Wat kost ISO-certificering? Alle normen, alle kosten op een rij

Waarom is ISO 27001 of NEN 7510 duurder dan ISO 9001?

Omdat informatiebeveiliging omvangrijker is. Bij kwaliteit en milieu heb je aanzienlijk minder documentatie en onderwerpen. Organisatorische zaken, zoals leveranciers, taken en verantwoordelijkheden en het omgaan met wijzigingen, en risicomanagement zitten in alle normen.

Maar ISO 27001 en NEN 7510 vragen daarnaast veel aandacht voor de beheersing van technologie, en die blijft in de andere normen sterk onderbelicht. Je kijkt op verschillende lagen: software en applicaties, en de hardware eronder, zoals servers, netwerken, laptops, tablets en telefoons. Dan zijn er de maatregelen voor fysieke beveiliging. Die zijn minder belangrijk geworden, omdat weinig bedrijven nog eigen servers hebben, maar je moet ze wel uitwerken en registreren. En tot slot de menselijke maatregelen, zoals bewustwording. Vooral de technologische maatregelen maken het meer werk, en dus duurder.

Wat kost het om twee ISO-normen tegelijk te halen?

Haal je twee normen tegelijk, dan rekenen we 20% extra in plaats van twee keer de volle prijs. De tweede norm kost je zo zo'n 80% minder dan wanneer je hem los zou doen.

Dat komt doordat je veel kunt combineren: de analyse van belanghebbenden, het toepassingsgebied, de overlegstructuur, de bewustwordingssessies. En bij de interne audit toets je meerdere normen tegelijk. Zo levert het werk aan de eerste norm voordeel op voor de tweede.

Hoe bepaalt de certificerende instelling hoeveel audittijd je nodig hebt?

Certificerende instellingen houden zich aan een internationale standaard, die handvatten geeft voor de audittijd. Die is niet hard: de instelling bepaalt zelf een aantal variabelen, zoals de complexiteit en het risicoprofiel van je organisatie.

Een voorbeeld bij milieu: een groter bedrijf zonder gevaarlijke stoffen, met weinig uitstoot, een kleine kans op calamiteiten, een beperkt aantal relevante milieufactoren en mensen die grotendeels hetzelfde werk doen. Dat is minder complex, en heeft dus kans op minder audittijd dan een bedrijf van dezelfde omvang met gevaarlijke stoffen, meer verschillende functies en meerdere producten.

Wat kost het om je ISO-certificaat te houden?

Na het eerste jaar betaal je de certificerende instelling elk jaar voor een controle-audit, en in het vierde jaar voor de hercertificering (zie de tabel hierboven). Voor ISO 9001 bij 1 tot 25 medewerkers is dat € 1.750 per jaar, en € 2.325 voor de hercertificering.

Wil je hulp bij het onderhoud, dan kan dat van kwartaalgesprekken (€ 960 – € 1.380 per jaar) tot volledig beheer (€ 3.840 – € 5.520 per jaar). Lees meer bij je ISO-systeem laten onderhouden.

Wat levert ISO-certificering op?

Voor 85% van onze klanten is de aanleiding dat opdrachtgevers erom vragen of het eisen. Ruim 75% doet binnen een jaar zaken met opdrachtgevers die ISO als eis stellen.

Daarnaast levert gestructureerder werken direct iets op. Bij een klein adviesbureau werd 3,5% van de totale uren extra facturabel, na heldere afspraken over urenschrijven. Bij een klant met 11 tot 25 medewerkers daalde het aantal gepauzeerde projecten met 17%, door één vast overleg tussen sales, werkvoorbereiding en uitvoering.

Als indicatie: faalkosten, zoals herstelwerk, extra uren en klanten die afhaken, liggen bij veel MKB-bedrijven tussen 5% en 25% van de omzet. Met ISO 9001 is in het eerste jaar vaak 1% tot 3% van je omzet te winnen. Met ISO 14001 bespaar je, afhankelijk van waar je staat, 4% tot 10% op je energie-, materiaal- en afvalkosten. Wat het voor jouw bedrijf kan opleveren, zie je in de volwassenheidsscan.

Waarom blijven de onderhoudskosten van een ISO-systeem bij Pisotive laag?

