Steeds meer organisaties die al ISO 9001-gecertificeerd zijn, overwegen ook ISO 27001 te halen — of andersom. De vraag die wij dan vaak krijgen: is het combineren van ISO 9001 en ISO 27001 slim, of levert het vooral dubbel werk op? Het antwoord hangt af van jouw organisatie, maar de normen zijn wel degelijk zo ontworpen dat combineren voor veel organisaties voordeel oplevert.
Wat ISO 9001 en ISO 27001 gemeen hebben
Beide normen zijn gebouwd op dezelfde High Level Structure, ook wel Annex SL genoemd: een gemeenschappelijke hoofdstukindeling die ISO gebruikt voor al zijn managementsysteemnormen. Onderdelen als context van de organisatie, leiderschap, risicogebaseerd denken, ondersteuning, uitvoering, evaluatie en verbetering kom je in beide normen op vergelijkbare manier tegen. Werk je al met ISO 9001? Dan is bijvoorbeeld je proces rond directiebeoordeling, interne audits en corrigerende maatregelen grotendeels herbruikbaar bij het opzetten van een informatiebeveiligingsmanagementsysteem voor ISO 27001.
Waarin de normen wezenlijk verschillen
Het inhoudelijke zwaartepunt verschilt duidelijk. ISO 9001 draait om klanttevredenheid en de kwaliteit van je producten en diensten, terwijl ISO 27001 zich specifiek richt op de vertrouwelijkheid, integriteit en beschikbaarheid van informatie, met een uitgebreide set beheersmaatregelen in bijlage A. Wil je ISO 27001 halen, dan moet je een risicobeoordeling voor informatiebeveiliging uitvoeren die verder gaat dan de risico’s die voor ISO 9001 relevant zijn. Combineren betekent dus niet dat er geen extra werk is — wel dat je de basisstructuur en veel processen niet twee keer hoeft op te zetten.
Voordelen van een geïntegreerd managementsysteem
Combineer je beide normen in één managementsysteem, dan bespaar je vaak op de inrichting van bijvoorbeeld documentbeheer, interne audits en directiebeoordelingen: die kun je voor beide normen samen inrichten, en soms zelfs in dezelfde audit combineren. Dat scheelt tijd voor je medewerkers, die anders twee losse systemen zouden moeten bijhouden, en voorkomt dat kwaliteit en informatiebeveiliging als twee gescheiden werelden naast elkaar blijven bestaan.
Wanneer combineren niet vanzelfsprekend is
Combineren is niet voor elke organisatie een logische stap. Speelt informatiebeveiliging bij jou geen wezenlijke rol — bijvoorbeeld omdat je geen gevoelige data verwerkt of geen ICT-diensten levert — dan kan een apart ISO 27001-traject onnodige complexiteit toevoegen. Belangrijk is ook dat de eigenaren van beide systemen, vaak kwaliteit en IT of security, goed met elkaar samenwerken. Doen ze dat niet, dan houd je alsnog twee gescheiden systemen over die toevallig in hetzelfde handboek staan.
Hoe een gecombineerd traject er in de praktijk uitziet
Bij een gecombineerd traject stemmen we de audits zo veel mogelijk op elkaar af, zodat gezamenlijke onderdelen — zoals je directiebeoordeling en interne audits — niet dubbel worden beoordeeld. Dat vraagt wel een auditteam dat beide normen kent. Bij ProCertify kijken we bij de intake specifiek naar de scope van beide systemen, zodat we de planning en audittijd realistisch inschatten.
Denk aan een dienstverlener die zijn klantprocessen al via ISO 9001 heeft geborgd en vervolgens ISO 27001 toevoegt omdat klanten steeds vaker om aantoonbare informatiebeveiliging vragen. In zo’n situatie kun je je bestaande cyclus van interne audits en directiebeoordeling gewoon uitbreiden met informatiebeveiligingsonderwerpen, in plaats van er een volledig nieuw, los systeem naast te zetten. Dat scheelt niet alleen tijd, het voorkomt ook dat kwaliteit en informatiebeveiliging in de praktijk als concurrerende prioriteiten aanvoelen.
Samen verkennen of combineren bij jou past?
Twijfel je of het combineren van ISO 9001 en ISO 27001 voor jouw organisatie meerwaarde heeft? In een vrijblijvend intakegesprek brengen we de scope en complexiteit van beide systemen in kaart, zodat je een onderbouwde keuze kunt maken.
Neem contact op en we vertellen je er alles over.