Certificeren 2025: vooruitkijken en daarom voortdurend verbeteren

Certificeringen in de IT-branche: een verplicht nummer of een kans om je hoge kwaliteitsstandaard te laten zien? Makkelijk is het nooit. We weten allemaal dat het audit-proces een behoorlijke aanslag op de tijd en inspanning van een organisatie kan zijn. Maar voor XIXO staat het nut buiten kijf.

Een certificering is een vorm van ‘social proof’: je kunt zelf zo hard roepen als je wilt dat je de beste bent, maar je hoort het liever van een ander. En zeker als die ander een gerenommeerd instituut is, dan wordt zo’n rapportcijfer toch wel een flinke aanbeveling.

Maar er zijn ook andere voordelen:

• het dwingt de hele organisatie om te werken volgens de geldende regels en geeft een stok achter de deur om hierin niet te verslappen
• het is in deze tijd van ‘in control zijn’ de bevestiging voor jezelf en de buitenwereld dat je er bovenop zit en, beter nog, je dit kunt aantonen: een grote zorg minder
• ook voor (huidige en toekomstige) medewerkers blijft dit een belangrijke maatstaf voor hoe aantrekkelijk je als werkgever bent.

Je snapt het al: we waren weer aan de beurt. We hebben onlangs de audit voor 4 certificeringen met succes doorlopen. Het ging om:

• ISO 9001
• ISO 14001
• NEN 7510
• ISO 27001 upgrade

14001 toont aan dat je werkt vanuit internationaal erkende milieustandaarden. Denk aan een verantwoorde omgang met natuurlijke bronnen, efficiënter omgaan met energie en grondstoffen, zo min mogelijk verspillen, risico’s zoveel mogelijk beperken en een aantoonbare inzet voor continue verbetering. Dit zijn voor ons belangrijke randvoorwaarden in ons werk. Het ging in dit geval om een tussentijdse controle om te checken of we nog steeds aan de eisen voldoen.

9001 controleert of wij als organisatie in staat zijn om te voldoen aan de eisen die klanten, wet- en regelgeving en wijzelf aan ons werk stellen. Kortweg: zeggen wat je doet, doen wat je zegt en dat aantonen. Dat leggen we vast in een kwaliteitsmanagementsysteem.

7510 gaat over informatiebeveiliging in de zorg en is daarmee voor ons een essentieel onderdeel van ons werk. Het bewijst dat we een robuust Information Security Management System gebruiken om elk informatieproces volledig te beheersen en gevoelige data te beschermen tegen ongeautoriseerde toegang en bewerking.

Ook 27001 gaat over informatiebeveiliging maar dan buiten de zorgsector. Voor XIXO ging het deze keer ook over de upgrade van 27001:2013 naar 27001:2022. Die laatste is aan de ene kant versimpeld, maar is ook gemoderniseerd. Zo zijn er nieuwe controls bijgekomen en is de certificering beter afgestemd op moderne risico’s. Zo sluit de 2022-versie beter aan bij zaken als cloud computing, hybride werken, cyberbedreigingen en risico’s in de supply chain.

Samen met KAM consultants hebben we in dit geval extra aandacht gegeven aan het onderdeel ‘selectie Cloud leverancier’. Hier bepaal je van tevoren een aantal eisen waaraan die leverancier moet voldoen. Denk aan:

• eisen mbt informatiebeveiliging
• welke stappen je als organisatie moet nemen bij wijziging of beëindiging van de clouddienst (exit strategie)
• relevante certificeringen
• waar de data van de clouddienst worden opgeslagen (bijv. een bepaald land of bepaalde regio – EER)
• hoe de organisatie wordt geïnformeerd als de clouddienst in de toekomst gegevens gaat verwerken of opslaan in een nieuw geografisch of juridisch rechtsgebied
• hoe de organisatie de back-ups van gegevens en configuratie-informatie voorzien.

Tijdens de audit, die een week duurde, sprak Dekra met diverse mensen binnen XIXO. Hierbij ging het over een waaierd aan onderwerpen, zoals BHV, informatiebeveiliging op de werkplek, toegang tot gegevens, verwijdering van gegevens, de omgevingswet, onze projectaanpak, documentatie, monitoring, KPI’s, behandeling van RFC, behandeling van meldingen, sollicitatieprocedures, opleidingen, personeelshandboek, fysieke beveiliging, brandblussers, facturatie, inkoop, salesplannen, vergaderingen, bewustzijn van risico’s, continu verbeteren enz. Ook ging de auditor mee op locatie bij de klant om een projectuitvoering te beoordelen.

Na afloop concludeerde Dekra de volgende sterke punten:

• de upgrade naar de ISO 27001:2022 is zorgvuldig en doorwrocht uitgevoerd
• onze BI-overzichten met kengetallen geven waardevolle overzichten
• we hebben de dreigingsanalyse op de juiste manier toegevoegd aan de risicoanalyse
• we hebben de nieuwe Omgevingswet geïmplementeerd
• we hebben het levenscyclusperspectief gebruikt voor onze milieudoelstellingen

Certificeringen kun je zien als een verplicht nummer. Maar bij XIXO nemen we dit heel serieus. Niet voor niets doen we dit al meer dan 10 jaar (vanaf 2014). Met certificeringen kunnen we aantonen dat milieu, kwaliteit en veiligheid in ons DNA zitten, en dat we deze inzetten voor onze relaties en onszelf. Ze zijn een bevestiging van onze professionaliteit, die verder gaat dat het voltooien van die ene klus. Continu het proces verbeteren helpt ons in de veranderende wereld om scherp te blijven op mogelijke dreigingen, en kansen te zien en te benutten.

Op basis van alle interviews en getoonde informatie hebben we kunnen aantonen dat we voldoen aan de norm. Op naar de volgende ronde dus.