Steeds meer bedrijven krijgen te maken met internationale standaarden. Bijna elke bedrijfsleider is de term ISO-normen al wel eens tegengekomen. Maar wat houden die normen nu precies in? En moet elk bedrijf ze wel echt naleven?
Wat zijn de ISO-normen?
De ISO-normen zijn internationale standaarden voor de optimalisatie van bedrijfsprocessen, opgesteld door de International Organization for Standardization. De leden van de ISO zijn afgevaardigden van nationale normalisatie-instituten zoals de Hoofdcommissie voor de Normalisatie van Nederland (NEN), en het Bureau voor Normalisatie in België (NBN). Deze afgevaardigden stellen de ISO-normen in consensus op. Deze overeenstemming wordt opgetekend in een Engelstalig document en te koop aangeboden door de ISO. Nationale organisaties bieden ook vertalingen aan. ISO-normen zijn geen wetten die een bedrijf verplicht moet volgen, maar ISO kan wel een houvast zijn voor het verbeteren van bijvoorbeeld kwaliteitsmanagement (ISO 9001), informatieveiligheidsmanagement (ISO 27001) en milieumanagement (ISO 14001). Er is bovendien ook de mogelijkheid om je te laten certificeren voor één of meerdere ISO-richtlijnen. Deze certificering is een soort keurmerk dat kan helpen bij het overtuigen van potentiële klanten om een bepaald product of dienst aan te schaffen. Zo kan een bedrijf zijn positie op de markt versterken.
Wat betekenen al die nummers?
Software als hulpmiddel om ISO-waardig te worden
Zodra een bedrijf een ISO-strategie heeft uitgewerkt, kan het een beroep doen op een groot aantal software-pakketten om deze strategie in de praktijk te brengen. Er bestaan specifieke ISO-software en kwaliteitsmanagement– en databeveiligingssystemen, maar ook een Document Management System kan een goede hulp zijn bij de uitvoering van een ISO-strategie, zeker als het om een DMS met QMS-module gaat. In de DMS Wijzer staat een vergelijking van pakketten en de functionaliteiten die kunnen helpen om ISO-waardig te worden.
Waar moet een bedrijf rekening mee houden bij het nastreven van een ISO-certificering?
Een bedrijf kan ervoor kiezen om zich niet te laten certificeren en de ISO-normen uitsluitend na te leven voor interne procesverbetering, maar voor bepaalde bedrijven kan juist een officiële certificering nuttig zijn. Certificering vergt wel een grotere inspanning en een grondigere naleving van de normen, maar het straalt een bepaalde kwaliteit uit naar de buitenwereld. Zeker als veel spelers in een bepaalde sector een ISO-certificering voor een bepaalde norm hebben, is het lastig voor een bedrijf om achter te blijven. Een bedrijf dat zich wil laten certificeren moet wel met een aantal dingen rekening houden.
Certificering is een lang en duur proces
Vóór een bedrijf zich volop in een ISO-certificeringsproces stort is het een goed idee om te bekijken in hoeverre de certificering echt noodzakelijk is. Het is namelijk een lang en vrij duur proces. Bovendien moet een bedrijf ook zorgen dat het de certificering behoudt, eenmaal ze is verkregen.
Er moet een ISO-strategie worden opgesteld
Een ISO-richtlijn bestaat niet uit eenduidige regeltjes, maar beschrijft enkele normen voor de uitwerking van een strategie. In die strategie legt een bedrijf bijvoorbeeld vast welke protocollen het gaat volgen om de kwaliteit van bedrijfsprocessen te blijven verzekeren, en hoe die kwaliteit beoordeeld en geëvalueerd zal worden. Elk bedrijf is natuurlijk anders, en de strategie zal dus enorm afhangen van het soort bedrijf, de klanten, de sectorgebonden regelgeving etc.
De ISO-normen worden regelmatig herzien
Elke 3 à 4 jaar wordt er gekeken of een richtlijn moet worden geoptimaliseerd. Als het ISO-comité beslist de norm aan te passen, wordt een proces in gang gezet. Dit proces duurt ongeveer drie jaar. Na die periode krijgt de geüpdate norm een nieuw versienummer. Zo vervangt de ISO 9001:2015 bijvoorbeeld de ISO 9001:2008. Een nieuwe versie betekent ook dat bedrijven met de oude versie wijzigingen moeten doorvoeren. Hiervoor hebben organisaties 3 jaar de tijd. De ISO 9001:2015 kwam in september 2015 uit, dus moesten bedrijven zich vóór september 2018 laten certificeren voor deze nieuwe versie. Een nieuwe certificering betekent uiteraard ook dat het proces opnieuw moet worden doorlopen. Dit gaat meestal wel een stuk sneller dan het initiële certificeringsproces. De kosten zullen ook een stuk lager liggen. 
Niet zomaar iedereen mag ISO-certificering uitvoeren
Niet alleen bedrijven worden goed gecontroleerd, ook de certificeringsbureaus zelf moeten een soort toestemming hebben om te mogen certificeren. Deze toestemming heet accreditatie en wordt door accreditatie-instellingen toegekend. De meeste certificeringsbureaus worden geaccrediteerd voor slechts enkele sectoren, maar erg grote bureaus zijn soms geaccrediteerd voor alle sectoren. 
