Überwachungsaudit und Rezertifizierung

Een ISO-certificaat aan de muur zegt weinig als niemand controleert of de processen erachter nog worden nageleefd. Daar zijn toezichtaudits en hercertificering precies voor. Wie een dienstverlener voor gegevensverwijdering of afvoer kiest, moet weten wat deze begrippen betekenen en waaraan men een geldig certificaat herkent.

Hoe de certificeringscyclus werkt

Managementsystemen volgens ISO-normen worden door onafhankelijke certificeringsinstellingen getoetst. Hoe deze instellingen moeten werken, regelt de norm ISO/IEC 17021-1. Deze legt een cyclus van drie jaar vast.

Fase	Wanneer	Wat wordt getoetst
Eerste certificering	Jaar 0, in twee fasen	Documentatie en volledige implementatie van het managementsysteem
1e toezichtaudit	uiterlijk 12 maanden na het certificeringsbesluit	Geselecteerde gebieden, omgang met eerdere afwijkingen, doeltreffendheid
2e toezichtaudit	in het volgende kalenderjaar	Overige gebieden, voortdurende verbetering
Hercertificering	vóór het verlopen van het certificaat	Het hele systeem; het resultaat is een nieuw certificaat voor drie jaar

Een toezichtaudit is korter dan een hercertificering en toetst niet elk detail. Over de cyclus heen moeten echter alle essentiële gebieden aan bod komen. Constateert de instelling ernstige afwijkingen, dan kan ze het certificaat opschorten of intrekken.

Waaraan u een betrouwbaar certificaat herkent

• Geldigheid: Op het certificaat staan de uitgifte- en vervaldatum. Een verlopen certificaat is geen bewijs meer.
• Toepassingsgebied: Het beschrijft welke locaties en activiteiten zijn gecertificeerd. Past het bij de dienst die u opdraagt?
• Certificeringsinstelling: Betrouwbare instellingen zijn voor de betreffende norm geaccrediteerd, in Duitsland door de DAkkS. Meer hierover in het item Accreditatie van certificeringsinstellingen.
• Normversie: Wordt een norm herzien, dan gelden overgangstermijnen waarna certificaten op de nieuwe versie moeten zijn omgezet.

Een lijst met verdere controlevragen voor de keuze van een dienstverlener vindt u in onze gids Een ITAD-aanbieder kiezen.

Afbakening

Een interne audit voert het bedrijf zelf uit; hij maakt deel uit van elk ISO-managementsysteem. Toezichtaudit en hercertificering zijn daarentegen externe toetsingen door de certificeringsinstelling. Een Privacy-audit toetst de naleving van het gegevensbeschermingsrecht en is niet aan een certificeringscyclus gebonden. Voor leveranciersaudits gelden de regels die klant en dienstverlener overeenkomen.

Toezichtaudits bij Second IT

Second IT is gecertificeerd volgens ISO 9001, ISO 14001, ISO 45001 en ISO/IEC 27001 , daarnaast voor de vernietiging van gegevensdragers volgens DIN 66399 (H-5) en als gecertificeerd afvalverwerkingsbedrijf volgens § 56 KrWG. De certificaten worden jaarlijks door onafhankelijke toetsingsinstanties geaudit; per jaar vinden minstens drie externe audits plaats. Hoe Second IT vertrouwelijkheid en gegevensbescherming organiseert, leest u onder Gegevensgeheimhouding en vertrouwelijkheid.

Veelgestelde vragen over toezichtaudit en hercertificering

Hoe vaak vinden toezichtaudits plaats?

Volgens ISO/IEC 17021-1 minstens eenmaal per kalenderjaar, behalve in het jaar van de hercertificering. De eerste toezichtaudit moet uiterlijk twaalf maanden na het certificeringsbesluit plaatsvinden.

Wat gebeurt er als de hercertificering niet op tijd plaatsvindt?

Dan verloopt het certificaat. Gedurende een beperkte tijd kan de certificeringsinstelling herstel mogelijk maken als openstaande punten worden opgelost. Tot die tijd is het certificaat geen geldig bewijs.

Hoe controleer ik of een certificaat echt en geldig is?

Let op de vervaldatum, het toepassingsgebied en de uitgevende instelling. Veel certificeringsinstellingen bieden een online opvraagmogelijkheid. Twijfelt u, vraag het dan rechtstreeks bij de instelling na met het certificaatnummer.

Is een toezichtaudit even uitgebreid als een hercertificering?

Nee. Een toezichtaudit is korter en toetst niet elk detail. Over de cyclus heen moeten echter alle essentiële gebieden aan bod komen. De hercertificering toetst daarentegen het hele systeem en eindigt met een nieuw certificaat voor drie jaar.

Kan een certificaat worden opgeschort of ingetrokken?

Ja. Constateert de certificeringsinstelling bij een audit ernstige afwijkingen, dan kan ze het certificaat opschorten of intrekken. Daarom loont het naast de vervaldatum ook te vragen of het certificaat actueel nog geldig is.