ISO-certificering voor een bedrijf met 51 tot 100 medewerkers: hoe pak je het aan?

Wie zit er aan tafel bij een ISO-traject voor 51 tot 100 medewerkers?

Meestal een team. Aan het begin de directeur of eigenaar, voor de kaders. Vaak wordt een medewerker aangewezen als coördinator of security officer, die een deel van die taken al in zijn pakket had, alleen nog niet onder certificering: rapportages maken, controles uitvoeren. Meestal iemand in de staf. Bij ISO 27001 is dat vaak degene die het IT-beheer of serverbeheer doet. Staffuncties krijgen er de tijd voor, omdat ze los staan van de dagelijkse operatie en planbare taken makkelijker oppakken.

Daarnaast spreken we de afdelingshoofden: het hoofd productie, het hoofd advies of de operationeel manager van een installatiebedrijf. We moedigen hen aan om op hun beurt met hun eigen afdeling in gesprek te gaan. Zo werkt het managementsysteem straks voor iedereen.

Wat verandert er tussen 26 tot 50 en 51 tot 100 medewerkers?

Het gesprek met de mensen past niet meer in één sessie, maar loopt over een aantal bijeenkomsten. Je haalt diversere input op, want elke afdeling heeft eigen onderwerpen.

Bij 26 tot 50 medewerkers is de dienstverlening vaak redelijk hetzelfde. Een groter bedrijf heeft vaak meerdere bedrijfsonderdelen die verschillende markten bedienen. Dan moet je differentiëren: andere procesbeschrijvingen met hun eigen bijzonderheden. Dat breng je wel weer samen in één directiebeoordeling, maar bijvoorbeeld de klachtenanalyse kost meer werk, omdat er meer verschillen zijn.

Hoe krijg je het middenmanagement mee in een ISO-traject?

Door met ze aan tafel te gaan, in kaart te brengen wat voor hen belangrijk is, en dat door te vertalen naar de andere afdelingen. Er is vaak wat verkokering ontstaan, soms een patstelling: ik heb dit nodig en jij dat, en je vindt elkaar niet meer.

Omdat we bedrijfskundige kennis hebben en onafhankelijk zijn van het bedrijf, kunnen we vaak stappen zetten waar het middenmanagement zelf niet in slaagt. We benadrukken het gezamenlijk belang van tevreden klanten en minder gedoe, en laten dat zien. Daar wordt het middenmanagement ook enthousiast van.

Heb je software nodig voor ISO bij 51 tot 100 medewerkers?

Het is geen must. Tot 50 medewerkers doen we de documentatie meestal gewoon in SharePoint of Google Docs. Dat is goed te overzien en sluit aan bij hoe mensen werken. Weinig mensen zitten te wachten op nog een extra systeem, dus we sluiten zoveel mogelijk aan bij wat er al is.

Tussen 50 en 100 medewerkers kan het wel een overweging zijn om een systeem te gebruiken dat helpt bij het coördineren van acties. Dat hangt af van hoe centraal je taken kunt beleggen en coördineren.

Hoe gaat de interne audit bij een bedrijf met 51 tot 100 medewerkers?

Die wordt uitgebreider. Je moet bij verschillende productcategorieën of soorten diensten langs, dus meer afdelingen interviewen: werken we zoals we het hebben opgeschreven en bedacht, en voldoet dat aan de norm?

De interne audit levert bij deze grootte ook meer bevindingen op. Waar je bij een klein bedrijf misschien 2 of 3 bevindingen hebt, kunnen dat er hier zomaar 4 tot 6 zijn. Daar is de interne audit ook voor: soms moet je zien hoe iets in de praktijk landt. Boven de 50 medewerkers laten we de interne audit waar nodig doen door een adviseur uit een andere regio. Lees hoe een interne audit uitbesteden werkt.

Wat levert ISO 9001 een bedrijf met 51 tot 100 medewerkers op?

