Certificering of assurance: wat past bij jouw organisatie?

Certificering: aantonen dat je aan een norm voldoet

Bij certificering beoordeelt een geaccrediteerde instelling of je voldoet aan een vastgesteld normenkader. Een bekend voorbeeld is ISO 27001 voor informatiebeveiliging.

Voldoet je organisatie aan de eisen? Dan ontvang je een certificaat. Dit certificaat wordt periodiek opnieuw beoordeeld om vast te stellen of je nog steeds aan de norm voldoet.

Kenmerken van certificering:

• De uitkomst is duidelijk: je voldoet wel of niet aan de norm.
• De beoordeling richt zich op de eisen uit het normenkader.
• Het certificaat dient als herkenbaar kwaliteits- of beveiligingskeurmerk.
• Certificering wordt vaak gevraagd bij aanbestedingen en in klanttrajecten.

Assurance: inzicht in beheersmaatregelen en werking

Bij assurance geeft een onafhankelijke auditor een oordeel over de beheersmaatregelen binnen je organisatie. Daarbij wordt gekeken naar de opzet, het bestaan en – afhankelijk van het type rapport – ook naar de werking van deze maatregelen.

Bekende voorbeelden zijn ISAE 3402- en SOC 2-rapportages.

Kenmerken van assurance:

• Het resultaat is een rapport met een onderbouwd oordeel van een onafhankelijke auditor.
• De auditor voert eigen werkzaamheden uit en volgt strikte onafhankelijkheidsregels.
• Klanten krijgen inzicht in welke beheersmaatregelen zijn onderzocht.
• De rapportage laat zien wat de resultaten zijn van de uitgevoerde controles.
• Bij een type II-rapport wordt ook beoordeeld of beheersmaatregelen gedurende een bepaalde periode effectief hebben gewerkt.

Wat is het verschil tussen certificering en assurance?

Het belangrijkste verschil is het soort zekerheid dat je biedt.

Een ISO 27001-certificaat laat zien dat je organisatie voldoet aan een norm voor informatiebeveiliging. Een assurance-rapport, zoals SOC 2 of ISAE 3402, geeft daarnaast inzicht in de specifieke beheersmaatregelen en de werking daarvan.

Daardoor zijn assurance-rapportages vaak waardevol voor klanten die risico's willen beoordelen voordat zij processen of diensten uitbesteden. Zij krijgen niet alleen bevestiging dat een norm wordt gevolgd, maar ook inzicht in hoe beheersing in de praktijk werkt.

Welke keuze past bij jouw organisatie?

De beste keuze hangt af van wat jouw klanten van je vragen.

Kies vaker voor certificering als:

• klanten vragen om een erkend keurmerk;
• een certificaat nodig is voor aanbestedingen;
• je wilt aantonen dat je voldoet aan een specifieke norm.

Kies vaker voor assurance als:

• klanten inzicht willen in beheersmaatregelen;
• klanten risico's binnen uitbestede processen willen beoordelen;
• je wilt laten zien hoe beheersing in de praktijk werkt.

In veel situaties vullen certificering en assurance elkaar juist aan. Certificering laat zien dat je voldoet aan een norm. Assurance biedt extra inzicht in de inrichting en effectiviteit van beheersmaatregelen.

Begin bij de informatiebehoefte van je klant

Twijfel je tussen certificering en assurance? Kijk dan eerst naar de informatiebehoefte van je belangrijkste klanten.

Willen zij vooral een erkend bewijs dat je aan een norm voldoet? Dan ligt certificering vaak voor de hand. Hebben zij behoefte aan meer inzicht in risico's en beheersmaatregelen? Dan sluit een assurance-rapport meestal beter aan.

Meer weten?

aaff is graag overal van betekenis. Twijfel je of certificering of assurance het beste aansluit bij jouw organisatie en de verwachtingen van je klanten? Neem dan contact op met onze specialisten.