Eine Abweichung ist die Nichterfüllung einer Anforderung, festgestellt im Audit. Nebenabweichungen sind Einzelfälle, die das Managementsystem nicht grundsätzlich in Frage stellen; ein Korrekturmaßnahmenplan genügt meist. Hauptabweichungen zeigen ein systematisches Versagen — ohne nachgewiesene Behebung, häufig innerhalb von 90 Tagen, gibt es kein Zertifikat oder das bestehende wird ausgesetzt.
Kaum ein Wort löst im Audit mehr Anspannung aus als „Abweichung“. Dabei ist eine Feststellung im Auditbericht kein Urteil über Ihren Betrieb, sondern ein normaler Bestandteil des Verfahrens: Die meisten Zertifizierungsaudits enden mit mindestens einer Feststellung, und die allermeisten Unternehmen erhalten ihr Zertifikat trotzdem — weil sie richtig reagieren. Entscheidend ist, den Unterschied zwischen Haupt- und Nebenabweichung zu kennen und die Fristenlogik dahinter zu verstehen.
Dieser Artikel erklärt, wie Abweichungen klassifiziert werden, welche Fristen typischerweise gelten, wie eine saubere Korrekturmaßnahme aussieht — mit durchgerechnetem Beispiel — und was passiert, wenn Sie Fristen verstreichen lassen. Dazu: die häufigsten Feststellungen aus der Auditpraxis und wie Sie im Audit selbst souverän mit einer Feststellung umgehen.
Was ist eine Abweichung im Audit?
Eine Abweichung — normsprachlich Nichtkonformität — liegt vor, wenn eine Anforderung nicht erfüllt ist. Die Anforderung kann aus drei Quellen stammen:
- aus der Norm selbst (etwa: keine Managementbewertung durchgeführt, obwohl ISO 9001 Kapitel 9.3 sie verlangt),
- aus den eigenen Vorgaben des Unternehmens (die Verfahrensanweisung schreibt eine Wareneingangsprüfung vor, die nachweislich nicht stattfindet),
- aus gesetzlichen oder kundenseitigen Anforderungen, die das Managementsystem abdecken muss.
Wichtig: Der Auditor stellt eine Abweichung nicht nach Gefühl fest. Jede Abweichung braucht drei Bestandteile: die konkrete Anforderung (mit Normkapitel oder Dokumentenverweis), den objektiven Nachweis (was wurde beobachtet, welches Dokument, welche Aussage) und die Feststellung selbst. Fehlt einer dieser Bestandteile, sollten Sie im Abschlussgespräch nachfragen. Von der Abweichung zu unterscheiden sind Hinweise beziehungsweise Verbesserungspotenziale: Beobachtungen, die noch keine Nichterfüllung sind, aber zu einer werden könnten. Sie erfordern keine formale Korrekturmaßnahme — kluge Unternehmen behandeln sie trotzdem, denn im Folgeaudit schaut der Auditor gezielt darauf.
Hauptabweichung, Nebenabweichung, Hinweis: die Klassifizierung
Zertifizierungsstellen, die nach ISO/IEC 17021-1 arbeiten, unterscheiden zwei Abweichungsgrade. Die Begriffe variieren leicht (Major/Minor, wesentlich/geringfügig), die Logik ist überall dieselbe:
| Kriterium | Hauptabweichung (Major) | Nebenabweichung (Minor) | Hinweis / Potenzial |
|---|---|---|---|
| Charakter | Systematisches Versagen oder komplette Nichterfüllung einer Normanforderung | Einzelfall oder punktueller Ausrutscher, System funktioniert grundsätzlich | Noch keine Nichterfüllung, aber Risiko oder Verbesserungschance |
| Beispiel | Keine internen Audits seit zwei Jahren; Kernprozess komplett ohne Lenkung | Ein Prüfmittel von 30 ohne gültige Kalibrierung; eine Schulung nicht dokumentiert | Kompetenzmatrix wird gepflegt, hat aber keinen festen Aktualisierungsrhythmus |
| Wirkung auf das Zertifikat | Blockiert Erteilung; bei bestehendem Zertifikat droht Aussetzung | Zertifikat wird in der Regel trotzdem erteilt oder bleibt bestehen | Keine unmittelbare Wirkung |
| Typische Reaktion | Ursachenanalyse, Korrekturmaßnahme und Wirksamkeitsnachweis vor Zertifikatsentscheidung | Korrekturmaßnahmenplan; Prüfung der Umsetzung meist im nächsten Audit | Freiwillige Bearbeitung, Wiedervorlage im Folgeaudit |
| Übliche Frist | Nachweis häufig binnen 60–90 Tagen | Plan binnen 14–30 Tagen, Umsetzung bis zum Folgeaudit | Keine |
Die Einstufung trifft der Auditor, die Zertifizierungsstelle prüft sie im Rahmen der Zertifikatsentscheidung. Mehrere gleichartige Nebenabweichungen können dabei zu einer Hauptabweichung hochgestuft werden — etwa wenn sich in drei Abteilungen dieselbe Dokumentationslücke zeigt und damit ein systematisches Muster erkennbar wird.
