Stel: je certificaat verloopt over negen maanden, je surveillance-audit staat over twee maanden gepland, en je wilt van certificerende instelling (CI) wisselen. De vraag die dan bovenaan staat is niet wat het kost of wie de beste auditor heeft. Het is: hangt mijn certificaat tijdens die overgang in de lucht? Kan een klant of aanbesteder in die periode vragen om een geldig certificaat en krijg ik dan nul op het rekest?
Het korte antwoord is nee, mits de overdracht wordt gepland zoals bedoeld. Het lange antwoord bevat een paar details die bepalen of het ook in jouw situatie zo loopt. Die staan hieronder.
Wat er met je certificaat gebeurt
Een certificaat is geen eigendom van de CI die het afgaf, maar van jouw organisatie voor de duur van de certificeringscyclus: drie jaar, met jaarlijkse surveillance-audits. Bij een overstap volgt de overdracht de regels uit IAF MD 2, het document waarin accreditatie-organisaties vastleggen hoe certificaten van de ene CI naar de andere gaan.
In de praktijk komt het hierop neer:
- Je huidige certificaat blijft geldig totdat de nieuwe CI het heeft overgenomen en een eigen certificaat heeft uitgegeven. Er zit dus geen gat tussen.
- De nieuwe CI beoordeelt eerst het dossier (pre-transfer review) voordat ze een certificaat afgeeft. Pas daarna geeft ze het nieuwe certificaat uit, op haar eigen naam.
- De einddatum van de lopende cyclus blijft in de regel gelijk. Je koopt dus geen drie jaar opnieuw en je verliest ook geen betaalde jaren.
- Het oude certificaat wordt ingetrokken zodra het nieuwe is uitgegeven. Er zijn nooit twee geldige certificaten voor dezelfde scope naast elkaar.
Daarmee is de angst dat je in de tussentijd “niet gecertificeerd” bent meestal ongegrond. De onderbreking waar organisaties bang voor zijn, ontstaat niet door de overstap zelf maar door een planning die uit de hand loopt.
Waar het wel misgaat
Een overdracht kan niet zomaar voor elk certificaat. Dit zijn de situaties waarin het stokt:
Het certificaat is geschorst, of dreigt dat te worden. Een CI neemt geen certificaat over dat geschorst is, en ook niet als schorsing op handen is. De reden is logisch: de nieuwe CI zou anders een certificaat overnemen dat de vorige juist niet meer wilde laten staan.
Er staat een grote non-conformity open. Die moet aantoonbaar zijn afgehandeld, of in elk geval aantoonbaar in behandeling, voordat de overdracht rond kan. Kleine afwijkingen blokkeren de overdracht niet; de nieuwe CI neemt de status ervan mee in haar eerste audit.
Het certificaat is al verlopen. Dan is er geen overdracht meer, maar een nieuwe certificering. Dat betekent een nieuwe fase 1 en fase 2. Wie van plan is te wisselen, moet de overstap dus beginnen vóór de einddatum, niet erna.
De accreditatie van de nieuwe CI dekt jouw norm niet. Een CI kan alleen een certificaat overnemen voor een norm waarvoor ze zelf geaccrediteerd is. ProCertify is RvA-geaccrediteerd voor ISO 27001; voor ISO 9001 en NEN 7510 is de accreditatie in aanvraag. Voor die twee normen kan de overdracht van het certificaat pas plaatsvinden zodra die accreditatie rond is.
Het moment in je cyclus bepaalt de planning
Hoe snel je moet handelen hangt af van waar je in de cyclus zit.
Vlak voor een surveillance-audit. Dit is het eenvoudigste moment. De nieuwe CI voert de eerstvolgende surveillance-audit uit, op de datum die toch al op de planning stond. De overdracht moet dan wel vooraf rond zijn, dus begin ruim voor die datum met de dossierbeoordeling.
Het laatste jaar van de cyclus. Je hercertificering komt eraan. Wisselen vóór de hercertificering betekent dat de nieuwe CI die audit uitvoert. Wil je wisselen, plan de overdracht dan ruim voor de einddatum, want een verlopen certificaat kan niet meer worden overgedragen.
Direct na een audit met bevindingen. Hier zit de meeste onduidelijkheid. Heeft je huidige CI bevindingen gerapporteerd, dan gaat die status mee naar de nieuwe CI. Het wisselen van CI lost bevindingen dus niet op, en de nieuwe CI kijkt er kritisch naar. Wie hoopt dat een overstap een openstaande afwijking oplost, komt bedrogen uit.
Wat je vooraf bij elkaar moet hebben
De dossierbeoordeling gaat sneller als de stukken compleet zijn. Het gaat om:
- Het huidige certificaat, met scope, norm en einddatum.
- De laatste auditrapporten, inclusief de rapportage van de laatste surveillance- of hercertificeringsaudit.
- De status van eventuele afwijkingen en het bijbehorende corrigerende-maatregelenplan (CAP).
- De reden voor de overstap, kort en feitelijk.
Je hoeft je huidige CI niet zelf te laten weten dat je overstapt voordat het dossier wordt aangevraagd. De dossieroverdracht loopt tussen de twee instellingen.
Wil je weten of jouw certificaat over kan?
Stuur je huidige certificaat, de laatste auditrapportage en de scope van je organisatie. Je krijgt binnen 24 uur reactie van ProCertify, met de dossierbeoordeling ingepland en de audittijd en het tarief voor je eerstvolgende audit vooraf doorgerekend. Meer lezen over overstappen kan ook!