Omdat we vanuit Lean werken: wat voegt echt waarde toe voor jouw klant, en voor diens klant? Daar zetten we op in. Wat alleen voor de norm moet, doen we zo efficiënt mogelijk.

Dat zie je terug in de omvang. We zien systemen met 10 tot 12 registers, bij bedrijven tot 50 medewerkers soms tot 20. Wij werken meestal met 3 tot 5: voor bedrijfsmiddelen, voor continue verbetering, en eventueel één voor incidenten. Aan documentatie zien we systemen oplopen tot meer dan 80 documenten; wij zijn meestal klaar met zo'n 15 voor ISO 9001 en rond de 25 voor ISO 27001.

En we schrijven nooit iets dubbel op. Er is één bron van waarheid: pas je één document aan, dan blijft de samenhang geborgd. Moet je bij één wijziging aan vijf documenten knutselen, dan is het foutgevoelig en arbeidsintensief.

Lean is maatwerk. Een klant had zijn proces tot in de puntjes ingericht in zijn ERP-systeem, inclusief alles wat erbij komt kijken, zichtbaar voor de mensen die het werk doen. Die kreeg van ons alleen beperkte processchema's: welke afdeling doet wat, en hoe hangt het samen. Verder uitwerken had geen zin, want het stond al in het systeem, en de resultaten waren goed: weinig klachten, weinig incidenten, weinig vastgelopen opdrachten.

Waar let je op als je de prijzen van ISO-adviseurs vergelijkt?

Kijk niet alleen naar de aanschafprijs, maar naar de totale kosten over een paar jaar. Er zijn altijd aanbieders die goedkoper zijn, en dat is prima. Maar let op drie dingen.

Is een documentatieset zo onduidelijk dat je er alsnog veel advies bij nodig hebt? Dan was hij niet goedkoper. Werk je met een systeem waarvan de licenties elk jaar doorlopen? Tel die mee. En hoeveel documenten en registers krijg je? Alles wat op papier staat, moet je onderhouden en tijdens een audit kunnen aantonen.

Wat krijg je bij zelf doen, en waarom kiezen de meeste bedrijven toch samen doen?

Bij zelf doen begint het met een korte intake: wat maakt jouw organisatie goed en bijzonder, wat vind je juist niet belangrijk, wat is je propositie, en wat zijn je plannen voor de komende jaren? Dat verwerken we in een vrij complete documentatieset, met een stappenplan van begin tot eind. Je maakt het zelf je eigen. Korte vragen zitten in de prijs; moeten we langskomen of meetings plannen, dan rekenen we dat apart.

De valkuil is dat het stagneert. ISO-certificering is een geduldig onderwerp: wat vandaag in de operatie speelt, krijgt voorrang. Daarom kiezen veel bedrijven voor samen doen. Dan nemen wij de regie in de afspraken en stellen we de vragen; je voorbereiding is beperkt. Na een gesprek leveren we de documentatie zo goed als af, met taken om intern te toetsen en informatie op te halen, zoals een lijst van bedrijfsmiddelen of het meten van klanttevredenheid. Bewustwordingssessies bereiden we voor, toegespitst op jullie; die geef je zelf. Bij laten doen geven we ze ook zelf.

Is er subsidie voor ISO-certificering?

Op dit moment niet. Maar subsidies veranderen. Van tijd tot tijd zijn er bijvoorbeeld subsidies voor het invoeren van bepaalde informatiebeveiligingsmaatregelen, of voor het houden van risicosessies. Het is altijd de moeite waard om daarnaar te kijken, want het kan een deel van de kosten teruggeven.

Waarom publiceert Pisotive zijn prijzen?

Omdat we transparant willen zijn. Dat is ook altijd de reden geweest om met vaste prijzen te werken: je moet weten waar je aan toe bent, en op onze afspraken kunnen bouwen. Dat is vanaf het begin ons standpunt geweest.

Het heeft wat langer geduurd om prijzen te publiceren, omdat er variabelen in zitten. Daarom hebben we een rekentool en een volwassenheidsscan gemaakt, waarmee je een heel aardig beeld krijgt van waar je aan toe bent. Een vanaf-prijs hebben we nooit gewild. Dat klinkt aardig en werkt misschien om aan tafel te komen, maar dan moet je mensen later teleurstellen.