Begeleiding bij ISO 42001 in Nederland: wie doet wat?

Bij ISO 42001 zijn twee partijen betrokken die je niet moet verwarren. Een adviseur helpt je het AI-managementsysteem opzetten. Een certificerende instantie beoordeelt daarna of het systeem voldoet aan ISO/IEC 42001, zoals beschreven in het auditproces. Voor de wet geldt daarnaast de EU AI Act . Wie je begeleidt bij de inrichting bepaalt vooral hoe snel en hoe goed je traject verloopt, niet of je het certificaat krijgt.

Twee rollen, twee verantwoordelijkheden

Een certificerende instantie moet onafhankelijk zijn. Ze mag je systeem niet zelf ontwerpen, anders beoordeelt ze haar eigen werk. Dat volgt uit de onafhankelijkheidseisen voor certificerende instellingen (ISO/IEC 17021-1), waarop de Raad voor Accreditatie toezicht houdt. Algemene training mag een instantie wel geven. Een adviseur mag dat wel: die helpt je met beleid, risicoanalyses en documenten.

Een handige manier om het te onthouden: de adviseur bouwt het huis, de certificerende instantie keurt het huis.

Rol	Doet	Doet niet
Adviseur	Gap-analyse, beleid, risicoanalyse, AI-register, training van medewerkers	Het certificaat afgeven, de certificeringsaudit beoordelen
Certificerende instantie	Stage 1 en stage 2 audit, certificaatafgifte, jaarlijkse controle-audits	Het systeem ontwerpen of documenten voor je schrijven
Interne projectleider	Coördineren, besluiten, eigenaar van het systeem	Kan vaak niet alles zelf doen zonder kennis van de norm

Bij een kleine organisatie kan één persoon de rol van projectleider én interne auditor combineren. Bij een grotere organisatie is het zinvol die rollen te splitsen.

Let op een adviseur die garandeert dat je “zeker gecertificeerd” wordt. Een certificaat is pas zeker na de audit van een onafhankelijke instantie. Een adviseur kan je voorbereiden, maar niet de beslissing nemen.

Wat kan een adviseur voor je doen?

Adviseurs verschillen sterk. Sommigen zijn gespecialiseerd in AI-governance, anderen komen uit de informatiebeveiliging of de kwaliteitsmanagement-wereld en hebben de AI-kant erbij geleerd. Dat is geen verkeerde achtergrond, maar vraag wel naar concrete AI-ervaring.

Dit kun je redelijkerwijs verwachten van een goede adviseur:

Een gap-analyse met een duidelijke score per clausule, zie gap-analyse
Hulp bij het AI-register en de keuze van de scope
Een AI-beleid dat de directie kan vaststellen en dat past bij je organisatie
Begeleiding bij de AI-risicoanalyse en impactbeoordelingen
Training voor medewerkers, bijvoorbeeld over AI-geletterdheid
Voorbereiding op de certificeringsaudit, inclusief een proefaudit

Wat je niet van een adviseur moet verwachten: dat hij de verantwoordelijkheid overneemt. Het AI-systeem blijft van jouw organisatie, en de beslissingen over risico’s ook.

Vijf vragen die je moet stellen

Vraag een adviseur deze vragen voordat je een opdracht geeft. De antwoorden zeggen veel over de kwaliteit.

Hoeveel trajecten hebben jullie al afgerond waarbij AI-systemen onder de scope vielen? Een concreet antwoord is beter dan “we kennen de norm goed”.
Hoe zorgen jullie dat jullie niet zelf de certificeringsaudit doen? Een adviseur die ook als auditor optreedt voor dezelfde klant heeft een probleem met onafhankelijkheid.
Welke producten leveren jullie precies? Een offerte moet per deliverable zijn opgebouwd, niet alleen als een uurtarief.
Wat doen jullie als de gap-analyse laat zien dat de scope te groot is? Een goede adviseur stelt een kleinere scope voor in plaats van het traject te verlengen.
Wie werkt er aan het traject, en is dat dezelfde persoon die de offerte maakt? Dat laatste is niet altijd het geval, en je wilt weten wie je krijgt.

Checklist voor het vergelijken van offertes

Gebruik deze lijst om offertes naast elkaar te leggen. Zet per punt ja, nee of onduidelijk.

De offerte beschrijft de fases en wat per fase wordt opgeleverd
De scope is expliciet genoemd, inclusief welke AI-systemen erbij horen
Er staat een eigenaar of contactpersoon per fase
De adviseur geeft aan dat de certificeringsaudit door een andere partij wordt gedaan
Er zijn afspraken over herhaalwerk als de audit bevindingen oplevert
De kosten zijn gesplitst in advies, training en eventuele software
Er is een referentie of casus uit een vergelijkbare sector

Voor de kosten van het hele traject, inclusief de audit zelf, lees je kosten en tijdlijn. Dat overzicht geeft je een referentie voor wat een offerte in elk geval moet dekken.

Begeleiding bij kleine organisaties

Voor een klein bedrijf is volledige begeleiding vaak niet nodig. Een gap-analyse en een paar uur coaching per maand kunnen genoeg zijn om de documenten op orde te krijgen. Veel startups kiezen daarna voor een interne auditor. Lees ISO 42001 voor startups voor de lean variant.

Grotere organisaties die al een ISO 27001 of ISO 9001 systeem hebben, kunnen een deel van de structuur hergebruiken. Vraag de adviseur hoe hij dat doet. Zie integratie met bestaande systemen voor de mogelijkheden.

Wanneer heb je geen adviseur nodig?

Je kunt het systeem ook zelf opzetten als je iemand in huis hebt die de norm goed kent, tijd heeft en het besluitvormingsproces kan aansturen. Gebruik dan het stappenplan als leidraad en laat de gap-analyse en de interne audit door iemand anders doen die het systeem niet zelf heeft gebouwd.

Voor de certificering zelf heb je altijd een externe instantie nodig. Een overzicht van wie dat in Nederland doet staat op certificerende instanties.

Veelgestelde twijfels

Is er een wettelijke verplichting om een adviseur in te schakelen? Nee. ISO 42001 is een vrijwillige norm en de wet schrijft geen adviseur voor. Wel moet je aantoonbaar kunnen laten zien dat je systeem werkt, en dat lukt niet altijd zonder ervaring.

Kan dezelfde partij adviseren en de audit doen? Dat is voor de certificerende instantie niet toegestaan, want dan beoordeelt ze haar eigen werk. Een adviseur die ook als certificeerder optreedt voor jouw organisatie is een rode vlag.

Wat als de adviseur halverwege stopt? Dat gebeurt. Zorg dat alle tussenproducten bij jou liggen, zoals het beleid, het register en de risicoanalyses. Als die alleen in de systemen van de adviseur staan, sta je met lege handen.

Hoe weet ik of de adviseur goed werk levert? Vraag om de gap-analyse en het beleid vóór de betaling van de volgende fase. Een goede adviseur laat ze zien en legt uit waarom er keuzes zijn gemaakt.

Wat moet ik zelf doen als ik een adviseur inschakel? Je blijft eigenaar van het systeem. Plan vaste tijd in voor de projectleider en benoem één interne contactpersoon die beslissingen kan nemen.