Der Weg zur ISO-9001-Zertifizierung, Schritt für Schritt

Wer sich zum ersten Mal mit einer Zertifizierung befasst, empfindet sie oft als Blackbox: Sie wissen, dass Sie das Zertifikat brauchen, Sie wissen, dass ein Auditor beteiligt ist, und dazwischen liegt Nebel. Tatsächlich ist der Ablauf weit vorhersehbarer. Eine Zertifizierung nach einer Managementsystem-Norm wie ISO 9001 folgt einer eingespielten Abfolge. Wer diese Abfolge vorher kennt, hat den größten Teil dessen erledigt, was eine ruhige Erstzertifizierung von einem teuren Kraftakt in letzter Minute unterscheidet.

Dieser Leitfaden geht den gesamten Weg durch: von der Entscheidung für die Zertifizierung bis zum Erhalt (und Behalten) des Zertifikats. Er geht von ISO 9001 aus, aber dieselbe Struktur gilt für die meisten akkreditierten Managementsystem-Zertifizierungen. Falls der Unterschied zwischen orientiert an, konform und zertifiziert für Sie noch nicht klar ist, beginnen Sie hier. Dieser Beitrag setzt an dem Punkt an, an dem Sie sich für die Zertifizierung entschieden haben.

Schritt 0: Den Anwendungsbereich festlegen, und zwar verbindlich

Bevor ein Auditor ins Spiel kommt, treffen Sie eine Entscheidung, die alles Weitere prägt: den Anwendungsbereich der Zertifizierung. Der Anwendungsbereich legt fest, was zertifiziert wird - welche Tätigkeiten, welche Standorte, welche Produkte oder Dienstleistungen. „Konstruktion und Fertigung von Zerspanungsteilen am Standort Aarhus“ ist ein Anwendungsbereich, ebenso „Erbringung von Managed-IT-Services vom Standort Kopenhagen“.

Der Anwendungsbereich ist wichtig, weil er die Grenze bestimmt, die der Auditor bewertet, und den genauen Wortlaut, der auf Ihrem Zertifikat erscheint. Fassen Sie ihn zu weit, übernehmen Sie Arbeit und Nachweise, die Sie nicht gebraucht hätten. Fassen Sie ihn zu eng, deckt das Zertifikat nicht die Aufträge ab, die Sie gewinnen wollen. Lesen Sie die Ausschreibung oder die Kundenanforderung, die die Zertifizierung auslöst, und legen Sie einen Anwendungsbereich fest, der diese Arbeit abdeckt, aber nicht mehr, als Sie tatsächlich belegen können.

Schritt 1: Gap-Analyse - den Abstand zur Norm bestimmen

Die erste eigentliche Tätigkeit ist eine ehrliche Gap-Analyse: ein Abschnitt für Abschnitt geführter Vergleich zwischen dem, was die Norm fordert, und dem, was Sie heute tatsächlich tun. Für ISO 9001 heißt das, die Kapitel 4 bis 10 durchzugehen und für jede Anforderung zu fragen: „Ist das vorhanden, ist es belegt, oder fehlt es?“

Ein Beispiel. Ein wachsendes Software-Unternehmen führt die Gap-Analyse durch und stellt fest, dass es vieles aus Kapitel 8 (Betrieb) bereits gut umsetzt: Es hat einen gesteuerten Entwicklungs- und Release-Prozess. Aber Kapitel 9.2 (internes Audit) hat nie stattgefunden, Kapitel 9.3 (Managementbewertung) besteht aus informellen Gesprächen ohne jede Aufzeichnung, und Kapitel 7.5 (dokumentierte Information) verteilt sich auf drei Werkzeuge ohne Versionskontrolle. Die Gap-Analyse macht aus „wir sind wahrscheinlich in Ordnung“ eine konkrete Liste dessen, was aufzubauen ist. Diese Liste ist der Plan für den nächsten Schritt.

Sie können die Gap-Analyse selbst durchführen oder einen Berater damit beauftragen. So oder so ist das Ergebnis dasselbe: eine priorisierte Liste der Lücken, die zu Ihrem Umsetzungs-Backlog wird.

