Zertifizierungsaudit Ablauf: Stufe 1, Stufe 2 und was vorher fertig sein muss
So läuft ein ISO-Zertifizierungsaudit ab: Vorbereitung, Stufe 1, Stufe 2, Abweichungen, Zertifikat und Überwachungsaudits.
Ein Zertifizierungsaudit prüft, ob ein Managementsystem die Anforderungen der gewählten Norm erfüllt und im Alltag wirksam angewendet wird. Der typische Ablauf besteht aus Vorbereitung, Stufe 1, Korrektur offener Punkte, Stufe 2 und Zertifizierungsentscheidung. Danach folgen jährliche Überwachungsaudits und nach drei Jahren die Rezertifizierung.
Dieser Beitrag erklärt den Ablauf am Beispiel von ISO-Managementsystemen wie ISO 9001, ISO 14001, ISO 45001, ISO 27001, ISO 13485 oder ISO 42001. Je nach Branche und Zertifizierungssystem können zusätzliche Anforderungen gelten. Die Grundlogik bleibt aber ähnlich: Die Zertifizierungsstelle prüft Nachweise, spricht mit Verantwortlichen und bewertet, ob das System konform und belastbar ist.
Was ist ein Zertifizierungsaudit?
Ein Zertifizierungsaudit ist ein externes Audit durch eine unabhängige Zertifizierungsstelle. Bei Managementsystemen richten sich Zertifizierungsstellen nach ISO/IEC 17021-1, der internationalen Anforderungsnorm für Stellen, die Managementsysteme auditieren und zertifizieren. In Deutschland akkreditiert die DAkkS Zertifizierungsstellen für Managementsysteme auf dieser Grundlage.
Das Audit bewertet nicht nur Dokumente. Entscheidend ist, ob die Prozesse verstanden, umgesetzt, überwacht und verbessert werden. Ein gutes Zertifizierungsaudit folgt deshalb einem Audit-Trail: Der Auditor nimmt reale Geschäftsvorgänge, prüft dazugehörige Nachweise und spricht mit den Personen, die den Prozess tatsächlich ausführen.
Der Ablauf im Überblick
Die Erstzertifizierung läuft in der Regel in mehreren Phasen. Die Auditzeit wird durch die Zertifizierungsstelle geplant. IAF MD 5 beschreibt dafür einen Rahmen, der unter anderem Stufe 1, Stufe 2, Überwachungs- und Rezertifizierungsaudits berücksichtigt.
| Phase | Ziel | Typische Nachweise |
|---|---|---|
| Vorbereitung | System auditfähig machen | Prozesslandkarte, dokumentierte Informationen, interne Audits, Managementbewertung, Maßnahmenstatus |
| Stufe 1 | Bereitschaft für Stufe 2 prüfen | Geltungsbereich, Kontext, Normabgleich, Auditprogramm, Managementsystem-Struktur |
| Stufe 2 | Wirksamkeit und Konformität bewerten | Interviews, Stichproben, Prozessnachweise, Kennzahlen, Reklamationen, Korrekturmaßnahmen |
| Zertifizierungsentscheidung | Zertifikat freigeben oder Auflagen klären | Auditbericht, Abweichungen, Korrekturmaßnahmen, Nachweise zur Schließung |
| Überwachung und Rezertifizierung | Zertifikat im Drei-Jahres-Zyklus sichern | Jährliche Systempflege, neue Risiken, Ziele, interne Audits, Managementbewertung |
Was vor Stufe 1 fertig sein sollte
Stufe 1 ist kein Probelauf ohne Konsequenzen. Die Zertifizierungsstelle prüft, ob Ihr Managementsystem grundsätzlich bereit für das eigentliche Zertifizierungsaudit ist. Wenn wesentliche Grundlagen fehlen, wird Stufe 2 verschoben oder nur mit hohem Risiko geplant.
Vor Stufe 1 sollten mindestens diese Punkte belastbar sein:
- Geltungsbereich: Welche Standorte, Leistungen, Prozesse und Normen umfasst die Zertifizierung?
- Kontext und interessierte Parteien: Welche internen und externen Themen beeinflussen das Managementsystem?
- Prozesslandschaft: Wie laufen Kernprozesse, Führungsprozesse und Unterstützungsprozesse zusammen?
- Dokumentierte Informationen: Welche Dokumente und Aufzeichnungen sind norm- oder risikobasiert notwendig?
- Interne Audits: Wurde das System intern geprüft und wurden Feststellungen bearbeitet?
- Managementbewertung: Hat die Leitung das System mit echten Inputs, Ergebnissen und Entscheidungen bewertet?
- Offene Maßnahmen: Gibt es nachvollziehbare Prioritäten, Verantwortliche und Fristen?
Wenn Sie unsicher sind, ob diese Grundlagen ausreichen, ist eine ISO-Gap-Analyse vor der Zertifizierungsstelle sinnvoll. Sie zeigt früh, ob die Lücken kritisch sind oder bis Stufe 2 kontrolliert geschlossen werden können.
Stufe 1: Bereitschaft und Auditplanung
In Stufe 1 prüft die Zertifizierungsstelle vor allem die Systembereitschaft. Je nach Norm, Branche und Zertifizierungsstelle kann dieser Teil remote, vor Ort oder kombiniert stattfinden. Der Auditor betrachtet Dokumentation, Geltungsbereich, Standortbedingungen, Normverständnis, gesetzliche Anforderungen und die Planung für Stufe 2.
Typische Fragen in Stufe 1 sind:
- Ist der Geltungsbereich eindeutig und realistisch?
- Wurden interne Audits und Managementbewertung bereits durchgeführt?
- Gibt es erhebliche Lücken, die Stufe 2 gefährden würden?
- Sind Prozesse, Verantwortlichkeiten und Schnittstellen nachvollziehbar?
- Welche Standorte, Schichten, Projekte oder Prozesse müssen in Stufe 2 geprüft werden?
Das Ergebnis ist meist ein Stufe-1-Bericht mit Hinweisen, offenen Punkten und der Entscheidung, ob Stufe 2 wie geplant stattfinden kann. Stufe 1 ist deshalb der richtige Moment, um kritische Punkte sauber zu schließen, bevor das eigentliche Zertifizierungsaudit beginnt.
Zwischen Stufe 1 und Stufe 2
Die Zeit zwischen Stufe 1 und Stufe 2 ist oft entscheidend. Unternehmen sollten sie nicht für neue Dokumentationsprojekte verschwenden, sondern gezielt die Punkte bearbeiten, die der Auditor als kritisch markiert hat. Besonders wichtig sind Nachweise zur Wirksamkeit, nicht nur neue Vorlagen.
Praktisch heißt das: Maßnahmen abschließen, Prozessverantwortliche vorbereiten, Nachweise ordnen, Kennzahlen aktualisieren und offene Abweichungen aus internen Audits nachvollziehbar schließen. Eine fokussierte Auditvorbereitung kann helfen, wenn Stufe 2 bereits terminiert ist und das Team noch unsicher auf typische Auditfragen reagiert.
Stufe 2: Das eigentliche Zertifizierungsaudit
Stufe 2 prüft die Umsetzung und Wirksamkeit des Managementsystems. Der Auditor spricht mit der Geschäftsführung, dem QMB oder Managementsystem-Beauftragten, Prozessverantwortlichen und ausgewählten Mitarbeitern. Dazu kommen Dokumentenprüfung, Stichproben, Prozessbegehungen und ein Vergleich zwischen dokumentierter Vorgehensweise und tatsächlicher Praxis.
In Stufe 2 zählen besonders:
- Führung: Die Geschäftsführung muss Ziele, Risiken, Ressourcen und Verantwortlichkeiten erklären können.
- Prozesssteuerung: Prozesse müssen nicht perfekt dokumentiert, aber eindeutig gelenkt und nachweisbar wirksam sein.
- Nachweise: Auditberichte, Schulungsnachweise, Prüfungen, Freigaben, Reklamationen und Maßnahmen müssen auffindbar sein.
- Verbesserung: Abweichungen, Kundenfeedback, Kennzahlen und Chancen müssen zu nachvollziehbaren Entscheidungen führen.
- Rechts- und Kundenanforderungen: Wo relevant, muss das Unternehmen zeigen, wie Anforderungen erkannt und umgesetzt werden.
Der häufigste Fehler vor Stufe 2 ist nicht ein fehlendes Formular, sondern fehlende Konsistenz: Dokumente sagen etwas anderes als Prozesse, Maßnahmen sind offen oder Verantwortliche können ihre Rolle nicht plausibel erklären.
Abweichungen: Was passiert bei Feststellungen?
Ein Audit muss nicht feststellungsfrei sein, um erfolgreich zu sein. Entscheidend ist die Schwere der Abweichungen und wie belastbar das Unternehmen darauf reagiert. Zertifizierungsstellen unterscheiden typischerweise zwischen Hauptabweichungen, Nebenabweichungen und Hinweisen oder Verbesserungsmöglichkeiten. Die genauen Bezeichnungen können je nach Stelle variieren.
Bei einer Nebenabweichung reicht häufig ein nachvollziehbarer Maßnahmenplan mit Ursache, Korrektur, Verantwortlichem und Frist. Bei einer Hauptabweichung ist vor Zertifikatserteilung meist ein belastbarer Nachweis erforderlich, dass die Abweichung korrigiert wurde und die Ursache verstanden ist. Bei mehreren systematischen Hauptabweichungen kann ein Nachaudit notwendig werden.
