Är företaget ISO 9001-certifierat?

ISO 9001 kontra ISO 27001: vilket certifikat avses här

Frågan "är företaget ISO 9001-certifierat" handlar om kvalitetsledning, inte om informationssäkerhet. Den skillnaden är ofta den första kontrollen för en erfaren användare: vissa kundportaler kopierar certifieringsfrågor från en mall och blandar ihop ISO 9001 med ISO 27001, eller ställer dem efter varandra i samma lista. Svaret är per definition ett faktum, inte en bedömning: företaget har ett giltigt ISO 9001-certifikat från ett erkänt certifieringsorgan, eller så har det inte det. Det finns ingen mellanting — "på väg mot certifiering" eller "arbetar enligt standarden utan certifikat" är inte "ja".

Om företaget inte är ISO 9001-certifierat men väl ISO 27001-certifierat, är det ett annat svar på en annan fråga: dessa två får inte slås samman i kedjedokumentet, även om frågorna i vissa listor verkar likna varandra. Har företaget ingendera, är "nej" rätt svar — en uppföljningsfråga om interna kvalitetsförfaranden utan certifikat frågar om något annat och förtjänar en egen källa. Osäkerhet om vad en kund exakt vill veta med en certifieringsfråga förekommer ofta vid närliggande teman, som vid frågan om företaget har en ansvarsförsäkring för företag: även där är svaret ett verifierbart faktum med ett bevishandling, inte en kvalitativ förklaring.

Vad bevishandlingen ska bekräfta

För ett "ja" hör själva certifikatet till i kedjedokumentet: namn på certifieringsorganet, giltighetsdatum och certifikatnumret. Utan det bevishandlingen kan systemet inte presentera ett "ja", inte ens om företaget redan i många år arbetar enligt standarden. Den tillhandahållen källan om bilaga A till ISO/IEC 27001 handlar om kontrollåtgärder för informationssäkerhet och understöder därför inte ett ISO 9001-svar — att skilja dessa två standarder åt är just anledningen till att denna fråga kräver ett eget, separat källdokument i stället för att återanvända ett befintligt certifikat. Saknas rätt certifikat förblir svaret vid "nej" tills bevishandlingen är bifogad, jämförbar med hur även vid företagets etableringsadress endast ett källdokument, ingen antagande, leder till ett "ja".