Assurance vs. certificering deel 2: Wat is een certificering?

Blogserie Maik assurance vs certificering 1500x800

Character Maik A2 72dpiRegelmatig krijgen wij vragen over de assurances en certificeringen die Eshgro bezit. Zijn deze wel noodzakelijk en wat is inhoudelijk nou het verschil? Heel begrijpelijk, want als je hier niet dagelijks mee te maken hebt, is het soms lastig om door de bomen het bos te zien. Maar geen nood! In deze driedelige blogserie legt Compliance Officer Maik je precies uit wat een assurance rapportage en certificering inhouden, wat het verschil is tussen ISAE en ISO / NEN en wat de meerwaarde ervan is voor jou als klant of partner. In dit tweede deel: wat is een certificering?

Lees ook:
Assurance vs. Certificering deel 1: Wat is een assurance rapportage?
Assurance vs. Certificering deel 3: Verschil tussen een assurance-opdracht en certificatie

Wat is certificering?

In deel 1 van deze blogserie werd aan de hand van een voorbeeld beschreven hoe een assurance-opdracht is opgebouwd: “Als organisatie (beoogde gebruiker) besteedt je jouw IT (uitbesteed proces) uit aan een IT-leverancier (serviceorganisatie). Een auditor (onafhankelijke derde) controleert of jouw IT-leverancier deze uitbestede processen wel beheerst (toetsing). Voor deze controle maakt men gebruik van een zogenoemd control framework (normenkader).” Dit voorbeeld is vergelijkbaar met een certificering. Ook daarbij wordt namelijk getoetst of processen worden beheerst.

In de kern is certificatie opgebouwd uit 4 elementen, namelijk een:

  • onafhankelijke, geaccrediteerde partij;
  • managementsysteem;
  • object van onderzoek;
  • beheersdoelstellingen.

Bij certificatie stelt een auditor (onafhankelijke, geaccrediteerde partij) vast of het beleid waarop een organisatie en/of processen worden bestuurd (managementsysteem) voldoet aan de specifieke eisen voor een bepaald onderwerp (object van onderzoek). Daarbij maakt men gebruik van een control framework (beheersdoelstellingen), ook wel certificeringseisen- of standaard genoemd. Het doel hiervan is het realiseren van een planmatige, systematische en continue verbetering van processen en procedures binnen de organisatie.

Soorten certificeringen

De wereld van certificeringen is groot. Afhankelijk van het object dat wordt gecertificeerd, kan een bepaald type certificering gelden. Zo bestaan er organisatie- of procescertificeringen, zoals ISO 9001, ISO 27001 en NEN 7510, maar ook productcertificeringen of persoonscertificeringen. In het geval van persoonscertificering kan bijvoorbeeld worden aangetoond dat een bepaald persoon heeft bewezen aan de (vooraf) vastgestelde vakbekwaamheidseisen te voldoen.

In deze blog beperken we ons tot de bekendste IT-certificeringen: ISO 27001 en NEN 7510. Beide normen zijn opgesteld om te voorzien in het vaststellen, implementeren, bijhouden en continu verbeteren van een managementsysteem voor informatiebeveiliging. Dit managementsysteem beschermt de vertrouwelijkheid, integriteit en beschikbaarheid van informatie door een risicobeheersproces toe te passen en geeft belanghebbenden (zoals de organisatie die bepaalde processen uitbesteed aan een IT leverancier) het vertrouwen dat risico’s adequaat worden beheerst. Het principe is voor ISO en NEN hetzelfde, de toepasselijkheid is voor beide anders.

