Das Zertifizierungsaudit ist die externe Prüfung durch die Zertifizierungsstelle vor der Erteilung des Zertifikats. Es ist zweistufig aufgebaut, und dieser Aufbau ist kein Verfahrenszopf, sondern folgt einer Logik: Erst wird geprüft, ob überhaupt etwas zu prüfen ist, dann wird geprüft, ob es funktioniert.
Verwechselt wird es regelmäßig mit dem internen Audit. Das ist Ihre eigene Prüfung und eine Voraussetzung dafür, dass das Zertifizierungsaudit überhaupt stattfinden kann. Die jährlichen Prüfungen nach der Erteilung sind wiederum keine Zertifizierungsaudits, sondern Überwachungsaudits mit deutlich kleinerem Umfang.
Stufe 1: Ist das System prüfbar?
Der Auditor sieht sich an, was auf dem Papier steht und ob es zusammenpasst:
- Ist der Geltungsbereich sinnvoll geschnitten und klar formuliert?
- Sind die dokumentierten Informationen vorhanden, die die Norm fordert?
- Wurde ein vollständiger Zyklus interner Audits durchgeführt und ausgewertet?
- Hat eine Managementbewertung mit den geforderten Eingaben stattgefunden?
- Versteht die Organisation die Anforderungen der Norm — oder wurden Textbausteine übernommen?
- Welche standortspezifischen Bedingungen müssen in Stufe 2 berücksichtigt werden?
Sie erhalten einen Bericht mit offenen Punkten. Diese Punkte sind ein Geschenk: Es sind genau die Stellen, an denen es in Stufe 2 sonst Abweichungen gäbe. Zwischen beiden Stufen liegen üblicherweise vier bis acht Wochen, um sie abzuarbeiten.
Diese Spanne ist nach oben begrenzt. Verschiebt sich Stufe 2 zu weit, verliert die Bewertung der Auditbereitschaft ihre Aussagekraft, und die Zertifizierungsstelle muss Stufe 1 ganz oder teilweise wiederholen. Wer nach Stufe 1 feststellt, dass das interne Auditprogramm nachgeholt werden muss, gerät genau in diese Falle — der Nachholaufwand dauert länger als das Zeitfenster hergibt.
Stufe 2: Funktioniert es?
Hier verlässt der Auditor die Dokumentenebene. Geprüft wird die Wirksamkeit im Betrieb, mit vier Methoden:
Gespräche. Mit Menschen, die die Prozesse ausführen. Die Kernfrage ist nie, ob eine Anweisung existiert, sondern was tatsächlich passiert.
Stichproben. Konkrete Vorgänge werden vom Anfang bis zum Ende verfolgt — ein Auftrag, eine Reklamation, eine Einstellung, ein Sicherheitsvorfall. Ausgewählt werden sie vom Auditor, nicht von Ihnen.
Beobachtung. Wie sieht der Arbeitsplatz aus, wie wird mit Abweichungen umgegangen, was hängt an der Wand und ist es aktuell.
Nachweise. Aufzeichnungen aus dem laufenden Betrieb — nicht die drei Musterdokumente, sondern die Fälle, die der Auditor auswählt.
So läuft ein Audittag ab
- Eröffnungsgespräch. Der Auditor stellt Umfang, Kriterien, Methodik und Vertraulichkeit vor und bestätigt den Auditplan.
- Gespräch mit der obersten Leitung. Führung, Politik, Ziele, Ressourcen, Kenntnis der eigenen Kennzahlen.
- Auditgänge entlang der Prozesse. Jeweils mit den Personen, die den Prozess ausführen, nicht mit der Qualitätsabteilung stellvertretend.
- Prüfung der Systemelemente. Interne Audits, Managementbewertung, Abweichungen, Verbesserung.
- Auditorenberatung. Der Auditor zieht sich zurück, ordnet die Befunde und stuft sie ein.
- Abschlussgespräch. Vorstellung der Feststellungen, Klärung von Missverständnissen, Vereinbarung der Fristen.
