Una certificación ISO 27001 lleva unos 5 días de auditor para una empresa de hasta 10 personas, 7 de 16 a 25, 10 de 46 a 65 y 12 de 86 a 125, fase 1 y fase 2 juntas. El recuento sale del Anexo B de ISO/IEC 27006, al que está sujeto todo organismo de certificación acreditado, así que un presupuesto es días por una tarifa diaria de aproximadamente 1.200 a 1.800 EUR: de 8.400 a 12.600 EUR para una empresa de 25 personas. Las auditorías de seguimiento de los años dos y tres llevan aproximadamente un tercio de ese tiempo cada una, y la recertificación al menos dos tercios.
Ningún organismo de certificación acreditado publica sus precios. Ni DNV, ni Bureau Veritas, ni DQS, TÜV, BSI, Intertek, SGS, LRQA o Dekra. Todos son "solicite presupuesto", lo que significa que no puede presupuestar antes de empezar a hablar con comerciales.
Eso es un problema real cuando intenta decidir si empezar siquiera. También tiene solución, porque el mayor término de los honorarios no es negociable ni secreto.
Los honorarios son días por tarifa
Un presupuesto de certificación es días de auditor × tarifa diaria. La tarifa diaria varía según el país y el organismo. El número de días no: lo fija la tabla de tiempos de auditoría del Anexo B de ISO/IEC 27006, y el organismo de acreditación que autoriza a su certificador lo obliga a cumplirla.
Así que la mitad de la fórmula que de otro modo sería opaca está publicada, y depende de un dato que ya conoce: cuántas personas trabajan bajo su control, dentro del alcance de su SGSI.
Ejemplos calculados, a partir de la tabla:
| Personas en el alcance | Días de auditor, fase 1 + fase 2 |
|---|---|
| hasta 10 | 5 |
| 16–25 | 7 |
| 46–65 | 10 |
| 86–125 | 12 |
Son ejemplos calculados con la cláusula citada y no una reproducción de la tabla, porque ISO/IEC 27006 tiene derechos de autor y no vamos a republicarla. Compruébelos con su propio ejemplar.
Convertir días en dinero
Entre las fuentes profesionales publicadas, los organismos acreditados en Europa cobran aproximadamente de 1.200 € a 1.800 € por día de auditor. Nadie publica una cifra oficial, y por eso exactamente debería pedir tres presupuestos sobre un encargo idéntico.
Para una empresa de 25 personas: 7 días, así que de 8.400 € a 12.600 € por la certificación inicial.
Después, la parte recurrente, del mismo anexo. Una auditoría de seguimiento es aproximadamente un tercio del tiempo de auditoría inicial, y se realiza en los años dos y tres. La recertificación es al menos dos tercios. Así que el coste a tres años del certificado para esa misma empresa es aproximadamente de 14.000 € a 21.000 € solo en honorarios de auditoría.
Las tres cosas que cambian la cifra
Plantilla mal contada. La edición de 2024 es explícita en que los contratistas y autónomos cuentan, no solo los empleados. Esta es la razón más común por la que una empresa presupuesta una franja y recibe un presupuesto de la siguiente.
Reducciones por alcance. El anexo permite una reducción de hasta el 30% para un alcance sencillo, maduro y de una sola sede, y no más. Ese suelo también está en el anexo, así que un presupuesto muy por debajo de la banda es una pregunta que hacer y no una ganga.
Desplazamientos. Facturados aparte de la tarifa diaria, siempre.
Lo que no está en esta cifra
El certificado son los honorarios que acaba de calcular. Se pagan a un organismo de certificación, una empresa distinta con la que contrata directamente.
Todo lo demás corre de su cuenta: una prueba de penetración de típicamente 2.500 € a 5.000 € para una aplicación SaaS, un ejemplar de la norma por unos 130 €, y el mayor coste de todos, que no aparece en el presupuesto de nadie: el tiempo de su propia gente construyendo el sistema de gestión antes de que llegue el auditor.
Compruebe al certificador antes de firmar
Nada impide que una empresa se llame organismo de certificación y venda certificados. Un certificado no acreditado parece idéntico, cuesta un 40–50% menos y se rechaza habitualmente en las compras de las grandes empresas. En ese momento paga otra vez los honorarios acreditados completos, porque un certificado no acreditado por lo general no puede transferirse.
Cada país de la UE tiene un organismo nacional de acreditación, designado conforme al Reglamento (CE) 765/2008: DAkkS en Alemania, COFRAC en Francia, RvA en los Países Bajos, ENAC en España, DANAK en Dinamarca. Compruebe a su certificador en ese registro, o internacionalmente a través de IAF, antes de firmar nada.