Schritt 2: Das System aufbauen und Nachweise erzeugen

Dies ist die längste Phase, und sie lässt sich nicht beschleunigen: Zertifizierungsaudits suchen nach Nachweisen über einen Zeitraum, nicht nach einem System, das eine Woche vorher eingeschaltet wurde. Sie schließen die Lücken - Sie schreiben und stimmen die Verfahren ab, richten die Lenkung dokumentierter Information ein, legen fest, wie mit Nichtkonformitäten und Korrekturmaßnahmen umzugehen ist - und dann betreiben Sie das System lange genug, um Aufzeichnungen zu erzeugen.

Diesen letzten Punkt unterschätzen Erstzertifizierer. Ein Auditor, der die Managementbewertung (9.3) bewertet, will sehen, dass Bewertungen tatsächlich stattgefunden haben, mit dokumentierten Eingaben und Maßnahmen. Wer das interne Audit (9.2) bewertet, will abgeschlossene Audits sehen und deren Ergebnisse. Sie müssen daher mindestens einen vollständigen Zyklus dieser Tätigkeiten durchlaufen - interne Audits, eine Managementbewertung, einige reale Nichtkonformitäten von Anfang bis Ende bearbeitet - bevor Sie auditierbar sind. Diese Phase dauert häufig einige Monate; die Länge hängt davon ab, wie weit die Gap-Analyse den Weg gezeigt hat.

Zwei Tätigkeiten verdienen besondere Erwähnung, denn die Zertifizierungsstelle wird gezielt danach suchen:

Ein vollständiges internes Audit des Managementsystems gegen die Norm, mit dokumentierten und bearbeiteten Feststellungen. (Interne Audits werden im Detail in interne und externe Audits erklärt behandelt.)
Eine Managementbewertung, in der die Leitung prüft, wie das System arbeitet, und Entscheidungen dazu trifft, mit dokumentierten Eingaben und Ergebnissen.

Beide sind Anforderungen für sich und der Nachweis, dass Ihr System wirklich läuft und nicht für den Anlass inszeniert wurde.

Sollten Sie einen Berater hinzuziehen?

Rund um die Gap-Analyse fragen sich die meisten Erstzertifizierer, ob sie externe Hilfe holen sollen. Es gibt keine einzig richtige Antwort, aber eine Grenze, die man nicht überschreiten darf.

Ein guter Berater verdient sein Honorar, indem er die Lernkurve verkürzt: Er hat die Gap-Analyse viele Male durchgeführt, weiß, welche Nachweise ein Stage-2-Auditor verlangen wird, und kann verhindern, dass Sie Bürokratie aufbauen, die die Norm nie gefordert hat. Für ein kleines Team, das zum ersten Mal mit einer Managementsystem-Norm zu tun hat, kann das ein Jahr Versuch und Irrtum in wenige, gezielte Monate verwandeln.

Die Kosten sind ebenso real. Ein System, das ein Berater für Sie und nicht mit Ihnen schreibt, ist meist eines, das Ihre Leute nicht als ihr eigenes ansehen und nach dem Weggang des Beraters still aufgeben - was sich beim ersten Überwachungsaudit zeigt. Es gibt außerdem eine harte Grenze: Ein Berater darf beim Aufbau des Systems helfen, aber er darf es nicht auditieren. Das interne Audit (Kapitel 9.2) muss unabhängig von der auditierten Tätigkeit sein, ebenso wie die Bewertung durch die Zertifizierungsstelle es per Definition ist. Hilfe beim Aufbau ist legitim; das Urteil darüber, ob das System funktioniert, auszulagern, ist es nicht.

Schritt 3: Eine akkreditierte Zertifizierungsstelle wählen

Sie zertifizieren sich nicht selbst, und Sie wollen kein Zertifikat von einer Stelle, die nicht akkreditiert ist. Wählen Sie eine Zertifizierungsstelle, die von einer anerkannten Akkreditierungsstelle akkreditiert ist - DANAK in Dänemark, UKAS im Vereinigten Königreich, DAkkS in Deutschland und deren Pendants anderswo, alle über das IAF-Abkommen gegenseitig anerkannt. Ein akkreditiertes Zertifikat ist das, was Einkäufer und Ausschreibungsprüfer ohne weitere Rückfragen akzeptieren.

