Is de onderneming ISO 9001-gecertificeerd?

ISO 9001 versus ISO 27001: welk certificaat wordt hier bedoeld

De vraag "is de onderneming ISO 9001-gecertificeerd" gaat over kwaliteitsmanagement, niet over informatiebeveiliging. Dat onderscheid is voor een ervaren invuller vaak de eerste check: sommige klantportalen kopiëren certificeringsvragen uit een sjabloon en verwarren ISO 9001 met ISO 27001, of vragen ze na elkaar in dezelfde lijst. Het antwoord is per definitie een feit, geen inschatting: de onderneming heeft een geldig ISO 9001-certificaat van een erkende certificerende instantie, of niet. Er is geen tussenvorm — "onderweg naar certificering" of "werken volgens de norm zonder certificaat" is geen "ja".

Als de onderneming niet ISO 9001-gecertificeerd is maar wel ISO 27001-gecertificeerd, is dat een ander antwoord op een andere vraag: die twee mogen in het ketendossier niet worden samengevoegd, ook al lijken de vragen in sommige lijsten op elkaar. Heeft de onderneming geen van beide, dan is "nee" het juiste antwoord — een vervolgvraag naar interne kwaliteitsprocedures zonder certificaat vraagt om iets anders en verdient een eigen bron. Twijfel over wat een klant precies wil weten met een certificeringsvraag speelt vaker bij aangrenzende thema's, zoals bij de vraag of de onderneming een aansprakelijkheidsverzekering voor bedrijven heeft: ook daar is het antwoord een verifieerbaar feit met een bewijsstuk, geen kwalitatieve toelichting.

Waar het bewijsstuk voor moet staan

Voor een "ja" hoort in het ketendossier het certificaat zelf: naam van de certificerende instantie, geldigheidsdatum en het certificaatnummer. Zonder dat bewijsstuk kan het systeem geen "ja" voorstellen, ook niet als de onderneming al jaren volgens de norm werkt. De meegegeven bron over Annex A van ISO/IEC 27001 gaat over beheersmaatregelen voor informatiebeveiliging en onderbouwt dus geen ISO 9001-antwoord — dat scheiden van de twee normen is precies waarom deze vraag om een eigen, apart brondocument vraagt in plaats van om hergebruik van een bestaand certificaat. Ontbreekt het juiste certificaat, dan blijft het antwoord bij "nee" tot het bewijsstuk is toegevoegd, vergelijkbaar met hoe ook bij het vestigingsadres van de onderneming alleen een brondocument, geen aanname, tot een "ja" leidt.