Die Fristenlogik: Was wann passieren muss
Die genauen Fristen legt jede Zertifizierungsstelle in ihrem Verfahren fest — die Größenordnungen sind aber marktüblich und folgen aus den Vorgaben der ISO/IEC 17021-1:
- Abschlussgespräch: Der Auditor stellt die Abweichungen vor. Hier können Sie sachliche Einwände vorbringen — später wird das schwierig.
- Stellungnahme und Maßnahmenplan: Üblich sind 14 bis 30 Tage, um Ursachenanalyse, Korrektur und Korrekturmaßnahme schriftlich einzureichen. Bei Nebenabweichungen genügt in der Regel dieser Plan.
- Nachweis bei Hauptabweichungen: Die Umsetzung muss belegt werden, bevor die Zertifikatsentscheidung fällt — je nach Stelle durch Dokumentenprüfung oder ein Nachaudit vor Ort. Übliche Frist: 60 bis 90 Tage.
- Grenze bei der Erstzertifizierung: Können Hauptabweichungen nicht innerhalb von sechs Monaten nach dem Stufe-2-Audit ausgeräumt werden, verlangen Zertifizierungsstellen üblicherweise eine Wiederholung des Stufe-2-Audits — mit entsprechenden Zusatzkosten.
- Wirksamkeitsprüfung: Ob die Maßnahme dauerhaft wirkt, prüft der Auditor spätestens im nächsten Überwachungsaudit. Eine wiederkehrende, nicht wirksam behobene Nebenabweichung wird dort regelmäßig zur Hauptabweichung.
Praktischer Rat: Reichen Sie den Maßnahmenplan deutlich vor Fristende ein. Zertifizierungsstellen geben Rückmeldung, wenn Ursachenanalyse oder Maßnahmen nicht akzeptiert werden — und diese Schleife braucht Zeit, die von Ihrer Frist abgeht.
Korrektur ist keine Korrekturmaßnahme: das Beispiel Kalibrierung
Der häufigste inhaltliche Fehler in Stellungnahmen: Es wird nur das Symptom beseitigt. Die Normlogik unterscheidet drei Ebenen, hier am Beispiel einer typischen Nebenabweichung durchgespielt — „Der Messschieber Nr. 12 in der Endkontrolle hat eine seit vier Monaten abgelaufene Kalibrierung (Anforderung: ISO 9001, Kapitel 7.1.5)“:
- Korrektur (Sofortmaßnahme): Messschieber Nr. 12 sperren und kalibrieren lassen. Prüfen, ob mit ihm in den vier Monaten fehlerhafte Messungen freigegeben wurden — falls ja, betroffene Produkte bewerten.
- Ursachenanalyse: Warum konnte das passieren? Zum Beispiel per 5-Why: Die Kalibrierliste wird manuell in Excel geführt — der Verantwortliche war im Langzeitkrankenstand — eine Vertretungsregelung fehlte — Erinnerungen erzeugt die Liste nicht selbst. Wurzelursache: kein personenunabhängiger Überwachungsmechanismus.
- Korrekturmaßnahme (gegen die Ursache): Kalibrierüberwachung mit automatischer Terminerinnerung einführen, Vertretung benennen, Quartalscheck aller Prüfmittel in die interne Auditcheckliste aufnehmen.
