Wat onderzoekt fase 1?
Fase 1 is het eerste deel van een initiële certificatiebeoordeling. De certificerende instelling onderzoekt onder meer de afbakening en voorbereiding van het managementsysteem om fase 2 te kunnen plannen. Het is geen los certificaat en ook geen garantie dat fase 2 zonder afwijkingen verloopt. NQA beschrijft de twee fasen in haar certificatieproces. De concrete auditagenda en aan te leveren informatie stem je af met de gekozen instelling.
Bereid samenhang voor, geen documentenstapel
Begin met een duidelijke scope. Laat zien welke diensten, locaties en afhankelijkheden zijn inbegrepen. Verbind die afbakening met de risicoanalyse en de gekozen beheersmaatregelen. Zorg dat medewerkers de actuele versies kunnen aanwijzen en kunnen uitleggen hoe documenten aansluiten op de dagelijkse werkzaamheden.
Breng ook de uitvoering in beeld: welke controles hebben plaatsgevonden, welke uitkomsten zijn beoordeeld en welke verbeteringen staan nog open? Maak de stand van de interne audit en directiebeoordeling transparant. Een lege template toont alleen de voorgenomen werkwijze; een ingevuld verslag kan laten zien hoe die werkwijze is gebruikt.
Controleer vooraf deze verbindingen
| Onderwerp | Praktische controle |
|---|---|
| Scope | Komt de afbakening overeen met feitelijke dienstverlening? |
| Risico’s | Is de beoordelingsmethode toegepast op relevante situaties? |
| SoA | Zijn selectie en status van maatregelen onderbouwd? |
| Evaluatie | Zijn audit- en beoordelingsuitkomsten beschikbaar? |
| Planning | Zijn verantwoordelijken en bewijslocaties bekend? |
Fictief voorbeeld: een uitbestede servicedesk
Een fictieve SaaS-aanbieder neemt zijn applicatie op in de scope, maar heeft de uitbestede servicedesk nog niet betrokken bij de risicoanalyse. Tijdens de voorbereiding blijkt dat die partij klantaccounts kan herstellen. De organisatie verduidelijkt deze afhankelijkheid, beoordeelt de risico’s en legt de relevante afspraken en controles vast. Dat vraagt inhoudelijk werk; alleen “servicedesk” toevoegen aan een document lost de ontbrekende afweging niet op.
Verwerk de uitkomsten vóór de volgende fase
Bespreek ieder aandachtspunt met de certificerende instelling: wat wordt verwacht, welk bewijs is nodig en wat betekent het voor de planning? Houd acties en verantwoordelijken bij. Maak geen algemene aanname over een vaste hersteltermijn of verplichte wachttijd; de situatie en de afspraken met de instelling zijn bepalend. Lees vervolgens wat bij de fase 2-audit wordt onderzocht. ISO zelf geeft geen certificaten af; dat gebeurt door certificerende instellingen.