ISO 9001 en ISO 22301 zijn twee verschillende ISO-normen met een duidelijk eigen doel: ISO 9001 richt zich op kwaliteitsmanagement en het structureel verbeteren van processen, terwijl ISO 22301 gaat over bedrijfscontinuïteit en het vermogen van een organisatie om te blijven functioneren bij ernstige verstoringen. De normen overlappen niet, maar kunnen elkaar goed aanvullen. In dit artikel beantwoorden we de meest gestelde vragen over het verschil tussen beide normen, de certificeringseisen en hoe je als organisatie de juiste keuze maakt.
Wat regelt ISO 9001 en wat regelt ISO 22301?
ISO 9001 is de internationale norm voor kwaliteitsmanagementsystemen en regelt hoe een organisatie haar processen inricht om producten en diensten te leveren die consistent voldoen aan klant- en wettelijke eisen. ISO 22301 is de internationale norm voor bedrijfscontinuïteitsmanagementsystemen en regelt hoe een organisatie zich voorbereidt op, reageert op en herstelt van ernstige verstoringen zoals brand, cyberaanvallen of uitval van kritieke leveranciers.
Het verschil zit in de focus. ISO 9001 certificering draait om de vraag: leveren we consistent kwaliteit? De norm stuurt op procesbeheer, klanttevredenheid, risicobeheersing en continue verbetering via de bekende PDCA-cyclus (Plan, Do, Check, Act). Organisaties werken aan het structureel verbeteren van hun werkwijzen, zodat kwaliteit niet afhankelijk is van toeval of individuele medewerkers.
ISO 22301 stelt een andere vraag: wat doen we als er iets fundamenteel misgaat? De norm vraagt organisaties om kritieke bedrijfsprocessen te identificeren, herstelstrategieën te ontwikkelen en deze te testen via oefeningen en scenario-analyses. Denk aan een Business Impact Analysis (BIA), een Business Continuity Plan (BCP) en regelmatige oefeningen om de weerbaarheid van de organisatie te bewijzen.
- ISO 9001: kwaliteitsmanagement, procesbeheer, klanttevredenheid, continue verbetering
- ISO 22301: bedrijfscontinuïteit, crisismanagement, herstelplanning, weerbaarheid bij verstoringen
Welke organisaties hebben baat bij ISO 22301?
ISO 22301 is met name waardevol voor organisaties waarbij uitval van processen of diensten direct leidt tot grote financiële schade, veiligheidsrisico’s of maatschappelijke impact. Denk aan organisaties in de financiële sector, gezondheidszorg, energie, logistiek, IT-dienstverlening en overheidsinstellingen. Maar ook productiebedrijven met complexe toeleveringsketens of organisaties met hoge contractuele beschikbaarheidseisen profiteren sterk van een goed bedrijfscontinuïteitsmanagementsysteem.
Een praktisch criterium is de afhankelijkheid van kritieke processen. Als een organisatie bij uitval van een enkel systeem, locatie of leverancier direct in de problemen komt, is ISO 22301 een relevante norm. Dit geldt ook voor organisaties die door klanten of aanbestedende partijen worden gevraagd om aantoonbaar weerbaar te zijn tegen verstoringen.
Kleinere organisaties denken soms dat ISO 22301 alleen voor grote bedrijven is weggelegd, maar dat klopt niet. De norm is schaalbaar en de eisen worden altijd beoordeeld in verhouding tot de omvang en complexiteit van de organisatie. Een mkb-bedrijf dat afhankelijk is van één productielijn of één kritieke softwareoplossing kan evengoed baat hebben bij de structuur die ISO 22301 biedt.
Kunnen ISO 9001 en ISO 22301 naast elkaar bestaan?
Ja, ISO 9001 en ISO 22301 kunnen uitstekend naast elkaar bestaan en versterken elkaar in de praktijk. Beide normen zijn opgebouwd volgens de High Level Structure (HLS), wat betekent dat ze dezelfde basisopbouw delen op het gebied van context, leiderschap, planning, ondersteuning, uitvoering, prestatiebeoordeling en verbetering. Dit maakt gecombineerde implementatie efficiënt en logisch.
In de praktijk betekent dit dat een organisatie met een bestaand kwaliteitsmanagementsysteem op basis van ISO 9001 een groot deel van de benodigde documentatie, processen en bestuursstructuur al heeft ingericht. De risicoanalyse, de interne auditcyclus, de directiebeoordeling en het verbeterproces zijn elementen die voor beide normen relevant zijn en grotendeels gedeeld kunnen worden.
Wat ISO 22301 toevoegt aan een bestaand ISO 9001-systeem is de specifieke focus op bedrijfscontinuïteit: de Business Impact Analysis, de continuïteitsstrategieën, de herstelplannen en de oefeningen. Dit zijn aanvullende elementen die niet overlappen met kwaliteitsmanagement, maar er wel naadloos op aansluiten. Organisaties die beide normen implementeren, bouwen aan een robuust en veerkrachtig managementsysteem dat zowel kwaliteit als weerbaarheid borgt.
Wat zijn de certificeringseisen voor ISO 22301?