Darüber hinaus sind Zertifizierungsstellen nicht austauschbar, und das billigste Angebot ist selten die richtige Wahl. Vergleichen Sie vier Dinge direkt:

Die dahinterstehende Akkreditierungsstelle. Die Akkreditierung wird pro Verfahren erteilt, nicht als pauschales Siegel. Bestätigen Sie also, dass die Stelle für die von Ihnen gewünschte Norm akkreditiert ist, und prüfen Sie das öffentliche Register der Akkreditierungsstelle, statt einem Logo auf einer Website zu vertrauen.
Branchen- und Verfahrenserfahrung. Ein Auditor, der jahrelang mit Ihrer Art von Arbeit zu tun hatte, liest Ihre Nachweise schneller und stellt gezieltere Fragen als einer, der Ihre Branche zum ersten Mal sieht. Für ein Software-Unternehmen ist jemand, der weiß, wie ein Entwicklungs- und Release-Prozess Aufzeichnungen erzeugt, einem Generalisten überlegen.
Verfügbarkeit von Auditoren gemessen an Ihrem Zeitplan. Wenn eine Ausschreibungsfrist der Antrieb ist, ist der bindende Engpass oft nicht, wie schnell Sie das System aufbauen, sondern wann die Stelle Stage 1 und Stage 2 terminieren kann - fragen Sie vor der Beauftragung nach Vorlaufzeiten, nicht danach.
Die Gesamtkosten über drei Jahre, nicht das Eröffnungshonorar. Eine Zertifizierung läuft in einem Dreijahreszyklus, das erste Honorar ist also nur ein Teil der Rechnung. Verlangen Sie das Gesamtbild - Stage 1 und Stage 2, beide Überwachungsbesuche, alle Tagessätze oder Reisekosten - und vergleichen Sie die Stellen nach der Dreijahressumme.

Ein Hinweis zu integrierten Managementsystemen

Wenn Sie nach mehr als einer Norm zertifizieren wollen - etwa ISO 9001 für Qualität neben einer Umwelt- oder Arbeitsschutz-Managementnorm -, lohnt es sich meist, das gemeinsam zu planen statt als getrennte Projekte. Moderne ISO-Managementsystem-Normen haben eine gemeinsame High-Level-Struktur: dasselbe Gerüst aus den Kapiteln 4 bis 10 und dieselben Anforderungen an dokumentierte Information, internes Audit und Managementbewertung. Dieses gemeinsame Rückgrat erlaubt es, dass eine Lenkung dokumentierter Information, ein internes Auditprogramm und eine Managementbewertung für alle zugleich dienen, und eine Zertifizierungsstelle kann sie in einem einzigen kombinierten Audit bewerten - weniger doppelte Arbeit und oft weniger Zeit vor Ort. Entscheiden Sie das früh, in der Phase des Anwendungsbereichs: Eine zweite Norm nachträglich auf ein für eine Norm gebautes System aufzusetzen, ist mehr Arbeit, als von Anfang an für beide zu planen.

Schritt 4: Das Zertifizierungsaudit - Stage 1 und Stage 2

Das erste Zertifizierungsaudit läuft in zwei Stufen ab, die bewusst getrennt sind.

Stage 1 - Bereitschaftsprüfung. Der Auditor prüft, ob Ihr Managementsystem existiert und für eine tiefe Bewertung bereit ist. Er sieht Ihre dokumentierte Information durch, bestätigt den Anwendungsbereich, betrachtet Ihre Aufzeichnungen zu internem Audit und Managementbewertung und benennt alles, was eine vollständige Bewertung sinnlos machen würde. Sehen Sie Stage 1 als Bestätigung des Auditors, dass es ein System zu auditieren gibt, und als Hinweis auf Bedenken, solange Sie noch Zeit haben, darauf zu reagieren - kein Bestehen oder Durchfallen, sondern eine Vorwarnung vor der eigentlichen Bewertung.

