Eine Firma hilft Ihnen, Ihr Managementsystem aufzubauen. Sie kennt Ihre Umgebung, sie hat die Hälfte Ihrer Richtlinien geschrieben, und sie ist die naheliegende Wahl, um das Ergebnis zu zertifizieren. Dann stellen Sie fest, dass sie das nicht darf, und die Zertifizierung muss mit jemandem von vorn beginnen, der Ihre Organisation noch nie gesehen hat.
Das ist eine der teureren Überraschungen in der Compliance-Arbeit, und sie ist vollständig vermeidbar, wenn Sie die Regel kennen, bevor Sie unterschreiben.
Die Regel
ISO/IEC 17021-1 ist die Norm, nach der Zertifizierungsstellen selbst akkreditiert werden. Sie legt fest, wie sie aufgebaut sein müssen, wie sie Unparteilichkeit sicherstellen müssen und was sie nicht tun dürfen.
Kapitel 5.2.6 ist das entscheidende: Eine Zertifizierungsstelle darf kein Managementsystem zertifizieren, zu dem sie in den vergangenen zwei Jahren Beratung geleistet hat. Das gilt für die Stelle selbst und für jede Stelle unter derselben organisatorischen Kontrolle.
Die Begründung ist nicht bürokratisch. Ein Zertifizierungsaudit ist ein unabhängiges Urteil darüber, ob Ihr System der Norm entspricht. Wenn der Auditor das System entworfen hat, beurteilt er seine eigene Arbeit, und das Zertifikat ist kein Beleg mehr für irgendetwas, auf das sich ein Dritter verlassen kann. Der Wert des Zertifikats für Ihre Kunden beruht ganz darauf, dass der Auditor nicht am Bau dessen beteiligt war, was er bewertet.
Was als Beratung zählt
Mehr, als die meisten annehmen. Die Norm versteht darunter die Mitwirkung an Entwurf, Einführung oder Aufrechterhaltung des Managementsystems. In der Praxis:
- Ihre Richtlinien oder Verfahren für Sie schreiben
- Ihre Kontrollen entwerfen
- Ihre Methodik zur Risikobewertung aufbauen
- Als interner Auditor für das zu zertifizierende System tätig sein
- Konkrete Ratschläge oder Lösungen zur Umsetzung geben
Was keine Beratung ist: Schulung zur Norm selbst, sofern sie allgemein und nicht organisationsspezifisch ist; und die Audittätigkeit einschließlich der Feststellungen. Ein Auditor, der Ihnen sagt, dass eine Kontrolle fehlt, macht seine Arbeit. Ein Auditor, der Ihnen sagt, wie Sie den Ersatz gestalten sollen, nicht.
Diese Grenze zählt während des Auftrags. Auditoren, die Ihnen genau sagen, was Sie schreiben sollen, schaffen ein Problem für das Zertifikat, das sie gleich ausstellen werden, und ein guter Auditor lehnt das ab.
Wie das Ihren Einkauf prägt
Planen Sie mit zwei Lieferanten.
Die Vorbereitungsseite. Ein Berater, eine Beratungsfirma oder jemand im Haus baut das System: Lückenanalyse, Richtlinien, Kontrollen, Nachweissammlung, internes Audit. Das ist der größere Teil der Arbeit.
Die Zertifizierungsseite. Eine separate, akkreditierte Zertifizierungsstelle führt die Audits der Stufen 1 und 2 durch und stellt das Zertifikat aus. Ihre Aufgabe ist zu bewerten, nicht zu helfen.
Firmen, die beides anbieten, halten meist eine rechtliche und operative Trennung zwischen den beiden Bereichen, und diese Trennung muss die Akkreditierungsstelle überzeugen. Das kann legitim sein. Es lohnt sich trotzdem, direkt zu fragen: Wenn Ihr Beratungsbereich mit uns arbeitet, kann Ihr Zertifizierungsbereich uns innerhalb von zwei Jahren noch zertifizieren? Eine klare Antwort in die eine oder andere Richtung sagt etwas über die Firma.
SOC 2 ist ein anderes Regime mit ähnlicher Wirkung
SOC 2 ist eine Bescheinigung nach AICPA-Standards, keine ISO-Zertifizierung, also gilt 17021-1 nicht. Der AICPA Code of Professional Conduct gilt, und er kommt auf anderem Weg am selben Punkt an: Unabhängigkeitsregeln verbieten einer CPA-Firma, Arbeit zu prüfen, die sie selbst geleistet hat. Eine Firma, die Ihre Kontrollen entworfen und eingeführt hat, hat ein Unabhängigkeitsproblem, wenn sie sie bescheinigen soll.
Die praktische Antwort ist dieselbe. Trennen Sie, wer baut, von dem, der unterschreibt.
Was Sie vor der Unterschrift fragen sollten
Vier Fragen, in der Reihenfolge ihrer Bedeutung:
Sind Sie akkreditiert, und von wem? Für ISO 27001 wollen Sie eine Zertifizierungsstelle, die von einer nationalen Akkreditierungsstelle akkreditiert ist, die das multilaterale Abkommen des IAF unterzeichnet hat. Fragen Sie nach der Akkreditierungsnummer und prüfen Sie sie selbst im Register der Akkreditierungsstelle.
Haben Sie uns in den letzten zwei Jahren beraten? Auch über ein verbundenes Unternehmen. Wenn Ihr Beratungsauftrag bei einer Schwestergesellschaft unter derselben Mutter lag, fragen Sie ausdrücklich.
Wenn wir Ihren Beratungsbereich nutzen, schließt das Ihren Zertifizierungsbereich aus? Vorher fragen, nicht nachher.
Wer ist das Auditteam, und welche Qualifikationen hat es für dieses Framework und diese Branche? Unabhängigkeit ist eine Eigenschaft der Stelle; Kompetenz ist eine Eigenschaft der Personen. Beides muss stimmen.
Offenlegen, was Sie schon wissen
Gibt es frühere Arbeit, eine frühere Anstellung oder eine finanzielle Beziehung zwischen Ihrer Organisation und einem möglichen Auditor, sagen Sie es gleich am Anfang. Eine offengelegte Beziehung kann eine Zertifizierungsstelle bewerten und handhaben, und oft akzeptieren. Eine nicht offengelegte, die später ans Licht kommt, kann das Zertifikat entwerten, für das Sie bezahlt haben, und das Zertifikat war das Einzige, was Sie gekauft haben.