Nichtkonformität: Eine Nichtkonformität ist die Nichterfüllung einer Anforderung — einer Normanforderung, gesetzlichen Vorgabe oder selbst gesetzten internen Regel —, die im Audit als Haupt- oder Nebenabweichung dokumentiert und über eine Korrekturmaßnahme behoben werden muss.
Auditoren stufen jede festgestellte Nichtkonformität nach ihrer Schwere ein. Diese Einordnung entscheidet direkt darüber, wie es mit der Zertifizierung weitergeht.
| Einstufung | Bedeutung | Folge für das Zertifikat |
|---|---|---|
| Hauptabweichung | Grundsätzliches Systemversagen oder wiederholte Nebenabweichung | Erteilung erst nach nachgewiesener Behebung |
| Nebenabweichung | Örtlich begrenzter Einzelfall | Erteilung möglich, Frist zur Behebung |
| Beobachtung | Verbesserungspotenzial, kein Normverstoß | Keine Pflicht zur Reaktion |
Für Nebenabweichungen ist eine Frist von rund 90 Tagen zur Vorlage einer Korrekturmaßnahme üblich; bei Hauptabweichungen verlangt die Zertifizierungsstelle meist einen zusätzlichen Nachaudit oder zumindest belastbare Dokumentennachweise, bevor das Zertifikat erteilt oder ein bestehendes nicht ausgesetzt wird. Der übliche Ablauf zur Behebung folgt drei Schritten: Ursachenanalyse (häufig mit 5-Why-Methode oder Ishikawa-Diagramm), Festlegung und Umsetzung einer Korrekturmaßnahme sowie eine spätere Wirksamkeitsprüfung, meist im folgenden Audit. Eine reine Sofortmaßnahme ohne echte Ursachenanalyse akzeptieren Auditoren dabei in der Regel nur als vorübergehenden Zwischenschritt, nicht als endgültigen Abschluss der Nichtkonformität.
Häufen sich Nebenabweichungen zum selben Thema über mehrere Audits hinweg, kann die Zertifizierungsstelle diese rückwirkend als Hauptabweichung neu bewerten, da dann ein systematisches statt ein einmaliges Problem vorliegt. Auch eine Beobachtung sollte ernst genommen werden: Sie zeigt zwar keinen Normverstoß, weist aber häufig frühzeitig auf ein Risiko hin, das sich ohne rechtzeitige Gegensteuerung im nächsten Audit zu einer echten Nebenabweichung entwickeln kann.
Relevanz für die Zertifizierung
Im KCERT-Zertifizierungsaudit entscheidet die Einstufung als Haupt- oder Nebenabweichung direkt über den Zeitpunkt der Zertifikatserteilung. Unternehmen, die intern bereits klare Kriterien führen, wann ein Fehler als schwerwiegend gilt, und Nichtkonformitäten konsequent bis zur Ursache bearbeiten, verkürzen die Zeit bis zur Zertifikatserteilung spürbar gegenüber Betrieben, die Abweichungen nur oberflächlich abstellen. Auch beim jährlichen Überwachungsaudit werden offene Nichtkonformitäten aus dem Vorjahr konsequent nachverfolgt, bevor neue Feststellungen aufgenommen werden.
Häufige Fragen zu Nichtkonformität
Eine Hauptabweichung liegt bei einem grundsätzlichen Systemversagen oder einer wiederholten Nebenabweichung zum selben Thema vor; das Zertifikat wird erst nach nachgewiesener Behebung erteilt, oft mit Nachaudit. Eine Nebenabweichung betrifft einen örtlich begrenzten Einzelfall; das Zertifikat kann trotzdem erteilt werden, eine Korrekturmaßnahme mit Frist genügt.
Für Nebenabweichungen ist eine Frist von rund 90 Tagen zur Vorlage einer Korrekturmaßnahme üblich. Bei Hauptabweichungen verlangt die Zertifizierungsstelle meist einen zusätzlichen Nachaudit oder belastbare Dokumentennachweise, bevor das Zertifikat erteilt oder ein bestehendes Zertifikat nicht ausgesetzt wird — eine feste, normativ vorgeschriebene Frist gibt es dafür nicht.
Bei einer Nebenabweichung ja, sofern eine Korrekturmaßnahme mit vereinbarter Frist vorliegt und keine grundsätzlichen Zweifel an der Wirksamkeit des Systems bestehen. Bei einer Hauptabweichung wird das Zertifikat erst nach nachgewiesener Behebung erteilt, da sie ein grundsätzliches Systemversagen anzeigt, das die gesamte Wirksamkeit des Managementsystems ernsthaft infrage stellt.