Externes Audit: Externes Audit ist der Oberbegriff für jede Systemprüfung, die von einer unternehmensfremden Stelle durchgeführt wird – im Gegensatz zum internen Audit nach Kapitel 9.2 der ISO-Managementsystemnormen, das die Organisation selbst beauftragt.
ISO 19011 unterscheidet drei Auditarten, wobei nur die erste ein internes Audit ist:
- First-Party-Audit: internes Audit, von der Organisation selbst beauftragt
- Second-Party-Audit: externes Audit durch eine Partei mit eigenem Interesse, z. B. ein Kunde, der seinen Lieferanten prüft
- Third-Party-Audit: externes Audit durch eine unabhängige Zertifizierungsstelle nach ISO/IEC 17021-1, mit dem Ziel eines Zertifikats
Im Sprachgebrauch meint „externes Audit“ meist das Zertifizierungsaudit einer Zertifizierungsstelle, bestehend aus Stufe-1-Audit (Prüfung der Dokumentation und Zertifizierungsreife) und Stufe-2-Audit (Prüfung der gelebten Praxis vor Ort oder remote). Nach erfolgreicher Zertifizierung folgen jährliche Überwachungsaudits und alle drei Jahre ein Rezertifizierungsaudit im vollen Umfang.
Wichtiger Unterschied zum internen Audit: Der externe Auditor muss von der Organisation vollständig unabhängig sein und darf zuvor nicht beratend für dieselbe Organisation tätig gewesen sein – diese Trennung von Beratung und Zertifizierung ist Grundvoraussetzung für die Glaubwürdigkeit eines Zertifikats.
ISO/IEC 17021-1 verlangt zudem eine dokumentierte Kompetenzmatrix für jeden eingesetzten Auditor: fachliche Qualifikation im jeweiligen Normbereich, Auditorenschulung nach ISO 19011 sowie ausreichende Praxiserfahrung in vergleichbaren Branchen. Zertifizierungsstellen müssen diese Kompetenz vor jedem Audit gegen den konkreten Anwendungsbereich der Organisation abgleichen und dokumentieren, warum der eingesetzte Auditor für genau diesen Auftrag geeignet ist.
Relevanz für die Zertifizierung
Für Unternehmen ist entscheidend, ein externes Audit nicht mit einem Kundenaudit (Second-Party) zu verwechseln: Nur ein Third-Party-Audit durch eine Zertifizierungsstelle führt zu einem gültigen ISO-Zertifikat. KCERT führt Stufe-1-Audits remote und Stufe-2-Audits je nach Norm vor Ort oder remote durch; wer ein Zertifikat für öffentliche Ausschreibungen oder Konzern-Lieferantenlisten benötigt, sollte vorab prüfen, ob dort ausdrücklich ein akkreditiertes Zertifikat verlangt wird.
Häufige Fragen zu Externes Audit
Ein internes Audit wird von der Organisation selbst beauftragt und dient der Eigenkontrolle nach Kapitel 9.2. Ein externes Audit führt eine unabhängige Stelle durch, entweder als Second-Party-Audit im Kundenauftrag oder als Third-Party-Audit durch eine Zertifizierungsstelle, das allein zu einem gültigen ISO-Zertifikat führen kann.
Ausschließlich Auditoren einer akkreditierten oder nicht akkreditierten Zertifizierungsstelle, die nach ISO/IEC 17021-1 organisiert ist und keine Beratungsleistungen für dieselbe Organisation erbracht haben darf. Diese Unabhängigkeit ist Voraussetzung für die Ausstellung eines belastbaren Zertifikats und wird von der Zertifizierungsstelle vor jedem Audit erneut geprüft.
Nach der Erstzertifizierung mit Stufe-1- und Stufe-2-Audit folgt jährlich ein Überwachungsaudit im reduzierten Umfang, das die wichtigsten Prozesse stichprobenartig prüft. Nach drei Jahren steht ein vollständiges Rezertifizierungsaudit an, das den gesamten dreijährigen Gültigkeitszeitraum des Zertifikats erneuert und alle Normkapitel wieder in voller Tiefe betrachtet.