La certificación ISO 27001 cuesta a una empresa aproximadamente de 6.000 a 9.000 EUR en honorarios de auditoría hasta 10 personas, de 8.400 a 12.600 EUR de 16 a 25, de 12.000 a 18.000 EUR de 46 a 65 y de 14.400 a 21.600 EUR de 86 a 125, para las auditorías iniciales de fase 1 y fase 2. Los días detrás de esas cifras los fija el Anexo B de ISO/IEC 27006 y la tarifa diaria va de unos 1.200 a 1.800 EUR en los organismos europeos acreditados. El sector apenas mueve la cifra. La plantilla sí.
La partida de auditoría
Los organismos de certificación acreditados están sujetos a la tabla de tiempos de auditoría del Anexo B de ISO/IEC 27006. Asigna a la plantilla los días de auditor para las fases 1 y 2 juntas:
| Personas | Días de auditor | A 1.200 a 1.800 EUR/día |
|---|---|---|
| hasta 10 | 5 | 6.000 a 9.000 EUR |
| 16 a 25 | 7 | 8.400 a 12.600 EUR |
| 46 a 65 | 10 | 12.000 a 18.000 EUR |
| 86 a 125 | 12 | 14.400 a 21.600 EUR |
Ningún organismo acreditado publica una tarifa diaria, así que esa banda es la dispersión entre fuentes profesionales publicadas para Europa, no un presupuesto. Pida tres presupuestos. La calculadora de costes hace esta aritmética con su propia plantilla.
Las partidas que la gente olvida
Seguimiento. Aproximadamente un tercio del tiempo de auditoría inicial, cada año, durante los dos años posteriores a la certificación.
Recertificación. Al final del tercer año, aproximadamente dos tercios del tiempo inicial.
Su propia gente. El mayor coste para la mayoría de las empresas y el que nunca aparece en un presupuesto, porque es salario y no factura. Alguien escribe las políticas, realiza la auditoría interna, persigue la evidencia y se sienta con el auditor.
Software, si lo usa. Pequeño junto a lo anterior.
Lo que cambia la cifra
El alcance es la palanca principal: la auditoría cubre lo que usted declara, así que un alcance que incluye más sedes, productos o procesos de los que el certificado necesita cuesta días. Varias sedes pueden añadir muestreo. Un sistema de gestión que no está listo en la fase 1 puede convertirse en una fase 2 más larga.
La cifra detrás de la cifra
La certificación es un juicio sobre si su sistema de gestión funciona, evidenciado durante un periodo. Las empresas que la encuentran cara suelen encontrarla cara dos veces: una por la auditoría, y otra por las semanas dedicadas a reunir registros que nunca se llevaron al día. La segunda es evitable y vale más que cualquier descuento en la primera.