Wat is een managementsysteem?
Een managementsysteem is het samenhangende geheel van beleid, doelen, rollen, processen en documentatie waarmee een organisatie haar doelstellingen planmatig realiseert, risico’s beheerst en aantoonbaar continu verbetert. ISO omschrijft het kort als de onderling samenhangende elementen van een organisatie om beleid en doelstellingen vast te stellen en de processen om die doelen te bereiken. Een managementsysteem is dus geen softwarepakket of map met procedures, maar de manier waarop een organisatie zichzelf bestuurt op een thema als kwaliteit, veiligheid, milieu, energie of informatiebeveiliging.
In een industriële omgeving ondersteunt een managementsysteem bijvoorbeeld het veiligheidsbeleid, een ISMS voor informatiebeveiliging of een kwaliteitsmanagementsysteem (QMS) volgens ISO 9001.
🧠 Hoe werkt een managementsysteem?
Vrijwel elk managementsysteem draait op de Plan-Do-Check-Act (PDCA)-cyclus en bestaat uit vier bouwstenen:
- Beleid en doelstellingen - de directie legt vast wat zij wil bereiken, bijvoorbeeld nul ongevallen met verzuim, minder dan 1% afkeur of een energiebesparing van 2% per jaar.
- Structuur en verantwoordelijkheden - duidelijke rollen zoals procesbeheerder, preventiemedewerker, kwaliteitsmanager of OT-securityverantwoordelijke, met bevoegdheden en middelen.
- Processen en werkinstructies - gestandaardiseerde werkwijzen, zoals de werkvergunning, Lock-out Tag-out, onderhoud, inspectie en change management.
- Monitoring en verbetering - meten met KPI’s, interne audits, incidentmanagement, oorzaakanalyse, training en lessons learned, afgesloten met een directiebeoordeling.
Het verschil met losse procedures zit in de terugkoppeling: afwijkingen leiden tot corrigerende maatregelen, en de directie stuurt periodiek bij op basis van resultaten.
🧱 Wat is de Harmonized Structure?
Sinds 2012 schrijft ISO voor dat nieuwe en herziene managementsysteemnormen één gemeenschappelijke hoofdstukindeling volgen. Die heette eerst Annex SL of High Level Structure en sinds 2021 Harmonized Structure. Hoofdstuk 1 tot en met 3 zijn inleidend (onderwerp, verwijzingen, termen); de eisen staan in hoofdstuk 4 tot en met 10:
| Hoofdstuk | Onderwerp | PDCA-fase | Voorbeeld in een OT-omgeving |
|---|---|---|---|
| 4 | Context van de organisatie | Plan | Scope: welke fabrieken, besturingssystemen en leveranciers vallen erbinnen |
| 5 | Leiderschap | Plan | Directie ondertekent beleid en wijst een eigenaar voor OT-risico’s aan |
| 6 | Planning | Plan | Risico’s en kansen bepalen, meetbare doelen stellen, wijzigingen plannen |
| 7 | Ondersteuning | Do | Competenties, bewustwording, communicatie, beheer van gedocumenteerde informatie |
| 8 | Uitvoering | Do | Operationele beheersing: werkvergunningen, wijzigingsbeheer, leveranciers |
| 9 | Evaluatie van prestaties | Check | KPI’s, interne audit, directiebeoordeling |
| 10 | Verbetering | Act | Afwijkingen, corrigerende maatregelen, continue verbetering |
In februari 2024 voegden ISO en IAF via een amendement aan 31 normen een zin toe aan hoofdstuk 4.1: de organisatie moet bepalen of klimaatverandering een relevant onderwerp is. Dankzij de gedeelde structuur kunt u meerdere normen in één systeem combineren.
🔍 Welke typen managementsystemen bestaan er?
| Systeem | Norm (actuele editie) | Thema |
|---|---|---|
| QMS | ISO 9001:2026 | Kwaliteitsmanagement |
| ISMS | ISO 27001:2022 | Informatiebeveiliging |
| Arbomanagementsysteem | ISO 45001:2018 | Gezondheid en veiligheid op het werk |
| Milieumanagementsysteem | ISO 14001:2026 | Milieu |
| Energiemanagementsysteem | ISO 50001:2018 | Energieprestatie |
| Voedselveiligheid | ISO 22000:2018 | Voedselveiligheid in de keten |
| Continuïteitsmanagement | ISO 22301:2019 | Bedrijfscontinuïteit |
| Assetmanagementsysteem | ISO 55001:2024 | Waarde uit fysieke assets |
Naast deze certificeerbare normen bestaan richtlijnen zonder certificaat, zoals ISO 31000 voor risicomanagement. Een organisatie die meerdere normen combineert, spreekt van een geïntegreerd managementsysteem: één beleid, één auditprogramma, één directiebeoordeling en één set procedures voor documentbeheer en corrigerende maatregelen.
🏭 Hoe wordt een managementsysteem in de industrie toegepast?
- Veiligheid - ISO 45001, veiligheidsbeleid, RI&E, werkvergunningen
- Kwaliteit - ISO 9001, QMS, batchbesturing met elektronische batchrecords, GMP in de farma, HACCP in de voedingsmiddelenindustrie
- Milieu en energie - ISO 14001, energiebeheer via ISO 50001 met meetdata uit energiemeters en de procesbesturing
- Informatiebeveiliging - ISMS, NIST CSF, IEC 62443
- Compliance - audits, FAT en SAT bij oplevering, wijzigingsbeheer
Typische sectoren zijn productie, chemie, farma, voedingsmiddelen, energie, water en infrastructuur. In de OT komt het managementsysteem samen met de techniek: de historian levert KPI-data, het MES legt afwijkingen vast en een wijziging aan een PLC-programma doorloopt dezelfde change-procedure als een wijziging aan het proces.
🔐 Waar hoort OT-security in het managementsysteem?
Voor cybersecurity in de procesautomatisering zijn twee lagen van belang. Het ISMS volgens ISO 27001 levert het managementraamwerk: beleid, risicobeoordeling, audit en directiebeoordeling. IEC 62443-2-1 stelt daarbovenop specifieke eisen aan het securityprogramma van de asset owner. De editie van 2024 heeft het oude CSMS-begrip losgelaten en is bewust zo opgezet dat het naast een bestaand ISMS werkt, zonder dubbele managementsysteemeisen.
Praktisch betekent dit:
- Neem de OT op in de scope van het ISMS, of definieer een apart OT-domein met eigen risicoanalyse
- Gedocumenteerde procedures voor veilig werken, incidentmanagement en wijzigingsbeheer, ook voor leveranciers op afstand
- Bewustwording en training voor operators en monteurs, niet alleen voor kantoorpersoneel
- Volwassenheid meten met een cybersecurity maturity model, zodat de directie voortgang ziet
Een goed managementsysteem verhoogt de weerbaarheid van de organisatie tegen interne én externe risico’s, omdat beveiliging dan geen eenmalig project is maar een cyclus.
⚖️ Welke managementsystemen zijn wettelijk verplicht?
ISO-certificering is vrijwillig, maar wetgeving vraagt vaak wel om een systematische aanpak:
| Verplichting | Wat wordt gevraagd | Wie |
|---|---|---|
| Arbowet | Een actuele RI&E met plan van aanpak | Elke werkgever |
| Seveso III (in Nederland sinds 2024 via de Omgevingswet, daarvoor het Brzo 2015) | Preventiebeleid (PBZO) en een veiligheidsbeheerssysteem (VBS) met zeven elementen | Bedrijven met grote hoeveelheden gevaarlijke stoffen, zie Brzo en cybersecurity |
| EU-richtlijn energie-efficiëntie (2023/1791) | Energiemanagementsysteem boven gemiddeld 85 TJ per jaar, energie-audit boven 10 TJ | Grote energieverbruikers |
| Cyberbeveiligingswet | Zorgplicht met risicobeheer en bestuurlijke verantwoordelijkheid, sinds 15 augustus 2026 | Essentiële en belangrijke entiteiten onder NIS2 |
| GMP | Farmaceutisch kwaliteitssysteem | Geneesmiddelenproducenten |
De Cyberbeveiligingswet verplicht geen ISO 27001-certificaat, maar een werkend ISMS is wel de eenvoudigste manier om aan te tonen dat u de zorgplicht invult.
🔧 Hoe zet u een managementsysteem op?
- Bepaal context en scope - welke locaties, processen, systemen en belanghebbenden vallen eronder.
- Borg leiderschap - de directie stelt beleid vast, wijst eigenaren aan en reserveert budget.
- Breng risico’s in kaart - gebruik bestaande analyses zoals de RI&E, HAZOP of een OT-risicoanalyse en stel meetbare doelen.
- Beschrijf processen - leg alleen vast wat nodig is; een apart kwaliteitshandboek is sinds ISO 9001:2015 niet meer verplicht.
- Implementeer en train - laat het systeem enkele maanden draaien zodat er bewijs ontstaat.
- Evalueer - voer een interne audit en een directiebeoordeling uit en handel afwijkingen af.
- Certificeer (optioneel) - een geaccrediteerde certificatie-instelling auditeert in twee fasen (documenten, dan praktijk). Een certificaat is drie jaar geldig met jaarlijkse controle-audits.
Een middelgroot productiebedrijf heeft voor de eerste certificering doorgaans zes tot twaalf maanden nodig. Combineert u later een tweede norm, dan hergebruikt u vaak een groot deel van hoofdstuk 4, 5, 7, 9 en 10.
❓ Veelgestelde vragen
Wat is het verschil tussen een managementsysteem en een norm?
Een managementsysteem is de manier waarop een organisatie zichzelf werkelijk bestuurt, met beleid, processen en verbetercycli. Een norm zoals ISO 9001 of ISO 27001 beschrijft alleen de eisen waaraan zo’n managementsysteem moet voldoen. Een organisatie kan dus een managementsysteem hebben zonder gecertificeerd te zijn.
Is een managementsysteem verplicht?
Een ISO-gecertificeerd managementsysteem is in Nederland niet wettelijk verplicht, maar klanten en aanbestedingen vragen er vaak om. Wel verplichten wetten als de Arbowet, de Seveso-regels en de Cyberbeveiligingswet een systematische aanpak van risico’s. Een managementsysteem is de gebruikelijke manier om daaraan aantoonbaar te voldoen.
Wat is een geïntegreerd managementsysteem?
Een geïntegreerd managementsysteem combineert meerdere normen, zoals ISO 9001, ISO 14001 en ISO 45001, in één samenhangend systeem. Omdat deze normen dezelfde Harmonized Structure volgen, deelt u beleid, documentbeheer, interne audits en directiebeoordeling. Dat bespaart werk en voorkomt tegenstrijdige procedures.
Hoort OT-security in het ISMS of in een apart managementsysteem?
OT-security hoort bij voorkeur in de scope van het bestaande ISMS, aangevuld met de specifieke eisen uit IEC 62443-2-1. Een apart managementsysteem voor OT leidt vaak tot dubbel werk en tegenstrijdige afspraken tussen IT en OT. Wel verdient de OT een eigen risicoanalyse, omdat beschikbaarheid en veiligheid daar zwaarder wegen.
Wat betekenen ISO 9001:2026 en ISO 14001:2026 voor een bestaand managementsysteem?
ISO 14001:2026 verscheen in april 2026 en ISO 9001:2026 in september 2026; beide herzieningen zijn evolutionair en behouden de Harmonized Structure. Gecertificeerde organisaties krijgen ongeveer drie jaar om over te stappen, voor ISO 9001 tot 30 september 2029. Een gap-analyse tegen de nieuwe tekst is meestal de eerste stap.
Hoe lang is een certificaat voor een managementsysteem geldig?
Een certificaat voor een managementsysteem is drie jaar geldig. In de tussenliggende jaren voert de certificatie-instelling jaarlijks een controle-audit uit, en na drie jaar volgt een hercertificering. Grote afwijkingen moeten binnen een afgesproken termijn zijn opgelost, anders kan het certificaat worden geschorst.
📌 Samengevat
Een managementsysteem bundelt beleid, rollen, processen en meetbare doelen in een PDCA-cyclus. Dankzij de Harmonized Structure delen ISO 9001, ISO 14001, ISO 45001, ISO 50001 en ISO 27001 dezelfde opbouw en zijn ze te combineren tot één geïntegreerd systeem. In de industrie raakt het managementsysteem steeds vaker de OT: wijzigingsbeheer, incidentafhandeling en securityeisen uit IEC 62443-2-1 en de Cyberbeveiligingswet lopen via dezelfde cyclus.
Een managementsysteem maakt veiligheid, kwaliteit, milieu en informatiebeveiliging aantoonbaar en blijvend beheersbaar, en vormt daarmee de ruggengraat van compliance en continue verbetering in industriële omgevingen.