Dazu gehört ein Wirksamkeitskriterium: Woran erkennen Sie in sechs Monaten, dass die Maßnahme funktioniert? Hier etwa: kein Prüfmittel ohne gültige Kalibrierung beim Quartalscheck. Eine Stellungnahme, die nur „Messschieber wurde kalibriert“ meldet, wird von einer sorgfältig arbeitenden Zertifizierungsstelle zurückgewiesen — denn ohne Ursachenbehandlung ist die Wiederholung programmiert.
Was passiert, wenn Fristen reißen? Aussetzung und Entzug
Bleiben Hauptabweichungen unbehandelt oder verstreichen Fristen wiederholt, eskaliert das Verfahren in Stufen:
- Aussetzung (Suspendierung): Das Zertifikat wird vorübergehend für ungültig erklärt, üblicherweise für maximal sechs Monate. In dieser Zeit dürfen Sie nicht mit dem Zertifikat werben; Kunden, die im Zertifikatsregister nachsehen, sehen den Status. Die Aussetzung wird aufgehoben, wenn die Ursachen nachweislich behoben sind.
- Entzug (Zurückziehung): Wird der Aussetzungsgrund nicht fristgerecht ausgeräumt, zieht die Zertifizierungsstelle das Zertifikat zurück. Danach hilft nur eine neue Erstzertifizierung — mit Stufe-1- und Stufe-2-Audit und vollen Kosten.
- Einschränkung des Geltungsbereichs: Als milderes Mittel kann die Stelle den Scope reduzieren, etwa einen Standort oder Prozess aus dem Zertifikat nehmen.
Auch organisatorische Versäumnisse führen dorthin: verweigerte oder mehrfach verschobene Überwachungsaudits sind ein klassischer Aussetzungsgrund. Die gute Nachricht: Dieser Weg ist fast immer vermeidbar. Zertifizierungsstellen haben kein Interesse am Entzug — wer kommuniziert, realistische Termine nennt und Maßnahmen belegt, findet praktisch immer einen Weg zurück in den Regelbetrieb.
Die häufigsten Feststellungen — und wie Sie sie vermeiden
Über alle Normen hinweg wiederholen sich in Audits dieselben Befunde. Die Klassiker:
- Interne Audits unvollständig: nicht alle Prozesse oder Standorte im Auditprogramm, Auditoren auditieren den eigenen Bereich, Berichte ohne Feststellungen über Jahre.
- Managementbewertung lückenhaft: Pflichtinhalte aus Kapitel 9.3 fehlen, keine Beschlüsse oder Maßnahmen dokumentiert.
- Dokumente ohne Lenkung: veraltete Arbeitsanweisungen im Umlauf, ungelenkte Excel-Insellösungen, unklare Freigaben.
- Schulungs- und Kompetenznachweise fehlen: Unterweisungen nicht dokumentiert, Kompetenzmatrix veraltet.
- Messmittel und Wartung: abgelaufene Kalibrierungen, fehlende Wartungsnachweise.
- Ziele ohne Messung: Qualitäts-, Umwelt- oder Energieziele formuliert, aber ohne Kennzahlen und Bewertung.
- Korrekturmaßnahmen versanden: Maßnahmen aus Vorjahres-Feststellungen ohne Umsetzungs- oder Wirksamkeitsnachweis — besonders unangenehm, weil genau das im Folgeaudit als Erstes geprüft wird.
Die wirksamste Prävention ist ein ernst genommenes internes Audit sechs bis acht Wochen vor dem externen Termin: Es findet dieselben Schwachstellen — nur ohne Folgen für das Zertifikat und mit genug Vorlauf, um Ursachen sauber zu beheben.
Souverän reagieren: Verhalten im Audit und danach
Wie Sie mit einer Feststellung umgehen, prägt das Audit stärker als die Feststellung selbst. Bewährte Grundsätze:
- Nicht diskutieren, sondern verstehen. Fragen Sie nach Anforderung und Nachweis, bis die Feststellung eindeutig ist. Sachliche Einwände — etwa ein Nachweis, der im Audit nicht griffbereit war — gehören ins Abschlussgespräch, nicht in eine wochenlange E-Mail-Schlacht danach.
