Den billigste vej til ISO 27001 er at holde anvendelsesområdet snævert og sandfærdigt, tælle jeres folk rigtigt og gøre det tilbagevendende arbejde selv, for auditgebyret er næsten fastlagt, før nogen giver jer et tilbud: ISO/IEC 27006 Bilag B fastlægger auditordagene efter antal medarbejdere, 7 dage for en virksomhed med 20 personer, og akkrediterede europæiske organer tager groft sagt 1.200 til 1.800 EUR om dagen, altså omkring 8.400 til 12.600 EUR for den indledende certificering. Software er en lille post målt mod det. Jeres egne folks tid er den store.
Auditgebyret er regnestykke, ikke forhandling
Certificeringsorganer prissætter ikke frit. Akkrediteringen binder dem til tabellen over audittid i ISO/IEC 27006 Bilag B, som omsætter jeres antal medarbejdere til et antal auditordage for trin 1 og trin 2 tilsammen:
| Personer | Auditordage |
|---|---|
| op til 10 | 5 |
| 16 til 25 | 7 |
| 46 til 65 | 10 |
| 86 til 125 | 12 |
Dagspriser for akkrediterede organer i Europa ligger groft sagt på 1.200 til 1.800 EUR. Intet akkrediteret organ offentliggør en pris, så det spænd er spredningen på tværs af offentliggjorte fagkilder og ikke et tilbud. En virksomhed med 20 personer ser derfor på noget i retning af 8.400 til 12.600 EUR for den indledende audit, før alt andet.
I kan vælge mellem organer. I kan ikke vælge jer ud af antallet af dage, og et organ, der tilbyder væsentligt færre dage end tabellen, er et organ, hvis certifikat er mindre værd.
Regn jeres eget tal ud på omkostningssiden, som laver samme regnestykke.
Så sker det igen, to gange
Certificering er en treårig cyklus. Overvågningsaudits er omkring en tredjedel af den indledende audittid, én gang om året, og recertificeringen til sidst groft sagt to tredjedele. At budgettere alene med den første audit er den mest almindelige måde, totalen overrasker på.
Hvad der faktisk rykker ved tallet
Tre ting, i rækkefølge efter hvor meget de betyder.
Anvendelsesområde. Auditten dækker det, I siger, den dækker. Et anvendelsesområde, der omfatter kontorer, produkter og processer, certifikatet ikke har brug for, lægger dage til. Skriv anvendelsesområdet snævert og sandfærdigt, og forsvar det ved trin 1.
Parathed ved trin 1. Et trin 1, der finder ledelsessystemet halvt bygget, bliver til et længere trin 2 eller et andet besøg. Det er det ene sted, hvor forberedelse omsættes direkte til penge.
Om beviserne findes på dagen. Auditorer spørger efter registreringer, der dækker perioden, ikke politikker skrevet sidste uge. At samle tolv måneders beviser i ugen før en audit er der, det meste af den interne omkostning faktisk går hen, og det er usynligt i ethvert budget, fordi det er nogens løn og ikke en faktura.
Hvor pengene ikke er
Software er en lille post ved siden af auditten, uanset hvad I vælger. At vælge et værktøj primært på pris optimerer det forkerte tal: hvis det ikke efterlader jer med daterede, komplette registreringer ved auditten, har det kostet jer det dyre for at spare det billige.
Vil I have den ærlige version af, hvad et værktøj dækker, så bed leverandøren om en liste afsnit for afsnit, hullerne inklusive. Vores er offentliggjort, hullerne inklusive.