Overweegt u certificering volgens een ISO-norm of andere norm, maar weet u nog niet zeker of uw managementsysteem voldoende is ingericht en geïmplementeerd? Een ISO-gap-analyse geeft inzicht in de mate waarin uw huidige managementsysteem aansluit op de afgesproken eisen van de betreffende norm.
De gap-analyse vindt plaats vóór het formele certificatietraject. Tijdens de beoordeling wordt vastgesteld voor welke normeisen relevante bewijzen beschikbaar zijn en op welke onderdelen verdere inrichting of implementatie nodig kan zijn. Zo krijgt uw organisatie een duidelijker beeld van de huidige situatie voordat u certificering aanvraagt.
Een gap-analyse kan worden uitgevoerd voor verschillende ISO-normen en andere managementsysteemnormen. De toepasselijke norm, het beoogde toepassingsgebied en de diepgang van de beoordeling worden vooraf met uw organisatie afgestemd. Bekijk hieronder voor welke normen een gap-analyse kan worden uitgevoerd.
Een gap-analyse is een vrijwillige beoordeling. De beoordeling vervangt de formele certificatieaudit niet en biedt geen garantie dat uw organisatie vervolgens een certificaat behaalt.
Bespreek uw gap-analyse met Brand Compliance
Wat is een ISO-gap-analyse?
Een ISO-gap-analyse is een beoordeling waarbij de huidige inrichting en implementatie van een managementsysteem worden vergeleken met de afgesproken eisen van een ISO-norm of andere norm. Deze beoordeling wordt ook wel een ISO-nulmeting genoemd. Het doel is om inzichtelijk te maken welke verschillen bestaan tussen de huidige situatie binnen uw organisatie en de eisen waaraan u wilt voldoen. Afhankelijk van het afgesproken toepassingsgebied en de gewenste diepgang kunnen onder meer gedocumenteerde informatie, processen, verantwoordelijkheden, managementsysteemactiviteiten en beschikbare bewijzen worden beoordeeld. De uitkomst is een momentopname van het managementsysteem op het moment van de beoordeling. Uw organisatie kan de bevindingen gebruiken om zelf te bepalen welke acties nodig zijn voordat het formele certificatietraject wordt gestart.
Wanneer is een gap-analyse zinvol?
Een gap-analyse kan relevant zijn wanneer:
- uw organisatie certificering overweegt, maar nog geen formele certificatie-aanvraag heeft ingediend;
- een managementsysteem is ingericht, maar niet duidelijk is in hoeverre dit aansluit op de toepasselijke normeisen;
- beleid, processen en beheersmaatregelen aanwezig zijn, maar gedocumenteerde informatie of bewijzen van implementatie mogelijk nog niet volledig zijn;
- uw organisatie vóór het certificatietraject een onafhankelijke beoordeling wil laten uitvoeren;
- uw organisatie voor het eerst een managementsysteemnorm implementeert;
- een bestaand managementsysteem wordt uitgebreid met een aanvullende norm;
- meerdere managementsystemen worden geïntegreerd;
- uw organisatie aandachtspunten wil identificeren voordat certificering wordt aangevraagd.
Een ISO-nulmeting of gap-analyse is niet verplicht voor certificering. Organisaties die van mening zijn dat hun managementsysteem voldoende is ingericht en geïmplementeerd, kunnen direct een certificatietraject aanvragen. Lees meer over de stappen in ons stappenplan voor het certificeringstraject.
Voor welke normen kan een gap-analyse worden uitgevoerd?
Een gap-analyse kan worden uitgevoerd op basis van verschillende ISO-normen en andere normen of certificatie-eisen. Afhankelijk van het gewenste toepassingsgebied kan de beoordeling onder meer betrekking hebben op:
- ISO/IEC 27001 voor informatiebeveiligingsmanagementsystemen;
- NEN 7510 voor informatiebeveiliging in de zorg;
- ISO 9001 voor kwaliteitsmanagementsystemen;
- ISO 14001 voor milieumanagementsystemen;
- ISO/IEC 19770-1 voor IT-assetmanagementsystemen;
- ISO 22301 voor bedrijfscontinuïteitsmanagementsystemen;
- ISO/IEC 27701 voor privacy-informatiemanagementsystemen.
Aanvullende normen, beheersmaatregelen of schema-eisen kunnen in de beoordeling worden opgenomen wanneer deze binnen de dienstverlening van Brand Compliance vallen.
Heeft uw organisatie een geïntegreerd managementsysteem? Dan kunnen meerdere normen binnen één gap-analyse worden beoordeeld, voor zover een gecombineerde beoordeling praktisch uitvoerbaar is en hierover vooraf afspraken zijn gemaakt.