Verloop van het certificatietraject

De uitvoer van het certificatietraject bestaat uit 5 stappen:

  1. Vaststelling van het object van onderzoek: Hiermee wordt de reikwijdte van de audit bepaald. Afhankelijk van dit object worden de samenhangende (beheers)doelstellingen uit het control framework geselecteerd. In de zogenoemde Verklaring van Toepasselijkheid staat beschreven welke (beheers)doelstellingen van toepassing zijn.
  2. Risicomodel: Er wordt gekeken naar het risicomodel en/of de uitgevoerde risico’s van de organisatie en de hierop te nemen en uit te voeren (beheers)maatregelen.
  3. Documentatieonderzoek: De opzet van het managementsysteem (bestaande uit beleid en procedures) wordt beoordeeld om te zorgen dat deze overeenkomt met de scope en de (beheers)doelstellingen.
  4. Implementatieonderzoek: Hierbij wordt gecontroleerd of de (beheers)maatregelen uit het risicomodel van de organisatie en/of voortkomend uit risico-analyses zijn geïmplementeerd. Ook wordt bekeken of periodiek getoetst wordt of de maatregelen nog voldoende zijn om de vooraf opgestelde (beheers)doelstellingen te behalen.
  5. Afgifte van het certificaat: Wanneer alle lichten op groen staan, wordt het certificaat afgegeven. Op het certificaat staat een verwijzing opgenomen naar de Verklaring van Toepasselijkheid, zodat duidelijk is wat wel en niet is getoetst.

Vervolgtraject

Na een succesvolle audit ontvang je een certificaat. Deze is meestal geldig voor de duur van 3 jaren. Vaak vindt gedurende deze periode op jaarlijkse basis een controle- of surveillanceaudit plaats. Hierbij worden specifieke onderdelen uit de norm nader onderzocht. Na afloop van deze 3 jaren wordt een volledige nieuwe audit uitgevoerd en begint het certificeringstraject opnieuw.

Meer weten?

In de volgende blog binnen deze serie gaat Maik verder in op de verschillen tussen een assurance en certificering. Wil je meer weten over assurances, certificeringen en de waarde hiervan voor jou als klant of partner? Neem dan gerust contact op.

Download de brochure

Jouw strategische partner in digitale transformatie

Eshgro brochure mockup

Verken de wereld van IT

Deze website gebruikt cookies

Met deze cookies kunnen wij en derde partijen informatie over jou en jouw internetgedrag verzamelen, zowel binnen als buiten onze website. Op basis daarvan passen wij en derde partijen de website, onze communicatie en advertenties aan op jouw interesses en profiel. Meer informatie lees je in ons cookie statement.

Kies je voor accepteren, dan plaatsen we alle cookies. Kies je voor afwijzen, dan plaatsen we alleen functionele en analytische cookies. Je kunt je voorkeuren later nog aanpassen.

Accepteren Weigeren Meer opties

Deze website gebruikt cookies

Met deze cookies kunnen wij en derde partijen informatie over jou en jouw internetgedrag verzamelen, zowel binnen als buiten onze website. Op basis daarvan passen wij en derde partijen de website, onze communicatie en advertenties aan op jouw interesses en profiel. Meer informatie lees je in ons cookie statement.

Functionele cookies
Arrow down

Functionele cookies zijn essentieel voor het correct functioneren van onze website. Ze stellen ons in staat om basisfuncties zoals paginanavigatie en toegang tot beveiligde gebieden mogelijk te maken. Deze cookies verzamelen geen persoonlijke informatie en kunnen niet worden uitgeschakeld.

Analytische cookies
Arrow down

Analytische cookies helpen ons inzicht te krijgen in hoe bezoekers onze website gebruiken. We verzamelen geanonimiseerde gegevens over pagina-interacties en navigatie, waardoor we onze site voortdurend kunnen verbeteren.

Marketing cookies
Arrow down

Marketing cookies worden gebruikt om bezoekers te volgen wanneer ze verschillende websites bezoeken. Het doel is om relevante advertenties te vertonen aan de individuele gebruiker. Door deze cookies toe te staan, help je ons relevante inhoud en aanbiedingen aan je te vertonen.

Accepteren Opslaan
Ga naar de inhoud