepasselijkheid, interne audit en directiebeoordeling aanwezig? De auditor bespreekt ook de planning voor fase 2. Bevindingen uit fase 1 lost u op voordat fase 2 begint.
Fase 2: werkt het managementsysteem?
In fase 2 toetst de auditor of het ISMS werkt zoals beschreven. Hij spreekt medewerkers, bekijkt systemen en vraagt bewijs op. Afwijkingen worden ingedeeld als groot of klein. Een grote afwijking moet zijn opgelost voordat het certificaat wordt afgegeven. Voor een kleine afwijking stelt u een plan van aanpak op dat bij de volgende audit wordt beoordeeld.
Controle-audits en hercertificering
Een certificaat is drie jaar geldig. In het eerste en tweede jaar volgt een controle-audit, waarin de auditor een deel van het ISMS opnieuw beoordeelt en de opvolging van eerdere bevindingen controleert. Voor het einde van het derde jaar vindt de hercertificeringsaudit plaats. Die beoordeelt het hele managementsysteem opnieuw.
Goed voorbereid naar de audit
Plan de interne audit en directiebeoordeling ruim voor fase 2, zodat u bevindingen kunt oplossen. Zorg dat bewijs snel vindbaar is en dat medewerkers weten wat hun rol is. Wijs een contactpersoon aan die de auditor begeleidt. Behandel de audit als een onafhankelijke toets: open en eerlijk antwoorden levert betere bevindingen op dan een ingestudeerd verhaal.