Stage 2 - die Bewertung. Einige Wochen später kehrt der Auditor zurück, um das System im Betrieb gegen jede anwendbare Anforderung zu bewerten und zu prüfen, ob das dokumentierte System auch das gelebte System ist. Feststellungen werden eingestuft - typischerweise in schwerwiegende Nichtkonformitäten (eine Anforderung ist nicht erfüllt, oder ein ganzer Teil des Systems ist ausgefallen), geringfügige Nichtkonformitäten (ein einzelner Verstoß gegen eine Anforderung) und Verbesserungspotenziale (nicht gefordert, aber erwähnenswert).

Eine schwerwiegende Nichtkonformität muss behoben werden, bevor ein Zertifikat ausgestellt werden kann; der Auditor will den Nachweis, dass Sie sie korrigiert und ihre Ursache beseitigt haben. Geringfügige Nichtkonformitäten erfordern meist einen Plan für Korrekturmaßnahmen, der beim nächsten Besuch überprüft wird. Es ist völlig normal, mit einigen Feststellungen aus dem Audit zu gehen - ein völlig sauberes Ergebnis ist die Ausnahme, nicht die Erwartung.

Wie ein Stage-2-Tag tatsächlich aussieht. Er beginnt mit einer kurzen Eröffnungsbesprechung: Der Auditor bestätigt den Anwendungsbereich, stellt den Tagesplan vor und stimmt ab, mit wem er wann sprechen will. Der Großteil des Tages ist Stichprobenprüfung - konkrete Aufzeichnungen anfordern („Zeigen Sie mir die letzten drei Protokolle der Managementbewertung“; „Zeigen Sie mir, wie diese Reklamation abgeschlossen wurde“), Menschen von der Leitung bis zu den Ausführenden befragen und Arbeit beobachten, wie sie tatsächlich abläuft. Er endet mit einem täglichen Feedback, einer kurzen Rückmeldung, damit am Ende nichts überrascht, und einer Abschlussbesprechung, in der der Auditor die Feststellungen vorstellt und einstuft und das weitere Vorgehen darlegt - sodass Sie genau wissen, was, falls überhaupt etwas, vor der Ausstellung eines Zertifikats behoben werden muss.

Schritt 5: Das Zertifikat - was Sie tatsächlich bekommen

Sobald die Feststellungen zur Zufriedenheit des Auditors behoben sind, stellt die Zertifizierungsstelle das Zertifikat aus. Es nennt die Norm, Ihre Organisation, den Anwendungsbereich, die ausstellende Stelle mit ihrem Akkreditierungszeichen sowie die Daten. Dieses Akkreditierungszeichen ist der Teil, der dem Zertifikat gegenüber Dritten seine Gültigkeit gibt.

Lesen Sie Ihr eigenes Zertifikat genau und verwenden Sie es präzise. Der darauf genannte Anwendungsbereich ist der, den Sie beanspruchen dürfen - nicht mehr. Fragt jemand, ob Sie zertifiziert sind, nennt die ehrliche Antwort die Norm, die Stelle und den Anwendungsbereich genau so, wie er dort steht.

Ein Beispiel-Zeitplan: von der Entscheidung zum Zertifikat

Bringen wir das laufende Beispiel in einen Kalender. Unser wachsendes Software-Unternehmen entschied sich in Monat 0 für die Zertifizierung, weil die Ausschreibung eines Generalunternehmers sie forderte. Die Zeiträume sind keine Zusagen - sie hängen von der Größe der Lücken und der Zeit ab, die das Team aufbringen kann -, aber der Verlauf ist typisch.