Voor een ISO 22301 certificering moet een organisatie een volledig bedrijfscontinuïteitsmanagementsysteem (BCMS) hebben ingericht dat voldoet aan de normeisen. De certificering verloopt via een geaccrediteerde certificerende instelling (CI) en bestaat uit een Stage 1-audit (documentatiebeoordeling) en een Stage 2-audit (implementatiebeoordeling op locatie). Na certificering volgen jaarlijkse surveillance-audits en een driejaarlijkse hercertificering.
De kernvereisten voor ISO 22301 zijn:
- Context en scope: de organisatie bepaalt welke activiteiten, locaties en diensten onder het BCMS vallen en wie de relevante belanghebbenden zijn
- Business Impact Analysis (BIA): identificatie van kritieke processen, maximale uitvalduur en de gevolgen van verstoring
- Risicoanalyse: beoordeling van bedreigingen en kwetsbaarheden die de continuïteit kunnen aantasten
- Continuïteitsstrategieën: uitgewerkte alternatieven voor kritieke processen bij uitval van mensen, systemen of locaties
- Business Continuity Plan (BCP): gedocumenteerde procedures voor respons, communicatie en herstel bij een incident
- Oefeningen en tests: regelmatige oefeningen om de effectiviteit van het plan aan te tonen
- Interne audits en directiebeoordeling: periodieke evaluatie van het systeem door management en onafhankelijke interne auditors
Net als bij ISO 9001 wordt van het topmanagement verwacht dat zij aantoonbaar betrokken zijn bij het BCMS en voldoende middelen beschikbaar stellen. Certificaten zijn drie jaar geldig.
Welke norm heeft prioriteit als je er maar één kunt kiezen?
Als je maar één norm kunt implementeren, heeft ISO 9001 voor de meeste organisaties prioriteit. ISO 9001 legt een brede, stevige basis voor procesbeheersing, klanttevredenheid en continue verbetering die voor vrijwel elke organisatie relevant is. ISO 22301 is specifieker en richt zich op een bepaald risicoscenario, namelijk ernstige verstoring van de bedrijfsvoering, en is daarmee voor een kleinere groep organisaties de meest urgente keuze.
De beslissing hangt af van drie factoren:
- Klant- en markteis: vraagt jouw markt of opdrachtgever om aantoonbaar kwaliteitsmanagement of juist om bedrijfscontinuïteit? In veel sectoren is ISO 9001 een basisvereiste bij aanbestedingen.
- Risicoprofiel: hoe groot is de kans en impact van een ernstige verstoring in jouw organisatie? Organisaties in sectoren met hoge beschikbaarheidseisen of kritieke infrastructuur geven ISO 22301 soms terecht voorrang.
- Strategische ambitie: wil je primair werken aan kwaliteitsverbetering en procesbeheersing, of zijn weerbaarheid en crisismanagement de grootste uitdaging?
Voor organisaties die twijfelen, is het ook een optie om te starten met ISO 9001 en op termijn ISO 22301 toe te voegen. De gedeelde structuur van beide normen maakt dat de stap naar ISO 22301 na een ISO 9001-implementatie aanzienlijk kleiner is. Zo bouw je stap voor stap aan een integraal managementsysteem zonder dubbel werk.
Hoe wij helpen bij ISO 9001 en ISO 22301
Bij Diks Process Support begeleiden we organisaties bij de implementatie en certificering van zowel ISO 9001 als ISO 22301. We werken pragmatisch, stapsgewijs en altijd mét jouw organisatie, niet ervoor. Of je nu start met kwaliteitsmanagement of je bestaande systeem wilt uitbreiden met bedrijfscontinuïteit, wij zorgen voor een aanpak die past bij de realiteit van jouw processen en mensen.
Wat we voor je doen:
- Uitvoeren van een gap-analyse om te bepalen wat er al is en wat nog ontbreekt
- Inrichten of versterken van je kwaliteits- of continuïteitsmanagementsysteem
- Begeleiden bij de Business Impact Analysis en het opstellen van continuïteitsplannen
- Voorbereiden op interne audits en de externe certificeringsaudit
- Ondersteunen bij het borgen en continu verbeteren van je systeem na certificering
- Combinatietrajecten waarbij ISO 9001 en ISO 22301 efficiënt samen worden geïmplementeerd
Wil je weten welke norm het beste past bij jouw organisatie of hoe een gecombineerd traject eruitziet? Neem contact op en we denken graag met je mee.
Gerelateerde artikelen
- Hoe werkt ISO 9001 voor productiebedrijven?
- Hoe werkt ISO 9001 in de IT sector?
- Hoe zet je een nulmeting op voor ISO 9001?
- Hoe combineer je SCL met ISO 45001 in één traject?
- Hoe werkt SCL certificering in de telecomsector?
- Hoe bereid je je voor op een SCL audit?
- Wat kost een interim HSE manager per maand?
- Hoe voldoen wij aan nieuwe wetgeving zonder vaste specialist?
- Hoe vind ik een betrouwbaar interim bureau?
- Hoe lang duurt ISO 27001-training?
