Die ISO-9001-Zertifizierung läuft in fünf Schritten ab: Anfrage und Angebot, Vorbereitung im Unternehmen, Stufe-1-Audit zur Prüfung der Dokumentation, Stufe-2-Audit zur Prüfung der gelebten Praxis und schließlich die Zertifikatserteilung. Das Zertifikat gilt drei Jahre mit jährlichen Überwachungsaudits. Das Verfahren selbst dauert bei guter Vorbereitung etwa vier bis sechs Wochen.
Viele Unternehmen schieben die ISO-9001-Zertifizierung vor sich her, weil das Verfahren wie eine Blackbox wirkt: Was genau wird geprüft? Wer kommt ins Haus? Was muss vorher fertig sein? Die gute Nachricht: Der Ablauf ist weltweit standardisiert und gut planbar. Wer die fünf Schritte kennt, kann Aufwand, Termine und Zuständigkeiten realistisch einordnen.
Dieser Artikel führt durch den kompletten Prozess von der ersten Anfrage bis zum Zertifikat, erklärt die Stufe-1- und Stufe-2-Systematik, nennt realistische Zeitachsen und zeigt klar, welche Leistungen die Zertifizierungsstelle erbringt und was Ihr Unternehmen selbst beisteuern muss.
Schritt 1: Anfrage, Erstgespräch und Angebot
Am Anfang steht die Kontaktaufnahme mit einer Zertifizierungsstelle. In einem Erstgespräch, das bei den meisten Anbietern kostenlos ist, werden die Eckdaten geklärt: Branche und Tätigkeit, Mitarbeiterzahl, Anzahl der Standorte, gewünschter Normumfang und der Anlass der Zertifizierung. Diese Angaben bestimmen den Auditaufwand und damit den Preis.
Auf dieser Basis erstellt die Zertifizierungsstelle ein Angebot. Bei akkreditierten Stellen wird der Auditumfang in Auditortagen nach festen Vorgaben kalkuliert, bei Festpreisanbietern wie KCERT kommt das Angebot als Pauschale pro Norm und Jahr, dort innerhalb von 48 Stunden. Prüfen Sie im Angebot drei Punkte genau: Sind die jährlichen Überwachungsaudits enthalten oder kommen sie separat dazu? Welche Reisekosten fallen an? Und wie lange läuft der Vertrag, üblich sind drei Jahre entsprechend der Zertifikatslaufzeit.
Ein wichtiger Punkt schon in dieser Phase: Klären Sie, ob Ihre Kunden ein akkreditiertes Zertifikat verlangen. Für öffentliche Ausschreibungen und viele Konzern-Lieferantenbewertungen ist ein Zertifikat mit DAkkS-Akkreditierungszeichen erforderlich, dann kommt nur eine akkreditierte Stelle infrage. Reicht ein Nachweis über ein funktionierendes Qualitätsmanagementsystem, ist der nicht akkreditierte Weg eine günstigere Alternative. Eine seriöse Zertifizierungsstelle spricht diesen Unterschied von sich aus an.
Schritt 2: Vorbereitung im Unternehmen — die eigentliche Arbeit
Der aufwendigste Teil der Zertifizierung findet nicht im Audit statt, sondern davor. Ihr Qualitätsmanagementsystem muss stehen und mindestens einige Wochen gelebt werden, bevor der Auditor kommt. Konkret müssen folgende Punkte erledigt sein:
- Prozesse festgelegt und beschrieben: Kernprozesse, Führungs- und Unterstützungsprozesse mit Verantwortlichkeiten, etwa in einer Prozesslandkarte.
- Pflichtdokumentation erstellt: Qualitätspolitik, Qualitätsziele, dokumentierte Informationen zu den Prozessen, Nachweise wie Schulungs- und Wartungsbelege. Ein klassisches QM-Handbuch ist seit der Revision 2015 nicht mehr vorgeschrieben.
- Internes Audit durchgeführt: Mindestens ein vollständiger interner Auditdurchlauf mit dokumentierten Ergebnissen und abgearbeiteten Feststellungen.
- Managementbewertung abgehalten: Die Geschäftsführung bewertet das System anhand der Pflichtthemen der Norm und dokumentiert Entscheidungen.
Internes Audit und Managementbewertung sind die beiden Nachweise, ohne die kein Zertifizierungsaudit bestanden wird. Planen Sie für die Vorbereitung je nach Ausgangslage zwischen sechs Wochen und mehreren Monaten ein. Ob Sie diese Phase mit einem Berater oder in Eigenleistung stemmen, ist Ihre Entscheidung, die Zertifizierungsstelle darf hier aus Unabhängigkeitsgründen nicht mitarbeiten.
Schritt 3: Stufe-1-Audit — die Dokumentationsprüfung
Das eigentliche Zertifizierungsverfahren beginnt mit dem Stufe-1-Audit. Der Auditor prüft, ob Ihr Managementsystem auf dem Papier vollständig ist und ob das Unternehmen bereit für die Hauptprüfung ist. Typische Prüfpunkte:
- Sind alle von der Norm geforderten dokumentierten Informationen vorhanden?
