ISO 27001 från gap-analys till certifiering

För vem och när

Passar organisationer som ska certifiera sig mot ISO 27001, eller som behöver ett ledningssystem som går att visa upp för kund eller ägare, och som vill att det ska fungera i vardagen och inte bara i en pärm.

• En kund eller ägare kräver ISO 27001, eller ett ledningssystem som går att visa upp.
• Ni har styrdokument men inget sammanhängande ledningssystem.
• Riskarbetet görs i ett kalkylark och uppdateras sällan.
• Ni vill certifiera er men vet inte vad som återstår eller i vilken ordning.

Vad vi gör

1. Gap-analys och omfattning. Vi fastställer ledningssystemets omfattning och bedömer nuläget mot standarden, krav för krav, så att arbetet börjar i rätt ände.
2. Riskmetod och riskarbete. En riskmetod som verksamheten klarar att använda, med riskkriterier, riskregister och riskbehandlingsplaner som går att uppdatera löpande.
3. Styrdokument och kontroller. Policys, rutiner och kontrollstruktur tas fram utifrån er riskprofil, med ett Statement of Applicability som visar vilka kontroller som gäller och varför de andra inte gör det.
4. Införande i verksamheten. Kontrollerna införs där arbetet faktiskt görs, med utbildning och med de bevis som revisionen kommer att efterfråga.
5. Internrevision, ledningens genomgång och förrevision. Internrevisionen genomförs av en person som inte varit involverad i de delar som revideras, så att objektivitet och opartiskhet kan säkerställas. Vi stöttar ledningens genomgång och gör en förrevision, så att avvikelserna hittas innan certifieringsrevisionen.

Hur lång tid det tar

Det beror framför allt på organisationens storlek och komplexitet. En mindre organisation kan i bästa fall vara klar inom tolv månader. För en medelstor eller mer komplex organisation är tolv till tjugofyra månader ett realistiskt spann, och en större organisation behöver oftast tjugofyra till trettiosex månader. Det som styr tidplanen är hur snabbt verksamheten kan införa förändringarna, inte konsultinsatsen.

Utöver själva uppbyggnaden tar tre steg sin egen tid: internrevisionen av en oberoende part, åtgärderna av det revisionen hittar och att planera och genomföra certifieringsrevisionen hos certifieringsorganet.

1. Gap-analys och omfattning: några dagar till någon vecka. Nuläget mot standarden och en tidplan för resten av arbetet.
2. Riskarbete, styrdokument och Statement of Applicability. Riskmetoden används på riktigt och styr vilka kontroller som behövs.
3. Införande i verksamheten. Den del som varierar mest, eftersom det är här rutiner, teknik och ansvar faktiskt ändras.
4. Internrevision, åtgärder och ledningens genomgång. Internrevisionen görs av en oberoende part som inte granskar sitt eget arbete. Det den hittar åtgärdas, och ledningens genomgång ska vara gjord, innan certifieringsrevisionen.
5. Certifieringsrevision i två steg. I steg 1 granskar certifieringsorganet dokumentationen och om ni är redo, i steg 2 att ledningssystemet fungerar i praktiken. Certifieringsorganet behöver bokas i god tid.

Certifikatet gäller i tre år, med en uppföljningsrevision varje år och en omcertifiering det tredje året. Vi sätter en tidplan för just er i gap-analysen.

Omfattning och pris

Ett projekt som normalt löper över flera månader, beroende på verksamhetens storlek, ledningssystemets omfattning och hur mycket som finns på plats när vi börjar.

Priset varierar från uppdrag till uppdrag och beror på omfattningen ovan. Ni får ett uppskattat kostnadsförslag och, om möjligt, ett fast pris. Certifieringsrevisionen utförs av ett ackrediterat certifieringsorgan och deras avgifter ligger utanför uppdraget. Vad hela vägen kostar, med egen tid och certifieringsorganets avgifter, beskriver vi i guiden Vad kostar ISO 27001-certifiering?.

Så går det till

1. Ett första samtal. Vi lyssnar på er situation och berättar hur vi brukar lägga upp arbetet. Ni får vår bedömning direkt, utan kostnad.
2. Förslag med omfattning och pris. Ett kort skriftligt förslag med vad som ingår, vad ni får, vem som gör jobbet och vad det kostar.
3. Genomförande och överlämning. Vi arbetar tillsammans med er organisation, rapporterar löpande och lämnar över så att ni kan förvalta resultatet själva.