Angelehnt, konform, zertifiziert: Was diese drei Wörter wirklich bedeuten

Wenn über Normen gesprochen wird, tauchen drei Wörter auf, als wären sie austauschbar: Eine Organisation orientiert sich an einer Norm, sie ist mit ihr konform, oder sie ist nach ihr zertifiziert. Das ist nicht dasselbe. Die drei Begriffe beschreiben drei unterschiedliche Verpflichtungsgrade. Sie kosten sehr unterschiedlich viel Zeit und Geld. Und das ist der Punkt, an dem sich Aufträge entscheiden: Sie haben bei einem Kunden, einer Behörde oder einem Bewerter einer Ausschreibung ganz unterschiedliches Gewicht.

Wenn Sie sich zum ersten Mal an formale Compliance heranwagen, ist die saubere Unterscheidung dieser drei Begriffe der erste wirklich nützliche Schritt. Sie zeigt Ihnen, was tatsächlich von Ihnen verlangt wird. Sie bewahrt Sie davor, in ein Niveau zu investieren, das der Markt gar nicht fordert. Und, ebenso wichtig für ein Unternehmen, das irgendwann auditiert wird: Sie bewahrt Sie davor, eine Aussage zu treffen, die Sie nicht belegen können. Dieser Leitfaden geht alle drei durch, mit Beispielen, und nimmt ISO 9001 als Referenznorm, weil ihr die meisten Organisationen zuerst begegnen.

Sich an einer Norm orientieren: sie als Kompass nutzen

Sich an einer Norm zu orientieren heißt, dass Sie sie als Referenz nutzen. Sie haben ISO 9001 oder eine Qualitätsanforderung eines Kunden gelesen und Ihre Arbeitsweise an ihren Grundsätzen ausgerichtet, weil sie sinnvoll sind. Sie führen Aufzeichnungen, Sie überprüfen Ihre Prozesse, und Sie handeln bei Problemen, sobald sie auftreten.

Ein durchgespieltes Beispiel. Ein Präzisionszerspanungsbetrieb mit fünfzehn Mitarbeitern gewinnt seinen ersten Auftrag von einem größeren Hersteller. Der Kunde erwähnt ISO 9001. Der Betriebsleiter liest die Norm, erkennt, dass das meiste davon aufgeschriebener gesunder Menschenverstand ist, und beginnt mit dem Naheliegenden: Er schreibt die Arbeitsschritte für kritische Aufträge auf, protokolliert Kundenbeschwerden und hält jeden Monat eine kurze Besprechung ab, was schiefgelaufen ist und was zu beheben ist. Ein halbes Jahr später läuft der Betrieb tatsächlich besser.

Das ist die Orientierung an einer Norm, und das ist etwas Echtes und Wertvolles. Es ist zugleich rein selbst erklärt. Es gibt keinen definierten Anwendungsbereich, keine externe Prüfung und keinen Nachweis, den ein Dritter akzeptieren würde. Der Betrieb nutzt ISO 9001; er erfüllt sie noch in keiner nachweisbaren Weise.

Die Falle liegt in der Sprache. „Wir orientieren uns an ISO 9001" beschreibt ehrlich eine Absicht. Aber in einem Angebot, auf einer Website oder in einem Verkaufsgespräch rutscht das schnell in etwas ab, das wie eine Garantie klingt. Für einen regulierten Kunden ist genau dieses Abrutschen die Art von Übertreibung, die Vertrauen beendet. Orientieren Sie sich so stark an der Norm, wie Sie möchten. Nennen Sie es aber Orientierung, nicht mehr.

Konform mit einer Norm: jede Anforderung erfüllen

Konform heißt, dass Sie die Anforderungen tatsächlich erfüllen. Alle, nicht nur die bequemen. Hier hilft es zu verstehen, dass eine Norm kein Gefühl ist, sondern eine konkrete Liste von Dingen, die Sie tun müssen. ISO 9001:2015 ist in Abschnitte gegliedert, und die Anforderungen stehen hauptsächlich in den Abschnitten 4 bis 10:

• Kontext (Abschnitt 4) - Sie haben ermittelt, wer Ihre interessierten Parteien sind und was Ihr Qualitätsmanagementsystem abdecken muss.
• Führung (Abschnitt 5) - die oberste Leitung ist nachweislich eingebunden, mit einer Qualitätspolitik und klaren Verantwortlichkeiten.
• Planung (Abschnitt 6) - Sie gehen Risiken und Chancen bewusst an, statt erst im Nachhinein zu reagieren.
• Unterstützung (Abschnitt 7) - Sie haben die Mitarbeiter, die Kompetenz und die dokumentierte Information, die das System braucht (Abschnitt 7.5 ist der, den man als „Dokumentenlenkung" kennt).
• Betrieb (Abschnitt 8) - Ihre tatsächliche Produktion oder Dienstleistungserbringung ist geplant und gelenkt.
• Bewertung der Leistung (Abschnitt 9) - Sie führen interne Audits durch (9.2) und halten Managementbewertungen ab (9.3).
• Verbesserung (Abschnitt 10) - Sie behandeln Nichtkonformitäten und Korrekturmaßnahmen auf definierte Weise (10.2).

Konformität heißt, dass jeder einzelne dieser Punkte wirklich vorhanden ist. Und, entscheidend, dass Sie es zeigen können. Konformität ohne Nachweis ist letztlich nur Orientierung mit mehr Selbstvertrauen, als sie verdient hat.

Wie „Nachweis" in der Praxis aussieht. Nehmen Sie die Behandlung von Nichtkonformitäten (Abschnitt 10.2). Konform zu sein heißt nicht, „wir kümmern uns um Probleme" zu sagen. Es heißt, für einen konkreten Fall die ganze Kette vorlegen zu können: Die Nichtkonformität wurde festgestellt (ein Kunde erhielt am 3. März ein Teil außerhalb der Toleranz); sie wurde eingegrenzt (der Restbestand wurde am selben Tag gesperrt); die Grundursache wurde untersucht (eine verschlissene Vorrichtung, deren Prüfintervall überschritten war); eine Korrekturmaßnahme wurde ergriffen (Vorrichtung ersetzt, Prüfintervall verkürzt); und die Wirksamkeit der Maßnahme wurde verifiziert (die nächsten 200 Teile lagen in der Toleranz). Diese dokumentierte Kette ist der Nachweis. Rechnen Sie das über jede Anforderung hoch, und Sie haben eine konforme Organisation.

Und hier ist der Punkt, den Einsteiger oft übersehen: Sie können echt konform sein, ohne zertifiziert zu sein. Etliche Organisationen sind das. Sie erfüllen jede Anforderung und bewahren die Nachweise auf, haben aber nie eine Zertifizierungsstelle beauftragt, das zu bestätigen. Das ist eine völlig legitime Position, und für manche Märkte reicht sie aus. Was Sie nicht tun dürfen: eine selbst beurteilte Konformität so beschreiben, dass es klingt, als hätte ein Dritter sie geprüft. „Konform mit ISO 9001" ist vertretbar, wenn Sie den Nachweis auf Verlangen vorlegen können. „Zertifiziert" ist es nicht. Dieses Wort bedeutet etwas Bestimmtes, und darum geht es als Nächstes.

Nach einer Norm zertifiziert: ein akkreditierter Dritter hat es geprüft

Zertifiziert heißt, dass eine unabhängige, akkreditierte Zertifizierungsstelle Sie gegen die Norm auditiert und ein Zertifikat ausgestellt hat, das Ihre Konformität bescheinigt. Das ist die Variante mit einer Unterschrift, die nicht Ihre eigene ist.

Die Zertifizierung macht aus „wir erfüllen die Anforderungen" etwas, das ein Kunde akzeptieren kann, ohne Ihnen aufs Wort glauben zu müssen. Ihr Gewicht bezieht sie aus der Kette der Unabhängigkeit, die dahintersteht:

1. Eine Akkreditierungsstelle - DANAK in Dänemark, UKAS im Vereinigten Königreich, DAkkS in Deutschland, jeweils die national anerkannte Behörde - beaufsichtigt und akkreditiert die Zertifizierungsstellen.
2. Eine akkreditierte Zertifizierungsstelle auditiert Ihre Organisation.
3. Ihre Organisation erhält das Zertifikat.

Weil die Akkreditierungsstellen sich international gegenseitig anerkennen (über das IAF Multilateral Recognition Arrangement), wird ein akkreditiertes Zertifikat, das in einem Land ausgestellt wurde, auch in anderen Ländern anerkannt. Ein Zertifikat von einer Stelle, die nicht akkreditiert ist, gibt es zwar, aber es bietet nicht dieselbe Sicherheit. Deshalb fragen ernsthafte Kunden nicht nur nach dem Zertifikat, sondern nach dem Akkreditierungszeichen darauf.

