Kombi-Audit: Mehrere ISO-Normen in einem Termin zertifizieren

Wer zwei oder drei Managementsysteme betreibt, kennt das Muster: mehrere Audittermine pro Jahr, mehrere Auditpläne – und jedes Mal dieselben Fragen zu Unternehmenskontext, Führung, internen Audits und Managementbewertung, nur unter anderer Überschrift. Getrennte Audits kosten nicht nur Geld, sie binden auch jedes Mal Geschäftsführung und Prozessverantwortliche für volle Audittage.

Ein kombiniertes Audit fasst diese Prüfungen in einem Termin zusammen: ein Auditteam, ein Auditplan, am Ende ein Zertifikat je Norm. Dieser Artikel zeigt, warum das fachlich sauber funktioniert, wie viel Einsparung realistisch ist, welche Voraussetzungen Ihr Managementsystem erfüllen muss und wo die Grenzen des Modells liegen.

Was ist ein kombiniertes Audit?

Bei einem kombinierten Audit prüft ein Auditteam in einem zusammenhängenden Termin die Konformität mit mehreren Managementsystemnormen – zum Beispiel ISO 9001, ISO 14001 und ISO 45001. Die gemeinsamen Anforderungen der Normen werden dabei nur einmal auditiert, die normspezifischen Themen jeweils gesondert. Am Ende erhalten Sie weiterhin ein eigenes Zertifikat pro Norm, üblicherweise mit synchronisierter Laufzeit.

Zur Abgrenzung: Ein integriertes Audit bezeichnet den höchsten Verzahnungsgrad, bei dem ein integriertes Managementsystem als Ganzes geprüft wird. Ein Joint Audit meint dagegen, dass zwei Zertifizierungsstellen gemeinsam auditieren – das ist ein anderer Fall. In der Praxis werden die Begriffe oft gemischt; entscheidend ist das Prinzip: Was in allen Normen gleich ist, wird nur einmal geprüft.

Kombinierte Audits sind in jeder Phase des Zertifizierungszyklus möglich – bei der Erstzertifizierung mit Stufe-1- und Stufe-2-Audit, bei den jährlichen Überwachungsaudits und bei der Rezertifizierung.

Warum das funktioniert: die Harmonized Structure (Annex SL)

Seit 2012 folgen die großen Managementsystemnormen einer gemeinsamen Grundstruktur, ursprünglich als Annex SL eingeführt, heute Harmonized Structure genannt. Alle betroffenen Normen – darunter ISO 9001, 14001, 45001, 27001 und 50001 – haben denselben Aufbau mit zehn Kapiteln und in weiten Teilen identische Kernanforderungen:

• Kapitel 4 – Kontext der Organisation: interessierte Parteien, Themen, Anwendungsbereich
• Kapitel 5 – Führung: Verpflichtung der Leitung, Politik, Rollen und Verantwortlichkeiten
• Kapitel 6 – Planung: Risiken und Chancen, Ziele und Maßnahmenplanung
• Kapitel 7 – Unterstützung: Ressourcen, Kompetenz, Bewusstsein, dokumentierte Information
• Kapitel 9 – Bewertung der Leistung: Überwachung, internes Audit, Managementbewertung
• Kapitel 10 – Verbesserung: Nichtkonformitäten, Korrekturmaßnahmen, fortlaufende Verbesserung

Normspezifisch bleibt vor allem Kapitel 8 (Betrieb) plus die jeweiligen Fachthemen: Umweltaspekte und bindende Verpflichtungen in der ISO 14001, Gefährdungsbeurteilung und Beteiligung der Beschäftigten in der ISO 45001, die Controls des Anhangs A samt Statement of Applicability in der ISO 27001, die energetische Bewertung in der ISO 50001. Ein Auditor, der den Unternehmenskontext einmal verstanden hat, muss ihn nicht dreimal erfragen – genau hier setzt das kombinierte Audit an.

