L'impresa è certificata ISO 9001?

ISO 9001 versus ISO 27001: quale certificato è inteso qui

La domanda "l'impresa è certificata ISO 9001" riguarda la gestione della qualità, non la sicurezza delle informazioni. Questa distinzione è spesso il primo controllo per un compilatore esperto: alcuni portali dei clienti copiano le domande sulla certificazione da un modello e confondono ISO 9001 con ISO 27001, oppure le chiedono l'una dopo l'altra nello stesso elenco. La risposta è per definizione un fatto, non una valutazione: l'impresa possiede un certificato ISO 9001 valido rilasciato da un organismo di certificazione riconosciuto, oppure no. Non esiste una forma intermedia — "in fase di certificazione" o "operare secondo la norma senza certificato" non è un "sì".

Se l'impresa non è certificata ISO 9001 ma è certificata ISO 27001, si tratta di una risposta diversa a una domanda diversa: questi due non devono essere combinati nel fascicolo della catena, anche se le domande in alcuni elenchi sembrano simili tra loro. Se l'impresa non possiede nessuno dei due, allora "no" è la risposta corretta — una domanda di follow-up su procedure di qualità interne senza certificato chiede qualcosa di diverso e merita una fonte propria. Il dubbio su cosa esattamente un cliente voglia sapere con una domanda sulla certificazione si presenta più spesso in ambiti contigui, come nel caso della domanda se l'impresa possiede un'assicurazione di responsabilità civile professionale: anche lì la risposta è un fatto verificabile con una prova, non una spiegazione qualitativa.

Dove il documento di prova deve trovarsi

Per un "sì" il fascicolo della catena deve contenere il certificato stesso: nome dell'organismo di certificazione, data di scadenza e numero del certificato. Senza questo documento di prova il sistema non può rappresentare un "sì", anche se l'impresa lavora secondo la norma da anni. Il documento fornito su Annex A di ISO/IEC 27001 riguarda i controlli per la sicurezza delle informazioni e quindi non sostiene una risposta ISO 9001 — questa separazione delle due norme è precisamente la ragione per cui questa domanda richiede un documento di fonte proprio e separato invece del riutilizzo di un certificato esistente. Se manca il certificato corretto, la risposta rimane "no" fino a quando il documento di prova non viene aggiunto, in modo comparabile a come anche con l'indirizzo della sede dell'impresa solo un documento di fonte, nessuna ipotesi, si arriva a un "sì".