Zertifizierung, Audits und Akkreditierung – drei unterschiedliche Ebenen
Zertifizierung, Audit und Akkreditierung werden im Alltag häufig vermischt. Sie erfüllen jedoch unterschiedliche Aufgaben.
Audit
Eine systematische, unabhängige und dokumentierte Prüfung anhand festgelegter Kriterien. Audits können intern, durch Kunden oder durch unabhängige Zertifizierungsstellen durchgeführt werden.
Zertifizierung
Die formelle Bestätigung durch eine unabhängige Zertifizierungsstelle, dass ein Managementsystem die festgelegten Zertifizierungsanforderungen erfüllt.
Akkreditierung
Die formale Anerkennung der Kompetenz einer Konformitätsbewertungsstelle für bestimmte Tätigkeiten und Akkreditierungsumfänge.
ISO selbst entwickelt Standards, zertifiziert aber keine Unternehmen.
Herausgeber und fachliche Einordnung: DC-Consulting – Danube City Consulting (DCC). Fachlicher Hintergrund: Alexander Dürauer, BSc. Maßgeblich bleiben die jeweils genannten Originalquellen.
Wer prüft wen? – interne, Second-Party- und Third-Party-Audits
Die Auditart hängt davon ab, in welcher Rolle die prüfende Seite zum auditierten Unternehmen steht.
Internes Audit
Wird von der Organisation selbst oder in ihrem Auftrag durchgeführt. Es dient der eigenen Bewertung des Managementsystems.
Second-Party-Audit
Wird von einer interessierten Partei oder in deren Auftrag durchgeführt – typischerweise durch einen Kunden bei einem Lieferanten.
Third-Party- beziehungsweise Zertifizierungsaudit
Wird durch eine unabhängige Zertifizierungsstelle durchgeführt. Das Audit liefert die Grundlage für eine Zertifizierungsentscheidung, die organisatorisch vom Beratungsprojekt getrennt bleiben muss.
Diese drei Auditarten können ähnliche Methoden verwenden, haben aber unterschiedliche Auftraggeber, Ziele und Entscheidungsrollen.
Wie ein Managementsystem bis zur Zertifizierung geprüft wird
Bei einer Erstzertifizierung reicht es nicht, dass Dokumente vorhanden sind. Das Managementsystem muss eingeführt, angewendet und intern bewertet worden sein.
Typische Bausteine sind:
1. interne Anwendung und Nachweise im laufenden Betrieb
2. internes Audit gegen den vereinbarten Managementsystemumfang
3. Management Review beziehungsweise Managementbewertung
4. Stage 1 der unabhängigen Zertifizierungsstelle
5. Bearbeitung offener Punkte aus Stage 1
6. Stage 2 als vertiefte Bewertung der Umsetzung und Wirksamkeit
7. Zertifizierungsentscheidung durch die Zertifizierungsstelle
Die konkrete Planung und Auditdauer richtet sich nach dem Zertifizierungssystem, dem Geltungsbereich und der ausgewählten Zertifizierungsstelle.
Quellen und aktuelle Normstände
Audit- und Zertifizierungsregeln sind versions- und systemabhängig.
Stand 05.10.2026:
-
ISO 19011:2026 ist die aktuelle veröffentlichte Audit-Leitlinie.
-
ISO/IEC 17021-1:2015 ist weiterhin veröffentlicht und beschreibt grundlegende Anforderungen an Managementsystem-Zertifizierungsstellen.
-
Für Österreich ist Akkreditierung Austria die nationale Akkreditierungsstelle.
Auch der konkrete Akkreditierungsumfang einer Zertifizierungsstelle kann sich ändern. Bei einer geplanten Zertifizierung sollte deshalb nicht nur der Name der Zertifizierungsstelle, sondern der für die gewünschte Norm und den relevanten Bereich aktuelle Akkreditierungsumfang geprüft werden.
Quelle: ISO 19011:2026; ISO/IEC 17021-1:2015; Akkreditierung Austria; geprüft am 05.10.2026.
Verwandte Inhalte und DCC-Rolle im Zertifizierungsprojekt
Die Grundlagen zu ISO-Normen und integrierten Managementsystemen finden Sie im Wissensbereich „ISO-Normen und Managementsysteme“.
