Je 12-maanden roadmap naar volledige ISO-compliance

Twaalf maanden. Dat is de tijd die een gefocuste MKB-organisatie nodig heeft om van nul naar gecertificeerd te gaan voor een eerste ISO-norm — mits de aanpak gestructureerd is en er voldoende interne capaciteit wordt vrijgemaakt. Veel organisaties lopen vast omdat ze de implementatie ad hoc aanpakken: documentatie schrijven zonder structuur, risico’s beoordelen zonder kader, interne audits plannen in de week voor de externe audit. Dit artikel geef je een concrete, maandelijkse roadmap die de chaos vervangt door een heldere route naar certificering.

Randvoorwaarden voor succes

Voordat de klok begint te lopen, zijn er drie randvoorwaarden die bepalend zijn voor het slagen van het traject.

Commitment van de directie. ISO-normen vereisen aantoonbare betrokkenheid van het topmanagement. Dat is geen formaliteit: auditors controleren of de directie daadwerkelijk leiding geeft aan het managementsysteem. Zonder directiebesluit, toegewezen budget en regelmatige betrokkenheid loopt elk ISO-traject vast.

Een interne projecteigenaar. Wijs een medewerker aan die verantwoordelijk is voor de voortgang van het traject. Deze persoon hoeft geen ISO-expert te zijn, maar moet voldoende tijd hebben — reken op minimaal een dag per week gedurende het traject — en toegang tot alle relevante processen en medewerkers.

Een heldere scopekeuze. Bepaal van tevoren welke processen, diensten en locaties onder het certificaat vallen. Een te brede scope vergroot de werkdruk en de auditkosten; een te smalle scope kan commercieel minder waardevol zijn. Bespreek de scopekeuze met je toekomstige certificeringsinstantie voordat je begint.

De 12-maanden roadmap

Maand 1–2: Nulmeting en gap-analyse

De start van elk ISO-traject is inzicht krijgen in de huidige situatie. Wat heb je al? Wat ontbreekt? Waar zitten de grootste gaten?

Een gap-analyse vergelijkt je huidige praktijk met de eisen van de ISO-norm. Per clausule stel je vast: voldoen we al, voldoen we deels, of voldoen we niet? Het resultaat is een overzicht van wat er nog gebouwd moet worden — en dat bepaalt de planning voor de komende tien maanden.

Acties in deze fase:

• Selecteer de ISO-norm en bepaal de scope
• Voer de gap-analyse uit (intern of met externe begeleiding)
• Stel een projectplan op met mijlpalen, verantwoordelijken en deadlines
• Selecteer een certificeringsinstantie en vraag een indicatieve offerte op

Tip: Vraag je certificeringsinstantie al in deze fase om een pre-assessment of informeel gesprek. Zij kunnen bevestigen of je scope realistisch is en welke aandachtspunten zij verwachten bij de audit.

Maand 3–4: Documentatieopbouw

ISO-normen vereisen gedocumenteerde informatie — maar de hoeveelheid is minder dan veel organisaties denken. De norm schrijft geen dikke handboeken voor; het gaat om bewijsbaar en auditeerbaar beheer van informatie die je processen ondersteunt.

De kern van je documentatie bestaat uit:

Document	Doel
Beleidsverklaring	Commitment van directie vastleggen
Scope-document	Afbakening van het managementsysteem
Contextanalyse (clausule 4)	Interne en externe factoren, stakeholders
Risicoregister	Geidentificeerde risico’s en beheersmaatregelen
Procesdocumentatie	Beschrijving van kritische processen
Doelstellingen	Meetbare kwaliteits- of beveiligingsdoelen
Operationele procedures	Werkinstructies waar nodig

Gebruik templates als vertrekpunt en pas ze aan op je organisatie. Generieke documenten die niet aansluiten bij je praktijk leveren bevindingen op bij de audit.

