Scope certificering omschrijven: tips en voorbeelden

Start u binnenkort met een certificeringstraject of bent u bezig met de voorbereiding? Dan moet het toepassingsgebied van de certificatie, ook wel de scope genoemd, zorgvuldig worden omschreven. In de scope staat welke activiteiten, producten, diensten en locaties binnen de certificering vallen. De scope-omschrijving moet duidelijk, volledig en niet misleidend zijn. Alles wat buiten het toepassingsgebied valt, wordt niet beoordeeld als onderdeel van de certificatieaudit. Wilt u weten hoe een certificeringstraject bij Brand Compliance start? Lees dan ook het stappenplan voor een certificeringstraject.

Wat is een scope? #

Een scope beschrijft de aard, omvang en grenzen van de certificering. Het is een tekstuele omschrijving van de activiteiten, processen, producten of diensten van de organisatie die binnen het toepassingsgebied van de certificatie vallen. Met een scope-omschrijving maakt een organisatie duidelijk welk deel van de organisatie is beoordeeld en gecertificeerd. Een goed afgebakend toepassingsgebied zorgt voor duidelijkheid, richting en focus. Formuleer de scope zo helder dat een derde partij direct begrijpt waarvoor het certificaat is verstrekt. In de scope moet duidelijk worden welke activiteiten, processen, producten of diensten voldoen aan de betreffende norm.

Het te certificeren managementsysteem wordt ingericht op basis van een vooraf gedefinieerd toepassingsgebied. Het toepassingsgebied van de certificatie wordt vastgesteld tijdens de aanvraag voor certificering. Op basis van de scope-omschrijving kan Brand Compliance beoordelen of de aanvraag past binnen het toepassingsgebied van haar accreditatie en of een voorstel kan worden uitgebracht.

Ondersteunende processen #

Het is niet altijd nodig om ondersteunende processen expliciet te benoemen in de scope-omschrijving, wanneer zij geen prominente rol hebben binnen het toepassingsgebied van de certificatie. Denk bijvoorbeeld aan marketing, HR of inkoop. Dat betekent niet dat deze processen per definitie buiten de certificering vallen. Wanneer een ondersteunend proces direct invloed heeft op het primaire proces, de dienstverlening of het product aan de klant, kan het wel relevant zijn voor het toepassingsgebied. Beschrijf daarom vooral de activiteiten, processen, producten of diensten die direct raken aan wat de organisatie levert en wat binnen het managementsysteem wordt beheerst.

Tips voor een duidelijke scope-omschrijving #

Bij het omschrijven van de scope is het belangrijk dat de tekst feitelijk, duidelijk en niet commercieel is. De volgende aandachtspunten helpen bij het formuleren van een goede scope-omschrijving:

• Zorg voor een duidelijke afbakening van het toepassingsgebied op basis van wat binnen het managementsysteem wordt beoordeeld.
• Beschrijf activiteiten, processen, producten of diensten concreet.
• Gebruik zo min mogelijk afkortingen.
• Vermijd dubbelzinnige of misleidende formuleringen.
• Gebruik geen subjectieve of commerciële kwalificaties, zoals “hoogwaardig”, “innovatief” of “marktleider”.
• Gebruik werkwoorden om duidelijk te maken wat de organisatie doet.

Bijvoorbeeld:

“Het verkopen en repareren van auto’s.”

In plaats van:

“Autodealer.”

Bij meerdere activiteiten is het verstandig om een duidelijke structuur te gebruiken. Daarmee voorkomt u dat het toepassingsgebied misleidend of dubbelzinnig kan worden geïnterpreteerd. Een scope kan in dat geval bijvoorbeeld met opsommingstekens worden opgebouwd:

“Informatiebeveiliging gerelateerd aan:

• het ontwikkelen, implementeren en beheren van software;
• het leveren van diensten voor beheer en ondersteuning;
• het beheren van klantdata binnen de overeengekomen dienstverlening.”

Scope-omschrijving voor een ISMS #

Bij een ISMS, een information security management system, is de scope-omschrijving extra belangrijk. De scope maakt duidelijk op welke informatie, processen, systemen, locaties en diensten het informatiebeveiligingsmanagementsysteem betrekking heeft.

Voorbeelden van een scope-omschrijving bij ISO 27001-certificering zijn:

“Informatiebeveiliging gerelateerd aan het ontwikkelen, implementeren en beheren van software voor het opslaan, bewaren en bewerken van medische gegevens ter ondersteuning van arbodienstverlening, inclusief het beheren van databases en servers in een extern datacenter binnen de EU.”

“Informatiebeveiliging gerelateerd aan het adviseren, ontwerpen, ontwikkelen, integreren, onderhouden en exploiteren van mobiele applicaties en webapplicaties voor het verwerken van persoonlijke gezondheidsinformatie en het leveren van bijbehorende externe hostingdiensten.”

Scope-omschrijving bij NEN 7510 #

Voor NEN 7510-certificering moet het toepassingsgebied van de certificatie duidelijk maken welke activiteiten, producten of diensten betrekking hebben op het beheer van persoonlijke gezondheidsinformatie. Wanneer onderdelen van het beheer van persoonlijke gezondheidsinformatie zijn uitbesteed, moet dit duidelijk blijken uit de scope-omschrijving. Ook moet de relatie met de toepasselijke beheersmaatregelen uit de Verklaring van Toepasselijkheid duidelijk zijn.

Een voorbeeld van een scope-omschrijving is:

“Informatiebeveiliging gerelateerd aan het opzetten, inrichten en beheren van ICT-omgevingen voor kantoorautomatisering waarin persoonlijke gezondheidsinformatie kan worden verwerkt, waarbij applicatiebeheer en opslag van persoonlijke gezondheidsinformatie deels zijn uitbesteed.”

Scope en de certificatieaudit #

De scope-omschrijving speelt een rol tijdens de voorbereiding en uitvoering van de certificatieaudit. Tijdens de fase 1-audit wordt onder meer beoordeeld of het managementsysteem voldoende is voorbereid en of het toepassingsgebied duidelijk is omschreven. Een duidelijke scope helpt om de audit goed af te bakenen en voorkomt onduidelijkheid over welke activiteiten, locaties, processen of diensten binnen de certificering vallen.

Conclusie #

Een goede scope-omschrijving maakt duidelijk welk deel van de organisatie binnen de certificering valt. De omschrijving moet feitelijk, concreet en niet misleidend zijn. Vermijd commerciële formuleringen en beschrijf vooral wat de organisatie doet, voor wie, waar en binnen welke grenzen.

Geen kennisartikelen missen? #

Vul uw gegevens in en ontvang regelmatig een update met onze nieuwste artikelen.