Jak wybrać jednostkę certyfikującą ISO i ograniczyć ryzyko biznesowe?

Wybór jednostki certyfikującej ISO to inwestycja w bezpieczeństwo prawne i przewagę konkurencyjną Twojej firmy, dlatego nie powinien sprowadzać się wyłącznie do porównania cen. Dwie z pozoru podobne oferty mogą różnić się warunkami, które ostatecznie zadecydują o kosztach i czasie zaangażowania Twojego zespołu. Zanim organizacja podpisze umowę, powinna sprawdzić, czy konieczna jest certyfikacja akredytowana, czego oczekują podmioty wymagające certyfikatu oraz czy wybrana jednostka certyfikująca odpowiada tym oczekiwaniom. Jak zweryfikować te kwestie i uniknąć dodatkowych kosztów lub problemów z akceptacją certyfikatu? Przedstawiamy praktyczne kryteria wyboru jednostki certyfikującej ISO oraz checklistę, która ułatwi porównanie ofert i przygotowanie rekomendacji dla zarządu.

Jednostka certyfikująca a akredytowana jednostka certyfikująca – na czym polega różnica?

Jednostka certyfikująca jest niezależnym podmiotem odpowiedzialnym za weryfikację zgodności systemu zarządzania organizacji z wymaganiami wybranej normy, takiej jak ISO 9001 czy ISO/IEC 27001. Przeprowadza audyt, analizuje jego wyniki i na tej podstawie podejmuje decyzję o przyznaniu lub odmowie certyfikacji.

Tym, co odróżnia akredytowaną jednostkę certyfikującą od jednostki bez akredytacji, jest formalne potwierdzenie jej kompetencji przez niezależny podmiot akredytujący. Akredytacja oznacza, że uprawniony podmiot ocenił jednostkę i formalnie potwierdził jej zdolność do prowadzenia określonych działań certyfikacyjnych. W przypadku certyfikacji systemów zarządzania podstawę takiej oceny stanowi norma ISO/IEC 17021-1 oraz odpowiednie wymagania dotyczące danego programu certyfikacji.

W Polsce akredytacji udziela Polskie Centrum Akredytacji (PCA). Nie oznacza to jednak, że każda jednostka certyfikująca działająca na polskim rynku musi posiadać akredytację PCA. Organizacje, w tym międzynarodowe jednostki certyfikujące, mogą prowadzić w Polsce działalność na podstawie akredytacji udzielonej przez zagraniczny podmiot akredytujący.

Samo posiadanie akredytacji nie oznacza możliwości prowadzenia każdej certyfikacji w trybie akredytowanym. Liczy się jej aktualny zakres, czyli konkretne programy certyfikacji, wydania norm oraz odpowiednie obszary działalności. Jednostka może również oferować certyfikację poza posiadanym zakresem akredytacji. Taka działalność nie jest nielegalna, ale wydany w ten sposób certyfikat nie ma statusu certyfikatu akredytowanego.

Znaczenie ma także międzynarodowe uznawanie wyników certyfikacji. Służy temu system wielostronnych porozumień, w tym funkcjonujące wcześniej porozumienie IAF MLA (Multilateral Recognition Arrangement), wspierające uznawanie akredytowanych certyfikatów między rynkami. Od 1 stycznia 2026 r. jego funkcje przejęło porozumienie Global Accreditation Cooperation Incorporated MRA, z zachowaniem zasad ciągłości uznawania w okresie przejściowym.

Nie oznacza to jednak, że każdy akredytowany certyfikat zostanie zaakceptowany przez dowolnego odbiorcę. Kontrahent, zamawiający lub regulator może wymagać certyfikacji według konkretnej normy, w określonym zakresie i pod wskazaną akredytacją, dlatego jeszcze przed wyborem jednostki należy sprawdzić wymagania podmiotu, któremu organizacja zamierza przedstawić certyfikat.

Jak sprawdzić jednostkę certyfikującą przed podpisaniem umowy?

Porównanie ofert jednostek certyfikujących najlepiej zacząć od sprawdzenia, czy mogą przeprowadzić certyfikację w wymaganym zakresie i na warunkach akceptowanych przez organizację. Dopiero po potwierdzeniu tych kwestii można rzetelnie ocenić różnice w cenie. Tańsza oferta nie zawsze oznacza niższy koszt całego procesu, podobnie jak wyższa cena nie musi świadczyć o szerszym zakresie usług.

