Onko yritys ISO 9001 -sertifioitu?

ISO 9001 versus ISO 27001: kumpi sertifikaatti tarkoitetaan tässä

Kysymys "onko yritys ISO 9001 -sertifioitu" koskee laadunhallintaa, ei tietoturvaa. Tämä ero on kokeneelle vastaajalle usein ensimmäinen tarkistus: jotkut asiakasportaalit kopioivat sertifiointikysymyksiä mallipohjasta ja sekoittavat ISO 9001:n ISO 27001:een tai esittävät ne peräkkäin samassa luettelossa. Vastaus on määritelmän mukaan fakta, ei arvio: yrityksellä on voimassa oleva ISO 9001 -sertifikaatti tunnustetulta sertifioinnista vastaavalta laitokselta, tai sillä ei ole. Välimuotoa ei ole — "kohti sertifiointia" tai "normin mukainen toiminta ilman sertifikaattia" ei ole "kyllä".

Jos yritys ei ole ISO 9001 -sertifioitu mutta on ISO 27001 -sertifioitu, se on eri vastaus eri kysymykseen: nämä kaksi eivät saa sekoittua ketjutiedostossa, vaikka kysymykset näyttävät joissakin luetteloissa samanlaisilta. Jos yrityksellä ei ole kumpaaakaan, "ei" on oikea vastaus — sertifioimattomien sisäisten laatuprosessien jatkokysymys on eri asia ja ansaitsee oman lähteen. Epävarmuus siitä, mitä asiakas tarkalleen haluaa tietää sertifiointikysymyksellä, ilmenee usein vierekkäisissä aiheissa, kuten kysymyksessä onko yrityksellä ammatillinen vastuuvakuutus": tässäkin vastaus on todennettavissa oleva fakta, jolla on todiste, ei laadullinen selitys.

Mihin todiste on tarkoitettu

"Kyllä"-vastaukseen kuuluu ketjutiedostoon itse sertifikaatti: sertifioinnista vastaavan laitoksen nimi, voimassaolopäivämäärä ja sertifikaatin numero. Ilman tätä todistetta järjestelmä ei voi esittää "kyllä"-vastausta, vaikka yritys olisi toiminut normin mukaisesti jo vuosia. Annettu lähde ISO/IEC 27001:n Annex A:sta käsittelee tietoturvanhallintamenettelyjä eikä siis tue ISO 9001 -vastausta — näiden kahden normin erottaminen toisistaan on juuri syy siihen, miksi tämä kysymys vaatii omaa erillistä lähdeasiakirjaa olemassa olevan sertifikaatin uudelleenkäytön sijaan. Oikea sertifikaatti puuttuu, jolloin vastaus pysyy "ei":ssä, kunnes todiste on lisätty, samalla tavalla kuin yrityksen sijainnista vain lähdeasiakirja, ei oletus, johtaa "kyllä"-vastaukseen.