Die ISO-27001-Zertifizierung kostet ein Unternehmen an Auditgebühren etwa 6.000 bis 9.000 EUR bei bis zu 10 Personen, 8.400 bis 12.600 EUR bei 16 bis 25, 12.000 bis 18.000 EUR bei 46 bis 65 und 14.400 bis 21.600 EUR bei 86 bis 125, für die erstmaligen Audits der Stufe 1 und Stufe 2. Die Tage hinter diesen Zahlen legt ISO/IEC 27006 Anhang B fest, und der Tagessatz liegt bei akkreditierten europäischen Stellen grob bei 1.200 bis 1.800 EUR. Die Branche bewegt die Zahl kaum. Die Personenzahl schon.
Der Auditposten
Akkreditierte Zertifizierungsstellen sind an die Auditzeit-Tabelle in ISO/IEC 27006 Anhang B gebunden. Sie ordnet der Personenzahl die Audittage für Stufe 1 und Stufe 2 zusammen zu:
| Personen | Audittage | Bei 1.200 bis 1.800 EUR/Tag |
|---|---|---|
| bis 10 | 5 | 6.000 bis 9.000 EUR |
| 16 bis 25 | 7 | 8.400 bis 12.600 EUR |
| 46 bis 65 | 10 | 12.000 bis 18.000 EUR |
| 86 bis 125 | 12 | 14.400 bis 21.600 EUR |
Keine akkreditierte Stelle veröffentlicht einen Tagessatz, diese Spanne ist also die Streuung über veröffentlichte Fachquellen für Europa und kein Angebot. Holen Sie drei Angebote ein. Der Kostenrechner führt diese Rechnung mit Ihrer eigenen Personenzahl durch.
Die Posten, die vergessen werden
Überwachung. Etwa ein Drittel der ursprünglichen Auditzeit, jedes Jahr, in den zwei Jahren nach der Zertifizierung.
Rezertifizierung. Am Ende des dritten Jahres etwa zwei Drittel der ursprünglichen Zeit.
Ihre eigenen Leute. Für die meisten Unternehmen der größte Kostenblock und derjenige, der nie in einem Budget auftaucht, weil er Gehalt ist und keine Rechnung. Jemand schreibt die Richtlinien, führt das interne Audit durch, treibt die Nachweise zusammen und sitzt mit dem Auditor zusammen.
Software, falls Sie welche nutzen. Klein neben dem Vorstehenden.
Was die Zahl verändert
Der Anwendungsbereich ist der Haupthebel: Das Audit umfasst, was Sie deklarieren, ein Anwendungsbereich mit mehr Standorten, Produkten oder Prozessen als das Zertifikat braucht kostet also Tage. Mehrere Standorte können Stichproben hinzufügen. Ein Managementsystem, das bei Stufe 1 nicht bereit ist, kann zu einer längeren Stufe 2 werden.
Die Zahl hinter der Zahl
Zertifizierung ist ein Urteil darüber, ob Ihr Managementsystem in Betrieb ist, nachgewiesen über einen Zeitraum. Unternehmen, die sie teuer finden, finden sie meist zweimal teuer: einmal für das Audit und einmal für die Wochen, in denen Aufzeichnungen zusammengestellt werden, die nie laufend geführt wurden. Das Zweite ist vermeidbar und mehr wert als jeder Rabatt auf das Erste.