Implementatie combinatie iso 9001 en iso 27001

We gaan in dit artikel in op een gecombineerde certificatie voor ISO 9001 (kwaliteit) en ISO 27001 (informatiebeveiliging). Wat geldt voor deze combinatie, zal waarschijnlijk ook gelden voor andere combinaties met ISO 9001.
ISO 9001 is te beschouwen als de moeder van alle managementsystemen. ISO 9001 is in opzet generiek. De proceskwaliteit staat centraal. Maar ook voor informatiebeveiliging, milieu, arbo of maatschappelijk verantwoord ondernemen geldt dit. Daar gaat het eveneens om de continue verbetering van de proceskwaliteit, ook in het geval van afwijkingen en veranderingen. Altijd gaat het over: “Zeg wat je doet, doe wat je zegt en laat zien dat je dat gedaan hebt”. En in alle gevallen wordt uitgegaan van een risk based aanpak. In principe kun je dan ook volstaan met slechts één risicoanalyse. Het gaat immers om de beheersing van de bedrijfsrisico’s, wat vaak vraagt om (een combinatie van) maatregelen uit verschillende aspectgebieden (kwaliteit, informatiebeveiliging, milieu enzovoort). Hiermee zijn we echter meteen bij de eerste valkuil aangekomen.

Uitvoering van de business risk assessment

Veel managers en medewerkers op de aspectgebieden van kwaliteit, informatiebeveiliging en andere zijn specialisten op hun aspectgebied. Ze zijn over het algemeen rule-based en niet risk-based opgeleid. Dat geldt zeker voor kwaliteitsmanagers. Het risico van ‘geen kwaliteit’ is immers evident. Kwaliteitsmanagers zijn zeker niet gewend in termen van risico’s te denken. En verwar risk-based daarbij niet met het technisch kunnen uitvoeren van een risicoanalyse op basis van kans en impact. Ook dat is een rule-based benadering.
Een beoogde verbetering van de nieuwe ISO-normen is, dat de business risks het uitgangspunt vormen, zodat ook directie aanhaakt in het proces van continu verbeteren en dit zelfs actief gaat initiëren en stimuleren. Dat is een geheel andere weg dan die van vroeger, die van het (vaak moeizaam) verkrijgen van commitment. Commitment betekende meestal niet meer dan dat de directie niet tegen was.

Op directieniveau praten over bedrijfsrisico’s, vraagt echter meer van de kwaliteitsmanager of de security officer dan het technisch uitvoeren van een risicoanalyse of het tonen van kwaliteiten op een aspectgebied. Op directieniveau gaat het over alle bedrijfsrisico’s op in principe alle aspectgebieden en over het algemeen ook over risico’s die moeilijk zijn te kwantificeren. Immers niet alleen directe schade komt aan de orde, ook gevolgschade. Denk hierbij aan reputatieschade of bedreigingen voor de bedrijfscontinuïteit. (Zie ook ‘Hoe zorgen we voor een managementsysteem dat passend is voor onze organisatie’.)
Als een kwaliteitsmanager of security officer niet op directieniveau de risico’s kan bespreken, dan zal het managementsysteem nooit het niveau halen waarop het een middel voor risicobeheersing wordt, zoals dat in de norm als doelstelling wordt beschreven. Uiteraard zal het dan ook niet op de steun van de directie kunnen rekenen. In feite verandert er dan niets in vergelijking met de oude norm.

Begin niet met ISO 9001

De tweede valkuil is, dat je begint met kwaliteit ofwel ISO 9001. ISO 9001 is te generiek en de maatregelen hebben onvoldoende diepgang om aan de eisen van een ander managementsysteem te voldoen. Er zitten bijvoorbeeld in ISO 9001 wel mechanismen om met afwijkingen en veranderingen om te gaan, maar deze zijn top down en statisch.
ISO 27001 eist, dat je met alle afwijkingen (incidenten) op een goede manier om gaat. Binnen ISO 9001 is de procedure alleen gericht op het afhandelen van klachten. De procedure voor klachtafhandeling is daarom niet bruikbaar voor ISO 27001, terwijl omgekeerd de procedure voor incidentafhandeling uit de ISO 27001 zonder problemen bruikbaar is voor ISO 9001. Hetzelfde geldt voor het omgaan met veranderingen. ISO 9001 gaat alleen over grote veranderingen, die in termen van doelstellingen ingepast moeten worden in het managementsysteem. ISO 27001 eist, dat je op een goede manier omgaat met alle veranderingen, klein en groot. Niet elke verandering leidt tot gewijzigde doelstellingen, maar behoeft wel een operationele procedure (wijzigingsprocedure) die bruikbaar is voor alle veranderingen.