- Deckt der festgelegte Geltungsbereich (Scope) die tatsächliche Tätigkeit ab?
- Wurden internes Audit und Managementbewertung durchgeführt?
- Gibt es offensichtliche Lücken, die ein Scheitern in Stufe 2 wahrscheinlich machen?
Das Stufe-1-Audit findet häufig remote statt, per Videokonferenz und Dokumentenfreigabe, so auch bei KCERT. Das spart Reisekosten und Zeit. Ergebnis ist ein kurzer Bericht mit eventuellen Hinweisen, was bis Stufe 2 nachzubessern ist. Solche Hinweise sind kein Beinbruch, sondern der Sinn dieser Stufe: Sie sollen verhindern, dass Sie unvorbereitet ins Hauptaudit gehen.
Zwischen Stufe 1 und Stufe 2 liegen üblicherweise zwei bis sechs Wochen. Diese Zeit nutzen Sie, um die festgestellten Lücken zu schließen. Sind die Lücken groß, kann die Zertifizierungsstelle auch einen längeren Abstand empfehlen, ein seriöser Auditor schickt niemanden in ein Stufe-2-Audit, das absehbar scheitert.
Schritt 4: Stufe-2-Audit — die Prüfung der gelebten Praxis
Das Stufe-2-Audit ist die Hauptprüfung und findet im Unternehmen statt. Jetzt geht es nicht mehr um Dokumente, sondern um Wirksamkeit: Wird das beschriebene System tatsächlich gelebt? Der Auditor führt Interviews mit Mitarbeitenden verschiedener Bereiche, begeht Arbeitsplätze, sichtet Aufzeichnungen und verfolgt Stichproben durch die Prozesse, etwa einen Kundenauftrag von der Anfrage bis zur Auslieferung.
Typische Fragen an Mitarbeitende sind bodenständig: Was machen Sie, wenn ein Fehler auffällt? Woher wissen Sie, nach welcher Arbeitsanweisung Sie arbeiten? Wer hat Sie wann geschult? Niemand muss Normkapitel zitieren können, es zählt, dass die Praxis zum beschriebenen System passt.
Am Ende des Audits steht das Abschlussgespräch. Der Auditor stellt seine Feststellungen vor, unterschieden nach Hauptabweichungen (das System erfüllt eine Normanforderung nicht, Zertifikat erst nach nachgewiesener Korrektur), Nebenabweichungen (punktuelle Lücken, Korrekturmaßnahmen mit Frist, meist 90 Tage) und Hinweisen beziehungsweise Verbesserungspotenzialen ohne Handlungspflicht. Ein Audit ganz ohne Feststellungen ist selten und auch nicht das Ziel, ein gutes Audit liefert verwertbare Erkenntnisse über das eigene Unternehmen.
Schritt 5: Zertifikatserteilung und der Drei-Jahres-Zyklus
Nach dem Stufe-2-Audit erstellt der Auditor den Auditbericht. Eine unabhängige Stelle innerhalb der Zertifizierungsorganisation trifft auf dieser Basis die Zertifizierungsentscheidung, der Auditor selbst darf sie nicht treffen. Sind keine Hauptabweichungen offen, wird das Zertifikat erteilt. Es ist drei Jahre gültig und nennt Geltungsbereich, Standorte und die zugrunde liegende Norm ISO 9001:2015.
Mit dem Zertifikat beginnt der Zyklus:
- Jahr 1: Zertifizierungsaudit (Stufe 1 und 2), Zertifikatserteilung.
- Jahr 2: erstes Überwachungsaudit, verkürzte Prüfung der Kernthemen und der Korrekturmaßnahmen.
- Jahr 3: zweites Überwachungsaudit.
- Nach 3 Jahren: Rezertifizierungsaudit im vollen Umfang, neues Zertifikat für weitere drei Jahre.
Die Überwachungsaudits sind Pflicht: Wer sie ausfallen lässt, verliert das Zertifikat vor Ablauf der drei Jahre. Achten Sie deshalb bei Vertragsabschluss darauf, ob die Überwachungsaudits im Preis enthalten sind. Bei Festpreismodellen im 3-Jahres-Vertrag ist das üblich, bei tagessatzbasierten Angeboten kommen sie oft separat hinzu.
Der Zeitplan im Überblick
Die folgende Tabelle zeigt einen realistischen Ablauf für ein kleines bis mittleres Unternehmen, dessen Managementsystem bereits weitgehend steht:
| Phase | Typische Dauer | Hauptakteur |
|---|---|---|
| Erstgespräch und Angebot | 1–2 Wochen | Zertifizierungsstelle |
| Vorbereitung, internes Audit, Managementbewertung | 6 Wochen bis 6 Monate (je nach Reifegrad) | Unternehmen |
| Stufe-1-Audit (oft remote) | 0,5–1 Tag | beide |
| Nachbesserung nach Stufe 1 | 2–6 Wochen | Unternehmen |
| Stufe-2-Audit vor Ort | 1–3 Tage | beide |
| Bericht, Entscheidung, Zertifikat | 1–3 Wochen | Zertifizierungsstelle |
Vom Vertragsabschluss bis zum Zertifikat dauert das Verfahren bei guter Vorbereitung etwa vier bis sechs Wochen. Die Gesamtdauer inklusive Systemaufbau hängt fast ausschließlich vom Unternehmen ab: Wer schon strukturiert arbeitet, ist in zwei bis drei Monaten durch, wer bei null startet, sollte sechs bis zwölf Monate einplanen. Terminengpässe bei Auditoren können vor allem zum Jahresende hinzukommen, planen Sie den Wunschtermin für das Stufe-2-Audit früh.
