Zum ersten Mal zertifizieren: von der Entscheidung zum Zertifikat

Wer zum ersten Mal ein Managementsystem zertifizieren lassen will, unterschätzt selten den Aufwand — er schätzt ihn an der falschen Stelle. Der Aufwand steckt nicht im Zertifikat, sondern in der Zeit davor: Gap-Analyse, Dokumentation, eine Anwendungsphase mit echten Nachweisen, das interne Audit. Das Zertifizierungsaudit ist der Abschluss, nicht der Anfang.

Drei Unsicherheiten kommen bei fast jedem Erstgespräch vor. Ob man bei null anfängt. Wer eigentlich was macht — Beratung, Zertifizierungsstelle, Akkreditierung. Und warum die Angebote der Zertifizierungsstellen so schwer vergleichbar sind. Diese Seite räumt die drei der Reihe nach ab und zeigt dann den Fahrplan.

Wer was macht: Beratung, Zertifizierungsstelle, Akkreditierung

Sie brauchen zwei getrennte Partner: eine Beratung, die beim Aufbau hilft, und eine Zertifizierungsstelle, die am Ende die Konformität bestätigt. Diese Trennung ist keine Branchensitte, sondern Vorschrift. Die Anforderungen an Zertifizierungsstellen stehen in der Norm ISO/IEC 17021-1; deren Klausel 5.2 regelt die Unparteilichkeit, und Klausel 5.2.5 untersagt der Zertifizierungsstelle ausdrücklich, Managementsystemberatung anzubieten. Wer berät, prüfte sonst die eigene Arbeit.

IQI berät und stellt keine Zertifikate aus. Das ist keine Einschränkung, sondern die Bedingung dafür, dass das Zertifikat später etwas wert ist. Die Zertifizierungsstelle sollte akkreditiert sein: Die nationale Akkreditierungsstelle — in Deutschland die DAkkS — begutachtet sie regelmäßig daraufhin, ob sie nach ISO/IEC 17021-1 arbeitet. Nur ein akkreditiertes Zertifikat trägt das Akkreditierungszeichen, und nur dieses wird bei Ausschreibungen und von Konzerneinkäufern zuverlässig anerkannt. Was hinter dem Verfahren steckt, erklärt der Glossareintrag Akkreditierung.

Was Sie schon haben — und was wirklich fehlt

Der Abschnitt, der die Planung trägt. Die meisten Unternehmen haben mehr, als sie glauben — aber das Vorhandene verteilt sich auf drei sehr unterschiedliche Gruppen, und nur die dritte ist echter Aufbau.

Ein Handbuch verlangt keine der drei Normen. Gefordert ist dokumentierte Information nach Klausel 7.5 — so viel Beschreibung, wie die Prozesse brauchen, und die Aufzeichnungen, die ihre Durchführung belegen. Ob das ein Handbuch, ein Wiki oder eine Sammlung von Prozessblättern in den Fachbereichen ist, entscheiden Sie. Ein Handbuch ist deshalb nicht falsch — viele Häuser wollen eines, weil es neuen Beschäftigten den Einstieg erleichtert. Es ist nur keine Normforderung.

Die Bewertung der Einhaltung bindender Verpflichtungen — der gesetzlichen und behördlichen Anforderungen — steht in der ISO 14001 und der ISO 45001 in Klausel 9.1.2. Die ISO 9001 kennt dafür keine eigene Klausel; dort ist 9.1.2 die Kundenzufriedenheit. Wer 14001 oder 45001 anstrebt, braucht also ein belastbares Verzeichnis seiner Rechtspflichten. Viele Unternehmen führen dafür ein Rechtskataster; wie man damit Pflichten in den Griff bekommt, beschreibt der Praxisleitfaden auf rechtskataster.com.

Welche Norm — und wie viele auf einmal

Die Wahl folgt der Anforderung, nicht der Begeisterung. Wer an die Automobilindustrie liefert, wird nach ISO 9001 gefragt; wer Umweltauflagen nachweisen muss, nach ISO 14001; wer Arbeitssicherheit belegen soll, nach ISO 45001. Im IT-Umfeld und in der Lieferkette kommt zunehmend die ISO 27001 dazu.

Eine Norm reicht, wenn genau eine Anforderung im Raum steht. Bei mehreren lohnt sich der Aufbau als integriertes Managementsystem: Die gemeinsamen Kapitel — Kontext, Führung, Planung, Unterstützung — entstehen einmal, die normenspezifischen Teile kommen dazu. Beim Aufwand für den Aufbau ist das die größte Ersparnis.

Der Fahrplan: von der Entscheidung zum Zertifikat

Sieben Phasen. Entscheidend ist nicht die einzelne Zahl, sondern die Reihenfolge — vor allem, dass internes Audit und Managementbewertung vor der Stufe 1 liegen und dass die Anwendungsphase echte Zeit bekommt. Bei jeder Phase steht, woran Sie merken, dass sie fertig ist.

Erfahrungsgemäß dauert das Ganze sechs bis zwölf Monate. Diese Spanne ist bewusst keine Summe der Phasendauern: Addiert man die sieben Phasen stur hintereinander, landet man bei acht bis vierzehn Monaten. In der Praxis überlappen sie — die Anwendungsphase beginnt für die ersten Prozesse, während an anderen noch dokumentiert wird, und die Schulungen laufen nebenher. Wer nacheinander abarbeitet statt zu überlappen, landet am oberen Rand.

Zwei Posten lassen sich dagegen nicht komprimieren. Die Anwendungsphase, weil in ihr die Nachweise überhaupt erst entstehen — rückdatierte Aufzeichnungen fallen im Audit auf. Und der Vorlauf auf den Audittermin: Zertifizierungsstellen vergeben oft zwei bis drei Monate im Voraus, gegen Ende einer Normübergangsphase auch länger. Den Termin buchen Sie deshalb parallel zur Dokumentation, nicht danach.

Das Zertifizierungsaudit: Stufe 1 und Stufe 2

Das Erstzertifizierungsaudit läuft in zwei Stufen — so schreibt es ISO/IEC 17021-1 in Klausel 9.3.1.1 vor. Stufe 1 prüft die Bereitschaft: Dokumentation, Standort, Geltungsbereich und vor allem die Ergebnisse Ihres internen Audits und der Managementbewertung. Der Auditor bewertet, ob das System auf dem Papier steht und ob Stufe 2 sinnvoll terminiert werden kann. Zwischen den Stufen liegt Zeit zum Nachbessern.

Stufe 2 ist das eigentliche Vor-Ort-Audit. Geprüft wird die Umsetzung und die Wirksamkeit: ob die Prozesse so laufen wie beschrieben, ob die Beschäftigten ihre Aufgaben erklären können, ob die Aufzeichnungen stimmen. Am Ende stehen die Feststellungen.

Die Frist für Ursachenanalyse und Korrekturmaßnahmen setzt die Zertifizierungsstelle — die Norm nennt dafür keine feste Zahl, aber eine harte Grenze: Kann die Stelle die Umsetzung bei einer größeren Nichtkonformität nicht innerhalb von sechs Monaten nach dem letzten Tag der Stufe 2 verifizieren, muss die Stufe 2 wiederholt werden, bevor überhaupt eine Zertifizierungsempfehlung möglich ist.

Danach beginnt der Dreijahreszyklus. Er startet mit der Zertifizierungsentscheidung, nicht mit dem Auditdatum. Das erste Überwachungsaudit muss spätestens zwölf Monate danach stattfinden, und in jedem Kalenderjahr ist mindestens ein Audit fällig. Im dritten Jahr steht die Rezertifizierung an — planen Sie den Termin etwa drei Monate vor Ablauf, damit das Zertifikat nicht unterbrochen wird.

Was es kostet — und wovon es abhängt

Drei Blöcke, von denen der auffälligste der kleinste ist.

Erstens die Zertifizierungsstelle: Audittage mal Tagessatz. Die Tagessätze liegen üblicherweise im vierstelligen Bereich pro Tag — als Größenordnung, nicht als Angebot. Die Audittage sind dagegen nicht verhandelbar, weil sie im Regelwerk stehen. IAF MD 5 gibt sie nach der Zahl der effektiv Beschäftigten vor, und zwar in getrennten Tabellen je Norm:

Drei Dinge sind an dieser Tabelle wichtiger als die Zahlen selbst. Effektiv Beschäftigte meint alle im Geltungsbereich tätigen Personen über alle Schichten, befristete und Teilzeitkräfte eingerechnet und auf Vollzeitäquivalente umgelegt — nicht die Kopfzahl auf der Lohnliste. Der Tabellenwert ist ein Ausgangspunkt, der angepasst werden muss: nach Standorten, Schichtbetrieb, Risikokategorie und Komplexität, nach oben wie nach unten; Reduktionen sind auf 30 Prozent begrenzt und begründungspflichtig. Und die Zeit umfasst auch Planung, Dokumentenprüfung und Berichterstellung — es ist nicht reine Vor-Ort-Zeit, Reisezeit zählt dagegen nicht mit.

Für die Folgejahre gilt als Regelfall: Die jährliche Überwachung liegt bei etwa einem Drittel, die Rezertifizierung bei etwa zwei Dritteln der Erstzertifizierungszeit. Wer Angebote vergleicht, rechnet also besser den Dreijahreszyklus als das erste Jahr.

Zweitens der interne Aufwand — der größte und meist übersehene Posten. Die Zeit der Beauftragten und der Fachbereiche für Aufbau, Dokumentation und Anwendung übersteigt die Auditkosten in aller Regel deutlich. Wer diesen Block nicht budgetiert, budgetiert das Projekt nicht.

Drittens die optionale Beratung, typischerweise für die Gap-Analyse und das interne Audit. Als grobe Größenordnung über das erste Jahr und über alle drei Blöcke hinweg, ausdrücklich nicht als Angebot: Ein kleines Unternehmen mit einer Norm bewegt sich im unteren fünfstelligen Bereich.

Die fünf Stolpersteine aus der Praxis

Was Sie selbst tun können — und wo Unterstützung sich lohnt

Ein kleines Haus mit einer Norm und einem fähigen Beauftragten schafft die Erstzertifizierung weitgehend allein. Die Anforderungen stehen auf den Normseiten, die Prozesse sind da, und der Weg ist in seinen Schritten bekannt. Eine Grenze gibt es: Die Managementbewertung nach Klausel 9.3 ist Sache der obersten Leitung und nicht delegierbar — sie ist die Stelle, an der die Leitung über das System entscheidet. Das interne Audit dürfen Sie dagegen vergeben; gefordert ist nicht, dass es im Haus erbracht wird, sondern dass niemand den eigenen Bereich auditiert.

Sinnvoll wird Unterstützung an drei Stellen. Bei der Gap-Analyse, weil ein Blick von außen die Maßnahmenliste realistisch hält und früh sagt, ob der Kundentermin zu halten ist. Beim internen Audit, weil es gegen eine Norm prüft, mit der im Haus noch keine Auditroutine besteht. Und wenn die Rolle des Beauftragten dauerhaft unbesetzt bleibt, ist ein externer Beauftragter die pragmatische Lösung — auch als Übergang, bis jemand im Haus hineingewachsen ist.