Der wichtigste Punkt in dieser Liste ist Nummer 5: Bis dahin sind Befunde verhandelbar, danach stehen sie im Bericht. Wenn Ihnen im Auditgang auffällt, dass der Auditor eine Sachlage falsch verstanden hat, klären Sie es sofort — nicht im Abschlussgespräch.
Bewertung der Feststellungen
| Feststellung | Bedeutung | Folge |
|---|---|---|
| Hauptabweichung | Systematisches Versagen oder vollständige Nichterfüllung einer Anforderung | Zertifikat wird nicht erteilt, bis der Nachweis der Behebung vorliegt; häufig Nachaudit |
| Nebenabweichung | Punktuelle Nichterfüllung ohne Systemversagen | Korrekturmaßnahmenplan, Nachweis meist binnen drei Monaten |
| Verbesserungspotenzial | Kein Normverstoß, sondern ein Hinweis | Keine Pflicht |
Eine Häufung von Nebenabweichungen in einem Kapitel kann zusammen als Hauptabweichung gewertet werden — das ist der Grund, warum „nur Nebenabweichungen” kein verlässlicher Trost ist. Wie ein belastbarer Maßnahmenplan dazu aussieht, steht unter Nichtkonformität.
Wenn Stufe 2 nicht durchgeht
Ein förmliches Durchfallen kennt das Verfahren nicht. Es gibt drei Wege, die aus einem schwierigen Stufe-2-Audit herausführen:
Nachweis per Unterlage. Bei Nebenabweichungen reicht in der Regel ein Maßnahmenplan mit Belegen. Der Auditor prüft ihn aus der Ferne.
Nachaudit. Bei einer Hauptabweichung oder wenn Wirksamkeit nur vor Ort beurteilt werden kann, kommt der Auditor erneut. Der Umfang beschränkt sich auf die betroffenen Bereiche. Zusätzliche Audittage fallen an.
Erneutes Stufe-2-Audit. Wenn mehrere Hauptabweichungen zeigen, dass das System als Ganzes nicht wirksam ist. Das ist selten und fast immer die Folge einer zu früh angesetzten Erstzertifizierung.
Läuft die vereinbarte Nachweisfrist ab, ohne dass die Abweichungen geschlossen sind, wird das Verfahren beendet. Sie beginnen dann mit einem neuen Antrag — einschließlich Stufe 1.
Wie Sie sich vorbereiten
Nicht durch Auswendiglernen. Mitarbeitende müssen die Norm nicht kennen. Sie müssen wissen, was sie tun, warum sie es so tun und wo sie nachsehen, wenn sie unsicher sind. Genau danach wird gefragt.
Durch Ehrlichkeit über offene Punkte. Ein bekannter, dokumentierter und terminierter Mangel ist für einen Auditor ein Zeichen eines funktionierenden Systems. Ein verschwiegener, der auffliegt, ist das Gegenteil.
Durch Verfügbarkeit. Die Menschen, mit denen der Auditor sprechen will, müssen erreichbar sein. Ein Auditplan, der an Urlaub oder Schichtplan scheitert, kostet Audittage.
Der Fehler, der am zuverlässigsten Geld kostet, ist ein anderer: Stufe 2 zu terminieren, bevor die eigenen Korrekturmaßnahmen aus dem internen Audit wirksam sind. Der Auditor fragt nach den Nachweisen, findet Maßnahmen ohne Wirkungsnachweis vor und stuft das als Abweichung im Kapitel zur Verbesserung ein. Ein späterer Termin wäre kostenlos gewesen; das Nachaudit ist es nicht.
Die Entscheidung
Der Auditor erteilt das Zertifikat nicht selbst. Er berichtet, und eine unabhängige Stelle innerhalb der Zertifizierungsstelle entscheidet. Diese Trennung ist in ISO/IEC 17021 vorgeschrieben und schützt vor Gefälligkeitsentscheidungen. Sie erklärt auch, warum zwischen Abschlussgespräch und Zertifikat mehrere Wochen liegen können — ein Zeitpuffer, den Sie einplanen sollten, wenn das Zertifikat zu einem festen Termin vorliegen muss.