Adviesbureaus kunnen een hulp zijn
Een certificeringsbureau keurt een bedrijf op basis van de ISO-richtlijnen, maar voor advies en hulp bij de uitwerking van een ISO-strategie doet een bedrijf het beste een beroep op een ISO-adviseur. Een certificeringsbureau mag namelijk geen advies geven en een adviesbureau is niet bevoegd om te certificeren. Dit is logisch: anders zou een bureau net dié gebreken kunnen blootleggen waarvoor zij de oplossing hebben. Een ISO-adviseur staat een bedrijf bij vanaf de uitwerking van de ISO-strategie tot en met raad over de voorzorgsmaatregelen die een bedrijf moet nemen voor het behoud van de certificering. De adviseur helpt bedrijven ook vaak bij de keuze voor de juiste software. Sommige bureaus ontwikkelen zelf applicaties of pakketten om ISO-waardig te worden, andere helpen een bedrijf bij de keuze voor bestaande software. De DMS Wijzer geeft een vergelijking tussen de verschillende softwarepakketten die een bedrijf helpen om ISO-waardig te worden.
Stappenplan voor een ISO-certificering
1. Informatie vergaren
De eerste stap naar ISO-certificering is pure informatievergaring. Normalisatie-instituten (zoals ISO, NEN, NBN, etc.) verkopen documentatie over verschillende ISO-normen voor elke norm en geven trainingen en algemeen advies. Voor meer specifiek advies kan een bedrijf bij een adviesbureau terecht.
2. Eerste gesprek met een certificeringsbureau
In een eerste gesprek informeert een certificeringsbureau naar hoe ver een bedrijf staat in het certificeringsproces voor een bepaalde norm. Het bureau mag zelf geen advies geven, dat is bij wet verboden. Wanneer een projectleider nog niet echt bekend is met het ISO-proces zal deze doorverwezen worden naar een normalisatie-instituut of een adviesbureau. Als het certificeringsbureau oordeelt dat het bedrijf goed genoeg voorbereid is, wordt een offerte opgesteld. De prijs van de offerte is gebaseerd op het aantal dagen dat een certificeringsbureau aan het werk gaat. Het aantal dagen dat een bureau nodig heeft hangt van de grootte en complexiteit van het bedrijf af. Een dag werk kost ongeveer 800 euro, en de meeste bedrijven hebben de diensten van het certificeringsbureau tussen de 2 en 6 dagen nodig. De kosten voor het certificeringsbureau kunnen dus onder de 2.000 euro vallen voor een heel klein bedrijf, en onder de 5.000 euro voor een middelgroot tot groot bedrijf. Bij een erg groot bedrijf kunnen de kosten echter oplopen tot meer dan 100.000 euro.
3. Nulmeting
Zodra het bedrijf de offerte heeft goedgekeurd kan er een nulmeting plaatsvinden. Het certificeringsbureau maakt zo duidelijk waar het bedrijf voldoet aan de ISO-norm die het wil behalen en waar het tekortschiet. Hiermee moet het bedrijf vervolgens aan de slag.
4. Uitwerken strategie
De zwakke punten die de nulmeting aangeeft moeten nu worden verbeterd. Dit gebeurt bij voorkeur aan de hand van een specifieke ISO-strategie. Een adviesbureau kan een bedrijf helpen bij het uitwerken van deze strategie.
5. Keuze software
Software kan van grote waarde zijn bij de uitvoering van je ISO-strategie. De keuze voor een geschikt systeem is dus van essentieel belang. Het is belangrijk om leveranciers te vragen in hoeverre hun software geschikt is voor het naleven van de beoogde ISO-norm, en of ze die software kunnen aanpassen aan een specifieke ISO-strategie.
6. Keuring
Nadat een bedrijf de ISO-strategie heeft toegepast volgt de tweede keuring. Als het certificeringsbureau oordeelt dat het bedrijf nu volledig voldoet aan de gewenste ISO-norm, dan krijgt dat bedrijf de ISO-certificering. Het mag deze certificering dan ook openbaar publiceren. Als er daarentegen nog steeds gebreken zijn, moet het bedrijf eerst opnieuw aanpassingen doen.
Let op: een ISO-certificering heeft een specifieke notatie. Een bedrijf mag enkel aangeven dat het gecertificeerd is met de naam van de norm, bijvoorbeeld “ISO 9001:2015” of “ISO 27001:2013”. Het ISO-logo zelf mag niet gebruikt worden om aan te geven dat een bedrijf ISO-waardig is. Ook varianten van het logo zijn niet toegestaan.
7. Jaarlijkse controle
Eenmaal een ISO certificering is verkregen, wil dit niet zeggen dat het ook permanent geldig blijft. Elk jaar moeten de bedrijven met certificeringen zich laten controleren. Als er iets bij een bedrijf niet in orde is, krijgt het een waarschuwing en 3 of 6 maanden de tijd om verbeteringen aan te brengen. De duur hangt af van de ernst van de gebreken. Als het bedrijf na deze tijd niet opnieuw ISO-waardig is, krijgt het een schorsing van 3 maanden. Na deze 3 maanden wordt er opnieuw gecontroleerd en als er dan nog gebreken zijn, wordt de certificering daadwerkelijk ingetrokken. Er is na intrekking van de certificering geen officiële wachttijd voor een heraanvraag, maar over het algemeen wachten bedrijven een jaar om opnieuw te beginnen met het certificeringsproces. Dit geeft tijd om de gebreken op te lossen.