ISO-Zertifizierung: Bedeutung, Ablauf, Kosten und die wichtigsten Normen
Kurz erklärt: Bei einer ISO-Zertifizierung prüft eine unabhängige Zertifizierungsstelle in einem Audit, ob das Managementsystem eines Unternehmens die Anforderungen einer ISO-Norm erfüllt, zum Beispiel ISO 9001 für Qualität oder ISO 14001 für Umwelt. Ist das der Fall, stellt sie ein Zertifikat aus. Es gilt üblicherweise drei Jahre, sofern es mit jährlichen Überwachungsaudits aufrechterhalten wird.
Was ist eine ISO-Zertifizierung?
Hier geht es um die Zertifizierung von Managementsystemen. Bei einer Zertifizierung bestätigt eine unabhängige Stelle schriftlich, dass ein Unternehmen die Anforderungen einer Norm erfüllt. Das geschieht in einem Audit vor Ort oder teilweise aus der Ferne. Zertifiziert wird bei den bekannten ISO-Normen nicht ein Produkt, sondern das Managementsystem: die Regeln, Abläufe und Nachweise, mit denen ein Unternehmen zum Beispiel Qualität oder Umweltschutz steuert.
Wichtig zu wissen: Die ISO selbst stellt keine Zertifikate aus. Das machen Zertifizierungsstellen wie TÜV, DEKRA, DQS oder DNV. Ob eine Zertifizierungsstelle dafür kompetent ist, prüft in Deutschland die Deutsche Akkreditierungsstelle (DAkkS). Man spricht dann von einer akkreditierten Zertifizierung. Viele Kunden erkennen nur solche Zertifikate an.
Was ist eine ISO-Norm?
Eine ISO-Norm ist eine international abgestimmte Regel, die festlegt, wie etwas gemacht oder gestaltet sein soll. Herausgeber ist die International Organization for Standardization (ISO) mit Sitz in Genf, gegründet 1947. Sie hat inzwischen über 25.000 Normen veröffentlicht, von Schraubengewinden bis zu Managementsystemen.
Am Namen erkennt man, wo eine Norm gilt:
| Bezeichnung | Bedeutung |
|---|---|
| ISO 9001 | internationale Norm der ISO |
| EN ISO 9001 | von den europäischen Normungsorganisationen übernommen, gilt als europäische Norm |
| DIN EN ISO 9001 | vom DIN als deutsche Norm übernommen, inhaltlich gleich mit der ISO-Fassung |
Die Jahreszahl hinter dem Doppelpunkt nennt die Ausgabe, etwa ISO 9001:2015. Normen sind zunächst freiwillig. Verbindlich werden sie, wenn ein Gesetz, eine Behörde oder ein Kunde sie verlangt.
Welche ISO-Normen sind zertifizierbar?
Zertifizierbar sind Normen, die Anforderungen enthalten („shall“, auf Deutsch „muss“). Leitfäden mit reinen Empfehlungen lassen sich nicht zertifizieren.
| Norm | Thema | Zertifizierbar |
|---|---|---|
| ISO 9001 | Qualitätsmanagement | ja |
| ISO 14001 | Umweltmanagement | ja |
| ISO 45001 | Arbeits- und Gesundheitsschutz (ersetzt OHSAS 18001) | ja |
| ISO 50001 | Energiemanagement | ja |
| ISO/IEC 27001 | Informationssicherheit | ja |
| ISO 13485 | Qualitätsmanagement für Medizinprodukte | ja |
| ISO 22000 | Lebensmittelsicherheit | ja |
| ISO 19011 | Leitfaden für Audits | nein |
| ISO 31000 | Leitfaden Risikomanagement | nein |
| ISO 9004 | Leitfaden für nachhaltigen Erfolg | nein |
| ISO 26000 | Leitfaden gesellschaftliche Verantwortung | nein |
Daneben gibt es Regelwerke anderer Herausgeber, die ebenfalls zertifiziert werden. Das bekannteste ist IATF 16949 für die Automobilindustrie. Es baut auf ISO 9001 auf, stammt aber von der International Automotive Task Force und hat ein eigenes Anerkennungssystem für Zertifizierer.
