Wer zum ersten Mal eine Zertifizierung plant, unterschätzt meist nicht das Audit, sondern die Zeit davor. Das Verfahren selbst umfasst wenige Tage. Der Weg dorthin dauert Monate und lässt sich nur begrenzt beschleunigen, weil die Norm Nachweise über einen gelebten Betriebszeitraum verlangt.
Diese Seite ist die Klammer über den gesamten Zyklus. Die einzelnen Stationen sind eigenständig beschrieben — das externe Audit unter Zertifizierungsaudit, die Jahre danach unter Überwachungsaudit.
Der Verfahrensweg in zwölf Schritten
- Geltungsbereich festlegen und mit den Erwartungen der Auftraggeber abgleichen.
- Bestandsaufnahme: Was existiert bereits, wenn auch unter anderem Namen?
- Prozesse, Verantwortlichkeiten und dokumentierte Informationen festlegen.
- System in Betrieb nehmen und Aufzeichnungen entstehen lassen.
- Vollständigen Zyklus interner Audits durchführen und auswerten.
- Managementbewertung durch die oberste Leitung.
- Korrekturmaßnahmen aus den eigenen Befunden umsetzen und ihre Wirksamkeit prüfen.
- Zertifizierungsstelle auswählen, Auditvolumen und Termine vertraglich fixieren.
- Stufe-1-Audit: Prüfung der Auditbereitschaft.
- Offene Punkte aus Stufe 1 abarbeiten.
- Stufe-2-Audit: Prüfung der Wirksamkeit im Betrieb.
- Abweichungen schließen, Zertifikatsentscheidung, Start des Drei-Jahres-Zyklus.
Die Schritte 1 bis 7 verantworten Sie allein. Die Zertifizierungsstelle kommt erst ab Schritt 8 ins Spiel — und kann nichts beschleunigen, was davor versäumt wurde.
Phase 1: Vorbereitung (3 bis 9 Monate)
Geltungsbereich festlegen. Das ganze Unternehmen, ein Standort, eine Produktlinie? Der Geltungsbereich steht später auf dem Zertifikat und entscheidet darüber, ob es den Zweck erfüllt, für den Sie es beschaffen.
Bestandsaufnahme. In den meisten Unternehmen existiert mehr, als die Beteiligten glauben: Arbeitsanweisungen, Prüfprotokolle, Lieferantenbewertungen. Es ist nur nicht als System beschrieben und nicht mit den Normkapiteln verknüpft.
Aufbau. Prozesse festlegen, Verantwortlichkeiten klären, dokumentierte Informationen erstellen. Die verbreitete Fehleinschätzung: Es gehe darum, Dokumente zu produzieren. Tatsächlich geht es darum, Entscheidungen zu treffen, die bisher niemand explizit getroffen hat — wer Lieferanten freigibt, wer Abweichungen bewertet.
Phase 2: Betriebs- und Nachweisphase (mindestens 3 Monate)
Ein Managementsystem kann nicht geprüft werden, bevor es gelaufen ist. Sie brauchen Aufzeichnungen aus dem laufenden Betrieb, einen vollständigen Zyklus interner Audits über alle Normkapitel und Prozesse, eine Managementbewertung mit den in Kapitel 9.3 geforderten Eingaben und dokumentierte Korrekturmaßnahmen zu den gefundenen Abweichungen.
Diese Phase ist der häufigste Grund für Terminverschiebungen. Wer im Januar startet und im März zertifiziert sein will, scheitert nicht an fehlender Qualität, sondern daran, dass es nichts zu prüfen gibt.
Was die Zertifizierungsstelle sehen will — und in welcher Reihenfolge
Der Auditor arbeitet von der Systemebene zur Praxis. Diese Reihenfolge ist bei fast jedem Erstaudit gleich:
| Reihenfolge | Was verlangt wird | Woran es typischerweise hakt |
|---|---|---|
| 1 | Geltungsbereich und Organigramm | Bereiche fehlen, die faktisch mitwirken |
| 2 | Kontext, interessierte Parteien, Risiken und Chancen | als Einmalübung erstellt, seither nicht angefasst |
| 3 | Politik und messbare Ziele | Ziele ohne Messgröße, ohne Termin, ohne Verantwortlichen |
| 4 | Prozesslandkarte und Prozessbeschreibungen | Beschreibungen weichen vom Gelebten ab |
| 5 | Auditprogramm, Auditpläne, Auditberichte | Programm ist eine Terminliste ohne Risikobezug |
| 6 | Managementbewertung mit allen Eingaben | einzelne Pflichteingaben fehlen |
| 7 | Abweichungen, Korrekturmaßnahmen, Wirksamkeitsnachweise | Maßnahmen offen oder pauschal als erledigt markiert |
| 8 | Aufzeichnungen aus dem Tagesgeschäft | nur Musterfälle vorbereitet, Stichproben unvollständig |
Die Punkte 5 bis 7 sind das Nadelöhr: Sie belegen, dass sich das System selbst überwacht.
