Geen categorie

In deze blog zullen een aantal specifieke, en belangrijke, aspecten worden benoemd die boven op de eerder beschreven aspecten komen kijken als men een systeem voor het beheren van informatiebeveiliging wil inrichten dat de toets tegen de betreffende norm (ISO 27001) kan doorstaan.

Wil je in aanmerking komen voor een ISO certificaat voor een managementsysteem (geldt niet alleen voor het kwaliteitsbeheersysteem maar ook voor elk ander managementsysteem), dan zal je zelf het een en ander moeten beoordelen alvorens de certificerende auditor langs komt.

De moderne ISO normen zijn, zoals eerder genoemd, gebaseerd op de zogenaamde Harmonized Structure, HS. Dat betekent, dat ze gelijkvormig over hoofdstukken 4 t/m 10 beschikken en dat deze hoofdstukken in elke norm hetzelfde betekenen.

Als auditor kom je in veel organisaties twee gebieden tegen waar men het moeilijk mee heeft of die onvoldoende aandacht hebben gekregen. Dat zijn leveranciersmanagement (zie de volgende blog) en het managen van risico’s.

Een eis van de vernieuwde norm voor kwaliteitsmanagement is dat je je eigen organisatie moet doorgronden en de wensen en eisen van ‘belanghebbenden’ helder moet hebben. Uiteraard dient een en ander schriftelijk vastgelegd te worden, zowel voor jezelf (nuttig) als voor auditoren (belangrijk om aan te tonen dat je je huiswerk hebt gemaakt).

In een serie van 6 blogs zullen een aantal criteria worden belicht, die komen kijken als men een ISO certificaat wil of moet behalen. Deze verhalen richten zich voornamelijk tot ondernemers die een probleem hebben met ISO certificering en niet weten hoe ze het probleem moeten aanvliegen en wat hierbij komt kijken.