Zwei Eigenschaften der Zertifizierung überraschen die Leute:

Anwendungsbereich. Ein Zertifikat wird für einen definierten Anwendungsbereich ausgestellt, für einen bestimmten Satz von Tätigkeiten und Standorten. Ein Zertifikat mit dem Wortlaut „Konstruktion und Fertigung von bearbeiteten Bauteilen am Standort Aarhus" deckt kein zweites Werk und keine neue Dienstleistungssparte ab. Eine Zertifizierung breiter darzustellen, als es der Anwendungsbereich auf Ihrem eigenen Zertifikat hergibt, ist eine häufige und schädliche Übertreibung.

Es ist ein Zyklus, kein Abzeichen. Eine typische ISO-Zertifizierung läuft in einem Dreijahreszyklus. Sie beginnt mit einem zweistufigen Erstaudit (einer Stufe-1-Bereitschaftsprüfung, dann einer Stufe-2-Bewertung des Systems im laufenden Betrieb). Innerhalb der drei Jahre kommt die Zertifizierungsstelle für regelmäßige Überwachungsaudits wieder, meist jährlich, um zu bestätigen, dass Sie weiterhin konform sind. Bevor die drei Jahre um sind, erneuert ein Rezertifizierungsaudit den Zyklus. Eine Zertifizierung, die Sie einmal erlangt und dann schleifen lassen, verlieren Sie beim nächsten Überwachungsbesuch.

All das macht zertifiziert zu dem Wort, mit dem Sie am diszipliniertesten umgehen müssen. Es zu behaupten, obwohl Sie es nicht sind, oder einen Anwendungsbereich zu behaupten, den Sie nicht haben, ist für einen regulierten Kunden ein Ausschlusskriterium. Wenn Sie zertifiziert sind, geben Sie genau an, wonach, von welcher Stelle und mit welchem Anwendungsbereich. Wenn noch nicht, ist „auf dem Weg zur ISO-9001-Zertifizierung" ehrlich und völlig anständig.

Die drei auf einen Blick auseinanderhalten

• Wer bescheinigt es? - Orientierung: Sie; Konform: Sie, mit Nachweis; Zertifiziert: ein akkreditierter Dritter
• Erforderlicher Nachweis - Orientierung: förmlich keiner; Konform: eine vollständige, abrufbare Nachweiskette; Zertifiziert: gegen die Norm auditiert
• Definierter Anwendungsbereich? - Orientierung: nein; Konform: informell; Zertifiziert: ja, auf dem Zertifikat festgehalten
• Laufende Verpflichtung - Orientierung: keine; Konform: Nachweise aktuell halten; Zertifiziert: Überwachungsaudits, Rezertifizierung
• Worauf sich ein Kunde verlassen kann - Orientierung: eine Absicht; Konform: Konformität, sofern er Sie auditiert; Zertifiziert: ein anerkanntes Zertifikat
• Relativer Aufwand und Kosten - Orientierung: gering; Konform: mittel, laufend; Zertifiziert: höher, laufend

Welches Niveau verlangt Ihr Markt tatsächlich?

Das richtige Niveau ist nicht das höchste, sondern das, das der Markt, den Sie erreichen wollen, tatsächlich verlangt. Lesen Sie die Anforderung, die vor Ihnen liegt, bevor Sie entscheiden, wie weit Sie gehen.

• Ein Generalunternehmer oder eine öffentliche Ausschreibung verlangt häufig eine Zertifizierung und fragt Zertifikatsnummer und Anwendungsbereich von vornherein ab. Hier reicht nachgewiesene Konformität nicht; Sie brauchen das akkreditierte Zertifikat, und es muss die Arbeit abdecken.
• Ein mittelgroßer gewerblicher Kunde gibt sich vielleicht mit einem Konformitätsnachweis zufrieden: einem ausgefüllten Lieferantenfragebogen, der Einsicht in Ihre Verfahren, vielleicht einem eigenen Kundenaudit. Eine Zertifizierung hilft, ist aber unter Umständen nicht zwingend.
• Ein neuer Partner will zu Beginn einer Beziehung vielleicht nur sehen, dass Sie die Norm ernst nehmen und darauf hinarbeiten.

Den eigenen Aufwand an das anzupassen, was wirklich verlangt wird, ist der Weg, auf dem kleinere Organisationen neue Märkte erschließen, ohne zu viel auszugeben. Der teure Fehler ist, vage auf „konform sein" oder „zertifiziert werden" zu zielen, ohne vorher festzustellen, was die konkrete Chance vor Ihnen erfordert.

Was es kostet - an Zeit ebenso wie an Geld

Die Zertifizierungsgebühren einer Zertifizierungsstelle sind meist der kleinere Teil der Rechnung. Der größere Posten ist interne Arbeitszeit: Verfahren schreiben und abstimmen, Nachweise erzeugen, interne Audits durchführen, Managementbewertungen abhalten und, entscheidend, all das zwischen den Überwachungsbesuchen aktuell halten. Konformität ist kein Projekt mit einem Enddatum; sie ist eine betriebliche Disziplin. Organisationen, die sie als einmaligen Kraftakt vor einem Audit behandeln, zahlen doppelt, weil die Nachweise bis zum nächsten Audit verfallen sind.

Wie die drei verwechselt werden - und warum das wehtut

• „Zertifiziert" für „konform" verwendet. Jemand schreibt „ISO 9001 zertifiziert" auf eine Leistungspräsentation, obwohl die Organisation bestenfalls konform ist. Fragt ein Kunde nach dem Zertifikat und es existiert nicht, ist ab jetzt jede andere Aussage in dieser Präsentation zweifelhaft.
• Überzogener Anwendungsbereich. Ein tatsächlich zertifizierter Betrieb bezeichnet sich als zertifiziert für Tätigkeiten, die sein Zertifikat nicht abdeckt. Formal hält er ein Zertifikat; praktisch stellt er es falsch dar.
• „Konform" ohne Nachweis. Der häufigste Fall: die aufrichtige Überzeugung, die Organisation erfülle die Norm, aber ohne abrufbare Kette, um es zu belegen. Das ist Orientierung, verkleidet als Konformität.

Jeder dieser Fälle ist vermeidbar, und jeder ist die Art von Sache, die in einem regulierten Markt aus einem vielversprechenden Gespräch eine verschlossene Tür macht.

Von der Orientierung zur Zertifizierung: der Nachweis ist die Brücke

Der Weg verläuft der Reihe nach: Sie orientieren sich an einer Norm, Sie werden echt konform mit ihr, und, wenn der Markt es verlangt, lassen Sie sich zertifizieren. Was alle drei verbindet, ist der Nachweis. Aus Orientierung wird Konformität in dem Moment, in dem Sie die Aufzeichnungen vorlegen können. Aus Konformität wird Zertifizierbarkeit in dem Moment, in dem diese Aufzeichnungen vollständig, aktuell und so geordnet sind, dass Sie sie einem Auditor übergeben können, ohne zwei Wochen Vorbereitung.

Das ist der praktische Grund, warum ein Qualitätsmanagementsystem existiert. In einem QMS liegen die Anforderungen, die dokumentierte Information und die Nachweise beisammen, laufend während der Arbeit aktuell gehalten statt unter Druck vor einem Audit rekonstruiert. Das QMS von ComplyTrain ist genau aus diesem Grund an den Anforderungen von ISO 9001 ausgerichtet, damit der Schritt von „wir orientieren uns daran" zu „hier ist der Nachweis, nach Abschnitt" eine Sache des Abrufens ist, keine Ausgrabung.

Wenn Sie gezielt auf die Zertifizierung zusteuern, ist der Ablauf berechenbarer, als die meisten Einsteiger erwarten. Wir gehen ihn Schritt für Schritt durch unter wie eine Zertifizierung abläuft. Audits, der Mechanismus hinter Konformität wie Zertifizierung, bekommen ihre eigene ausführliche Behandlung unter interne und externe Audits erklärt. Und die Seite zu ISO 9001 stellt vollständig dar, was diese Norm von Ihnen verlangt.

Sehen Sie, wo Ihr Nachweis liegen würde. Buchen Sie eine Demo, und wir zeigen Ihnen, wie ComplyTrain eine konforme, auditfähige Nachweiskette führt, geordnet nach den Anforderungen der Norm selbst, als Teil der täglichen Arbeit. So liegen „konform" und, wenn Sie es brauchen, „zertifiziert" viel näher beieinander.