Wat kan tijdens een gap-analyse worden beoordeeld?
De inhoud van de gap-analyse is afhankelijk van de gekozen norm, het beoogde toepassingsgebied en de afgesproken diepgang. De beoordeling kan onder meer betrekking hebben op:
- de context van de organisatie en relevante belanghebbenden;
- het beoogde toepassingsgebied en de grenzen van het managementsysteem;
- leiderschap, beleid, rollen en verantwoordelijkheden;
- risico’s, kansen en toepasselijke eisen;
- doelstellingen en de plannen om deze te behalen;
- beschikbare middelen, competenties en bewustzijn;
- interne en externe communicatie;
- de beheersing van gedocumenteerde informatie;
- de inrichting en implementatie van relevante processen en beheersmaatregelen;
- monitoring, metingen en prestatiebeoordeling;
- uitgevoerde interne audits;
- de directiebeoordeling;
- de behandeling van afwijkingen en continue verbetering.
Niet ieder onderdeel is op dezelfde manier van toepassing op iedere norm. De beoordelingscriteria worden daarom vastgesteld op basis van de eisen van de gekozen norm en het afgesproken toepassingsgebied.
Hoe wordt een gap-analyse uitgevoerd?
De uitvoering van een gap-analyse bestaat uit drie hoofdfasen. De precieze invulling is afhankelijk van de gekozen norm, het toepassingsgebied en de afgesproken diepgang.
Afstemmen
Brand Compliance stemt met uw organisatie af welke norm en welk beoogd toepassingsgebied worden beoordeeld. U kunt aangeven welke onderdelen extra aandacht moeten krijgen. Ook wordt afgesproken of de beoordeling op locatie, op afstand of met een combinatie van beide auditmethoden plaatsvindt.
Beoordelen
De auditor beoordeelt het managementsysteem ten opzichte van de toepasselijke normeisen. Afhankelijk van de afgesproken omvang worden gedocumenteerde informatie en beschikbare bewijzen onderzocht en gesprekken gevoerd met het management en medewerkers.
Rapporteren
De bevindingen, observaties en conclusies worden vastgelegd in een rapport. De auditor geeft algemene informatie over het certificatietraject en kan een inschatting maken van de termijn waarop uw organisatie klaar kan zijn om met het certificatietraject te starten.
Is een gap-analyse onderdeel van het certificatietraject?
Nee. Een gap-analyse is een vrijwillige beoordeling die vóór het formele certificatietraject wordt uitgevoerd. Het is geen certificatieaudit en de beoordeling leidt niet tot een certificatiebeslissing of certificaat.
De gap-analyse vervangt niet:
- de interne audits van uw organisatie;
- de directiebeoordeling;
- fase 1 van de initiële certificatieaudit;
- fase 2 van de initiële certificatieaudit;
- de onafhankelijke certificatiebeslissing.
De bevindingen uit een gap-analyse bieden geen garantie dat het managementsysteem tijdens de certificatieaudit aan alle toepasselijke eisen voldoet. Tussen beide beoordelingen kan het managementsysteem veranderen. Daarnaast kunnen tijdens de certificatieaudit andere steekproeven worden geselecteerd en aanvullende bewijzen worden beoordeeld.
Wat is het verschil tussen een gap-analyse en een fase 1-audit?
| Gap-analyse | Fase 1 van de certificatieaudit |
|---|---|
| Vrijwillige beoordeling | Verplicht onderdeel van de initiële certificatieaudit |
| Wordt uitgevoerd vóór het formele certificatietraject | Wordt uitgevoerd als onderdeel van het formele certificatietraject |
| Geeft een momentopname van het huidige implementatieniveau | Beoordeelt onder meer of de organisatie gereed is voor fase 2 |
| Het toepassingsgebied en de diepgang worden specifiek voor de gap-analyse afgesproken | De auditdoelstellingen en auditactiviteiten volgen uit de certificatie-eisen |
| Leidt niet tot een certificatiebeslissing | Levert auditresultaten op die onderdeel worden van het certificatiedossier |
| Vervangt fase 1 en fase 2 niet | Wordt gevolgd door fase 2 wanneer het certificatietraject kan worden voortgezet |
Een gap-analyse mag daarom niet worden beschouwd als fase 1 van de initiële certificatieaudit of als vervanging van de initiële certificatieaudit.
Wat kost een ISO-gap-analyse?