Przed podpisaniem umowy dobrze jest przeanalizować kilka obszarów współpracy, co pozwoli to porównać oferty na podstawie konkretnych informacji, a nie samych deklaracji handlowych.

1. Sprawdź status i aktualny zakres akredytacji

Najpierw zapytaj jednostkę, pod jaką akredytacją przeprowadzi certyfikację Twojej organizacji. Jeśli wskazuje Polskie Centrum Akredytacji, zweryfikuj ją w oficjalnym wykazie jednostek certyfikujących systemy zarządzania PCA. Jeśli jednostka posiada akredytację wydaną za granicą, jej status możesz zweryfikować w oficjalnym rejestrze instytucji, która udzieliła akredytacji.

Nie ograniczaj się do sprawdzenia logo akredytatora na stronie internetowej lub w ofercie. Otwórz aktualny dokument zakresu akredytacji i zweryfikuj nazwę jednostki, numer oraz status akredytacji, program certyfikacji i właściwe wydanie normy. Sprawdź również, czy nie występują ograniczenia dotyczące interesującego Cię zakresu. 

Akredytacja nie jest przyznawana bezterminowo i w niezmiennej postaci. Jej zakres może zostać rozszerzony lub ograniczony, a sama akredytacja zawieszona albo cofnięta. Z tego powodu wcześniejszy certyfikat akredytacji czy dokument pobrany kilka lat temu nie wystarczą do potwierdzenia aktualnych uprawnień jednostki. 

Przykładowo CeCert posiada akredytację PCA nr AC 219, której zakres obejmuje certyfikację systemów zarządzania według ISO 9001, ISO 13485 oraz ISO/IEC 27001. Szczegółowe informacje dotyczące tych programów i objętych akredytacją obszarów działalności znajdują się w aktualnym wykazie PCA dla AC 219.

2. Ustal, czy zakres obejmuje działalność organizacji

Sama obecność normy ISO 9001, ISO 13485 czy ISO/IEC 27001 w zakresie akredytacji nie przesądza jeszcze, że jednostka może przeprowadzić akredytowaną certyfikację dla każdej organizacji.

Zakres akredytacji trzeba porównać z rzeczywistą działalnością firmy i planowanym zakresem certyfikacji. W zależności od programu znaczenie mogą mieć sektory techniczne, kody branżowe, rodzaje wyrobów lub określone obszary działalności. Nie wszystkie programy wykorzystują ten sam system klasyfikacji, dlatego sprawdzenie wyłącznie kodu EA może być niewystarczające.

Aby jednostka mogła ocenić możliwość realizacji certyfikacji, przekaż jej dokładny opis działalności, najważniejszych procesów, lokalizacji i planowanego zakresu systemu zarządzania. W analizie należy wziąć pod uwagę także procesy realizowane przez podmioty zewnętrzne, o ile wpływają one na funkcjonowanie systemu objętego certyfikacją.

3. Oceń bezstronność i oddzielenie certyfikacji od doradztwa

Jednostka certyfikująca powinna oceniać system zarządzania niezależnie od podmiotów uczestniczących w jego wdrożeniu. Norma ISO/IEC 17021-1 zobowiązuje jednostkę do rozpoznawania i oceny czynników mogących naruszać jej bezstronność, a także wdrażania odpowiednich środków minimalizujących ryzyko konfliktu interesów. Dotyczy to zarówno jej własnej działalności, jak i powiązań z innymi organizacjami.

Certyfikacja i doradztwo w zakresie systemów zarządzania powinny być rozdzielone. Podmiot odpowiedzialny za certyfikację nie powinien uczestniczyć we wdrażaniu systemu zarządzania u klienta, a następnie przeprowadzać niezależnej oceny rezultatów własnych działań. Dlatego CeCert prowadzi niezależną ocenę zgodności systemów zarządzania, ale nie zajmuje się ich wdrażaniem.

Ostrożność powinna wzbudzić oferta obejmująca „wdrożenie systemu i gwarantowany certyfikat”, szczególnie gdy ten sam podmiot odpowiada za doradztwo i decyzję certyfikacyjną. Nie każda współpraca jednostki z zewnętrzną firmą konsultingową oznacza jednak naruszenie bezstronności. Znaczenie ma charakter powiązań oraz sposób zarządzania wynikającym z nich ryzykiem.

Przed podpisaniem umowy zapytaj jednostkę, w jaki sposób zapewnia bezstronność audytorów i osób podejmujących decyzję o certyfikacji. Jeśli wcześniej korzystano z usług doradczych, dobrze jest również wyjaśnić, czy istnieją powiązania między konsultantem a wybraną jednostką.