Grip op verschillen tussen bedrijfsonderdelen. Bedien je verschillende markten, dan zijn de nuances anders, en ook wat de klanttevredenheid bepaalt kan per onderdeel verschillen. Zolang de dienstverlening hetzelfde is, houd je procesbeschrijvingen zoveel mogelijk gelijk. Bij echt verschillende bedrijfstakken splits je ze. Meer over de norm lees je bij ISO 9001.

Wat betekent ISO 14001 of de CO2-Prestatieladder voor een bedrijf met 51 tot 100 medewerkers?

Milieuaspecten verschillen per bedrijfsonderdeel, dus je splitst ook hier de processen meer. De inventarisatie van milieu-incidenten en noodsituaties kost meer werk, omdat er meer verschillen zijn. Lees meer bij ISO 14001 en de CO2-Prestatieladder.

Wat betekent ISO 27001 of NEN 7510 voor een bedrijf met 51 tot 100 medewerkers?

De complexiteit neemt verder toe. Het voordeel is dat je bij deze grootte meer expertise in huis hebt, vaak meerdere technische disciplines, dus de kennis is goed op orde. Wat we wel vaak zien: de registraties van controles en hun uitkomsten blijven achterwege. Daardoor krijg je geen zicht op trends: wat komt vaak terug, en hoe leren we daarvan?

Processen komen ook veel vaker voor. Bij een bedrijf van 10 man komt er misschien één keer per jaar iemand bij of gaat er iemand weg. Bij 51 tot 100 medewerkers zijn dat er 10 tot 15. Bij een klein bedrijf regelt één persoon alles voor een nieuwe medewerker, ook de toegangsrechten bij de leverancier. Hier gaat het langs HR, IT en de afdeling waar iemand komt te werken. Dat vraagt meer afstemming, en wellicht moet je het verder automatiseren.

Als security officer wordt vaak degene aangewezen die het IT-beheer of serverbeheer doet. Lees meer bij ISO 27001 en NEN 7510.

Wat betekent VCA of de Safety Culture Ladder voor een bedrijf met 51 tot 100 medewerkers?

Je doet meer projecten, dus er komen meer werkplekinspecties. Bij deze grootte kan het nuttig zijn om tooling te hebben om onveilige situaties te melden. Je wilt niet steeds achter 80 mensen aan zitten, of al die e-mails met de hand verwerken.

Een lichte app is genoeg, ook in de vorm van Microsoft Forms of Google Forms. Zo kunnen mensen onveilige situaties laagdrempelig melden, en leer je als organisatie sneller en breder hoe het veilig kan. Lees meer bij VCA en de Safety Culture Ladder.

Wat is de grootste valkuil bij ISO voor een bedrijf met 51 tot 100 medewerkers?

Geen goede planning maken, en geen rekening houden met de drukte in de afdelingen. Doet een organisatie het zelf, dan is de kans groot dat het verzandt in tegengestelde belangen. Certificering vraagt veel keuzes en afwegingen, en als je zoekend bent naar hoe de norm precies werkt, verzand je makkelijk in terugkerende discussies.

Vaak wordt iemand intern aangewezen en op een tweedaagse cursus gestuurd. Daar krijg je de basis van de norm mee, maar veel vraagt om interpretatie: wat is genoeg? Heb je dat niet bij verschillende bedrijven gedaan, dan wordt er vaak te veel beschreven en te veel beloofd. Al die documenten moet je onderhouden, en alles wat je op papier belooft, moet je tijdens een audit kunnen aantonen. Daar loopt het vaak spaak.

Ook in begeleide trajecten gaat het mis als de planning niet klopt. Maak aan de voorkant een goede planning, met de capaciteit en drukte van de teams erin. En kies geen auditmoment in of net na een piekperiode, want dan geeft de voorbereiding een hoop onnodige druk.

Hoe het bij andere bedrijfsgroottes gaat, lees je in het overzicht van ISO-certificering per bedrijfsgrootte.