Die Einsparlogik: Woher die bis zu 30 Prozent kommen

Die Auditzeit einer Zertifizierung wird aus Mitarbeiterzahl, Komplexität und Normumfang berechnet. Werden mehrere Normen getrennt auditiert, bezahlen Sie die gemeinsamen Kapitel mehrfach – denn jedes Einzelaudit prüft Kontext, Führung, internes Audit und Managementbewertung erneut. Im kombinierten Audit fällt diese Doppelarbeit weg. Für akkreditierte Stellen regelt das IAF-Dokument MD 11 ausdrücklich, dass die Gesamtauditzeit bei integrierten Managementsystemen reduziert werden darf – abhängig vom Integrationsgrad.

Realistisch sind je nach Ausgangslage etwa 10 bis 30 Prozent weniger Auditzeit gegenüber der Summe der Einzelaudits. Die 30 Prozent erreichen Unternehmen mit hoch integrierten Systemen: eine Dokumentationsstruktur, ein internes Auditprogramm, eine Managementbewertung für alle Normen. Wer dagegen drei getrennt gepflegte Insellösungen in denselben Termin packt, spart kaum Auditzeit – nur Reisekosten.

Dazu kommen die indirekten Effekte, die oft unterschätzt werden: eine Anreise statt drei, eine Eröffnungs- und eine Abschlussbesprechung, ein Berichtspaket, ein einziger Block, in dem Geschäftsführung und Schlüsselpersonen verfügbar sein müssen – und entsprechend weniger Unterbrechung des Tagesgeschäfts über das Jahr.

Rechenbeispiel: getrennte Audits vs. Kombi-Audit

So sieht der Unterschied für einen Betrieb mit rund 20 Mitarbeitenden und den Normen ISO 9001, 14001 und 45001 typischerweise aus:

Die genauen Zahlen hängen von Stelle, Tagessätzen und Integrationsgrad ab – die Struktur des Vorteils ist aber immer dieselbe: Gemeinsames wird einmal statt mehrfach geprüft und bezahlt.

Voraussetzung: ein integriertes Managementsystem

Das kombinierte Audit belohnt Integration. Je stärker Ihre Managementsysteme zusammengeführt sind, desto größer die Zeitersparnis. In der Praxis heißt Integration:

• Ein Prozessmodell: Eine Prozesslandkarte, in der Qualitäts-, Umwelt- und Arbeitsschutzanforderungen in denselben Prozessen verankert sind – statt drei paralleler Systemwelten.
• Eine Dokumentationsstruktur: Gemeinsame Vorgabedokumente mit normspezifischen Ergänzungen, statt drei Handbücher mit dreifach gepflegten Kopien derselben Inhalte.
• Eine Politik, abgestimmte Ziele: Eine übergreifende Unternehmenspolitik, aus der die normbezogenen Ziele abgeleitet werden.
• Ein internes Auditprogramm: Interne Audits, die pro Prozess alle relevanten Normanforderungen abdecken.
• Eine Managementbewertung: Ein Termin, eine Vorlage, alle Normen – statt drei getrennter Bewertungsrunden.

Wer heute getrennte Systeme betreibt, sollte zuerst integrieren und dann kombinieren. Der Integrationsaufwand zahlt sich doppelt aus: intern durch weniger Doppelpflege, extern durch kürzere Audits. Formal erzwingt keine Norm ein integriertes System – aber ohne Integration bleibt vom Einsparpotenzial wenig übrig.

Welche Normkombinationen sich bewährt haben

Kombinierbar sind grundsätzlich alle Normen mit Harmonized Structure. In der Praxis haben sich vor allem diese Pakete etabliert:

• ISO 9001 + ISO 14001: Der Klassiker, besonders in produzierenden Betrieben. Große Überschneidung bei Prozessen, bindenden Verpflichtungen und Lieferantensteuerung.
• ISO 9001 + 14001 + 45001: Das HSE-Trio für Industrie, Bau und Handwerk. Umwelt- und Arbeitsschutzthemen greifen ineinander – von der Gefahrstofflagerung bis zur Notfallvorsorge.
• ISO 9001 + ISO 27001: Typisch für IT-Dienstleister und Softwarehäuser. Hier bleibt der 27001-Anteil allerdings substanziell: Anhang-A-Controls, Statement of Applicability und Risikobehandlung erfordern eigene Auditzeit und Auditoren mit ISMS-Fachkompetenz.
• ISO 14001 + ISO 50001: Umwelt- und Energiemanagement teilen sich Datenerfassung, Rechtskataster und viele Maßnahmen – eine der effizientesten Kombinationen überhaupt.

