Das Überwachungsaudit ist die jährliche Prüfung eines zertifizierten Managementsystems innerhalb des dreijährigen Zertifikatszyklus. Es ist deutlich kürzer als das Zertifizierungsaudit und prüft Pflichtthemen wie interne Audits, Managementbewertung und Korrekturmaßnahmen plus wechselnde Stichproben. Das erste Überwachungsaudit muss spätestens zwölf Monate nach der Zertifizierungsentscheidung stattfinden — sonst droht die Aussetzung des Zertifikats.
Das Zertifikat hängt an der Wand, das Zertifizierungsaudit ist bestanden — und ein Jahr später steht der Auditor wieder vor der Tür. Das Überwachungsaudit ist der Teil des Zertifizierungszyklus, den viele Unternehmen unterschätzen: Es ist kürzer und günstiger als das Erstaudit, aber es entscheidet jedes Jahr neu darüber, ob Ihr Zertifikat gültig bleibt.
Dieser Artikel erklärt, wann Überwachungsaudits stattfinden müssen, wie die Stichprobenlogik über den Drei-Jahres-Zyklus funktioniert, welche Feststellungen typisch sind und wie Sie sich in fünf Schritten vorbereiten. Die Angaben gelten für ISO 9001, 14001, 45001, 27001 und 50001 gleichermaßen — der Zyklus stammt aus der ISO/IEC 17021-1 und ist für alle Managementsystemnormen identisch.
Wo das Überwachungsaudit im Zertifikatszyklus steht
Ein ISO-Zertifikat gilt drei Jahre. In dieser Zeit läuft ein fester Rhythmus: Auf das Zertifizierungsaudit (Stufe 1 und Stufe 2) folgen zwei jährliche Überwachungsaudits, danach das Rezertifizierungsaudit, das den nächsten Drei-Jahres-Zyklus startet.
| Zeitpunkt | Audit | Umfang | Schwerpunkt |
|---|---|---|---|
| Jahr 0 | Zertifizierungsaudit (Stufe 1 + 2) | Vollständig | Komplettes Managementsystem |
| Jahr 1 | 1. Überwachungsaudit | Rund ein Drittel des Erstaudits | Pflichtthemen plus erste Stichprobe |
| Jahr 2 | 2. Überwachungsaudit | Rund ein Drittel des Erstaudits | Pflichtthemen plus zweite Stichprobe |
| Jahr 3 | Rezertifizierungsaudit | Rund zwei Drittel des Erstaudits | Gesamtsystem und Entwicklung über den Zyklus |
Das Überwachungsaudit prüft also bewusst nicht das komplette System. Sein Auftrag ist enger: Es soll bestätigen, dass das Managementsystem weiterhin funktioniert, gepflegt wird und Änderungen im Unternehmen sich im System widerspiegeln. Nach den Bemessungsregeln des akkreditierten Bereichs (IAF MD 5) beträgt der Aufwand rund ein Drittel der Zeit des Erstzertifizierungsaudits — bei einem kleinen oder mittleren Unternehmen also häufig ein halber bis ein ganzer Auditortag.
Fristen: das 12-Monats-Fenster und seine Folgen
Für das erste Überwachungsaudit gilt eine harte Frist: Es darf nicht später als zwölf Monate nach dem Datum der Zertifizierungsentscheidung stattfinden. Das zweite Überwachungsaudit folgt im Jahresabstand danach. Seriöse Zertifizierungsstellen terminieren deshalb rund zehn bis elf Monate nach der Entscheidung, damit Puffer für Verschiebungen bleibt — etwa bei Krankheit des Auditors oder Auftragsspitzen im Betrieb.
Wird die Frist gerissen, ruht das Zertifikat: Die Zertifizierungsstelle setzt es aus (Suspendierung). Während der Aussetzung dürfen Sie nicht mit dem Zertifikat werben und keinen gültigen Nachweis gegenüber Kunden führen — was bei laufenden Lieferantenbewertungen unangenehm auffällt. Üblich ist eine Nachfrist von bis zu sechs Monaten, um das versäumte Audit nachzuholen. Verstreicht auch sie, wird das Zertifikat entzogen, und der Weg zurück führt nur über ein neues, vollständiges Zertifizierungsverfahren. Das ist deutlich teurer als jedes pünktlich absolvierte Überwachungsaudit.
