Nach der Erstzertifizierung beginnt der Drei-Jahres-Zyklus: zwei Überwachungsaudits, dann die Rezertifizierung. Für viele Unternehmen ist das die eigentliche Bewährungsprobe — denn jetzt zeigt sich, ob das System für den Alltag gebaut wurde oder für das Audit.
Das Überwachungsaudit ist kein verkleinertes Zertifizierungsaudit. Es hat einen anderen Zweck: Es prüft nicht, ob ein System vorhanden ist, sondern ob es aufrechterhalten und weiterentwickelt wird. Deshalb liegt der Schwerpunkt auf den Elementen, an denen sich Aufrechterhaltung zeigt.
Der Zyklus
| Zeitpunkt | Prüfung | Aufwand |
|---|---|---|
| Jahr 0 | Zertifizierungsaudit Stufe 1 und 2 | 100 % |
| Jahr 1 | Erstes Überwachungsaudit | etwa 33 % |
| Jahr 2 | Zweites Überwachungsaudit | etwa 33 % |
| Jahr 3 | Rezertifizierung | etwa 66 % |
Das erste Überwachungsaudit muss innerhalb von zwölf Monaten nach dem Stufe-2-Audit stattfinden. Diese Frist zählt ab dem Audittag, nicht ab der Zertifikatsausstellung — ein Unterschied, der leicht mehrere Wochen ausmacht und schon Zertifikate gekostet hat. Das zweite Überwachungsaudit richtet sich nach demselben Bezugspunkt und rutscht nicht mit, wenn das erste verschoben wurde.
Was immer geprüft wird
Das Überwachungsaudit ist kleiner als die Erstzertifizierung, aber nicht beliebig. Bestimmte Punkte stehen in jedem Durchgang auf der Liste:
- Interne Audits seit dem letzten Besuch — vollständig durchgeführt und ausgewertet?
- Managementbewertung — hat sie stattgefunden, mit welchen Ergebnissen, welche Entscheidungen sind daraus gefolgt?
- Abweichungen und Korrekturmaßnahmen, insbesondere die aus dem letzten externen Audit, einschließlich Wirksamkeitsnachweis.
- Beschwerden und Kundenrückmeldungen und deren Bearbeitung.
- Änderungen an Organisation, Prozessen, Standorten, Mitarbeiterzahl.
- Verwendung von Zertifikat und Zertifizierungszeichen — ein häufig unterschätzter Punkt: Werbung mit dem Zertifikat für nicht abgedeckte Standorte oder Leistungen ist ein Verstoß.
Der übrige Umfang folgt einem Stichprobenplan, der über den Zyklus alle Prozesse und Normkapitel abdeckt. Deshalb lässt sich nicht vorhersagen, welche Bereiche dran sind — und deshalb funktioniert punktuelles Aufhübschen einzelner Abteilungen nicht.
Den Auditplan erhalten Sie vorab. Prüfen Sie ihn auf zwei Dinge: ob die genannten Ansprechpartner am Termin verfügbar sind und ob Bereiche fehlen, in denen sich seit dem letzten Besuch etwas Wesentliches geändert hat. Ein Einwand vor dem Audit ist eine Terminfrage, ein Einwand während des Audits kostet Audittage.
Der typische Fehler
Nach der Zertifizierung wird das System stillgelegt. Interne Audits werden verschoben, die Managementbewertung fällt aus, Maßnahmen bleiben offen. Zwei Monate vor dem Überwachungsaudit beginnt dann die Aufholjagd.
Dieses Muster ist für Auditoren unmittelbar erkennbar: Alle internen Auditberichte tragen Daten aus derselben Woche, die Managementbewertung liegt drei Wochen zurück, die Maßnahmen aus dem Vorjahr sind pauschal als erledigt markiert. Das Ergebnis sind Abweichungen genau dort, wo die Norm die Wirksamkeit prüft — und im schlechtesten Fall die Feststellung, dass das System nicht aufrechterhalten wurde.
Der Aufwand ist bei verteilter Arbeit nicht höher, sondern niedriger. Ein internes Audit pro Quartal über je einen Prozess ist leichter zu organisieren als vier Audits in einer Woche — und liefert Ergebnisse, mit denen sich noch etwas anfangen lässt.
Was passiert, wenn etwas schiefgeht
Auch im Überwachungsaudit können Haupt- und Nebenabweichungen festgestellt werden. Die Folgen unterscheiden sich vom Erstaudit, weil ein gültiges Zertifikat bereits existiert:
| Situation | Reaktion der Zertifizierungsstelle |
|---|---|
| Nebenabweichung | Maßnahmenplan, Nachweis binnen Frist, Zertifikat bleibt gültig |
| Hauptabweichung | Nachweis der Behebung erforderlich, meist Nachaudit; bei Fristablauf Aussetzung |
| Termin versäumt | Mahnung, danach Aussetzung des Zertifikats |
| Aussetzungsgrund bleibt bestehen | Entzug des Zertifikats, Verfahren beginnt von vorn |
| Wesentliche Änderung nicht gemeldet | Sonderaudit oder Anpassung des Geltungsbereichs, in schweren Fällen Aussetzung |
Die Aussetzung ist der Punkt, an dem es geschäftlich wehtut. Das Zertifikat bleibt formal bestehen, darf aber nicht verwendet werden — weder in Angeboten noch auf der Website noch in Lieferantenportalen. Die Zertifizierungsstelle vermerkt den Status in ihrem Zertifikatsregister, und dort schauen Auftraggeber nach.
Die Rezertifizierung
Im dritten Jahr wird das gesamte System erneut bewertet. Der Unterschied zur Erstzertifizierung: Es gibt kein Stufe-1-Audit, weil die Auditbereitschaft aus dem laufenden Zyklus bekannt ist. Zusätzlich bewertet der Auditor die Leistung des Systems über die gesamten drei Jahre — hat es sich weiterentwickelt, oder ist es auf dem Stand des Erstaudits stehengeblieben?
Die Frist ist hier härter als beim Überwachungsaudit. Das neue Zertifikat muss vorliegen, bevor das alte abläuft. Dazwischen liegen aber die Bearbeitung der Abweichungen und die Entscheidung durch eine unabhängige Stelle, und beides braucht Wochen. Rechnen Sie rückwärts:
- Ablaufdatum des bestehenden Zertifikats.
- Davor: Zeit für die Zertifikatsentscheidung nach Abschluss des Audits.
- Davor: Nachweisfrist für Abweichungen, gegebenenfalls ein Nachaudit.
- Davor: der Audittermin selbst.
- Davor: Vertrag und Terminvereinbarung mit der Zertifizierungsstelle.
Wer erst im Ablaufmonat mit Schritt 5 beginnt, bekommt die Kette nicht mehr geschlossen. Läuft das Zertifikat aus, bevor die Rezertifizierung entschieden ist, entsteht eine Lücke: Das neue Zertifikat beginnt später, und die Zertifikatskette ist unterbrochen. In Ausschreibungen mit der Anforderung „durchgehend zertifiziert seit …” ist das ein Ausschlusskriterium — und dieser Fehler ist der teuerste im gesamten Zyklus, weil er ohne jeden fachlichen Mangel eintritt. Es reicht ein zu spät versendeter Terminwunsch.
Bei längerem Verzug entfällt zudem die Erleichterung: Die Zertifizierungsstelle behandelt den Fall wie eine Erstzertifizierung, einschließlich Stufe-1-Audit.