4. Przeczytaj warunki całego cyklu certyfikacji

Oferta certyfikacji powinna określać nie tylko koszt pierwszego audytu, ale również zasady dalszej współpracy. Certyfikacja systemów zarządzania obejmuje zazwyczaj trzyletni cykl, w którym po certyfikacji początkowej prowadzone są audyty nadzoru, a przed rozpoczęciem kolejnego cyklu – ponowna certyfikacja.

Przed podpisaniem umowy sprawdź, czy dokumenty jasno określają:

• zakres certyfikacji i objęte nią lokalizacje;
• etapy procesu oraz harmonogram audytów nadzoru;
• zasady postępowania w przypadku stwierdzenia niezgodności;
• okoliczności zawieszenia, cofnięcia lub ograniczenia certyfikacji;
• warunki korzystania ze znaków jednostki i symbolu akredytacji;
• procedury składania skarg i odwołań;
• opłaty za cały cykl oraz możliwe koszty dodatkowe;
• zasady rozwiązania umowy i transferu certyfikacji do innej jednostki.

Opłacenie audytu nie oznacza automatycznego otrzymania certyfikatu. Jego wydanie wymaga pozytywnej decyzji certyfikacyjnej, podejmowanej na podstawie wyników oceny i spełnienia odpowiednich wymagań.

5. Sprawdź jakość komunikacji przed rozpoczęciem współpracy

Już podczas przygotowywania i przedstawiania oferty można przekonać się, jak jednostka podchodzi do kontaktu z klientem i organizacji wspólnych działań. Na co zwrócić uwagę przed podpisaniem umowy?

• Oceń sposób przygotowania oferty. Jednostka powinna zebrać informacje potrzebne do zaplanowania audytu, a następnie jasno przedstawić przyjęte założenia.
• Zweryfikuj dostępność procedur. Sprawdź, czy możesz zapoznać się z zasadami składania skarg i odwołań, korzystania z certyfikatu oraz jego zawieszenia lub cofnięcia.
• Potwierdź ustalenia na piśmie. Poproś o zapisanie uzgodnionego zakresu usług, terminów i obowiązków obu stron w ofercie lub/i dokumentach umownych.

Sprawna komunikacja nie gwarantuje uzyskania certyfikatu, ale pozwala lepiej zaplanować audyt, przygotować zasoby i ograniczyć ryzyko opóźnień oraz nieprzewidzianych kosztów.

Dlaczego doświadczenie branżowe jednostki ma znaczenie?

Znajomość wymagań normy to nie wszystko. Zespół audytowy powinien również rozumieć specyfikę działalności organizacji, stosowane technologie, procesy oraz wymagania regulacyjne, które mają na nie wpływ.

Przed wyborem jednostki certyfikującej sprawdź nie tylko zakres jej akredytacji, ale również zapytaj o doświadczenie w ocenie podobnych procesów. Ma to szczególne znaczenie w przypadku systemów zarządzania objętych dodatkowymi wymaganiami technicznymi i regulacyjnymi.

ISO 13485 – system zarządzania jakością w sektorze wyrobów medycznych

Certyfikacja ISO 13485 wymaga znajomości procesów związanych z wyrobami medycznymi oraz wymagań dotyczących jakości i bezpieczeństwa na poszczególnych etapach ich cyklu życia. Jednostka powinna dysponować odpowiednim zakresem akredytacji i zespołem posiadającym kompetencje dotyczące rodzaju działalności objętej certyfikacją.

Zakres audytu zależy od specyfiki działalności organizacji. Audytowi mogą podlegać m.in. projektowanie i rozwój produktów, produkcja, walidacja procesów, nadzorowanie dostawców, zapewnienie identyfikowalności oraz działania podejmowane po wprowadzeniu wyrobów na rynek. Audytor musi rozumieć znaczenie tych procesów i związanych z nimi wymagań, aby prawidłowo ocenić funkcjonowanie systemu zarządzania jakością.

Przed podpisaniem umowy zapytaj jednostkę, czy jej akredytacja oraz kompetencje zespołu obejmują konkretny rodzaj wyrobów i działalności Twojej organizacji. Ocena organizacji produkującej wyroby medyczne może wymagać od audytorów innej wiedzy i doświadczenia niż audyt przedsiębiorstwa zajmującego się ich serwisowaniem.

