Zertifizierungsaudit: Das Zertifizierungsaudit ist die externe Prüfung, mit der eine Zertifizierungsstelle feststellt, ob das Managementsystem eines Unternehmens die Anforderungen einer ISO-Norm erfüllt; es besteht aus einem dokumentenorientierten Stufe-1-Audit und einem Stufe-2-Audit vor Ort.
Das Zertifizierungsaudit ist zweistufig aufgebaut, wie es unter anderem ISO/IEC 17021-1 für Zertifizierungsstellen vorsieht. Im Stufe-1-Audit prüft der Auditor die Dokumentation: Ist das Managementsystem vollständig beschrieben, sind Pflichtdokumente wie Politik, Ziele und Risikobewertung vorhanden, ist das Unternehmen überhaupt auditbereit? Häufig findet dieser Schritt remote statt.
| Phase | Fokus | Übliche Form |
|---|---|---|
| Stufe-1-Audit | Dokumentation, Auditbereitschaft | Remote oder vor Ort |
| Stufe-2-Audit | Gelebte Praxis, Wirksamkeit | Vor Ort im Betrieb |
Im Stufe-2-Audit prüft der Auditor vor Ort, ob das dokumentierte System tatsächlich gelebt wird: durch Interviews mit Mitarbeitenden, Begehungen, Stichproben von Aufzeichnungen und die Prüfung, ob Prozesse wie beschrieben ablaufen. Werden dabei Abweichungen festgestellt, unterscheidet man zwischen Hauptabweichungen, die vor Zertifikatserteilung behoben werden müssen, und Nebenabweichungen, für die meist eine Frist zur Korrektur gesetzt wird.
Nach bestandenem Zertifizierungsaudit stellt die Zertifizierungsstelle das Zertifikat aus, das drei Jahre gültig ist. In diesem Zeitraum finden jährliche Überwachungsaudits statt, bevor nach drei Jahren ein vollständiges Rezertifizierungsaudit den Zyklus erneut abschließt.
Bei mehreren Normen im selben Unternehmen lassen sich Stufe-1- und Stufe-2-Audit auch als kombiniertes Audit für zwei oder drei Managementsysteme gleichzeitig durchführen, was Zeit und Kosten gegenüber getrennten Terminen spart.
Relevanz für die Zertifizierung
Bei KCERT dauert der gesamte Weg vom kostenlosen Erstgespräch bis zum abgeschlossenen Zertifizierungsaudit je nach Norm typischerweise 4 bis 6 Wochen, bei ISO 27001 wegen des höheren Prüfumfangs 6 bis 8 Wochen. Vorbereitung lohnt sich vor allem für das Stufe-1-Audit: Wer Politik, Ziele, Risikobewertung und die wichtigsten Prozessbeschreibungen vor dem Termin vollständig vorliegen hat, verkürzt die Zeit bis zum Stufe-2-Audit spürbar. Unternehmen mit mehreren Normen können bei KCERT ein kombiniertes Zertifizierungsaudit vereinbaren und damit doppelte Terminaufwände vermeiden. Da Beratung und Zertifizierung bei KCERT organisatorisch getrennt sind, prüft im Zertifizierungsaudit stets ein Auditor, der das System zuvor nicht selbst mitentwickelt hat.
Häufige Fragen zu Zertifizierungsaudit
Bei KCERT liegt der Festpreis für eine Norm bei 1.950 Euro netto pro Jahr für Unternehmen bis 5 Mitarbeitende beziehungsweise 2.950 Euro bei 5 bis 25 Mitarbeitenden, jeweils im 3-Jahres-Vertrag inklusive Überwachungsaudits. Ab 25 Mitarbeitenden erstellt KCERT ein individuelles Angebot. Andere Zertifizierungsstellen kalkulieren häufig nach Auditor-Tagessätzen statt Festpreis.
Das reine Stufe-1- und Stufe-2-Audit nimmt je nach Unternehmensgröße meist ein bis wenige Tage in Anspruch. Der gesamte Prozess vom Erstgespräch bis zum ausgestellten Zertifikat dauert bei den meisten Normen 4 bis 6 Wochen, bei ISO 27001 wegen des höheren Prüfumfangs eher 6 bis 8 Wochen.
Das Stufe-1-Audit prüft die Dokumentation und die grundsätzliche Auditbereitschaft, oft remote. Das Stufe-2-Audit findet vor Ort statt und prüft, ob das dokumentierte System im Betrieb tatsächlich gelebt wird, durch Interviews, Begehungen und Stichproben. Erst nach bestandenem Stufe-2-Audit wird das Zertifikat ausgestellt.