- Nichts vertuschen. Ein nachträglich „gefundenes“ oder erstelltes Dokument fällt erfahrenen Auditoren fast immer auf und beschädigt das Vertrauensverhältnis nachhaltig — mit Folgen für jedes künftige Audit.
- Abweichungen als Arbeitsauftrag lesen. Eine präzise Feststellung zeigt eine echte Schwachstelle, die Sie sonst ein Kunde, ein Unfall oder eine Behörde finden lässt. Betriebe, die Feststellungen systematisch abarbeiten, berichten regelmäßig, dass die unangenehmste Abweichung die nützlichste war.
- Intern kommunizieren. Informieren Sie die betroffenen Bereiche über Feststellung und Maßnahme. Wenn im Folgeaudit dieselbe Person dieselbe Lücke zeigt, ist die Hochstufung zur Hauptabweichung naheliegend.
Und zur Einordnung: Ein Audit ganz ohne Feststellungen ist nicht automatisch ein Gütesiegel. Es kann auch bedeuten, dass zu oberflächlich geprüft wurde. Ein gutes Audit findet etwas — und ein gutes Unternehmen macht etwas daraus.
Häufige Fragen
Bei Nebenabweichungen: in aller Regel ja. Sie reichen innerhalb der gesetzten Frist — üblich sind 14 bis 30 Tage — einen Korrekturmaßnahmenplan ein, das Zertifikat wird erteilt, die Umsetzung wird im nächsten Audit geprüft. Bei Hauptabweichungen wird das Zertifikat erst erteilt, wenn Korrektur und Korrekturmaßnahme nachgewiesen sind, häufig binnen 60 bis 90 Tagen.
Es gibt keine offizielle Statistik, aber Erfahrungswerte: Erstzertifizierungen enden häufig mit zwei bis sechs Nebenabweichungen und einigen Hinweisen; Überwachungsaudits mit null bis drei. Hauptabweichungen sind deutlich seltener und treffen meist Unternehmen, die zentrale Systemelemente wie interne Audits oder die Managementbewertung ausgelassen haben. Die Anzahl sagt weniger aus als die Frage, ob sich Feststellungen wiederholen.
Die Korrektur beseitigt das Problem selbst: Das unkalibrierte Messmittel wird kalibriert, das fehlerhafte Teil nachgearbeitet. Die Korrekturmaßnahme beseitigt die Ursache, damit das Problem nicht wieder auftritt: etwa eine automatische Kalibrierüberwachung mit Vertretungsregelung. Zertifizierungsstellen akzeptieren Stellungnahmen nur mit beidem plus Ursachenanalyse — eine reine Symptombehebung wird zurückgewiesen.
Ja. Der erste Ort dafür ist das Abschlussgespräch: Bitten Sie um die konkrete Anforderung und den objektiven Nachweis; oft klären sich Missverständnisse sofort, etwa wenn ein Dokument im Audit nur nicht auffindbar war. Formal haben Zertifizierungsstellen nach ISO/IEC 17021-1 zudem ein geregeltes Einspruchs- und Beschwerdeverfahren. Widersprechen Sie sachlich und mit Belegen — nicht aus Prinzip.
Ausgesetzt wird typischerweise, wenn Hauptabweichungen nicht fristgerecht behoben werden oder Überwachungsaudits nicht stattfinden können. Die Aussetzung dauert üblicherweise bis zu sechs Monate; in dieser Zeit darf nicht mit dem Zertifikat geworben werden. Wird der Grund nicht ausgeräumt, folgt der Entzug — danach ist eine komplette Neuzertifizierung mit Stufe-1- und Stufe-2-Audit nötig.
Die Klassifizierung stammt aus dem Zertifizierungsverfahren, viele Unternehmen übernehmen sie aber sinnvollerweise für interne Audits — so entsteht dieselbe Sprache und Priorisierungslogik. Zwingend ist das nicht: Intern genügt auch die einfache Unterscheidung zwischen Abweichung und Verbesserungspotenzial. Wichtig ist nur, dass jede interne Feststellung eine nachverfolgte Maßnahme mit Verantwortlichem und Termin erhält.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT