企业在寻求ISO认证时经常遇到的挑战之一是如何选择认证机构，而不管具体的ISO标准是ISO 27001，ISO 9001等。首先，重要的是要解释“认证机构”和“认可”这两个术语。机构”是紧密相关的，因此认证机构的选择会受到相关的认可机构的影响，我们将看到这些机构。

简而言之，认证机构是审核公司，其作用是验证被审核公司是否符合ISO标准的要求。对于被审核的公司，认证机构是一个独立的机构，独立性意味着认证机构绝不参与信息安全管理系统（ISMS）的实施。这意味着，如果您的公司聘请了一家咨询公司来协助您实施ISMS，则该公司就ISO 27001认证而言将无法执行独立审核。出于ISO 27001认证目的而进行的ISO 27001符合性审核也称为第三方审核，是指它们是由独立的第三方（即认证机构）执行的事实。

为特定的ISO合规性审核选择认证机构就像选择一所大学以追求特定的学位一样。准学生将如何选择一所大学？世界各地有数百所大学，其中一些享有盛誉，一些声誉较差，还有一些提供在线学位的课程没有出勤要求。甚至在某些“大学”中，您都可以以合适的价格购买一定程度的选择。无论选择哪种大学，您都将获得学位证书。可以确定的一件事是，选择合适的大学不是基于某些大学排行榜来选择最好的大学，而是选择最适合您的大学。

选择ISO 27001认证机构时，公司面临着同样的挑战。许多认证机构，不同的成本，不同的声誉，有些在附近设有办事处，而有些则必须由不同国家的审核员派遣。最后，类似于神秘的在线大学，这些大学要收费地颁发学位，有些认证机构将在很少进行审核的情况下签发证书，而费用又很高。从理论上讲，任何人都可以成立公司作为认证机构来进行独立的第三方审核，就像任何人都可以成立公司并称其为“国际计算机安全研究中心”并将其作为大学进行营销一样（实际上很多为了解决假大学颁发的假学位问题，世界各国开始限制公司名称中“大学”一词的使用。

那我们该如何选择呢？

认证机构进行此类审核，像大学一样，每个国家都会有数十个认证机构（执行第三方ISO 27001审核的审计公司），但通常只有一个认证机构负责对每个认证机构进行审核和认证。

国际认可论坛（IAF）维护着世界各地认可机构的名单，这些机构合作以提高对全球交付的产品和服务的接受度。

著名的认证机构是：

外资：SGS，BV，TUV，Dekra，Intertek等
       国内：CQC、方圆、万泰、上海审核中心、兴原、深圳博洋达等

认证不是强制性的，认证机构可以在没有任何认证机构认可的情况下运作，就像一个认证机构可以选择一个以上的认证机构一样。后者通常由认证机构完成，目的是在所选认证机构所在的国家/地区获得信任和商业增长。例如，如果认证机构希望在英国获得信任和声誉，他们会选择获得UKAS的认可。

由于对认证机构的认证不是强制性的，因此选择经过认证的认证机构意味着选择一个已决定向您证明其运作能力和公正性的认证机构。尽管大多数公司对后者不那么感兴趣，但是竞争力并不是您想要妥协的。此外，重要的是要了解认证过程是特定于特定标准的。例如，认证机构可以被授权进行ISO 9001符合性审核，而不是ISO 27001审核。跨多个标准的认证对认证机构提出了更高的要求，因为这要求认证机构对它们进行更彻底的审核。各认证机构保持他们在认可的认可的认证机构和标准的记录。当选择认可的认证机构是值得仔细检查他们的“资格证书”与相关的认证机构。

认可与非认可认证机构：

首要的是，认证确保不存在利益冲突，从而阻止认证机构咨询和审核同一组织。如果与您联系的公司建议同时执行ISMS实施咨询和ISO 27001认证，则该公司不是经过认证的认证机构，因此其合规性审核将不会独立。但是可以接受的是，咨询公司代表客户与认证机构联系，并协助客户选择合适的认证机构，并在最终合规性审核期间，就像辩护律师监视其客户一样。

其次，认证还禁止认证机构向引进客户的顾问支付发现者的费用。这一点非常重要，因为它可以进一步提高与被审核公司之间的独立性，尽管认证机构可能仍会受到顾问的影响，如果认证机构不做任何事情并且努力工作，顾问可能会威胁将认证业务转移到其他地方。顾问协助的组织。因此，选择一家专业且信誉良好的咨询公司来协助您开发管理系统同样重要！

认证机构的另一个基本优势可能是审核报告的质量。审核的目的是确定需要改进的方面，并获得有关您的ISMS的第三方认可的观点。尽管获取实际的纸张很重要，但是进行良好的审核是您可以了解ISMS的更多信息，而不仅仅是不合格项。良好的审核可以通过表扬您擅长的方面，需要改进的方面和需要注意的方面来改善组织，通常会告诉您尚不了解的内容！为了保持独立性，审核员不会随意提供任何咨询意见，但是一份好的审核报告比简单的发现不符合项清单要有价值得多。后者通常是缺乏能力和经验的审计师所期望的。

1.法律/法规要求

在这种情况下，法规或法规规定了法规遵从要求，并且由于认证机构是最终的法规遵从证书，因此对认证机构的选择范围有所扩大。选择一个“更轻松”的认证机构可以导致更快的遵从性，但很可能不会提高安全性，从而无法开发ISMS。话虽如此，如果您是政府的供应商，必须符合ISO 27001的要求，那么鲜为人知或未经认可的认证机构的证书机构将不会树立相同的信任度。

2.增加竞争优势

这种情况是一个有争议的场景，因为竞争优势很大程度上取决于市场对ISO27001认证的认识。许多公司在由知名认证机构签发的ISO 27001认证与由不太知名的认证机构签发的ISO 27001认证之间的区别不大。但是，通常来说，来自信誉良好的认证机构的证书往往具有更大的分量，并且由于难以实现，因此绝对值得与您和您的竞争对手保持距离。

3.增强客户信心

在这种情况下，了解客户信任谁很重要。例如，一家东欧公司在英国追求新客户，如果他们选择由英国人从未听说过的本地（公司）认证机构进行认证，那么他们在提高客户信心方面可能做得并不多。国外业务最好选择国外权威机构出具的，国内业务多久选择国内机构。

到现在为止应该很清楚，选择一个认可的认证机构很重要，但是没有世界上最好的认证机构之类的东西，就像在选择一所大学时，世界上最好的大学就是最好的大学一样。符合您的要求。与不同的认证机构交谈，了解它们，索取参考，以获取示例审核报告和审核员的可用性。您不是唯一一家接受审核的公司，并且认证机构可能没有与您的时间表要求兼容的审核员。

最后，值得一提的是，许多组织常年选择“遵守” ISO 27001的要求，但由于涉及的成本而没有进行实际的认证。该决定的真正本质是该公司未真正遵守该标准的要求。使用我们的大学类比，公司就像一个花了数周准备考试的学生，然后决定不参加2小时的考试来证明自己的能力。合规性的最大成本不是认证审核，而是实施部分，而没有正式认证的合规性实际上是没有意义的，并且该公司对其安全性并不认真。