Een eerste ISO 9001-certificering duurt voor een mkb-organisatie doorgaans vier tot negen maanden. Korter dan ISO 27001, omdat er geen risicoanalyse over informatiebeveiliging en geen Verklaring van Toepasselijkheid bij komt kijken. Wat de doorlooptijd echt bepaalt: hoeveel je al vastgelegd hebt en hoe snel je auditor kan plannen.
Tijdlijn per fase (typisch mkb-traject)
| Fase | Periode | Wat er gebeurt |
|---|---|---|
| Nulmeting & scope | Maand 1 | Vaststellen wat je al hebt en waar de gaten zitten. Met een AI-nulmeting kost dit dagen in plaats van weken. |
| Processen vastleggen | Maand 1-4 | Context en belanghebbenden bepalen, processen beschrijven, doelstellingen formuleren en documentatie op orde brengen. |
| Aantonen dat het draait | Maand 3-6 | Metingen, klanttevredenheid, afwijkingen en verbeteracties. De auditor wil bewijs uit de praktijk zien, niet alleen procedures. |
| Interne audit & directiebeoordeling | Maand 5-7 | Beide zijn verplicht vóór de certificatieaudit, en beide vragen dat er al iets te beoordelen valt. |
| Fase 1- en fase 2-audit | Maand 6-9 | Documentatiebeoordeling, daarna de implementatie-audit. Afwijkingen oplossen, dan het certificaatbesluit. |
Wat de klok echt bepaalt
De meeste vertraging zit niet in het schrijven maar in het wachten. Certificerende instellingen plannen vaak maanden vooruit, dus reserveer je audit zodra je planning staat. Daarnaast kun je een interne audit en directiebeoordeling niet vooruit doen: er moeten eerst processen gedraaid hebben waarover je iets kunt zeggen. Dat is de harde ondergrens van elk traject.
- Versnelt: een scherpe scope, bestaande documentatie hergebruiken, vaste uren per week in plaats van er tussendoor.
- Versnelt: meerdere normen combineren in één traject, want context, beleid, interne audit en directiebeoordeling zijn grotendeels gedeeld.
- Vertraagt: bewijs dat achteraf gereconstrueerd moet worden, want dat ziet een auditor.
- Vertraagt: een scope die alle vestigingen en diensten in één keer meeneemt.
Let op bij de planning
Reken op minimaal drie maanden tussen je eerste meting en de certificatieaudit, ook als je documentatie al klaar is. Die tijd heb je nodig om aan te tonen dat het systeem werkt.
Sneller en goedkoper dan een consultancytraject
Normy leest je documentatie, beoordeelt elke eis met onderbouwing en bron, en laat zien waar je staat. Je eerste hoofdstuk beoordeel je gratis.
Veelgestelde vragen
Alleen als je processen al beschreven zijn, je scope klein is en je auditor snel kan. Voor de meeste organisaties is vier tot negen maanden realistisch, vooral omdat je moet kunnen aantonen dat het systeem een tijdje heeft gedraaid.
Daar komen een risicobeoordeling over informatiebeveiliging, een Verklaring van Toepasselijkheid over 93 controls en technische maatregelen bij. Dat is meer werk en meer bewijs.
Afhankelijk van omvang: fase 1 vaak één dag, fase 2 één tot enkele dagen. Daarna volgen jaarlijkse controle-audits en na drie jaar een hercertificering.
Ja, en dat scheelt tijd. De gedeelde kern beoordeel je één keer, dus ISO 9001 en 14001 samen kosten aanzienlijk minder dan twee losse trajecten.
Gijs Meuleman
Oprichter van Normy
Gijs bouwde Normy vanuit omCode. Na jaren bedrijven te begeleiden bij hun ISO-trajecten, maakte hij de tool die hij zelf had willen hebben: minder papierwerk, meer overzicht.