Direct antwoord
Bij een zelfverklaring (self-assessment) verklaart de organisatie zélf dat ze aan een norm werkt of voldoet, zonder onafhankelijke toetsing; een certificaat is het oordeel van een geaccrediteerde certificerende instelling na een echte audit. De zelfverklaring is goedkoper en soms een bewuste tussenstap (of de bedoelde vorm, zoals bij ISO 26000), maar heeft in tenders en klantbeoordelingen beperkte waarde: wie 'ISO 27001-compliant' claimt zonder certificaat, krijgt de vragenlijsten en audits alsnog, per klant opnieuw.
“Wij voldoen aan ISO 27001” kan twee heel verschillende dingen betekenen: een onafhankelijk getoetst feit, of een eigen inschatting. Het verschil bepaalt wat de uitspraak waard is op het moment dat het ertoe doet: in de tender, de klantaudit of na een incident.
De twee vormen naast elkaar
| Zelfverklaring | Geaccrediteerd certificaat | |
|---|---|---|
| Wie oordeelt | De organisatie zelf | Onafhankelijke, geaccrediteerde instelling |
| Toetsing | Eigen beoordeling | Stage 1 + 2-audit, jaarlijkse controles |
| Kosten | Alleen interne inspanning | Plus auditkosten (MKB: enkele duizenden per jaar) |
| Waarde in tenders | Beperkt tot nihil bij eis ‘gecertificeerd’ | De standaard die gevraagd wordt |
| Bij klant-due-diligence | Vragenlijsten en audits per klant opnieuw | Certificaat plus VvT beantwoordt het gros |
| Onderhoudsprikkel | Geen externe stok | Jaarlijkse audit houdt het systeem scherp |
Wanneer een zelfverklaring zinvol is
Drie situaties: als bewuste tussenstap (het systeem draait, certificering staat gepland; de zelfverklaring met een gap-assessment overbrugt richting klanten), voor normen zonder certificatie (ISO 26000/MVO, waar de zelfverklaring de officiële vorm is), en voor interne richtsnoeren (werken “in de geest van” een norm zonder marktvraag). In alle andere gevallen is de eerlijke rekensom: de zelfverklaring bespaart de auditkosten, maar verplaatst de bewijslast naar elke individuele klantrelatie, en tien ingevulde security-vragenlijsten per jaar kosten meer dan één audit.
De valkuil: de gekochte ‘verklaring’
Tussen zelfverklaring en geaccrediteerd certificaat zit een grijze markt van niet-geaccrediteerde ‘certificaten’ en ‘conformiteitsverklaringen’, soms binnen een week geleverd. Die combineren de kosten van certificering met de waarde van een zelfverklaring: bij de eerste serieuze controle (RvA-register, IAF-database) valt het document door de mand, mét reputatieschade. Zie het accreditatie-artikel: het logo van de RvA (of buitenlands equivalent) is de scheidslijn die telt.
Zo werkt dit in Control One
In de portal beheer je meerdere normen in één omgeving; overlappende onderdelen stel je maar één keer op.
Veelgestelde vragen
Mag je zeggen dat je 'ISO 27001-compliant' bent zonder certificaat?
Je mag claimen dat je vólgens de norm werkt, zolang je niet suggereert gecertificeerd te zijn: 'gecertificeerd' claimen zonder certificaat is misleidend en levert problemen op bij elke due diligence. Wees precies in de formulering ('wij werken conform ISO 27001; certificering is gepland voor...') en verwacht dat serieuze klanten bewijs willen zien: juist dan begint het gesprek dat het certificaat had voorkomen.
Voor welke normen is een zelfverklaring de bedoelde vorm?
ISO 26000 (maatschappelijke verantwoordelijkheid) is bewust niet certificeerbaar; daar is de zelfverklaring (in Nederland vaak volgens NPR 9026) de officiële route. Voor managementsysteemnormen als ISO 9001 en 27001 is certificering de norm en de zelfverklaring hooguit een tussenstation.