Diese Fristenlogik stammt aus dem akkreditierten System nach ISO/IEC 17021-1. Seriöse nicht akkreditierte Stellen arbeiten nach demselben Muster — fragen Sie im Zweifel nach, wie Ihre Zertifizierungsstelle Fristversäumnisse handhabt, bevor Sie unterschreiben.
So läuft ein Überwachungsaudit ab
Der Ablauf ähnelt einem stark verkürzten Stufe-2-Audit:
- Auditplan vorab: Zwei bis vier Wochen vor dem Termin erhalten Sie den Plan mit Themen, Zeitfenstern und gewünschten Gesprächspartnern.
- Auftaktgespräch: Kurzer Einstieg mit der Geschäftsführung. Zentrale Frage: Was hat sich seit dem letzten Audit geändert — Personal, Prozesse, Standorte, IT, Rechtslage?
- Prüfung der Pflichtthemen: Interne Audits, Managementbewertung, Beschwerden, Korrekturmaßnahmen, Zielerreichung, Zeichennutzung (Details im nächsten Abschnitt).
- Stichproben in den rotierenden Bereichen: Interviews mit Mitarbeitenden und Nachweisprüfung in den Prozessen, die laut Auditprogramm diesmal an der Reihe sind.
- Abschlussgespräch: Ergebnis, Feststellungen und gegebenenfalls Fristen für Korrekturmaßnahmen — Sie wissen am selben Tag, woran Sie sind.
Remote-Anteile sind beim Überwachungsaudit verbreitet und normkonform, gerade bei reinen Büro- und IT-Dienstleistern. Ein vollständiges Remote-Audit bleibt die Ausnahme und hängt von Risiko, Vorgeschichte und Nachweisbarkeit ab. Wichtig für die Einordnung: Am Ende steht keine neue Zertifikatsurkunde. Das bestehende Zertifikat läuft einfach weiter — solange das Audit fristgerecht stattfindet und keine Hauptabweichung offen bleibt.
Die Stichprobenlogik: was jedes Jahr geprüft wird und was rotiert
Ein Überwachungsaudit kann in einem halben Tag nicht das gesamte System prüfen — das soll es auch nicht. Die Zertifizierungsstelle führt ein Auditprogramm über den gesamten Zyklus: Bestimmte Themen sind in jedem Überwachungsaudit Pflicht, alle übrigen Normanforderungen und Prozesse werden so auf die beiden Überwachungsaudits verteilt, dass bis zur Rezertifizierung alles mindestens einmal geprüft wurde.
| Thema | Prüfrhythmus |
|---|---|
| Interne Audits und Managementbewertung | Jedes Überwachungsaudit |
| Umgang mit Beschwerden und Reklamationen | Jedes Überwachungsaudit |
| Wirksamkeit der Korrekturmaßnahmen aus dem Vorjahr | Jedes Überwachungsaudit |
| Änderungen an Organisation, Prozessen und Geltungsbereich | Jedes Überwachungsaudit |
| Verwendung von Zertifikat und Zertifizierungszeichen | Jedes Überwachungsaudit |
| Zielerreichung und Kennzahlen | Jedes Überwachungsaudit |
| Operative Kernprozesse (Produktion, Projektabwicklung, Leistungserbringung) | Rotierend, mindestens einmal pro Zyklus |
| Unterstützende Prozesse (Einkauf, Personal, Instandhaltung) | Rotierend, mindestens einmal pro Zyklus |
| Einzelne Controls aus Anhang A (nur ISO 27001) | Rotierend über den Zyklus verteilt |
Praktisch heißt das: Das erste Überwachungsaudit nimmt zum Beispiel Vertrieb und Einkauf unter die Lupe, das zweite dann Produktion und Personal. Lesen Sie den Auditplan genau — er verrät, welche Bereiche diesmal in der Stichprobe sind, und macht die Vorbereitung planbar. Verlassen sollten Sie sich darauf allerdings nicht blind: Findet der Auditor einen Anlass, darf er jederzeit über den Plan hinaus prüfen.
