Zertifizierungsaudit: Ablauf in zwei Stufen, Zyklus und Vorbereitung

Das Zertifizierungsaudit ist die Prüfung eines Managementsystems durch eine unabhängige, akkreditierte Zertifizierungsstelle mit dem Ziel, ein Zertifikat nach einer Norm wie ISO 9001, 14001, 45001, 50001 oder 27001 zu erteilen. Es ist ein Audit durch eine dritte Partei – im Unterschied zum internen Audit des Unternehmens und zum Kundenaudit – und folgt festen Regeln der ISO/IEC 17021-1, die Ablauf, Auditzeit, Auditorenqualifikation und Unparteilichkeit vorgeben. Das Zertifikat gilt drei Jahre und wird durch jährliche Überwachungsaudits aufrechterhalten.

Ablauf in zwei Stufen

Stufe 1 – Bereitschaftsbewertung: Der Auditor prüft die Dokumentation – Geltungsbereich, Politik, Prozesse, Risikobewertung, Rechtskataster –, verschafft sich vor Ort oder per Fernzugriff einen Überblick über Standort und Prozesse, prüft, ob internes Audit und Managementbewertung stattgefunden haben, und klärt den Auditplan für Stufe 2. Ergebnis ist ein Bericht mit Punkten, die vor Stufe 2 zu klären sind. Zwischen den Stufen liegen meist vier bis zwölf Wochen.
Stufe 2 – Zertifizierungsaudit vor Ort: Das Auditteam prüft an allen Standorten im Geltungsbereich, ob das System umgesetzt und wirksam ist: Interviews mit Geschäftsführung, Prozessverantwortlichen und Beschäftigten, Begehung, Einsicht in Nachweise. Jede Normanforderung wird mindestens einmal auditiert. Am Ende stehen das Abschlussgespräch mit den Feststellungen und die Empfehlung an die Zertifizierungsstelle.

Bei Hauptabweichungen wird das Zertifikat erst erteilt, wenn ihre Behebung nachgewiesen ist – durch Dokumente oder ein Nachaudit; bei Nebenabweichungen genügt ein Maßnahmenplan. Die Zertifizierungsentscheidung trifft eine Person, die am Audit nicht beteiligt war. Die Auditzeit richtet sich nach Beschäftigtenzahl, Standorten, Komplexität und Risiko der Tätigkeiten; die Akkreditierungsregeln (IAF MD 5) geben Mindestzeiten vor.

Der dreijährige Zyklus

Jahr 0: Zertifizierungsaudit Stufe 1 und 2, Zertifikatserteilung.
Jahr 1 und 2: je ein Überwachungsaudit mit etwa einem Drittel des Aufwands; Pflichtthemen sind interne Audits, Managementbewertung, Maßnahmen aus dem Vorjahr, Beschwerden, Nutzung des Zertifikats, dazu wechselnde Schwerpunkte.
Jahr 3: Rezertifizierungsaudit vor Ablauf des Zertifikats, wieder über das gesamte System, meist ohne Stufe 1; danach ein neues Zertifikat für drei Jahre.

Vorbereitung: was vor dem Audit stehen muss

Das System läuft seit mindestens drei bis sechs Monaten – Nachweise wie Prüfprotokolle, Schulungen, Kennzahlen und Maßnahmen liegen vor.
Ein vollständiger Zyklus interner Audits über alle Normkapitel und eine Managementbewertung sind abgeschlossen, Abweichungen daraus bearbeitet.
Rechtskataster aktuell, gesetzliche Pflichten nachweisbar erfüllt (Prüffristen, Beauftragte, Genehmigungen).
Beschäftigte kennen Politik, Ziele und ihren Beitrag – sie werden befragt, nicht der Beauftragte.
Die Zertifizierungsstelle ist für Norm und Branche akkreditiert; Angebot, Geltungsbereich und Auditzeit sind vorab geklärt.

Ein Voraudit oder ein externes internes Audit vor der Stufe 1 deckt Lücken auf, solange sie noch nichts kosten.

Häufige Fragen zum Zertifizierungsaudit

Wie lange dauert ein Zertifizierungsaudit?

Das hängt von Beschäftigtenzahl, Standorten, Komplexität und Norm ab; die Akkreditierungsregeln geben Mindestauditzeiten vor. Für ein Unternehmen mit 50 bis 100 Beschäftigten und einer Norm sind Stufe 1 mit einem halben bis einem Tag und Stufe 2 mit zwei bis drei Tagen vor Ort typisch. Bei integrierten Systemen mit mehreren Normen wird die Zeit kombiniert und reduziert.

Was passiert, wenn im Zertifizierungsaudit Abweichungen festgestellt werden?

Nebenabweichungen erfordern einen Maßnahmenplan mit Ursachenanalyse, den die Zertifizierungsstelle prüft; das Zertifikat wird erteilt, die Umsetzung wird im nächsten Überwachungsaudit kontrolliert. Hauptabweichungen müssen vor der Zertifikatserteilung wirksam behoben und nachgewiesen werden, meist innerhalb von drei Monaten, gegebenenfalls durch ein Nachaudit. Erst danach wird das Zertifikat ausgestellt.

Wie lange ist ein Zertifikat gültig?

Drei Jahre. Voraussetzung für die Gültigkeit sind bestandene jährliche Überwachungsaudits; werden sie nicht fristgerecht durchgeführt oder bestehen nicht behobene Hauptabweichungen, wird das Zertifikat ausgesetzt und später entzogen. Vor Ablauf der drei Jahre findet das Rezertifizierungsaudit statt, das ein neues Zertifikat für weitere drei Jahre erbringt.