Ook geeft ISO 9001 weinig ondersteuning op maatregelenniveau. Steeds moet je zelf het wiel weer uitvinden. ISO 27001 bevat een bijlage met 114 controls. Hiervan kun je de toepasselijkheid bepalen voor je organisatie. Dat betekent dat ze dus niet alle 114 verplicht zijn. Veel van deze controls zijn generiek voor een managementsysteem en dus ook passend voor de ISO 9001. Omgekeerd is dit niet het geval. Vaak zijn de controls van ISO 9001 toegespitst op kwaliteit, zodat ze voor bijvoorbeeld ISO 27001 nog een nadere uitwerking behoeven.

Onze ervaring in de praktijk is dan ook, dat wanneer je eerst ISO 27001 uitwerkt en daarna ISO 9001, er voor ISO 9001 nog een extra inspanning nodig is van 20-30%. Kies je voor de omgekeerde route, dan betekent dit dat een extra inspanning nodig is van 70-80%. Ons advies is daarom, dat als je kiest voor een gecombineerde implementatie, niet te beginnen met het uitwerken van ISO 9001. Alleen wanneer je begint met ISO 27001, heb je voordeel van de gemeenschappelijke High Level Structure.

Aanpak voor een gecombineerde implementatie

Kader heeft met name veel ervaring bij kleinere en grotere organisaties. De volgende aanpak is nadrukkelijk bedoeld voor dergelijke bedrijven. Het is een variant op de  door ons beschreven aanpak van ISO 27001. (Zie ook ‘Binnen drie maanden een ISO 27001 certificaat halen’.)
Als we beginnen met ISO 27001, kunnen we in 5 sessies van een dagdeel (met voor beide partijen een dagdeel huiswerk per sessie) de PLAN-fase doorlopen. De combi met ISO 9001 levert 2 extra dagdelen op. Met een frequentie van één dagdeel per week vergt dit dus een kleine twee maanden.
De DO-fase betreft over het algemeen het aanpassen van door ons ontwikkelde voorbeelddocumenten aan de eigen organisatie (taak security officer) en het implementeren van een viertal mechanismes. Meestal vergt dit 1-2 maanden. Hierbij zijn wij op afroep beschikbaar.
Tegelijkertijd kan de kwaliteitsmanager zijn extra deel uitvoeren. Globaal betreft dit het opzetten, bepalen of beheren van:

• kwaliteitsdoelstellingen;
• een expliciet procesmodel (impliciet al aanwezig binnen ISO 27001);
• de organisatiestructuur;
• taken, verantwoordelijkheden en bevoegdheden (deels al aanwezig binnen ISO 27001);
• een competentie matrix (deels al aanwezig binnen ISO 27001);
• het programma interne audits (grotendeels al aanwezig binnen ISO 27001);
• registraties;
• inkoopbeleid;
• klanttevredenheid.

De CHECK bestaat uit de uitvoering van de interne audit. Uitgangspunt is vaak weer ISO 27001, aangevuld met de specifieke punten van ISO 9001. De ACT fase bestaat uit de directiebeoordeling en de goedkeuring van het bijgestelde verbeterplan. De uitbreiding naar ISO 9001 vergt doorgaans nauwelijks meer tijd. Integendeel zelfs.

Omdat ISO 27001 procedures bevat voor het afhandelen van incidenten en wijzigingen met impact analyses om risico’s ook van dag tot dag te beheersen, zijn er in de praktijk meestal minder interne audits nodig, zodat hier per saldo vaak tijdwinst behaald kan worden.