Die Erstzertifizierung ist der Einstieg in den Zertifizierungszyklus. Sie unterscheidet sich von allen späteren Audits durch ihre Zweistufigkeit und durch den Umfang: Hier wird das gesamte System zum ersten Mal von außen geprüft.
Die Voraussetzungen
Vor dem Stufe-2-Audit müssen vorliegen:
- ein vollständiger interner Auditzyklus über alle Prozesse und Normkapitel,
- eine Managementbewertung mit den geforderten Eingaben,
- Aufzeichnungen aus dem laufenden Betrieb über einen aussagekräftigen Zeitraum,
- bearbeitete Abweichungen aus dem internen Audit,
- ein festgelegter und formulierter Geltungsbereich.
Diese Liste ist der Grund, warum sich der Termin nicht beliebig vorziehen lässt. Das System muss gelaufen sein, bevor es geprüft werden kann.
Der Ablauf
Stufe 1 prüft die Auditbereitschaft: Dokumentation, Verständnis der Normanforderungen, Stand von internem Audit und Managementbewertung. Ergebnis ist ein Bericht mit offenen Punkten — keine formalen Abweichungen, aber eine präzise Liste dessen, was bis Stufe 2 zu erledigen ist.
Zwischen den Stufen liegen üblicherweise vier bis acht Wochen.
Stufe 2 prüft die Wirksamkeit im Betrieb: Gespräche auf allen Ebenen, Stichproben an konkreten Vorgängen, Beobachtung vor Ort.
Nach Abschluss offener Abweichungen entscheidet eine vom Auditor unabhängige Stelle innerhalb der Zertifizierungsstelle über die Erteilung.
Womit das Stufe-2-Audit beginnt
Der Auditor steigt fast immer über dieselben drei Punkte ein: den Geltungsbereich, das interne Audit und die Managementbewertung. Erst danach geht er in die Prozesse. Der Grund ist einfach — diese drei zeigen, ob das System gesteuert wird oder nur beschrieben ist. Läuft eines davon ins Leere, ändert sich der Charakter des Audits: Aus der Stichprobenprüfung wird eine Suche nach systematischen Lücken, und der Zeitplan des Tages hält nicht mehr.
Ebenfalls früh geprüft wird, ob die im Stufe-1-Bericht genannten offenen Punkte erledigt sind. Sie sind keine formalen Abweichungen, werden aber lückenlos nachgehalten.
Was sie von den späteren Audits unterscheidet
| Audit | Umfang | Besonderheit |
|---|---|---|
| Erstzertifizierung | gesamtes System, alle Normkapitel | zweistufig; Stufe 1 ist eine Bereitschaftsprüfung ohne Abweichungen |
| Überwachungsaudit | Ausschnitt, jährlich | Pflichtthemen wie internes Audit, Managementbewertung, Beschwerden, Zeichennutzung |
| Rezertifizierung | gesamtes System | einstufig, muss vor Ablauf des Zertifikats abgeschlossen sein |
Praktisch bedeutet das: Nach der Erstzertifizierung wird nie wieder alles auf einmal geprüft — bis zur Rezertifizierung drei Jahre später. Wer den Zyklus danach schleifen lässt, merkt das erst dort, und dann geballt.
Die häufigsten Stolpersteine
Das interne Audit ist unvollständig. Es fehlen Prozesse oder Normkapitel — meist die unbequemen wie Managementbewertung, Dokumentenlenkung oder Lieferantensteuerung.
Die Managementbewertung fehlt oder ist zu dünn. Ohne die vorgeschriebenen Eingaben ist sie unvollständig, und ohne dokumentierte Entscheidungen erfüllt sie ihren Zweck nicht.
Dokumentation und Praxis weichen ab. Die Prozessbeschreibung stammt aus einer Vorlage, die Arbeit läuft anders. Das zeigt sich im ersten Gespräch am Arbeitsplatz.
Der Geltungsbereich wird erst mit dem Angebot festgelegt. Er bestimmt, welche Prozesse aufgebaut, dokumentiert und geprüft werden müssen. Eine Korrektur nach dem Stufe-1-Audit wirft das Projekt zurück.
Die Frist bis zur Behebung wird unterschätzt. Für Hauptabweichungen setzen Zertifizierungsstellen kurze Fristen und verlangen Wirksamkeitsnachweise, nicht nur Absichtserklärungen. Wer den Termin knapp vor einer Ausschreibung legt, hat keinen Puffer für ein Nachaudit.