Er virksomheden ISO 9001-certificeret?

ISO 9001 versus ISO 27001: hvilket certifikat menes her

Spørgsmålet "er virksomheden ISO 9001-certificeret" handler om kvalitetsstyring, ikke om informationssikkerhed. Denne sondring er ofte det første tjek for en erfaren udfylder: nogle kundeportaler kopierer certificeringsspørgsmål fra en skabelon og blander ISO 9001 med ISO 27001, eller de stiller dem efter hinanden på samme liste. Svaret er per definition et faktum, ikke et skøn: virksomheden har et gyldigt ISO 9001-certifikat fra et anerkendt certificeringsorgan, eller også har den ikke. Der er ingen mellemform — "på vej til certificering" eller "arbejde efter normen uden certifikat" er ikke et "ja".

Hvis virksomheden ikke er ISO 9001-certificeret, men er ISO 27001-certificeret, er det et andet svar på et andet spørgsmål: de to må ikke sammensmeltes i ketendossieren, selvom spørgsmålene på nogle lister ligner hinanden. Har virksomheden ingen af dem, er "nej" det rigtige svar — et opfølgende spørgsmål om interne kvalitetsprocedurer uden certifikat spørger om noget tredje og fortjener en egen kilde. Tvivl om, hvad en kunde præcis vil vide med et certificeringsspørgsmål, forekommer oftere ved tilstødende emner, såsom spørgsmålet om virksomheden har en erhvervsansvarsforskring: også her er svaret et verifiérbart faktum med et bevisstykke, ikke en kvalitativ redegørelse.

Hvad bevisstykket skal vise

Et "ja" skal i ketendossieren ledsages af selve certifikatet: navn på certificeringsorganet, gyldigheddato og certificatnummeret. Uden dette bevisstykke kan systemet ikke præsentere et "ja", selvom virksomheden i årreværk har arbejdet efter normen. Det medfølgende dokument om Annex A i ISO/IEC 27001 handler om kontroller for informationssikkerhed og understøtter således ikke et ISO 9001-svar — denne adskillelse af de to normer er præcis grunden til, at dette spørgsmål kræver et eget, separat killedokument i stedet for genbrug af et eksisterende certifikat. Mangler det korrekte certifikat, bliver svaret ved "nej", indtil bevisstykket er tilføjet, på samme måde som også ved virksomhedens forretningsadresse kun et killedokument, ikke en antagelse, fører til et "ja".