Viele Unternehmen kombinieren mehrere Normen in einem integrierten Managementsystem, zum Beispiel ISO 9001, 14001 und 45001. Weil diese Normen gleich aufgebaut sind, lassen sie sich oft in einem gemeinsamen Audit prüfen.
Ist eine ISO-Zertifizierung Pflicht?
In den meisten Fällen nicht. Gesetzlich verlangt wird ein Zertifikat nur in einzelnen Bereichen, und auch dort meist für eine bestimmte Gruppe. Viel häufiger fordern es Kunden: Automobilhersteller, Konzerne und öffentliche Auftraggeber setzen ein Zertifikat oft voraus, bevor sie bestellen oder ein Angebot werten.
Brauche ich einen Berater? Nicht zwingend. Ein Berater spart Zeit, wenn intern niemand die Norm kennt. Das System muss aber trotzdem im eigenen Betrieb entstehen und gelebt werden. Wichtig: Die Zertifizierungsstelle darf Sie nicht gleichzeitig beraten, das verbietet ihre Unabhängigkeit.
Ablauf einer ISO-Zertifizierung in 6 Schritten
- Entscheiden und Ist-Stand prüfen. Welche Norm, welcher Geltungsbereich (Standorte, Produkte, Prozesse)? Eine Gap-Analyse zeigt, was schon da ist und was fehlt.
- Managementsystem aufbauen. Prozesse beschreiben, Verantwortungen festlegen, Risiken bewerten. Beschreiben Sie, was Sie wirklich tun, und schreiben Sie es mit den Leuten, die es tun. Dann das System einige Zeit anwenden und Nachweise sammeln.
- Internes Audit und Managementbewertung. Beides muss vor der Zertifizierung mindestens einmal gelaufen sein. Abweichungen werden behoben.
- Zertifizierungsstelle auswählen. Angebote vergleichen und auf Akkreditierung für die Norm und Ihre Branche achten.
- Audit Stufe 1. Der Auditor prüft Dokumentation und Bereitschaft. Er sagt, ob Stufe 2 stattfinden kann und was noch fehlt.
- Audit Stufe 2. Vor Ort wird geprüft, ob das System gelebt wird. Werden Abweichungen festgestellt, müssen sie innerhalb einer Frist behoben werden. Erst danach entscheidet die Zertifizierungsstelle über das Zertifikat, das Audit allein erteilt es noch nicht.
Danach beginnt der Zertifizierungszyklus:
| Zeitpunkt | Audit | Zweck |
|---|---|---|
| Jahr 1 | Erstzertifizierung (Stufe 1 und 2) | Zertifikat wird erteilt |
| Jahr 2 | Überwachungsaudit | Stichprobe, ob das System weiter funktioniert |
| Jahr 3 | Überwachungsaudit | wie im Vorjahr |
| vor Ablauf von Jahr 3 | Rezertifizierung | vollständige Prüfung, neues Zertifikat für drei Jahre |
Was in Stufe 1 und 2 bei einem Qualitätsmanagementsystem genau geprüft wird, steht im Artikel zu Qualitätsmanagementsystemen, den Ablauf eines Audits beschreibt der Artikel externes Audit.
Wie lange dauert eine ISO-Zertifizierung?
Das hängt vor allem von der Ausgangslage ab. Hat ein Unternehmen schon klare Abläufe und Nachweise, reichen oft einige Monate bis zum Audit. Fängt es bei null an, ist eher ein Jahr realistisch. In einem Erfahrungsbericht im Elsmar Cove Forum beschreibt ein Qualitätsleiter, wie sein Betrieb mit 38 Beschäftigten ISO 9001 ohne Berater in etwa einem Jahr umgesetzt hat (Beitrag von 2007, damals ISO 9001:2000).
Wie viele Tage das Audit selbst dauert, regelt für ISO 9001, ISO 14001 und ISO 45001 bei akkreditierten Zertifizierungen das Dokument IAF MD 5. Maßgeblich sind vor allem die Zahl der Beschäftigten, die Standorte und die Komplexität der Prozesse. Ein Überwachungsaudit dauert ungefähr ein Drittel der Erstzertifizierung (Stufe 1 und 2), eine Rezertifizierung ungefähr zwei Drittel der Zeit, die ein Erstaudit zu diesem Zeitpunkt bräuchte.
Was kostet eine ISO-Zertifizierung?
Eine seriöse Pauschale gibt es nicht. Die Kosten setzen sich aus mehreren Teilen zusammen:
| Kostenblock | Wovon er abhängt |
|---|---|
| Auditkosten | Zahl der Auditortage (nach Betriebsgröße und Komplexität) mal Tagessatz der Zertifizierungsstelle |
| Reisekosten | Anfahrt und Übernachtung der Auditoren, Zahl der Standorte |
| Zertifikat und Verwaltung | Gebühren der Zertifizierungsstelle, teils pro Jahr |
| Interne Zeit | Aufbau des Systems, interne Audits, Schulungen, Begleitung der Audits |
| Beratung (optional) | ob und wie lange ein externer Berater unterstützt |
Die interne Zeit ist meist der größte Posten und wird am häufigsten unterschätzt. Holen Sie Angebote von mindestens zwei bis drei Zertifizierungsstellen ein und achten Sie darauf, dass die Auditortage für alle drei Jahre angegeben sind, also auch für Überwachung und Rezertifizierung.
Seriöse Zertifizierer erkennen und Zertifikate prüfen
- Akkreditierung: Fragen Sie, ob die Stelle für genau diese Norm und Ihren Branchenbereich von einer anerkannten Akkreditierungsstelle akkreditiert ist, in Deutschland ist das die DAkkS. Nicht akkreditierte Zertifikate werden von vielen Kunden nicht anerkannt.
- Zertifikate von Lieferanten prüfen Sie am sichersten direkt bei der ausstellenden Stelle. Viele Zertifikate sind außerdem in der internationalen Datenbank IAF CertSearch hinterlegt.
- Geltungsbereich lesen. Auf dem Zertifikat steht, für welche Standorte und Tätigkeiten es gilt. Ein Zertifikat für den Vertrieb sagt nichts über die Fertigung.
- Vorsicht bei Angeboten nach dem Muster „Zertifikat in zwei Wochen ohne Audit vor Ort“. Das ist kein seriöses Verfahren.
Typische Fehler auf dem Weg zum Zertifikat
- Dokumente auf den letzten Drücker. Wer kurz vor dem Audit Hunderte Verfahrensanweisungen schreibt, hat ein System auf Papier, aber nicht im Betrieb.
- Das Zertifikat wird zum Selbstzweck. Dann entsteht viel Aufwand, aber kaum Nutzen für Qualität oder Abläufe.
- Schulung vergessen: Die Mitarbeitenden müssen wissen, was im System steht und warum.
- Das interne Audit läuft nur pro forma. Gerade hier finden Sie die Schwachstellen, bevor der Zertifizierer sie findet.
- Geltungsbereich falsch gewählt: zu eng, und der Kunde erkennt das Zertifikat nicht an; zu weit, und der Aufwand steigt unnötig.
Nachweise digital führen
Für jede Zertifizierung brauchen Sie Nachweise: interne Audits, Begehungen, Prüfungen und Schulungen. Mit firstaudit (powered by flowdit) laufen diese Aufgaben als digitale Checkliste auf Smartphone, Tablet oder PC. Fotos und Unterschriften kommen direkt dazu, und aus den Ergebnissen erstellen Sie Berichte, die Sie im Audit vorlegen können. firstaudit ist dabei kein vollständiges QM-System, sondern das Werkzeug für Prüfungen und Audits.
Für einen Nutzer ist firstaudit dauerhaft kostenlos: kostenlos starten oder Termin vereinbaren.