Wenn ein Kunde oder eine Ausschreibung ein Zertifikat verlangt, hilft die Ausgangssituation „Betrieb verbessern“.
DCC ISO Modular Starter ist die DCC-Leistung für Aufbau, Einführung, internes Audit, Management Review sowie Vorbereitung und Begleitung der Erstzertifizierung im vereinbarten Umfang. DCC bleibt dabei Beratungs- und Umsetzungsbegleitung und trifft keine Zertifizierungsentscheidung.
Akkreditierung
Akkreditierung und Zertifizierung liegen auf unterschiedlichen Ebenen.
Bei einer Managementsystemzertifizierung bestätigt eine Zertifizierungsstelle, dass das Managementsystem einer Organisation die Anforderungen eines bestimmten Standards erfüllt.
Akkreditierung bewertet dagegen die Kompetenz der Konformitätsbewertungsstelle selbst. Eine nationale Akkreditierungsstelle prüft unter anderem, ob eine Zertifizierungs-, Prüf- oder Inspektionsstelle die für ihren Bereich geltenden Anforderungen erfüllt.
In Österreich ist Akkreditierung Austria die nationale Akkreditierungsstelle.
ISO erklärt ausdrücklich, dass Akkreditierung eine unabhängige Bestätigung der Kompetenz einer Zertifizierungsstelle liefert. Gleichzeitig ist eine Akkreditierung nicht in jedem Kontext automatisch gesetzlich vorgeschrieben. Ob sie verlangt wird, kann sich aus Markt, Vertrag, Programm oder Rechtsrahmen ergeben.
Für Unternehmen, die eine Managementsystemzertifizierung planen, ist deshalb eine praktische Frage wichtig: Ist die gewählte Zertifizierungsstelle für den benötigten Standard und Leistungsumfang aktuell akkreditiert?
Gerade bei neuen Normausgaben können Akkreditierungsumfänge in Umstellung sein. In Österreich läuft 2026 die Umstellung auf EN ISO 9001:2026 und EN ISO 14001:2026.
Quelle/Stand: ISO und Akkreditierung Austria, geprüft 29.09.2026.
Audit- und Zertifizierungsprozess
Ein Audit ist eine systematische, unabhängige und dokumentierte Prüfung anhand festgelegter Kriterien.
Für Managementsystemaudits ist ISO 19011:2026 die aktuelle internationale Leitlinie. Sie beschreibt Grundsätze für Auditprogramme und Audits von Managementsystemen.
Je nach Zweck werden verschiedene Auditarten unterschieden:
-
interne Audits durch oder für die eigene Organisation,
-
Second-Party-Audits durch Kunden oder andere interessierte Parteien,
-
Third-Party-Audits durch unabhängige Zertifizierungsstellen.
Bei einer Managementsystemzertifizierung prüft die Zertifizierungsstelle das System gegen die festgelegten Zertifizierungskriterien. Die genaue Auditplanung und Zertifizierungsentscheidung liegt bei dieser unabhängigen Stelle.
In der Praxis bestehen Erstzertifizierungsprozesse häufig aus mehreren Auditphasen. Wie diese konkret ausgestaltet werden, hängt vom Zertifizierungssystem, dem Standard, Leistungsumfang und der Zertifizierungsstelle ab.
Beratung und Zertifizierung müssen organisatorisch getrennt bleiben: Ein Beratungsunternehmen kann beim Aufbau und bei der Vorbereitung unterstützen, aber nicht die unabhängige Zertifizierungsentscheidung treffen.
Quelle/Stand: ISO 19011:2026 und ISO Certification.
Rollen und Auditoren
Der Begriff „Auditor“ beschreibt eine Tätigkeit, nicht automatisch eine einheitliche Befugnis.
Interne Auditoren prüfen das eigene Managementsystem oder arbeiten im Auftrag der Organisation. Dabei sollte ausreichende Objektivität sichergestellt sein; die Person sollte nicht einfach ihre eigene Arbeit ohne geeignete Unabhängigkeit bewerten.
Second-Party-Auditoren prüfen typischerweise Lieferanten oder Partner im Auftrag eines Kunden beziehungsweise einer interessierten Partei.