Trzeba przy tym rozróżnić certyfikację ISO 13485 od oceny zgodności wyrobu według rozporządzeń MDR lub IVDR. Certyfikat ISO 13485 potwierdza zgodność systemu zarządzania jakością z wymaganiami normy w określonym zakresie. Nie jest certyfikatem CE i sam w sobie nie stanowi podstawy do dopuszczenia wyrobu medycznego do obrotu. Ocena zgodności wyrobu podlega odrębnym wymaganiom regulacyjnym.

ISO/IEC 27001 – system zarządzania bezpieczeństwem informacji

Doświadczenie audytorów powinno obejmować zarówno wymagania dotyczące zarządzania bezpieczeństwem informacji, jak i praktyczne funkcjonowanie procesów IT. Znaczenie ma znajomość środowisk informatycznych, zarządzania dostępem, obsługi incydentów, współpracy z dostawcami czy zapewniania ciągłości działania.

Audyt ISO/IEC 27001 nie jest jednak testem penetracyjnym ani wyłącznie techniczną kontrolą zabezpieczeń. Jego celem jest ocena systemu zarządzania bezpieczeństwem informacji (SZBI), w tym sposobu identyfikacji i oceny ryzyka, podziału odpowiedzialności, doboru zabezpieczeń oraz nadzoru nad ich skutecznością. Ocena odnosi się do zakresu SZBI objętego certyfikacją.

Przy wyborze jednostki sprawdź, czy zespół audytowy ma doświadczenie w ocenie środowisk podobnych do Twojego. W organizacji korzystającej z infrastruktury chmurowej istotna będzie np. znajomość modelu współodpowiedzialności za bezpieczeństwo, natomiast w firmie świadczącej usługi IT – procesów zarządzania zmianami, dostępnością usług i incydentami.

Osobnego podejścia wymagają organizacje podlegające ustawie o krajowym systemie cyberbezpieczeństwa (KSC). Nowelizacja ustawy, która weszła w życie 3 kwietnia 2026 r., wprowadziła nowe wymagania związane z wdrożeniem dyrektywy NIS2, w tym obowiązki dotyczące zarządzania ryzykiem cyberbezpieczeństwa.

Choć certyfikacja ISO/IEC 27001 nie zastępuje audytu z KSC, to współpraca z kompetentnymi audytorami CeCert znacząco ułatwia spełnienie wymogów dyrektywy NIS2. Certyfikowany system to dla zarządu bezpieczeństwo prawne i realna oszczędność czasu przy wykazywaniu zgodności przed regulatorami i kontrahentami. 

Czy można zmienić jednostkę certyfikującą w trakcie ważności certyfikatu?

Brak elastyczności lub niezadowalająca komunikacja z obecną jednostką? Transfer akredytowanej certyfikacji (zgodnie z IAF MD 2:2023) to standardowa procedura. Przejmując certyfikat do CeCert, zapewniamy płynne przejście, minimalizując przestoje operacyjne i biurokrację po stronie Twojego zespołu. Organizacja nie musi więc czekać do zakończenia obecnego cyklu certyfikacji, aby rozważyć zmianę dostawcy. 

Nie odbywa się to jednak automatycznie. Przed przejęciem certyfikacji nowa jednostka musi przeprowadzić przegląd dokumentów, obejmujący m.in.:

• ważność certyfikatu oraz zgodność jego zakresu z akredytacją obu jednostek;
• raporty z ostatniej certyfikacji lub recertyfikacji oraz audytów nadzoru;
• status stwierdzonych niezgodności i podjętych działań;
• otrzymane skargi i sposób ich rozpatrzenia;
• powód zmiany jednostki oraz dotychczasowy harmonogram audytów;
• istotne kwestie związane z kontaktami z organami regulacyjnymi w zakresie zgodności z prawem.

Przegląd opiera się na dokumentacji, ale w uzasadnionych przypadkach może wymagać wizyty w organizacji. Nie jest ona sama w sobie audytem. Jeśli przegląd nie wykaże przeszkód, nowa jednostka ustala dalszy program audytów na podstawie dotychczasowego cyklu certyfikacji.

Checklista wyboru jednostki certyfikującej

Przed podjęciem decyzji zbierz najważniejsze informacje o każdej jednostce w jednym zestawieniu. Poniższa checklista ułatwi porównanie ofert, wychwycenie brakujących danych i przygotowanie uzasadnienia wyboru dla zarządu lub działu zakupów.

Przed ostatecznym wyborem jednostki sprawdź wymagania konkretnego przetargu, umowy lub łańcucha dostaw. Nawet prawidłowo wydany certyfikat może nie spełniać oczekiwań odbiorcy, jeśli obejmuje niewłaściwy zakres działalności, inne wydanie normy lub nie posiada wymaganej akredytacji.

FAQ – najczęstsze pytania o wybór jednostki certyfikującej

Gdzie sprawdzić, czy jednostka certyfikująca ma ważną akredytację?

Status akredytacji można sprawdzić w oficjalnym wykazie Polskiego Centrum Akredytacji (PCA) lub w rejestrze właściwego zagranicznego akredytatora, ponieważ jednostki działające w Polsce mogą korzystać również z zagranicznych akredytacji. Należy zweryfikować aktualny status oraz pełny zakres akredytacji, w tym program certyfikacji, wydanie normy i odpowiednie obszary działalności.

Czy certyfikat bez akredytacji jest ważny?

Certyfikat wydany bez akredytacji może być wykorzystywany jako potwierdzenie przeprowadzonej certyfikacji, jednak nie ma statusu certyfikatu akredytowanego. Jego akceptacja zależy od wymagań kontrahenta, zamawiającego lub właściwych przepisów. Przed wyborem takiej certyfikacji należy ustalić, czy odbiorca wymaga akredytowanego potwierdzenia zgodności.

Ile trwa uzyskanie certyfikatu ISO?

Czas uzyskania certyfikatu ISO zależy od gotowości organizacji do audytu, zakresu systemu zarządzania, liczby lokalizacji oraz harmonogramu jednostki certyfikującej. Proces obejmuje wymagane etapy oceny, a stwierdzone niezgodności mogą wymagać podjęcia i zweryfikowania działań przed wydaniem certyfikatu. Dlatego termin ustala się indywidualnie po przekazaniu jednostce informacji o organizacji.

Czy jedna organizacja może korzystać z kilku jednostek certyfikujących?

Tak, organizacja może certyfikować różne systemy zarządzania w różnych jednostkach, np. ISO 9001 w jednej, a ISO/IEC 27001 w drugiej. Przy wyborze należy sprawdzić zakres akredytacji i kompetencje każdej z nich.

Czy można przenieść certyfikat do innej jednostki?

Tak, transfer ważnej akredytowanej certyfikacji systemu zarządzania jest możliwy po spełnieniu wymagań opisanych w dokumencie IAF MD 2. Nowa jednostka przeprowadza przegląd przed transferem, sprawdzając m.in. ważność certyfikatu, raporty z audytów i status niezgodności. Pozytywny wynik przeglądu umożliwia przejęcie certyfikacji, choć w niektórych przypadkach konieczne mogą być dodatkowe czynności.

Czy najtańsza oferta certyfikacji może być prawidłowa?

Tak, niska cena sama w sobie nie świadczy o nieprawidłowościach w procesie certyfikacji. Przed wyborem sprawdź jednak zakres usługi oraz koszty całego trzyletniego cyklu. Dopiero porównanie tych elementów pozwala ocenić, czy oferty rzeczywiście dotyczą tego samego zakresu prac.

Wybór jednostki certyfikującej powinien opierać się na weryfikowalnych kryteriach

Przed wyborem jednostki certyfikującej sprawdź, czy jej aktualny zakres akredytacji odpowiada działalności Twojej organizacji. Porównaj koszty i warunki całego cyklu certyfikacji. Uwzględnij przy tym wymagania kontrahentów i zamawiających, którym certyfikat będzie przedstawiany.

CeCert jest niezależną jednostką certyfikującą systemy zarządzania, posiadającą akredytację Polskiego Centrum Akredytacji nr AC 219. Jej zakres obejmuje m.in. certyfikację według norm ISO 9001, ISO 13485 i ISO/IEC 27001. Aktualne informacje można zweryfikować w oficjalnym wykazie PCA. CeCert ocenia zgodność systemów zarządzania z wymaganiami norm, ale nie zajmuje się ich wdrażaniem. Pozwala to zachować bezstronność między doradztwem a certyfikacją.

Chcesz zoptymalizować proces certyfikacji lub przenieść obecny certyfikat do jednostki, która rozumie Twój biznes? Wyślij zapytanie przez nasz formularz, a w ciągu 48 godzin otrzymasz od nas konkretną kalkulację (w tym precyzyjne wyliczenie dni audytowych) dopasowaną do Twoich potrzeb.

Aktualności