Was Sie selbst beisteuern müssen — und was die Zertifizierungsstelle übernimmt
Eine verbreitete Fehlvorstellung lautet, die Zertifizierungsstelle helfe beim Aufbau des Systems. Das Gegenteil ist richtig: Beratung und Zertifizierung sind strikt getrennt, wer berät, darf nicht auditieren. Die Aufgabenteilung sieht so aus:
- Ihr Unternehmen liefert: das funktionierende Qualitätsmanagementsystem, die Pflichtdokumentation, internes Audit und Managementbewertung, verfügbare Ansprechpartner an den Audittagen und fristgerechte Korrekturmaßnahmen zu Feststellungen.
- Die Zertifizierungsstelle liefert: Auditplanung und Terminierung, qualifizierte Auditoren mit Branchenkenntnis, die Durchführung von Stufe-1- und Stufe-2-Audit, den Auditbericht, die unabhängige Zertifizierungsentscheidung und das Zertifikat samt jährlicher Überwachung.
- Optional ein Berater liefert: Unterstützung beim Systemaufbau, Schulungen, Moderation des internen Audits, Vorbereitung der Managementbewertung.
Für die interne Planung heißt das: Benennen Sie eine verantwortliche Person für das Projekt, meist die QM-Beauftragte oder ein Mitglied der Geschäftsführung, und reservieren Sie deren Zeit realistisch. An den Audittagen selbst sollten Geschäftsführung, Prozessverantwortliche und einzelne Mitarbeitende ansprechbar sein. Ein Audit, bei dem nur der QM-Beauftragte antwortet, überzeugt keinen Auditor davon, dass das System im Unternehmen gelebt wird.
Häufige Fragen
Das Zertifizierungsverfahren selbst, also von der Beauftragung über Stufe-1- und Stufe-2-Audit bis zur Zertifikatserteilung, dauert bei guter Vorbereitung etwa vier bis sechs Wochen. Die Gesamtdauer hängt vom Reifegrad Ihres Managementsystems ab: Mit vorhandenen Strukturen sind zwei bis drei Monate realistisch, beim Start von null sechs bis zwölf Monate.
Das Stufe-1-Audit prüft die Dokumentation und die Zertifizierungsreife: Sind alle geforderten Unterlagen vorhanden, passt der Geltungsbereich, wurden internes Audit und Managementbewertung durchgeführt? Es findet oft remote statt. Das Stufe-2-Audit prüft vor Ort die gelebte Praxis durch Interviews, Begehungen und Stichproben. Erst nach bestandenem Stufe-2-Audit wird das Zertifikat erteilt.
Nein, die zweistufige Systematik ist für Erstzertifizierungen fester Bestandteil des Verfahrens. Sie schützt Sie auch: Das Stufe-1-Audit deckt Lücken auf, bevor sie im Hauptaudit zu Abweichungen werden. Da Stufe 1 häufig remote durchgeführt wird und einen halben bis ganzen Tag dauert, ist der Zusatzaufwand überschaubar.
Ein komplettes Scheitern ist selten, wenn internes Audit und Managementbewertung ernsthaft durchgeführt wurden. Üblich sind Nebenabweichungen, die Sie innerhalb einer Frist von meist 90 Tagen mit Korrekturmaßnahmen schließen. Bei Hauptabweichungen wird das Zertifikat erst erteilt, nachdem Sie die Korrektur nachgewiesen haben, gegebenenfalls in einem Nachaudit. Zusätzliche Kosten entstehen dann für den Mehraufwand.
Nein. Die Norm verlangt ein funktionierendes System, nicht externe Unterstützung. Unternehmen mit klaren Prozessen und etwas Einarbeitung in die Norm schaffen die Vorbereitung in Eigenleistung. Ein Berater beschleunigt den Aufbau, wenn Zeit oder Normkenntnis fehlen. Die Zertifizierungsstelle selbst darf nicht beraten, diese Trennung sichert die Unabhängigkeit des Audits.
Die Geschäftsführung für Eröffnungs- und Abschlussgespräch sowie die Themen Führung und Managementbewertung, die QM-verantwortliche Person durchgehend, und die Prozessverantwortlichen jeweils für ihre Bereiche. Zusätzlich spricht der Auditor stichprobenartig mit Mitarbeitenden an ihren Arbeitsplätzen. Ein vollständiger Betriebsstillstand ist nicht nötig, das Tagesgeschäft läuft während des Audits weiter.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT