ISO 9001 Zertifizierung: Ablauf, Dauer und typische Abweichungen

Grundlagen: was bei ISO 9001:2015 zertifiziert wird

ISO 9001:2015 legt Anforderungen an ein Qualitätsmanagementsystem fest. Zertifiziert wird nicht die Qualität eines Produkts, sondern die Fähigkeit des Unternehmens, Produkte und Dienstleistungen beständig so zu liefern, dass Kunden- und gesetzliche Anforderungen erfüllt werden, und sich dabei fortlaufend zu verbessern.

Zertifizierungsrelevant sind die Kapitel 4 bis 10: Kontext der Organisation, Führung, Planung, Unterstützung, Betrieb, Bewertung der Leistung und Verbesserung. Mit einer Ergänzung aus dem Jahr 2024 wurde in den Kapiteln 4.1 und 4.2 klargestellt, dass die Organisation prüfen muss, ob der Klimawandel ein relevantes Thema ist und ob interessierte Parteien entsprechende Anforderungen haben. Eine überarbeitete Fassung der Norm ist in Arbeit; prüfen Sie den aktuellen Stand und die Übergangsfristen, wenn Ihr Audit in diesen Zeitraum fällt.

Phase 1: Vorbereitung und Aufbau des QM-Systems

Am Anfang steht die Frage, wo das Unternehmen heute steht. Eine Lückenanalyse entlang der Normkapitel zeigt, welche Prozesse bereits funktionieren und nur dokumentiert werden müssen und wo echte Lücken bestehen. In vielen Betrieben sind Auftragsabwicklung, Einkauf und Reklamationsbearbeitung schon gut geregelt, während Risikobetrachtung, Qualitätsziele und interne Audits fehlen.

Danach folgen die Festlegung des Geltungsbereichs, die Qualitätspolitik, messbare Qualitätsziele und die Beschreibung der wesentlichen Prozesse mit Verantwortlichkeiten, Eingaben, Ergebnissen und Kennzahlen. ISO 9001:2015 verlangt kein Qualitätsmanagementhandbuch mehr. Gefordert sind dokumentierte Informationen in dem Umfang, den das Unternehmen für wirksame Prozesse braucht, plus bestimmte Aufzeichnungen als Nachweis.

• Geltungsbereich mit Begründung für nicht zutreffende Anforderungen
• Kontextanalyse und Liste der interessierten Parteien mit ihren Anforderungen
• Qualitätspolitik und messbare Qualitätsziele
• Prozesslandkarte mit Verantwortlichen und Kennzahlen
• Risiken und Chancen mit geplanten Maßnahmen
• Kompetenzmatrix und Schulungsnachweise

Phase 2: Internes Audit und Managementbewertung

Bevor die Zertifizierungsstelle kommt, muss das System einmal vollständig durchlaufen sein. Dazu gehören mindestens ein internes Audit über alle Prozesse im Geltungsbereich und eine Managementbewertung durch die oberste Leitung. Beide sind keine Formalien: Im Zertifizierungsaudit wird geprüft, ob die Ergebnisse ausgewertet und daraus Maßnahmen abgeleitet wurden.

Viele Zertifizierungsstellen erwarten, dass das QM-System vor dem Audit einige Monate in Betrieb war, damit Aufzeichnungen wie Kennzahlenauswertungen, Reklamationsbearbeitungen und Lieferantenbewertungen vorliegen. Planen Sie diesen Vorlauf ein, statt den Audittermin möglichst früh zu legen.

Phase 3: Zertifizierungsaudit in zwei Stufen

Das Erstzertifizierungsaudit besteht aus zwei Stufen. Im Stage-1-Audit prüft der Auditor die Dokumentation, den Geltungsbereich, die Standortbedingungen und die Bereitschaft für die zweite Stufe. Er stellt fest, ob internes Audit und Managementbewertung durchgeführt wurden und ob es Bereiche gibt, die bis zur zweiten Stufe noch nachgebessert werden müssen.

Im Stage-2-Audit wird die Wirksamkeit des Systems in der Praxis geprüft. Der Auditor führt Gespräche mit der Geschäftsleitung, mit Prozessverantwortlichen und mit Mitarbeitenden in Produktion oder Leistungserbringung, verfolgt Aufträge von der Anfrage bis zur Auslieferung und zieht Stichproben aus den Aufzeichnungen. Am Ende steht ein Abschlussgespräch mit den Feststellungen und einer Empfehlung zur Zertifizierung, sofern keine offenen Hauptabweichungen bestehen.

