Hoeveel certificaten kan een organisatie aan?

ISO9001, ISO 14001, ISO 20000, ISO27001, CMMi Development, CMMi Services, …. Wanneer je als ict-dienstverlener tegenwoordig zaken wil doen met profit en non-profit organisaties moet je nog al wat certificaten kunnen overleggen om je te kwalificeren. In toenemende mate worden certificaten, of eigenlijk het ontbreken daarvan, gezien als een knock-out criterium bij (openbare) aanbestedingen.

Het achterliggende idee is simpel: kaf van koren scheiden en zaken doen met gecertificeerde organisaties. Vanuit de uitbesteder geredeneerd: logisch.

Maar, is het hebben van een certificaat voor X of Y garantie voor succes? Nee, niet vanzelfsprekend. Iedereen weet dat het succes voor het leveren van ict-diensten afhankelijk is van veel factoren. De volwassenheid van de opdrachtnemer, maar zeker ook de volwassenheid van de opdrachtgever, spelen hier een belangrijke rol. Maar andersom is waarschijnlijker: het niet hebben van een certificaat, laat opportunisten, cowboys en charlatans toe. Het eisen van een certificaat is een garantie voor de opdrachtgever dat zij met een professionele partij heeft te maken. Maar dat betekent niet dat een niet-gecertificeerde organisatie niet professioneel kan zijn.

Het voldoen aan alle ISO en CMMi eisen is geen sinecure. De kosten voor een kwaliteit management systeem zijn aanzienlijk. Het systeem moet worden onderhouden, aangepast aan hedendaagse eisen en trends, en het systeem moet vooral worden geïmplementeerd. Certificering volgens ISO X of CMMi Y betekent aantoonbaar kunnen laten zien dat je aan de eisen voldoet. Dus naast een kwaliteit-managementsysteem, dient de organisatie ook bewijslast te overleggen over de implementatie ervan aan de auditor van de certificerende organisatie. Het is duidelijk dat de investeringen die hiermee gepaard gaan makkelijker te dragen zijn door grote dienstverleners dan door de kleinere.

Een andere uitdaging is om het kwaliteit management systeem zodanig te ontwerpen dat het de meest gangbare certificaten afdekt. Het kwaliteit management systeem omvat alle processen, templates en checklists, rollen en verantwoordelijkheden voor de beoogde dienstverlening. Het is zo opgezet dat de organisatieonderdelen die werken conform deze standaarden ‘automatisch’ voldoen aan de eisen van onder andere ISO 9001, ISO/IEC 20000, ISTQB, ISBSG, ITIL v3 en CMMi. In geval van dienstverlening over organisatie- en landsgrenzen heen, wordt de certificering, en daarmee dus ook de bewijslast, per contract, end-to-end getoetst, dus over de grenzen van landen en organisatieonderdelen.

Anekdote: Enkele jaren geleden eiste een opdrachtgever middels openbare aanbesteding dat de opdrachtnemer moest voldoen aan CMMi level 3 voor softwareontwikkeling en dit middels een certificaat moest aantonen. Deze eis zou, zo redeneerde de opdrachtgever, het kaf van het koren scheiden. Maar toen bleek dat in Nederland slechts één partij aantoonbaar aan deze eis kon voldoen, werd de eis snel bijgesteld. Een voorbeeld van hoe een homogene markt kan veranderen in een monopolistische markt. Toch jammer …