Unternehmen vor ihrer ersten ISO-Managementsystem-Zertifizierung stellen sich meist ein einzelnes Ereignis vor: das Audit. Tatsächlich ist die Zertifizierung ein Dreijahreszyklus von Audits mit unterschiedlichen Zwecken, und das Zertifikat ist nur so gut wie die Leistung der Organisation über alle hinweg. Wer den Zyklus vorher kennt, bereitet sich anders vor und erspart sich die Überraschung im zweiten Jahr, die so viele Erstzertifizierte erwischt.
Das gilt für jede Managementsystem-Norm: ISO 27001, ISO 42001, ISO 9001, ISO 22301, ISO 27701 als Erweiterung und andere. Der Zyklus ist in ISO/IEC 17021-1 festgelegt, der Norm, die akkreditierte Zertifizierungsstellen selbst erfüllen müssen.
Wer Sie auditiert
Ein ISO-Zertifikat wird von einer Zertifizierungsstelle ausgestellt. Die Stelle sollte für die jeweilige Norm von einer nationalen Akkreditierungsstelle akkreditiert sein: DAkkS in Deutschland, UKAS im Vereinigten Königreich, ANAB in den USA, RvA in den Niederlanden und so weiter, die meisten davon Mitglieder des International Accreditation Forum. Die Akkreditierung ist das, was ein Zertifikat anerkannt macht; ein nicht akkreditiertes Zertifikat ist eine private Meinung.
Zertifizierungsstellen beschäftigen oder beauftragen Auditoren. Der Auditor, der zu Ihnen kommt, muss in der Norm und in Ihrer Branche kompetent und von Ihnen unabhängig sein: Er darf das System, das er auditiert, nicht beraten haben. Deshalb sind Bereitschaftsberater und Zertifizierungsauditoren verschiedene Personen und oft verschiedene Unternehmen.
Stufe 1: Bereitschaft
Stufe 1 prüft, ob Sie für das eigentliche Audit bereit sind. Der Auditor liest die Dokumentation: Umfang, Richtlinie, Risikomethodik und Ergebnisse, Erklärung zur Anwendbarkeit, Ziele, Aufzeichnungen zu internem Audit und Managementbewertung sowie die wichtigsten Verfahren. Er prüft, ob der Umfang sinnvoll ist, ob die Pflichtelemente vorhanden sind und ob das System lange genug lief, um Aufzeichnungen erzeugt zu haben.
Stufe 1 findet oft remote statt und dauert meist ein bis zwei Tage. Ergebnis ist ein Bericht mit den Punkten, die in Stufe 2 zu Nichtkonformitäten werden könnten. Ein Bestehen oder Durchfallen im Sinne der Zertifizierung ist es nicht, aber eine Stufe 1, die ernste Lücken findet, führt meist dazu, dass Stufe 2 verschoben wird. Behandeln Sie den Stufe-1-Bericht als kostenlose Lückenanalyse von der Person, die Stufe 2 durchführen wird.
Stufe 2: das Zertifizierungsaudit
Stufe 2 prüft, ob das System funktioniert. Der Auditor zieht Stichproben über den gesamten Umfang: Er befragt Verantwortliche, sieht Aufzeichnungen ein, schaut Prozessen beim Laufen zu. Bei ISO 27001 heißt das: Risikobehandlung, Zugriffssteuerung, Änderungsmanagement, Vorfallbehandlung, Lieferantenmanagement, Backup und der Rest, jeweils mit der Frage nach dem Nachweis dahinter. Die Dauer legt die Zertifizierungsstelle anhand von Tabellen fest, die auf der Zahl der Personen im Umfang und der Komplexität beruhen, und reicht von zwei oder drei Tagen bei einem kleinen Unternehmen bis zu Wochen bei einem großen.
Feststellungen werden eingestuft:
- Wesentliche Nichtkonformität: Eine Anforderung wird gar nicht erfüllt, oder ein Versagen wirft erhebliche Zweifel daran auf, dass das System seine Ziele erreichen kann. Eine wesentliche Nichtkonformität blockiert die Zertifizierung, bis sie geschlossen und die Schließung überprüft ist, manchmal mit einem Nachbesuch.