De duur en kosten van een gap-analyse zijn afhankelijk van het gewenste toepassingsgebied en de afgesproken diepgang. Hierbij wordt onder meer gekeken naar:
- de gekozen norm of combinatie van normen;
- het beoogde toepassingsgebied van het managementsysteem;
- het aantal medewerkers en locaties binnen het toepassingsgebied;
- de aard en complexiteit van de processen;
- de complexiteit van de IT-omgeving;
- het huidige implementatieniveau;
- de hoeveelheid gedocumenteerde informatie die moet worden beoordeeld;
- de gewenste diepgang van de beoordeling;
- uitvoering op locatie, op afstand of met een combinatie van beide methoden.
Op basis van een eerste kennismaking kan Brand Compliance de passende omvang van de beoordeling bepalen en een offerte opstellen.
Bespreek uw gap-analyse
Wilt u uw managementsysteem onafhankelijk laten beoordelen voordat u een certificatietraject aanvraagt? Tijdens een vrijblijvende kennismaking bespreken wij de toepasselijke norm, het beoogde toepassingsgebied, de gewenste diepgang en de informatie die nodig is om een offerte op te stellen.
Plan een vrijblijvende kennismakingVeelgestelde vragen over gap-analyses
Een ISO-gap-analyse vergelijkt de huidige inrichting en implementatie van een managementsysteem met de afgesproken eisen van een ISO-norm. De beoordeling maakt inzichtelijk voor welke normeisen relevante bewijzen beschikbaar zijn en op welke onderdelen verdere inrichting of implementatie nodig kan zijn.
De termen gap-analyse en nulmeting worden vaak voor hetzelfde type beoordeling gebruikt. In beide gevallen wordt de huidige situatie vergeleken met de eisen van een norm. Brand Compliance gebruikt de term gap-analyse voor deze onafhankelijke beoordeling voorafgaand aan het certificatietraject.
Een gap-analyse kan onder meer betrekking hebben op ISO/IEC 27001, NEN 7510, ISO 9001, ISO 14001, ISO 22301 en ISO/IEC 27701. Andere normen of schema-eisen kunnen worden opgenomen wanneer deze binnen de dienstverlening van Brand Compliance vallen.
Nee. Een gap-analyse is een vrijwillige beoordeling vóór het formele certificatietraject. Een organisatie die van mening is dat het managementsysteem voldoende is ingericht en geïmplementeerd, kan direct certificering aanvragen.
Een gap-analyse is een vrijwillige beoordeling die vóór het certificatietraject plaatsvindt. Fase 1 is een verplicht onderdeel van de initiële certificatieaudit en beoordeelt onder meer of de organisatie gereed is voor fase 2. Een gap-analyse vervangt de fase 1-audit niet.
Nee. De gap-analyse is een momentopname op basis van het afgesproken toepassingsgebied, de gekozen diepgang, geselecteerde steekproeven en beschikbare bewijzen. De uitkomst garandeert niet dat tijdens een latere certificatieaudit aan alle toepasselijke eisen wordt voldaan.
Nee. De interne audit is een vereiste managementsysteemactiviteit en moet door of namens de organisatie worden uitgevoerd. Een gap-analyse door Brand Compliance vervangt het interne auditprogramma of de directiebeoordeling niet.
Brand Compliance kan bevindingen toelichten en algemene informatie geven over het certificatietraject. Als onafhankelijke certificerende instelling ontwerpen of implementeren wij geen processen, documenten of beheersmaatregelen om vastgestelde hiaten op te lossen. Uw organisatie bepaalt zelf welke acties nodig zijn of schakelt hiervoor een onafhankelijke managementsysteemadviseur in.
Meerdere managementsysteemnormen kunnen worden gecombineerd wanneer de managementsystemen zijn geïntegreerd en een gecombineerde beoordeling praktisch uitvoerbaar is. De normen, het toepassingsgebied en de diepgang worden vooraf afgesproken.
De duur is afhankelijk van de gekozen norm, het beoogde toepassingsgebied, het aantal locaties, de complexiteit van de organisatie, de beschikbare gedocumenteerde informatie en de gewenste diepgang. Brand Compliance bepaalt de verwachte beoordelingstijd nadat deze factoren met uw organisatie zijn besproken.
De benodigde informatie is afhankelijk van de gekozen norm en het afgesproken toepassingsgebied. Denk bijvoorbeeld aan het beoogde toepassingsgebied, beleid, doelstellingen, rollen en verantwoordelijkheden, procesbeschrijvingen, risicobeoordelingen, behandelplannen, procedures, registraties, interne auditresultaten en resultaten van de directiebeoordeling. Brand Compliance bevestigt vooraf welke informatie nodig is.
-
Bart Versluijs
Accountmanager
-
Jade Reilink
Accountmanager