Typische Feststellungen im Überwachungsaudit
Die häufigsten Feststellungen drehen sich seit Jahren um dieselben Schwachstellen — und fast alle entstehen, weil das Managementsystem nach der Zertifizierung in den Dornröschenschlaf fällt:
- Das interne Audit fehlt, ist unvollständig oder wurde erst eine Woche vor dem Termin im Schnelldurchlauf nachgeholt.
- Die Managementbewertung wurde nicht durchgeführt oder behandelt nicht alle Pflichtinhalte — Zielerreichung und Ressourcenbedarf fehlen besonders oft.
- Korrekturmaßnahmen aus dem Vorjahresaudit sind noch offen oder wurden abgehakt, ohne die Wirksamkeit zu bewerten.
- Ziele und Kennzahlen wurden seit zwölf Monaten weder aktualisiert noch ausgewertet.
- Änderungen sind nicht ins System eingeflossen: neue Mitarbeitende ohne Unterweisung, neue Maschinen ohne Gefährdungsbeurteilung, neue Cloud-Software ohne Risikobewertung.
- Schulungs- und Unterweisungsnachweise sind lückenhaft.
- Das Zertifizierungszeichen wird falsch verwendet — etwa auf Produkten oder Verpackungen, wo es Produktkonformität suggeriert, obwohl nur das Managementsystem zertifiziert ist.
Die Klassifizierung ist dieselbe wie im Zertifizierungsaudit: Nebenabweichungen erfordern einen Korrekturmaßnahmenplan, dessen Umsetzung spätestens im nächsten Audit geprüft wird. Hauptabweichungen verlangen eine nachgewiesene Korrektur innerhalb einer kurzen Frist, üblich sind rund 90 Tage — sonst droht die Aussetzung des Zertifikats.
Vorbereitung in 5 Schritten
Wer das System übers Jahr pflegt, braucht keine Hauruck-Aktion. Realistisch ist aber: In vielen KMU beginnt die Vorbereitung erst mit der Terminankündigung. Dann hilft diese Reihenfolge:
- Altlasten schließen (8 bis 12 Wochen vorher): Alle Feststellungen aus dem letzten Audit abarbeiten, Wirksamkeit bewerten und dokumentieren. Offene Vorjahresabweichungen sind die sicherste Quelle neuer Abweichungen.
- Internes Audit durchführen (6 bis 8 Wochen vorher): Mindestens die Bereiche auditieren, die laut Auditprogramm diesmal in der Stichprobe sind — besser das gesamte System im Jahresrhythmus. Feststellungen ehrlich dokumentieren: Ein internes Audit ohne einen einzigen Befund wirkt auf externe Auditoren unglaubwürdig.
- Managementbewertung abhalten (4 bis 6 Wochen vorher): Mit allen Pflichtinhalten — Zielerreichung, Auditergebnisse, Kundenrückmeldungen, Status der Maßnahmen, Ressourcenbedarf. Ein strukturiertes Protokoll von zwei bis drei Seiten genügt.
- Änderungen nachziehen (2 bis 4 Wochen vorher): Neue Mitarbeitende, Prozesse, Standorte, Maschinen und Software durchgehen: Sind Unterweisungen, Risikobewertungen und Dokumente aktuell? Wesentliche Änderungen — etwa ein neuer Standort oder ein geänderter Geltungsbereich — gehören vorab an die Zertifizierungsstelle gemeldet.
- Team und Nachweise bereitstellen (letzte Woche): Auditplan an alle Beteiligten verteilen, Vertretungen klären, Nachweise griffbereit ablegen. Keine Zeit in einstudierte Antworten investieren — Auditoren erkennen Auswendiggelerntes sofort, und ehrliche Antworten mit kleinen Schwächen wirken stärker als perfekte Fassaden.
Was kostet ein Überwachungsaudit?
Bei den meisten Zertifizierungsstellen wird das Überwachungsaudit jährlich separat berechnet. Üblich sind Tagessätze von etwa 1.200 bis 1.600 Euro netto pro Auditortag, dazu kommen häufig Reisekosten und Zertifikats- oder Verwaltungsgebühren. Für ein KMU mit einem halben bis ganzen Audittag liegt ein Überwachungsaudit damit typischerweise zwischen 1.000 und 2.500 Euro netto pro Jahr und Norm.