Praktische Vorbereitung auf die Audittage

Ein Audit verläuft deutlich entspannter, wenn der Ablauf vorher abgestimmt ist. Die Zertifizierungsstelle schickt in der Regel einen Auditplan mit Themen, Uhrzeiten und gewünschten Gesprächspartnern. Prüfen Sie ihn sorgfältig, sorgen Sie dafür, dass die genannten Personen tatsächlich anwesend sind, und informieren Sie die Belegschaft, dass der Auditor Fragen am Arbeitsplatz stellen wird.

Bereiten Sie die wichtigsten Nachweise geordnet vor, statt sie während des Audits zu suchen: Qualitätspolitik, Ziele mit aktuellem Stand, Auditprogramm und Auditberichte, Protokoll der Managementbewertung, Reklamations- und Maßnahmenlisten, Lieferantenbewertungen und Kalibriernachweise. Mitarbeitende sollten ehrlich antworten und ihre eigenen Abläufe erklären können; auswendig gelernte Normzitate beeindrucken Auditoren nicht.

Wovon die Dauer abhängt

Die Gesamtdauer setzt sich aus Aufbauzeit und Auditphase zusammen. Die Aufbauzeit hängt vor allem vom Ausgangszustand ab: Ein Unternehmen mit gut organisierten Abläufen und einer Person, die das Projekt mit festem Zeitanteil führt, kommt deutlich schneller voran als eines, in dem QM nebenbei laufen soll.

Die Dauer der Audits selbst richtet sich nach festen Regeln. Akkreditierte Zertifizierungsstellen bestimmen die Audittage anhand der Zahl der Beschäftigten im Geltungsbereich und der Komplexität des Unternehmens nach dem verbindlichen Dokument IAF MD 5. Hinzu kommen Faktoren wie Zahl der Standorte und Schichtbetrieb. Zwischen Stage 1 und Stage 2 liegen in der Regel einige Wochen, damit Feststellungen aus der ersten Stufe bearbeitet werden können.

• Ausgangslage und vorhandene Prozessdokumentation
• Verfügbarkeit einer Projektleitung mit festem Zeitbudget
• Zahl der Beschäftigten, Standorte und Schichten
• Komplexität der Produkte, eigene Entwicklung oder reine Fertigung
• Terminverfügbarkeit der Zertifizierungsstelle

Typische Abweichungen im ISO-9001-Audit

Auditoren unterscheiden zwischen Hauptabweichungen, bei denen eine Anforderung gar nicht oder systematisch nicht erfüllt ist, und Nebenabweichungen, bei denen es sich um einzelne Lücken handelt. Hauptabweichungen müssen vor der Zertifikatserteilung nachweislich behoben sein, oft mit einem Nachaudit. Für Nebenabweichungen reicht meist ein Maßnahmenplan, dessen Umsetzung im nächsten Audit geprüft wird.

Die folgenden Feststellungen tauchen in Erstaudits besonders häufig auf. Fast alle lassen sich mit einem ehrlichen internen Audit vorher erkennen.

• Qualitätsziele ohne Messgröße, Termin oder Verantwortlichen (Kapitel 6.2)
• Risiken und Chancen nur als Liste, ohne Maßnahmen und Wirksamkeitsprüfung (Kapitel 6.1)
• Prüf- und Messmittel ohne Kalibriernachweis oder ohne Rückführbarkeit (Kapitel 7.1.5)
• Kompetenzanforderungen nicht festgelegt oder Schulungen ohne Wirksamkeitsbewertung (Kapitel 7.2)
• Lieferantenbewertung ohne Kriterien oder ohne Konsequenzen bei schlechter Leistung (Kapitel 8.4)
• Internes Audit ohne Auditprogramm oder ohne Unabhängigkeit des Auditors (Kapitel 9.2)
• Managementbewertung ohne alle geforderten Eingaben (Kapitel 9.3)
• Korrekturmaßnahmen ohne Ursachenanalyse (Kapitel 10.2)

Nach dem Zertifikat: Überwachung und Rezertifizierung

Das Zertifikat gilt drei Jahre. In den beiden Folgejahren finden Überwachungsaudits statt, die kürzer sind als die Erstzertifizierung, aber jeweils Teile des Systems vertieft prüfen. Vor Ablauf der drei Jahre folgt die Rezertifizierung. Wird ein Überwachungsaudit versäumt oder werden Hauptabweichungen nicht fristgerecht behoben, kann das Zertifikat ausgesetzt oder entzogen werden.

Der beste Schutz vor Stress im Überwachungsaudit ist ein QM-System, das im Alltag genutzt wird: Kennzahlen, die tatsächlich besprochen werden, Reklamationen, die zu Verbesserungen führen, und interne Audits, die echte Fragen stellen. Wer vor der Planung wissen will, wo das eigene Unternehmen steht, kann mit einer kostenlosen Selbstbewertung auf baltum.ai die Anforderungen von ISO 9001 strukturiert durchgehen.

Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. baltum.ai ist eine unabhängige Software, keine Zertifizierungsstelle.