- Geringfügige Nichtkonformität: ein Versäumnis bei einer Anforderung, das das System nicht untergräbt. Geringfügige blockieren die Zertifizierung nicht, aber jede braucht einen von der Stelle akzeptierten Korrekturmaßnahmenplan, und die Schließung wird beim nächsten Audit geprüft.
- Beobachtung oder Verbesserungspotenzial: keine Nichtkonformität; ein Hinweis, dass etwas eine werden oder besser gemacht werden könnte.
Ohne offene wesentliche Nichtkonformitäten empfiehlt der Auditor die Zertifizierung, der unabhängige Prüfer der Stelle bestätigt, und das Zertifikat wird mit drei Jahren Gültigkeit ausgestellt.
Jahr eins und zwei: Überwachung
Ein Zertifikat hat eine Bedingung: jährliche Überwachungsaudits, in der Regel im Abstand von etwa zwölf Monaten, das erste spätestens zwölf Monate nach der Zertifizierungsentscheidung. Überwachungsaudits sind kürzer als Stufe 2, üblicherweise ein Drittel der Dauer, und ziehen Stichproben statt alles abzudecken. Über die beiden Überwachungsbesuche will die Stelle das ganze System noch einmal gesehen haben.
Bestimmte Dinge prüft die Überwachung immer: dass internes Audit und Managementbewertung stattgefunden haben, dass die früheren Feststellungen geschlossen wurden, dass Beschwerden und Vorfälle behandelt wurden, dass der Umfang noch stimmt und dass Zertifikat und Zeichen korrekt verwendet werden. Darüber hinaus wählt der Auditor Bereiche aus, mit Gewicht auf Änderungen und auf Stellen, an denen früher etwas gefunden wurde.
Hier stolpern Erstzertifizierte. Die Energie aus Stufe 2 verpufft, die vierteljährliche Zugriffsüberprüfung wird jährlich, das interne Audit wird vergessen, und der Überwachungsauditor findet ein System, das für die Zertifizierung lief und dann stehen blieb. Geringfügige Nichtkonformitäten sind hier üblich; eine wesentliche bei der Überwachung kann zur Aussetzung des Zertifikats führen.
Jahr drei: Rezertifizierung
Bevor das Zertifikat abläuft, prüft ein Rezertifizierungsaudit das gesamte System noch einmal, im Licht des vergangenen Zyklus. Es ist kürzer als die ursprüngliche Stufe 2, weil die Stelle die Organisation schon kennt, deckt aber den vollen Umfang ab und stellt die größere Frage: War das System über drei Jahre wirksam, und ist es noch angemessen. Eine erfolgreiche Rezertifizierung stellt ein neues Dreijahreszertifikat aus, und der Zyklus beginnt von vorn.
Umfang oder Stelle wechseln
Der Umfang kann während des Zyklus erweitert werden, mit einem Erweiterungsaudit, das zur Änderung passt. Er kann auch verkleinert werden, wozu Stellen Fragen stellen werden. Ein Wechsel zu einer anderen Zertifizierungsstelle ist möglich; die neue Stelle prüft das aktuelle Zertifikat und die Auditberichte und kann auf Basis eines Übernahmeaudits zertifizieren statt einer vollen Stufe 1 und 2, sofern das Zertifikat in gutem Stand ist.
Ein Zertifikat behalten
Die Organisationen, denen der Zyklus leichtfällt, haben drei Gewohnheiten gemeinsam. Das Managementsystem hat einen Verantwortlichen, dessen Aufgabe nach Stufe 2 weitergeht. Die regelmäßigen Kontrollen stehen mit Artefakten im Kalender, sodass sich die Nachweise für die Überwachung von selbst ansammeln. Und das interne Audit wird ordentlich und pünktlich gemacht, sodass die Feststellungen des Zertifizierungsauditors selten neu sind.
Das Zertifikat ist das sichtbare Ergebnis. Der Zyklus ist das eigentliche Produkt, und Käufer, die den Unterschied kennen, fragen nach Ihren Überwachungsberichten, nicht nur nach dem Zertifikat an der Wand.