Elle convient aux organisations réglementées comme les banques et assureurs. Les conseils d'administration l'utilisent pour montrer comment la conformité est gérée.

• Une analyse d'écart compare la pratique actuelle aux exigences.
• La direction générale approuve l'étendue, la politique et les objectifs.
• Les obligations de conformité sont identifiées et assignées à des propriétaires désignés.
• Les processus s'exécutent assez longtemps pour produire des preuves pour l'auditeur.
• Un audit interne et une revue de direction sont réalisés.
• L'étape 1 et l'étape 2 les audits par l'organisme de certification conduisent au certificat.

L'effectif, le nombre de sites et la portée du système déterminent la plupart des coûts. Les pratiques existantes sont importantes, car chaque écart nécessite du temps du personnel et un soutien externe pour être comblé. Les jours d'audit sont fixés par l'organisme de certification en fonction de l'effectif et de la complexité selon les règles d'accréditation. Le nombre de lois, de licences et de contrats en portée détermine l'effort. Des audits de surveillance suivent au cours de chacune des deux années suivant la certification.

Le temps dépend de la taille, de l'étendue et de la préparation. Les petites organisations ayant une pratique saine terminent souvent en quatre à six mois. Les organisations plus grandes ou multi-sites ont généralement besoin de neuf à douze mois. Un certificat est valide pendant trois ans avant la recertification.

Les certificats sont émis par des organismes de certification accrédités auprès de ISO/IEC 17021-1. Votre responsable de mise en œuvre et votre auditeur sont toujours différents, de sorte que l'audit reste indépendant.