Maand 5–6: Implementatie en bewustwording

Documentatie is niets waard als je medewerkers er niet mee werken. De implementatiefase draait om het verankeren van je processen in de dagelijkse praktijk.

Acties in deze fase:

• Train medewerkers op de relevante procedures en hun eigen verantwoordelijkheden
• Activeer het risicoregister en voer de eerste risicobeoordelingsronde uit
• Implementeer de beheersmaatregelen die uit de risicoanalyse voortkomen
• Start met het bijhouden van records (bewijzen dat processen worden uitgevoerd)

Dit is ook de fase waarin je merkt welke procedures theoretisch correct zijn maar in de praktijk niet werken. Pas ze aan. Een werkbare procedure die licht afwijkt van het ideaalplaatje is beter dan een perfecte procedure die niemand volgt.

Maand 7–8: Interne audit

De interne audit is de droogloop voor de externe audit. Een gekwalificeerde interne auditor controleert of je managementsysteem werkt zoals bedoeld en voldoet aan de norm-eisen.

Effectieve interne audits:

• Volgen een auditplan dat alle relevante clausules en processen dekt
• Worden uitgevoerd door iemand die onafhankelijk is van het te auditeren proces
• Resulteren in een auditrapport met bevindingen en aanbevelingen
• Leiden tot gedocumenteerde correctieve maatregelen

Plan de interne audit vroeg genoeg om bevindingen te kunnen opvolgen voordat de externe audit plaatsvindt. Een interne audit in maand zeven laat je zes weken voor de externe audit om verbeteringen te implementeren.

Maand 9–10: Correctieve maatregelen en verfijning

De interne audit levert bevindingen op. In maand negen en tien werk je de correctieve maatregelen af, verfijnt je je documentatie en bereidt je zich voor op de stage 1-audit.

De stage 1-audit is de documentatiebeoordeling door de externe certificeerder. De auditor beoordeelt of je managementsysteem op papier voldoet aan de norm. Bevindingen in de stage 1-audit geef je de kans om te corrigeren voordat de stage 2-audit (de feitelijke implementatieaudit) plaatsvindt.

Acties in deze fase:

• Verwerk alle correctieve maatregelen uit de interne audit
• Controleer je documentatieset op volledigheid en consistentie
• Bereid de directiebeoordeling voor (verplichte input voor de externe audit)
• Plan de stage 1-audit met je certificeringsinstantie

Maand 11–12: Externe audit en certificering

De stage 2-audit is de finale. De externe auditor bezoekt je organisatie, spreekt met medewerkers, bekijkt records en beoordeelt of je managementsysteem daadwerkelijk werkt zoals je hebt gedocumenteerd.

Bij een geslaagde audit zonder majeure bevindingen volgt aanbeveling voor certificering. Het certificaat wordt doorgaans binnen twee tot vier weken uitgereikt.

Bij majeure bevindingen krijg je de kans om binnen een afgesproken termijn te corrigeren voordat het certificaat wordt afgegeven. Zorg dat je weet welke bevindingen major zijn (niet-conformiteit die de effectiviteit van het systeem ondermijnt) en welke minor zijn (aandachtspunt zonder directe impact op certificering).

Samenvatting van de tijdlijn

Fase	Maand	Kernactiviteit
Nulmeting	1–2	Gap-analyse, projectplan, certificeerder selecteren
Documentatie	3–4	Beleid, procedures, risicoregister opbouwen
Implementatie	5–6	Training, records, beheersmaatregelen activeren
Interne audit	7–8	Auditcyclus uitvoeren, bevindingen documenteren
Correctie & verfijning	9–10	Maatregelen doorvoeren, stage 1-audit doorlopen
Externe audit	11–12	Stage 2-audit, certificering ontvangen

---

Klaar om te starten? Control One begeleidt MKB-organisaties door het volledige traject — van gap-analyse tot het moment dat het certificaat in handen is. Bekijk onze pakketten en plan een oriëntatiegesprek op de prijzenpagina.