Phase 3: Das Zertifizierungsverfahren
Die Zertifizierungsstelle ermittelt zunächst das Auditvolumen nach dem Regelwerk IAF MD 5. Es folgen Stufe 1 und Stufe 2, auf der Seite zum Zertifizierungsaudit im Detail beschrieben. Am Ende von Stufe 2 steht das Abschlussgespräch mit den Feststellungen. Eine Hauptabweichung hält die Erteilung an, bis die Behebung nachgewiesen ist; Nebenabweichungen werden mit einem Maßnahmenplan und einer Nachweisfrist bearbeitet, und das Zertifikat wird in der Regel trotzdem erteilt. Welche Nachweise dabei anerkannt werden, steht unter Nichtkonformität.
Nach Abschluss der Abweichungen prüft ein unabhängiger Entscheider innerhalb der Zertifizierungsstelle den Auditbericht und erteilt das Zertifikat. Diese Trennung zwischen Auditor und Entscheider ist in ISO/IEC 17021 vorgeschrieben und einer der Gründe, warum das Verfahren nach dem Abschlussgespräch noch einige Wochen dauert.
Phase 4: Der Drei-Jahres-Zyklus und seine Fristen
Das Zertifikat gilt drei Jahre. In Jahr 1 und 2 findet je ein Überwachungsaudit statt, in Jahr 3 die Rezertifizierung. Zwei Fristen entscheiden darüber, ob die Zertifikatskette hält: Das erste Überwachungsaudit muss binnen zwölf Monaten nach dem Stufe-2-Audit stattfinden — gezählt ab dem Audittag, nicht ab dem Ausstellungsdatum. Und die Rezertifizierung muss einschließlich Abweichungsbearbeitung und Entscheidung abgeschlossen sein, bevor das alte Zertifikat endet.
Wird sie zu spät angesetzt, entsteht eine Lücke in der Zertifikatskette. Das neue Zertifikat trägt ein späteres Startdatum, und in Ausschreibungen müssen Sie eine Unterbrechung erklären. Bei längerem Verzug bleibt nur eine vollständige Erstzertifizierung mit Stufe 1 und Stufe 2.
Wenn etwas schiefgeht
Das Verfahren kennt drei Eskalationsstufen in dieser Reihenfolge:
Nachaudit. Bei einer Hauptabweichung oder wenn Nachweise nicht per Unterlage prüfbar sind, kommt der Auditor erneut. Das kostet Audittage.
Aussetzung. Versäumte Termine, offene Hauptabweichungen oder Missbrauch des Zertifizierungszeichens führen zur Aussetzung des Zertifikats. Sie dürfen es dann nicht verwenden — auch nicht in laufenden Angeboten.
Entzug. Wird die Ursache nicht fristgerecht behoben, folgt der Zertifikatsentzug, und das Verfahren beginnt von vorn.
Realistische Zeitplanung
| Ausgangslage | Bis zum Zertifikat |
|---|---|
| Kein Managementsystem, kleines Unternehmen | 6 bis 9 Monate |
| Kein Managementsystem, mittlerer Betrieb mit mehreren Standorten | 9 bis 15 Monate |
| Bestehendes System nach anderer Norm, integriert aufgebaut | 3 bis 6 Monate |
| Erweiterung eines bestehenden Zertifikats um eine zweite Norm | 2 bis 4 Monate |
Der Engpass ist fast nie die Zertifizierungsstelle, sondern die interne Kapazität. Wird die Aufgabe „nebenbei” verteilt, verlängert sich alles — und nicht linear, weil jede Unterbrechung Wiedereinarbeitung kostet.
Der teuerste vermeidbare Fehler ist ein anderer: den Geltungsbereich zu spät mit dem Auftraggeber abzustimmen. Eine nachträgliche Erweiterung bedeutet ein zusätzliches Audit und im ungünstigen Fall ein Zertifikat, das seinen Zweck bis zur nächsten Rezertifizierung nicht erfüllt.