Auch drei oder vier Normen in einem Termin sind machbar und üblich. Ab einer gewissen Paketgröße wird die Auditplanung allerdings anspruchsvoller: Die Audittage werden länger oder das Team größer, und alle Fachbereiche müssen im selben Zeitfenster verfügbar sein.

So läuft ein Kombi-Audit in der Praxis ab

1. Auditplanung: Die Zertifizierungsstelle erstellt einen Auditplan, der gemeinsame Blöcke (Kontext, Führung, internes Audit, Managementbewertung) und normspezifische Blöcke (Umweltaspekte, Gefährdungsbeurteilung, ISMS-Themen) getrennt ausweist. Daraus sehen Sie genau, wann welche Ansprechpersonen gebraucht werden.
2. Stufe-1-Audit: Prüfung der Dokumentation für alle beantragten Normen in einem Durchgang – häufig remote.
3. Stufe-2-Audit: Prüfung der gelebten Praxis vor Ort. Die gemeinsamen Kapitel werden einmal auditiert, die Fachteile nacheinander oder – bei mehreren Auditoren – parallel.
4. Abweichungsbehandlung: Feststellungen werden der jeweiligen Norm zugeordnet. Korrekturmaßnahmen laufen wie beim Einzelaudit.
5. Zertifikatserteilung: Je Norm ein Zertifikat, in der Regel mit gleichem Ausstellungs- und Ablaufdatum. Damit bleiben auch künftige Überwachungs- und Rezertifizierungsaudits gebündelt.
6. Überwachungszyklus: Die jährlichen Überwachungsaudits finden ebenfalls kombiniert statt – der Effizienzgewinn wiederholt sich also jedes Jahr.

Grenzen und Stolpersteine

Das kombinierte Audit ist kein Selbstläufer. Diese Punkte sollten Sie vorher klären:

• Laufzeiten synchronisieren: Bestehende Zertifikate enden selten am selben Tag. Für den ersten gemeinsamen Zyklus wird meist die Laufzeit eines Zertifikats verkürzt oder der Wechsel auf einen Rezertifizierungstermin gelegt. Das kostet einmalig etwas Laufzeit – danach läuft alles im Takt.
• Auditorenqualifikation: Das Auditteam muss für alle Normen qualifiziert sein. Gerade die Kombination mit ISO 27001 erfordert nachgewiesene ISMS-Kompetenz – nicht jede Stelle deckt alle Normen mit eigenem Personal ab. Fragen Sie das vor der Beauftragung ab.
• Intensive Audittage: Ein kombinierter Termin verdichtet die Belastung. Geschäftsführung und Prozessverantwortliche springen zwischen Qualitäts-, Umwelt- und Sicherheitsthemen – das verlangt gute Vorbereitung und einen realistischen Auditplan.
• Abweichungen wirken je Norm: Eine Hauptabweichung im Umweltteil gefährdet nicht Ihr ISO-9001-Zertifikat. Sie kann aber den gemeinsamen Zeitplan verschieben, wenn Nachprüfungen nötig werden.
• Anbieterwahl: Der Vorteil entsteht nur, wenn eine Stelle alle gewünschten Normen anbietet. Verteilen Sie Normen auf mehrere Stellen, verschenken Sie das Einsparpotenzial – ein Argument, die Zertifizierung gebündelt zu vergeben oder zu einem Anbieter zu wechseln, der alles abdeckt.

Häufige Fragen

Begriffe in diesem Artikel

Verwandte Beiträge