Nie do końca się na tym znam, ale wydaje mi się, że w pierwszej kolejności trzeba przeprowadzić audyt.
Są specjalne firmy, które się tym zajmują.
Tutaj http://gqcert.com/ masz namiar na jedną z nich.
No i ktoś taki robi ten audyt, mówi co trzeba poprawić, jakie innowacje wprowadzić.
Później masz certyfikację. W przypadku tej firmy z tego co wiem, to tak dość szybko są w stanie to załatwić.