Certificeringseisen bij aanbestedingen: zin of onzin?

In onze adviespraktijk zien wij dat veel organisaties voor het eerst in aanraking komen met certificeringsvraagstukken, op het moment dat (potentiële) klanten een bepaalde certificering van ze vragen, bijvoorbeeld bij een aanbesteding. Onze ervaring daarbij leert dat voor veel organisaties op dat moment nog onduidelijk is wat daarbij nou eigenlijk van ze gevraagd wordt. En opvallend(er): wij kunnen ons niet aan de indruk onttrekken dat ook niet alle (inkopers van) aanbestedende organisaties een even goed beeld hebben van wat ze precies vragen van hun potentiële leverancier. Het lijkt er soms op dat hetzelfde standaardlijstje van certificeringen in alle aanbestedingen wordt opgenomen, zonder daarbij het belang van zo’n certificering in relatie tot de (leverancier van de) specifieke dienst of het specifieke product mee te wegen. In dit artikel zetten we daarom, zowel voor aanbesteders als inschrijvers, de meest voorkomende certificeringen en de ‘zin en onzin’ daarvan bij aanbestedingen op een rij.

Certificeringen worden door aanbestedende partijen gevraagd vanuit het oogpunt van risicomanagement. De certificering moet de aanbestedende partij een bepaalde mate van zekerheid geven dat de (potentiële) leverancier heeft nagedacht over risico’s die verbonden zijn aan de ontwikkeling/productie/levering van de producten/diensten, dat daarvoor passende voorzorgs-/beheersmaatregelen zijn genomen en dat de effectiviteit van die maatregelen actief wordt gemonitord en waar nodig bijgestuurd. Er wordt, met andere woorden, gevraagd om een aantoonbare risicobeheersmethodiek aan de kant van de leverancier, ook wel een managementsysteem genoemd.

In de basis een hele plausibele gedachte, als je het ons vraagt. Je wilt immers weten wie en wat je in huis haalt. Risico’s kennen echter vele gedaanten, en managementsystemen en certificeringen daarmee ook. De bij aanbestedingen meest voorkomende thema’s in dit kader zijn:

Per bovengenoemd thema zijn er een aantal normen/certificeringen die regelmatig in aanbestedingen terugkomen. We zetten hieronder de belangrijkste op een rij:

Een thema voor de toekomst bij aanbestedingen is Business Continuity Management. De ISO 22301 norm biedt hiervoor het kader, waarmee organisaties veerkrachtig en flexibel kunnen reageren als een verstoring (bijvoorbeeld brand, overstroming, ransomwareaanval, virusuitbraak of terroristische aanslag) zich voordoet, zodat de normale bedrijfsvoering kan doorgaan of op zijn minst snel en efficiënt hersteld kan worden. Hoewel deze certificering op dit moment nog weinig in aanbestedingen terugkomt, is de verwachting dat dit in de toekomst steeds vaker zal gaan gebeuren. Want zeg nu zelf: erop kunnen vertrouwen dat ondanks alles de business verder gaat, is uiteindelijk toch het allergrootste belang dat iedere aanbestedende organisatie bij zijn leverancier heeft.

Zoals uit het bovenstaande blijkt, is de relevantie van een certificering sterk afhankelijk van de sector waarin de leverancier zich bevindt en het type product/dienst dat geleverd wordt. Toch wordt hier bij aanbestedingen soms weinig rekening mee gehouden. Maar al te vaak zien we dat een zorginstelling standaard een NEN 7510 certificering vraagt, terwijl de betreffende leverancier op geen enkele wijze toegang heeft tot persoonlijke gezondheidsgegevens. Of dat een overheidsinstantie standaard een ISO 14001 certificering vraagt, terwijl de betreffende leverancier een dienstverlenende kantoororganisatie is, waar milieu-impact nauwelijks een rol speelt. En zo zijn er meer praktijkvoorbeelden van ondoordachte certificeringseisen.

Ook van de andere kant van de tafel bekeken (de leverancierskant), zien we dat er soms nogal kort door de bocht conclusies worden getrokken over benodigde certificeringen. De voorbeelden van kantoororganisaties die te snel concluderen dat voor een aanbesteding een ISO 9001 en ISO 14001 certificering nodig is, zijn legio. Terwijl alleen een ISO 9001 certificering, met daarbij aandacht voor enkele specifieke aspecten vanuit ISO 14001, zonder dat dat tot een ISO 14001 certificering hoeft te leiden, ook zou kunnen volstaan (tegen aanzienlijk lagere kosten). Een ander voorbeeld: binnen het thema informatiebeveiliging krijgen wij met regelmaat aanvragen voor ondersteuning bij het verkrijgen van een ISAE 3402/3000 verklaring omdat iemand binnen de organisatie daar toevallig wel eens van gehoord heeft, terwijl er geen sprake is van een uitbestede dienst en/of er geen assurancevraag van een accountant aan ten grondslag ligt (en een ISO 27001 dus passender is om aan de eisen van de klant te voldoen).

Voor beide kanten van de aanbestedingstafel geldt wat ons betreft: gebruik vooral gezond verstand.

Eis als aanbestedende partij niet blindelings alle mogelijke certificeringen van je leverancier, op basis van een standaardlijstje. Kijk kritisch welke risico’s je als organisatie echt loopt bij de specifieke aanbestede dienst en vraag alleen de daarvoor relevante certificeringen.

Let op: de scope van certificering is ook van belang! Vaar niet blind op het certificaat, maar kijk kritisch of de op het certificaat vermelde scope aansluit bij de producten/diensten die van de betreffende leverancier worden ingekocht.

En wees als leverancier/inschrijver op een aanbesteding bewust wat er nou eigenlijk van je gevraagd wordt. Accepteer niet klakkeloos iedere certificeringseis. Wees kritisch en vul de eis op een manier in die past bij de context van jullie organisatie/dienst/product. Soms zijn enkele beperkte maatregelen daarbij al voldoende, en is het optuigen van een volledig managementsysteem met de bijkomende (kosten van een) certificering buiten alle proporties en (na afstemming met de aanbestedende partij) helemaal niet nodig.

Wil je meer weten over certificeringseisen bij een aanbesteding? Of kun je hulp gebruiken? Neem dan gerust contact met ons op. Wij helpen je graag op weg!