Monat 0. Entscheidung getroffen; Anwendungsbereich entworfen als „Konstruktion, Entwicklung und Support der SaaS-Plattform des Unternehmens“, mit einem Plan und einem internen Verantwortlichen.
Monat 1. Gap-Analyse gegen die Kapitel 4 bis 10: Betrieb (Kapitel 8) ist weitgehend vorhanden; internes Audit (9.2), Managementbewertung (9.3) und Lenkung dokumentierter Information (7.5) sind die Lücken.
Monate 2–4. Die Aufbauphase: Verfahren abgestimmt, Lenkung dokumentierter Information eingerichtet, der Prozess für Nichtkonformitäten und Korrekturmaßnahmen (10.2) festgelegt - und dann betrieben, nicht nur geschrieben.
Monat 5. Genug Zeit ist vergangen, um reale Aufzeichnungen zu haben: ein internes Audit abgeschlossen, eine erste Managementbewertung protokolliert, einige echte Nichtkonformitäten von Anfang bis Ende bearbeitet.
Monat 6. Zertifizierungsstelle beauftragt; Stage-1-Bereitschaftsprüfung durchgeführt, mit einigen Beobachtungen, die vor Stage 2 zu bereinigen sind.
Monate 7–8. Stage-2-Bewertung; eine geringfügige Nichtkonformität abgeschlossen; Zertifikat ausgestellt, sobald der Auditor zufrieden ist.

Für diese Organisation grob sieben bis acht Monate von der Entscheidung zum Zertifikat - eine mit größeren Lücken oder weniger Zeit wird länger brauchen. Ausschlaggebend ist der Abstand, den die Gap-Analyse offengelegt hat, nicht der Kalender.

Schritt 6: Überwachung und Rezertifizierung - das Zertifikat behalten

Eine Zertifizierung ist ein Dreijahreszyklus, kein einmaliges Ereignis. Die Zertifizierungsstelle kommt für Überwachungsaudits wieder - meist jährlich -, um zu bestätigen, dass das System weiterhin arbeitet und frühere Feststellungen geschlossen wurden. Diese sind leichter als das erste Stage 2, aber real: Ein System, das seit der Zertifizierung still verkommen ist, kommt hier ans Licht, und schwerwiegende oder anhaltende Probleme können das Zertifikat aussetzen oder entziehen.

Bevor die drei Jahre ablaufen, erneuert ein Rezertifizierungsaudit - in der Tiefe dem ersten Stage 2 ähnlich - den Zyklus um weitere drei Jahre. Die Organisationen, denen die Rezertifizierung leichtfällt, sind die, die das System durchgängig lebendig gehalten haben: aktuelle Dokumente, laufende interne Audits, regelmäßige Managementbewertungen, Nachweise, die als Nebenprodukt der Arbeit anfallen. Schwer tun sich die, die das erste Zertifikat als Ziellinie behandelt haben.

Was den Unterschied macht: Nachweise, die sich von selbst pflegen

Gehen Sie die Schritte noch einmal durch, und eines kehrt wieder - der Auditor will aktuelle, abrufbare Nachweise. Die Gap-Analyse findet, wo sie fehlen; die Aufbauphase erzeugt sie; Stage 2 prüft sie; die Überwachung bestätigt, dass sie weiter entstehen. Der größte Faktor dafür, wie schwer eine Zertifizierung ist, ist, ob Ihre Nachweise beim Arbeiten anfallen oder vor jedem Audit rekonstruiert werden müssen.

Genau dafür gibt es ein Qualitätsmanagementsystem. Das QMS von ComplyTrain ist um die Anforderungen der Norm selbst herum aufgebaut, sodass Dokumente gelenkt bleiben, interne Audits und Managementbewertungen ihre Aufzeichnungen hinterlassen und Nichtkonformitäten ihre Spur der Korrekturmaßnahmen mitführen - sodass Stage 1, Stage 2 und jeder Überwachungsbesuch darauf hinauslaufen, zu zeigen, was ohnehin schon da ist. Die Seite zu ISO 9001 stellt die Anforderungen dar, an denen der gesamte Prozess Sie bewertet.

Bereiten Sie sich auf eine Erstzertifizierung vor? Buchen Sie eine Demo, und wir zeigen Ihnen, wie ComplyTrain die Nachweise, die ein Auditor verlangt, nach Kapiteln geordnet hält, damit der Weg von der Entscheidung zum Zertifikat ein gerader ist.