Zertifizierungsentscheidung und Zertifikat
Nach Stufe 2 erstellt der Auditor einen Bericht. Die Zertifizierungsstelle trifft darauf basierend die Zertifizierungsentscheidung. Das Zertifikat wird nicht vom Auditor am Audittag "vergeben", sondern nach interner Prüfung freigegeben. Der Geltungsbereich, die Norm, Standorte und eventuelle Ausschlüsse müssen im Zertifikat sauber abgebildet sein.
Prüfen Sie nach Erhalt des Zertifikats besonders:
- Ist der Firmenname korrekt?
- Sind Standortadressen und Geltungsbereich richtig beschrieben?
- Ist die Normausgabe korrekt?
- Sind Zertifizierungsstelle und Akkreditierungsbezug nachvollziehbar?
- Passt der Gültigkeitszeitraum zum vereinbarten Zertifizierungszyklus?
Nach der Zertifizierung: Überwachung und Rezertifizierung
Ein Managementsystem-Zertifikat ist in der Regel Teil eines Drei-Jahres-Zyklus. Nach der Erstzertifizierung folgen jährliche Überwachungsaudits. Im dritten Jahr wird das System rezertifiziert. Diese Audits sind kein Formalismus: Die Zertifizierungsstelle prüft, ob das System weiter angewendet wird, Änderungen gesteuert werden und Verbesserungen nachweisbar sind.
Viele Unternehmen verlieren nach dem Zertifikat an Tempo. Genau hier entstehen Risiken für das nächste Überwachungsaudit. Ein gepflegtes Auditprogramm, laufende Maßnahmenverfolgung und eine jährliche Managementbewertung halten das System lebendig.
Typische Fehler im Zertifizierungsablauf
- Zu spätes internes Audit: Wenn das interne Audit erst kurz vor Stufe 2 stattfindet, bleibt keine Zeit für Korrekturmaßnahmen.
- Managementbewertung ohne Entscheidungen: Eine reine Protokollübung überzeugt Auditoren nicht.
- Unklarer Geltungsbereich: Falsche Standort- oder Prozessgrenzen führen zu Nachfragen und Verzögerungen.
- Dokumentation ohne Praxisbezug: Umfangreiche Vorlagen helfen wenig, wenn Mitarbeiter sie nicht kennen oder nutzen.
- Offene Abweichungen ohne Ursache: Maßnahmen müssen Ursachen behandeln, nicht nur Symptome.
- Zertifizierungsstelle zu spät einbinden: Auditzeiten, Scope und Termine brauchen Vorlauf.
Wie Sternberg Consulting unterstützt
Wir unterstützen KMU pragmatisch vor und während des Zertifizierungsaudits: mit Gap-Analyse, internen Audits, Auditvorbereitung, Managementbewertung, Maßnahmenplänen und Begleitung durch Stufe 1 und Stufe 2. Wenn intern keine ausreichende QM-Kapazität vorhanden ist, übernehmen wir die laufende Rolle als externer QMB und halten das System zwischen Zertifizierungs- und Überwachungsaudits auditfähig.
Häufige Fragen zum Zertifizierungsaudit
Ist Stufe 1 schon Teil des Zertifizierungsaudits?
Ja. Stufe 1 ist Teil der Erstzertifizierung und prüft, ob das Managementsystem bereit für Stufe 2 ist. Es ist kein unverbindlicher Vortest, auch wenn der Schwerpunkt stärker auf Dokumentation, Scope und Auditplanung liegt.
Müssen internes Audit und Managementbewertung vor Stufe 1 oder erst vor Stufe 2 fertig sein?
Für eine belastbare Stufe 1 sollten internes Audit und Managementbewertung bereits durchgeführt sein. Stufe 1 bewertet die Zertifizierungsreife; viele Zertifizierungsstellen prüfen dabei ausdrücklich, ob interne Audits und Managementbewertung nicht nur geplant, sondern nachweisbar durchgeführt wurden. Wer diese Nachweise erst zwischen Stufe 1 und Stufe 2 erstellt, riskiert Verschiebungen oder zusätzliche Nachfragen.
Kann ein Zertifizierungsaudit remote stattfinden?
Teilweise ja, abhängig von Norm, Scope, Risiko, Zertifizierungsstelle und Auditprogramm. Viele Audits kombinieren Remote-Dokumentenprüfung mit Vor-Ort-Stichproben. Die Entscheidung trifft die Zertifizierungsstelle.
Was passiert, wenn eine Hauptabweichung festgestellt wird?
Dann fordert die Zertifizierungsstelle in der Regel belastbare Korrekturmaßnahmen und Nachweise vor der Zertifizierungsentscheidung. Je nach Schwere kann ein Nachaudit erforderlich werden.
Wie lange ist ein ISO-Zertifikat gültig?
Managementsystem-Zertifikate laufen typischerweise in einem Drei-Jahres-Zyklus mit jährlichen Überwachungsaudits und einer Rezertifizierung im dritten Jahr. Der konkrete Zeitraum steht im Zertifikat und im Vertrag mit der Zertifizierungsstelle.