Daneben gibt es Pauschalmodelle: KCERT etwa arbeitet im nicht akkreditierten Bereich mit Jahrespauschalen von 1.950 Euro netto (bis 5 Mitarbeitende) beziehungsweise 2.950 Euro netto (5 bis 25 Mitarbeitende) pro Norm im Drei-Jahres-Vertrag — die Überwachungsaudits sind darin bereits enthalten. Unabhängig vom Anbieter gilt: Vergleichen Sie immer die Gesamtkosten über drei Jahre, nicht nur den Preis des Erstaudits. Manche Anbieter locken mit günstigen Einstiegspreisen und holen die Marge über Überwachung, Reisekosten und Gebühren zurück.
Der ehrliche Zusatz dazu: Wenn Ihre Kunden, öffentliche Ausschreibungen oder Konzern-Einkaufsrichtlinien ein DAkkS-akkreditiertes Zertifikat verlangen, führt an einer akkreditierten Stelle samt ihrer Preisstruktur kein Weg vorbei. Die Überwachungslogik — jährliches Audit, Fristen, Stichproben — ist in beiden Welten dieselbe.
Häufige Fragen
Einmal pro Jahr. Im dreijährigen Zertifikatszyklus gibt es zwei Überwachungsaudits: das erste spätestens zwölf Monate nach der Zertifizierungsentscheidung, das zweite ein Jahr danach. Im dritten Jahr folgt statt eines Überwachungsaudits das umfangreichere Rezertifizierungsaudit, das den nächsten Zyklus startet.
Als Faustregel rund ein Drittel der Dauer des Erstzertifizierungsaudits — so sehen es die Bemessungsregeln des akkreditierten Bereichs (IAF MD 5) vor. Für Unternehmen bis 25 Mitarbeitende bedeutet das je Norm meist einen halben bis einen ganzen Auditortag. Bei mehreren Normen im Kombi-Audit oder mehreren Standorten entsprechend mehr.
Das Zertifikat wird ausgesetzt: Sie dürfen nicht mehr damit werben und haben gegenüber Kunden keinen gültigen Nachweis. Üblich ist eine Nachfrist von bis zu sechs Monaten, um das Audit nachzuholen. Verstreicht auch diese, wird das Zertifikat entzogen — dann hilft nur ein komplett neues Zertifizierungsverfahren, das deutlich teurer ist als das versäumte Audit.
Ja, aber nicht über Nacht. Der übliche Weg: Eine Hauptabweichung wird festgestellt, Sie erhalten eine Frist von rund 90 Tagen für die nachgewiesene Korrektur. Erst wenn diese verstreicht, folgt die Aussetzung, danach der Entzug. Wer Feststellungen ernst nimmt und fristgerecht reagiert, verliert sein Zertifikat praktisch nie im Überwachungsaudit.
Ja. Alle Managementsystemnormen verlangen interne Audits in geplanten Abständen, und der externe Auditor prüft deren Ergebnisse in jedem Überwachungsaudit als Pflichtthema. In der Praxis heißt das: mindestens ein internes Audit pro Jahr, idealerweise sechs bis acht Wochen vor dem externen Termin — dann bleibt Zeit, gefundene Schwachstellen selbst zu beheben.
Teilweise ja. Remote-Anteile sind beim Überwachungsaudit verbreitet und normkonform, besonders bei Büro- und IT-Dienstleistern ohne Produktion. Ein vollständiges Remote-Audit bleibt die Ausnahme und liegt im Ermessen der Zertifizierungsstelle — sie muss begründen können, dass sich alle Themen auch aus der Ferne belastbar prüfen lassen. Produktionsbetriebe müssen mit Vor-Ort-Präsenz rechnen.
Je nach Anbieter. Viele Zertifizierungsstellen berechnen Überwachungsaudits jährlich separat — dann kommen zum Erstaudit über drei Jahre zwei weitere Rechnungen plus Nebenkosten. Andere arbeiten mit Jahrespauschalen über den Drei-Jahres-Vertrag, in denen die Überwachung enthalten ist. Entscheidend für den Vergleich sind immer die Gesamtkosten über den vollen Zyklus.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT