Вопрос «сколько стоит ISO 27001» звучит почти в каждом первом разговоре о сертификации. Точную цифру без вводных не назовёт ни один добросовестный аудитор, но логика расчёта понятна, и её стоит знать до того, как сравнивать предложения.

Человеко-дни аудита

Основа стоимости сертификационного аудита это количество аудиторских дней. Его определяет не орган сертификации по своему усмотрению, а международный стандарт ISO/IEC 27006-1, который связывает длительность аудита с численностью персонала в области сертификации. Небольшой компании до десяти человек обычно нужно около пяти человеко-дней на первичную сертификацию, компании на сто человек уже около двенадцати. Дальше длительность корректируется: несколько площадок, сложная инфраструктура, разработка программного обеспечения увеличивают её, простая однородная деятельность может уменьшить.

Прикинуть объём можно заранее с помощью калькулятора человеко-дней аудита.

Что входит в цикл

Сравнивая предложения, смотрите на стоимость всего трёхлетнего цикла, а не только первого года. Низкая цена первичного аудита иногда компенсируется дорогим надзором.

Международный сертификат или ДСТУ

Требования ДСТУ ISO/IEC 27001 и международного ISO/IEC 27001 одинаковые, отличается схема аккредитации органа. Для государственных заказчиков в Украине часто достаточно ДСТУ, для клиентов из ЕС и США нужен международный сертификат. Если нужны оба, аудиты можно совместить, и это дешевле, чем проходить их отдельно.

Подготовка считается отдельно

Аудит и подготовка это разные услуги, и по правилам аккредитации их не может оказывать одна и та же организация одной и той же компании. Стоимость подготовки зависит от того, что уже есть: у одной компании готовы половина политик и налажено управление доступами, другой нужно начинать с нуля. Если у вас уже работает ISO 9001, часть процессов можно использовать повторно.

Удалённо или на месте

Для большинства ИТ и сервисных компаний аудит можно провести полностью удалённо: интервью по видеосвязи, доказательства через защищённое хранилище. Это снижает затраты на дорогу и проживание аудитора. Если в область сертификации входит дата-центр или производственная площадка, орган сертификации может потребовать выезд хотя бы на часть аудита.

Что спросить у поставщика

Ориентиры по ценам и составу работ собраны на странице стоимость сертификации ISO 27001.