セキュリティ系の認証って

- 管理プロセスが適切に定まっているかドキュメントを確認する
- 管理プロセスが適切に行われているか証跡を確認する

ってことでしかないので「事故が起きない」ということを保証しては全くいないんだよね。
まぁ実はこれはセキュリティだけじゃなくて会計とか品質管理とか環境管理などすべてに通じるんだけど。