0. Eignungs- und Akkreditierungscheck
Noch vor dem Auftrag wird der geplante Verwendungszweck festgehalten. Wenn die Anforderung ausdrücklich eine akkreditierte Zertifizierung verlangt, muss das transparent geklärt werden. Ein privates Zertifikat wird nicht als Ersatz verkauft.
1. Scope und Auditkriterien
Norm, Ausgabe, Organisationseinheiten, Standorte, Produkte/Dienstleistungen, Schnittstellen, Outsourcing und relevante Grenzen werden beschrieben. Unklare Scopes führen zu unklaren Zertifikaten; deshalb wird die Formulierung vor Auditbeginn vereinbart.
2. Readiness / Dokumentenreview
Nicht die Menge der Dokumente zählt, sondern ob die Organisation ein prüfbares System besitzt. Bewertet werden unter anderem Prozesslogik, Verantwortlichkeiten, Risiken, Ziele, operative Steuerung, interne Bewertung und Verbesserungsmechanismen.
3. Auditplan
Der Auditplan ordnet Zeit, Themen und Gesprächspartner so, dass der Prüfer Prozessketten verfolgen kann. Ein guter Audit bewegt sich nicht nur Klausel für Klausel, sondern verfolgt reale Fälle vom Eingang bis zum Ergebnis.
4. Auditdurchführung
Evidenz entsteht aus einer Kombination von Interviews, Dokumenten, Datensätzen, Beobachtungen und Stichproben. Aussagen werden dort, wo es für die Schlussfolgerung relevant ist, mit tatsächlichen Nachweisen abgeglichen.
5. Feststellungen
Feststellungen werden verständlich formuliert: Kriterium, beobachtete Evidenz, Abweichung und Bedeutung. Schweregrade und Fristen folgen den vertraglich veröffentlichten Zertifizierungsbedingungen. Verbesserungshinweise dürfen nicht mit verbindlichen Abweichungen vermischt werden.
6. Korrektur und Ursachenanalyse
Ein fehlendes Dokument einfach nachzureichen reicht nicht immer. Wenn die Abweichung systemisch ist, braucht es Ursachenanalyse, Korrekturmaßnahme, Verantwortliche, Termin und Wirksamkeitsnachweis.
7. Entscheidung
Audit und Entscheidung werden soweit organisatorisch möglich getrennt. Interessenkonflikte werden erfasst. Die Entscheidung basiert auf vollständigem Auditpaket, nicht auf Verkaufsinteresse.
8. Zertifikat, Register und Status
Nach positiver Entscheidung erhält das Zertifikat Nummer, Normversion, Scope, Laufzeit und klare Nicht-Akkreditierungskennzeichnung. Der öffentliche Datensatz kann den Status gültig, ausgesetzt, zurückgezogen oder abgelaufen zeigen.
9. Überwachung und Änderungen
Relevante Änderungen wie Standort, Eigentum, wesentlicher Prozess, starke Personalveränderung, Sicherheitsvorfall oder Scope-Erweiterung können eine zusätzliche Prüfung auslösen. Zertifizierung ist kein einmaliger Stempel.