Zertifizierungsauditoren arbeiten im Rahmen einer unabhängigen Zertifizierungsstelle. Für akkreditierte Managementsystemzertifizierung gelten zusätzlich Anforderungen an Kompetenz, Konsistenz und Unparteilichkeit der Zertifizierungsstelle.
Eine Beratungsrolle ist davon zu trennen. Wer ein Managementsystem gemeinsam mit einem Unternehmen entwickelt, trifft nicht automatisch die unabhängige Zertifizierungsentscheidung.
Bei der Auswahl oder Bewertung eines Auditors sollte daher immer gefragt werden:
-
Für welchen Audittyp wird die Person eingesetzt?
-
Welche fachliche und Auditkompetenz ist erforderlich?
-
Welche Unabhängigkeitsanforderungen gelten?
-
Wer trägt die Verantwortung für die endgültige Bewertung oder Zertifizierungsentscheidung?
Quelle/Stand: ISO 19011:2026 und ISO Certification.
Welche Arbeit bleibt nach der Erstzertifizierung?
Die Erstzertifizierung beendet die betriebliche Anwendung des Managementsystems nicht. ISO beschreibt Managementsysteme als wiederkehrenden Ablauf aus Bewertung, Korrektur und Verbesserung.
Quelle: ISO, Management system standards; https://www.iso.org/management-system-standards.html; abgerufen am 09.10.2026.
Für die interne Organisation empfiehlt DCC: Legen Sie fest, wer Änderungen bearbeitet, benötigte Nachweise pflegt und offene Maßnahmen verfolgt. Klären Sie außerdem, wie interne Audits, Managementbewertung und die vereinbarten externen Audittermine vorbereitet werden.
Welche Aufgaben Sie intern übernehmen und wofür Sie Unterstützung benötigen, hängt von Kompetenz, Zeit und Umfang ab. Im DCC ISO Modular Starter wird die interne Weiterführung bereits beim Aufbau vorbereitet. Eine spätere zusätzliche Betreuung wird nach Bedarf gesondert vereinbart.
Häufige Fragen zu Audit, Zertifizierung und Akkreditierung
Was ist eine Zertifizierungsstelle?
Eine Zertifizierungsstelle ist eine unabhängige Organisation, die Managementsysteme gegen festgelegte Normanforderungen auditiert und bei positiver Entscheidung ein Zertifikat ausstellt. Sie darf nicht mit der Organisation ISO selbst verwechselt werden und muss für akkreditierte Zertifizierungen nachweisen, dass sie kompetent, unparteiisch und organisatorisch geeignet arbeitet.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Zertifiziert ISO selbst Unternehmen?
Nein. ISO entwickelt und veröffentlicht Standards, führt aber keine Unternehmenszertifizierungen durch und stellt keine ISO-Zertifikate aus. Zertifizierungen erfolgen durch unabhängige Zertifizierungsstellen.
Quellen: ISO, „Certification“ – unabhängige Zertifizierungsstellen, keine Zertifizierung durch ISO; https://committee.iso.org/certification.html; abgerufen am 15.10.2026.
Was bedeutet Akkreditierung?
Akkreditierung ist die formelle Bestätigung, dass eine Konformitätsbewertungsstelle für bestimmte Tätigkeiten kompetent ist. Bei Managementsystemen wird damit nicht das Unternehmen selbst akkreditiert, sondern beispielsweise die Zertifizierungsstelle für definierte Normen und fachliche Bereiche.
Quellen: Bundesministerium für Wirtschaft, Energie und Tourismus, „Akkreditierungsverfahren“ – Akkreditierung Austria als nationale Akkreditierungsstelle, Akkreditierungsgesetz 2012; https://www.bmwet.gv.at/Services/Akkreditierung/Akkreditierungsverfahren.html; abgerufen am 15.10.2026.
Wer akkreditiert Zertifizierungsstellen in Österreich?
Die nationale Akkreditierungsstelle Österreichs ist Akkreditierung Austria im zuständigen Bundesministerium. Sie akkreditiert Konformitätsbewertungsstellen für konkret festgelegte Bereiche; daher muss bei einer Zertifizierungsstelle nicht nur ein Akkreditierungszeichen, sondern auch der passende Akkreditierungsumfang geprüft werden.
(Akkreditierung Austria, https://www.bmaw.gv.at/Services/Akkreditierung-Austria.html)
Quellen: Bundesministerium für Wirtschaft, Energie und Tourismus, „Akkreditierungsverfahren“ – Akkreditierung Austria als nationale Akkreditierungsstelle, Akkreditierungsgesetz 2012; https://www.bmwet.gv.at/Services/Akkreditierung/Akkreditierungsverfahren.html; abgerufen am 15.10.2026.
Kann ein Unternehmen seine Zertifizierungsstelle frei wählen?
Grundsätzlich ja, sofern die ausgewählte Stelle die gewünschte Norm und den benötigten fachlichen Geltungsbereich kompetent abdecken kann und keine kundenspezifischen Vorgaben etwas anderes verlangen. Bekannte Namen wie TÜV, DEKRA, Quality Austria oder Bureau Veritas sind mögliche Anbieter, aber nicht die einzigen zulässigen Zertifizierungsstellen.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Wie prüft man den Akkreditierungsumfang einer Zertifizierungsstelle?
Entscheidend ist nicht nur, ob eine Zertifizierungsstelle allgemein akkreditiert ist, sondern ob ihr aktueller Akkreditierungsumfang die gewünschte Norm und den relevanten Tätigkeitsbereich umfasst. Dieser Umfang sollte im Verzeichnis der zuständigen Akkreditierungsstelle oder durch geeignete Akkreditierungsnachweise geprüft werden.
Quellen: Bundesministerium für Wirtschaft, Energie und Tourismus, „Akkreditierungsverfahren“ – Akkreditierung Austria als nationale Akkreditierungsstelle, Akkreditierungsgesetz 2012; https://www.bmwet.gv.at/Services/Akkreditierung/Akkreditierungsverfahren.html; abgerufen am 15.10.2026.
Kann eine Zertifizierungsstelle gewechselt werden?
Ja. Ein Wechsel ist grundsätzlich möglich, muss aber geordnet erfolgen, damit Zertifikatsstatus, offene Abweichungen, Auditberichte und der laufende Zertifizierungszyklus nachvollziehbar übernommen werden. Vor dem Wechsel sollten Vertragsbedingungen, Fristen, Akkreditierungsumfang und die Anerkennung durch wichtige Kunden geprüft werden.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Was ist der Unterschied zwischen Zertifizierung, Akkreditierung und Beratung?
Bei der Beratung wird ein Unternehmen beim Aufbau oder bei der Verbesserung seines Systems unterstützt, bei der Zertifizierung bewertet eine unabhängige Stelle die Konformität des Systems, und bei der Akkreditierung wird die Kompetenz dieser Zertifizierungs- oder Prüfstelle bewertet. Die Rollen müssen getrennt bleiben, damit die Zertifizierungsentscheidung unparteiisch getroffen werden kann.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Wie findet man eine geeignete Zertifizierungsstelle und bereitet die Zusammenarbeit vor?
Bei der Auswahl einer Zertifizierungsstelle sollten die einschlägige Akkreditierung, der gewünschte Norm- und Tätigkeitsbereich, die betreuten Standorte und der vorgesehene Auditablauf geprüft werden. Die Zertifizierungsstelle entscheidet unabhängig über die Zertifizierung; ein externer Berater kann den Managementsystemaufbau vorbereiten, aber die Zertifizierungsentscheidung nicht vorwegnehmen.
Wenn daraus ein konkretes ISO-Einführungs- oder Erstzertifizierungsprojekt wird, bietet DCC ISO Modular Starter dafür eine strukturierte Begleitung.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Was ist der Unterschied zwischen einem internen und einem externen Audit?
Ein internes Audit wird im Auftrag der eigenen Organisation durchgeführt, um das Managementsystem unabhängig zu bewerten und Verbesserungen zu erkennen. Ein externes Audit wird von einer außerhalb des Unternehmens stehenden Partei durchgeführt, etwa durch eine Zertifizierungsstelle oder einen Kunden; Zweck, Kriterien und Folgen hängen vom jeweiligen Auditprogramm ab.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Was ist ein Erstzertifizierungsaudit?
Die Erstzertifizierung ist die erstmalige unabhängige Bewertung eines Managementsystems und besteht bei gängigen ISO-Managementsystemzertifizierungen aus Stufe 1 und Stufe 2. Erst wenn die Zertifizierungsstelle ausreichende Konformität und Wirksamkeit festgestellt und offene wesentliche Punkte behandelt hat, kann eine Zertifizierungsentscheidung getroffen werden.
Wenn eine Erstzertifizierung konkret geplant ist, können wir im kostenfreien Online-Erstgespräch prüfen, welche Managementsystem-Grundlagen bereits vorliegen und welcher Aufbauweg sinnvoll ist.
Bei einem geplanten Zertifizierungsprojekt können wir die vorhandenen Grundlagen in einem kostenfreien Online-Erstgespräch besprechen.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Was ist der Unterschied zwischen Stage 1 und Stage 2 – was wird geprüft und wie bereitet man sich auf beide Phasen vor?
Stage 1 dient vor allem dazu, Scope, Systemaufbau und Zertifizierungsreife zu verstehen und Stage 2 sinnvoll zu planen. Dabei werden unter anderem Prozesse, Standorte, dokumentierte Grundlagen sowie der Stand von internem Audit und Managementreview betrachtet. Stage 2 ist anschließend das eigentliche Zertifizierungsaudit der wirksamen Umsetzung.
Die Vorbereitung sollte deshalb nicht aus zwei getrennten Show-Projekten bestehen. Vor Stage 1 muss das System ausreichend aufgebaut und angewendet sein; Erkenntnisse daraus werden vor Stage 2 geschlossen oder nachgeschärft.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Was ist ein Überwachungsaudit?
Überwachungsaudits finden während des laufenden Zertifizierungszyklus statt und prüfen ausgewählte Teile sowie die fortgesetzte Wirksamkeit des Managementsystems. Nicht jeder Normpunkt muss bei jedem Überwachungsaudit gleich tief betrachtet werden; über den gesamten Zyklus muss jedoch eine ausreichende Bewertung gewährleistet sein.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Was ist ein Rezertifizierungsaudit?
Das Rezertifizierungsaudit bewertet vor Ablauf des Zertifizierungszyklus, ob das Managementsystem weiterhin konform, wirksam und für den Geltungsbereich geeignet ist. Es ist umfangreicher als ein gewöhnliches Überwachungsaudit und bildet die Grundlage für die Entscheidung über einen neuen Zertifizierungszyklus.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Wie viel von einem Unternehmen wird bei einem Zertifizierungsaudit geprüft?
Ein Zertifizierungsaudit beruht auf einer sachgerechten Stichprobenauswahl und untersucht nicht jeden einzelnen Auftrag oder jeden Nachweis. Die Auditzeit wird von der Zertifizierungsstelle anhand der verbindlichen Bestimmungsregeln festgelegt. Unter anderem sind Personalumfang, Risiken und Komplexität, Standorte, Tätigkeiten und der Geltungsbereich zu berücksichtigen. Daraus lässt sich ohne Prüfung des konkreten Unternehmens keine feste Auditdauer ableiten.
Quellen: IAF – IAF MD 5:2023, Issue 4 Version 3, „Determination of Audit Time of Quality, Environmental, and Occupational Health & Safety Management Systems“; https://iaf.nu/iaf_system/uploads/documents/IAF_MD5_Issue_4_Version_3_14062023.pdf; abgerufen am 15.10.2026.
Was ist der Unterschied zwischen einer schwerwiegenden und einer geringfügigen Abweichung?
Eine schwerwiegende Abweichung weist typischerweise auf ein grundlegendes Versagen, das Fehlen eines erforderlichen Systemelements oder ernsthafte Zweifel an der Fähigkeit des Systems hin; eine geringfügige Abweichung betrifft eine begrenztere Nichterfüllung ohne vergleichbare systemische Wirkung. Bezeichnungen und genaue Entscheidungsregeln können je nach Zertifizierungs- oder Auditprogramm variieren, weshalb „kritisch“ und „nicht kritisch“ nicht ungeprüft als einheitliche ISO-Begriffe verwendet werden sollten.
Wie werden Auditabweichungen sauber bearbeitet, nachverfolgt und geschlossen?
Eine belastbare Bearbeitung trennt drei Dinge: den festgestellten Fehler korrigieren, die Ursache analysieren und – wenn erforderlich – eine Korrekturmaßnahme umsetzen, die ein Wiederauftreten verhindert. Die Reaktion sollte zur Bedeutung und zum systemischen Charakter der Abweichung passen.
Geschlossen ist eine Abweichung erst, wenn nachvollziehbare objektive Nachweise zeigen, dass die vereinbarten Maßnahmen umgesetzt und wirksam sind.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Wenn interne Auditfeststellungen bereits im Systemaufbau bearbeitet werden sollen, kann DCC ISO Modular Starter die organisatorische Umsetzung begleiten.
Was ist ein Auditprogramm?
Ein Auditprogramm ist die geplante Gesamtheit mehrerer Audits für einen bestimmten Zeitraum und Zweck. Es legt unter anderem Ziele, Verantwortlichkeiten, Häufigkeiten, Methoden, Ressourcen und Prioritäten fest und berücksichtigt Risiken, Änderungen, frühere Ergebnisse und die Bedeutung der zu auditierenden Prozesse.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Was ist ein Auditplan?
Der Auditplan beschreibt die konkrete Durchführung eines einzelnen Audits, etwa Datum, Zeiten, Bereiche, Prozesse, Ansprechpersonen und Auditteam. Er schafft Orientierung, darf aber bei begründeten Feststellungen angepasst werden, wenn während des Audits zusätzliche Nachweise oder andere Schwerpunkte erforderlich werden.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Wie unterscheiden sich interne Audits, Lieferantenaudits und Zertifizierungsaudits?
Interne Audits bewerten das eigene Managementsystem und liefern Ansatzpunkte für Verbesserungen. Second-Party-Audits werden im Auftrag einer interessierten Organisation, etwa eines Kunden, bei einem Partner durchgeführt. Die Zertifizierung selbst erfolgt durch eine unabhängige Zertifizierungsstelle.
Wenn daraus ein konkretes ISO-Einführungs- oder Erstzertifizierungsprojekt wird, bietet [DCC ISO Modular Starter](/leistungen/iso-9001-14001-45001-beratung) dafür eine strukturierte Begleitung.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Wie plant man interne Audits risikobasiert, statt jedes Jahr alles gleich intensiv zu prüfen?
Ein internes Auditprogramm sollte Bedeutung, Veränderungen, frühere Ergebnisse und erkennbare Risiken der Prozesse berücksichtigen. Bereiche mit wiederkehrenden Problemen, großen Änderungen oder hoher Auswirkung können häufiger oder tiefer geprüft werden als stabile Routineprozesse.
ISO 9001 gibt keine starre jährliche Prüffrequenz für jeden einzelnen Prozess vor. ISO 19011:2026 bietet Leitlinien für Auditprogramme und risikobasierte Planung. Für ein KMU bedeutet das: Auditressourcen gezielt dort einsetzen, wo sie die größte Aussagekraft und den höchsten Verbesserungsnutzen bringen.
Quellen: ISO – ISO 19011:2026, „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Ein internes Auditprogramm lässt sich beim Managementsystemaufbau mit DCC ISO Modular Starter einbinden; die konkrete Auditplanung richtet sich nach dem Projektumfang.
Wie formuliere ich den Zertifizierungsumfang so, dass er weder zu breit noch zu eng ist?
Der Zertifizierungsumfang sollte klar beschreiben, welche Tätigkeiten, Produkte oder Dienstleistungen und welche Standorte tatsächlich vom Managementsystem erfasst und zertifiziert werden sollen. Formulierungen müssen zur realen Leistung passen und dürfen gegenüber Kunden nicht mehr suggerieren, als der Betrieb tatsächlich abdeckt.
Praktisch beginnt die Scope-Definition deshalb bei Geschäftsmodell, Standorten, Prozessen und Kundenanforderungen. Ausgelagerte Prozesse und relevante Schnittstellen werden mitgedacht.
Wenn daraus ein konkretes ISO-Einführungs- oder Erstzertifizierungsprojekt wird, bietet DCC ISO Modular Starter dafür eine strukturierte Begleitung.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Kann ein Unternehmen nur einen Standort, eine Produktlinie oder einen Teil seiner Leistungen zertifizieren lassen?
Grundsätzlich kann der Zertifizierungsumfang kleiner sein als das gesamte Unternehmen, wenn die gewählten Grenzen sachlich nachvollziehbar sind und keine irreführende Aussage über die Zertifizierung entsteht. Der zertifizierte Teil muss als funktionierendes Managementsystem abgegrenzt werden können.
Wichtig ist, dass Prozesse außerhalb des Zertifikats die Fähigkeit des zertifizierten Bereichs nicht unkontrolliert beeinträchtigen. Deshalb muss vorab geklärt werden, welche gemeinsamen Funktionen, Ressourcen oder ausgelagerten Tätigkeiten trotzdem in die Systembetrachtung gehören. Die konkrete Zulässigkeit wird anschließend mit der Zertifizierungsstelle abgestimmt.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Wie funktioniert eine ISO-Zertifizierung bei mehreren Standorten?
Bei mehreren Standorten ist zuerst entscheidend, ob tatsächlich ein gemeinsames Managementsystem mit zentraler Steuerung besteht. Danach prüft die Zertifizierungsstelle, ob und in welchem Umfang Standortstichproben zulässig sind. Unterschiedliche Tätigkeiten, Risiken oder lokale Anforderungen können dazu führen, dass mehr Standorte einzeln auditiert werden müssen.
IAF MD 1 regelt die Multi-Site-Zertifizierung für Managementsysteme. Multi-Site bedeutet nicht automatisch, dass nur ein Standort geprüft wird.
Quellen: IAF – IAF MD 1:2023, Issue 3, „Audit and Certification of a Management System Operated by a Multi-Site Organization“; https://iaf.nu/iaf_system/uploads/documents/IAF_MD1_Issue_3_18102023.pdf; abgerufen am 15.10.2026.
Wie viel interne Zeit muss ein Unternehmen während eines ISO-Projekts einplanen?
Mitarbeitende und Führungskräfte müssen ihre tatsächlichen Prozesse erklären, Entscheidungen treffen, vereinbarte Änderungen anwenden, Nachweise führen und an internen Audit- und Review-Schritten mitwirken.
Wie viel Zeit dafür benötigt wird, hängt stark von Größe, Komplexität, bestehender Struktur und Veränderungsbedarf ab. Ein gutes Projekt verteilt diese Arbeit über den Aufbauzeitraum, statt kurz vor der Zertifizierung alles nachzuholen.
Wenn daraus ein konkretes ISO-Einführungs- oder Erstzertifizierungsprojekt wird, bietet [DCC ISO Modular Starter](/leistungen/iso-9001-14001-45001-beratung) dafür eine strukturierte Begleitung.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Was passiert, wenn Stage 1 zeigt, dass das Managementsystem noch nicht bereit für Stage 2 ist?
Wenn Stage 1 relevante Lücken zeigt, sollten diese nicht kosmetisch überspielt werden. Die Zertifizierungsstelle informiert das Unternehmen über festgestellte Defizite, damit vor Stage 2 nachgebessert werden kann. Je nach Bedeutung kann auch der geplante Stage-2-Termin angepasst werden.
Ziel ist nicht, Stage 2 um jeden Preis am ursprünglichen Termin durchzuführen, sondern mit einem tatsächlich belastbaren Managementsystem anzutreten.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Wie viel gelebte Anwendung und welche Nachweise braucht ein Managementsystem vor Stage 2?
Es gibt keine pauschale Mindestzahl an Monaten oder Dokumenten. Entscheidend ist, dass das Managementsystem ausreichend umgesetzt wurde, um reale Auditnachweise zu erzeugen. Prozesse müssen angewendet werden, relevante Aufzeichnungen vorliegen und interne Audit- sowie Managementreview-Schritte müssen den Reifegrad für Stage 2 unterstützen.
Für die Projektplanung bedeutet das: Nicht die Menge der Dateien zählt, sondern ob das Unternehmen zeigen kann, dass Regeln tatsächlich funktionieren.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Für die Vorbereitung der erforderlichen Anwendung und Nachweise vor der Erstzertifizierung beschreibt DCC ISO Modular Starter den vorgesehenen Projektablauf.
Was zählt bei einem ISO-Audit als belastbarer Nachweis?
Auditnachweise können aus dokumentierten Informationen, Aufzeichnungen, Beobachtungen, Messungen, Systemdaten und Gesprächen entstehen. Ein Auditor bewertet nicht nur, ob eine Datei vorhanden ist, sondern ob objektive Hinweise zeigen, dass ein Prozess wie vorgesehen funktioniert und die Auditkriterien erfüllt werden.
Deshalb sollte ein Betrieb keine „Auditmappe“ künstlich erzeugen. Besser ist, die Nachweise dort zu führen, wo sie im Alltag entstehen: im ERP, in Prüfprotokollen, Maßnahmenlisten, Freigaben oder Prozessdaten. Gute Vorbereitung macht diese Nachweise auffindbar und verständlich, ohne sie für den Audittag neu zu erfinden.
Wenn daraus ein konkretes ISO-Einführungs- oder Erstzertifizierungsprojekt wird, bietet DCC ISO Modular Starter dafür eine strukturierte Begleitung.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Wie bereitet man Mitarbeitende auf Auditorengespräche vor, ohne Antworten einzustudieren?
Mitarbeitende müssen keine Normkapitel auswendig kennen. Sie sollten ihre eigene Tätigkeit, relevante Vorgaben, Zuständigkeiten und den Umgang mit Abweichungen erklären können. Sinnvoll ist deshalb eine praxisnahe Vorbereitung anhand realer Abläufe und typischer Fragen aus dem eigenen Arbeitsbereich.
Einstudierte Musterantworten sind eher ein Risiko, wenn sie nicht zur tatsächlichen Praxis passen. Ein funktionierendes System sollte sich im normalen Arbeitsalltag erklären lassen.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Was sollte die Geschäftsführung bei einem ISO-Audit tatsächlich zeigen können?
Top Management sollte zeigen können, warum das Managementsystem für das Unternehmen relevant ist, welche Ziele und Prioritäten verfolgt werden und wie Ressourcen, Verantwortlichkeiten und Verbesserungen gesteuert werden. Auditoren suchen dabei nicht nur nach einer unterschriebenen Politik, sondern nach nachvollziehbarer Führung und Einbindung.
Vor dem Audit ist deshalb wichtiger, Entscheidungen und Zusammenhänge zu verstehen als Normtexte auswendig zu lernen. Managementbewertung, Ziele und Ressourcenentscheidungen müssen sich anhand der tatsächlichen Unternehmensführung erklären lassen.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Wie bereiten sich Prozessverantwortliche sinnvoll auf ein Zertifizierungsaudit vor?
Prozessverantwortliche sollten den eigenen Ablauf von Eingang bis Ergebnis erklären können: Zweck, Verantwortungen, Schnittstellen, relevante Vorgaben, Risiken, Kennzahlen und typische Abweichungen. Wichtig ist außerdem zu wissen, welche Nachweise zeigen, dass der Prozess tatsächlich funktioniert.
Eine sinnvolle Vorbereitung arbeitet deshalb mit realen Fällen statt mit Normfragen. Gemeinsam wird geprüft, ob Prozessbeschreibung und Praxis übereinstimmen und ob offene Maßnahmen bekannt sind. Prozessverantwortliche müssen nicht jede Dokumentnummer kennen, aber sie sollten wissen, wo gültige Informationen liegen und wie Probleme im eigenen Prozess behandelt werden.
Wenn daraus ein konkretes ISO-Einführungs- oder Erstzertifizierungsprojekt wird, bietet DCC ISO Modular Starter dafür eine strukturierte Begleitung.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Was macht ein Qualitätsmanagementbeauftragter?
Ein Qualitätsmanagementbeauftragter koordiniert typischerweise Aufbau, Pflege und Weiterentwicklung des Qualitätsmanagementsystems, unterstützt Prozesseigner, organisiert Audits und berichtet über Systemleistung und Verbesserungsbedarf. Die konkrete Rolle hängt vom Unternehmen ab; die Verantwortung der obersten Leitung für die Wirksamkeit des Systems bleibt bestehen.
Muss jedes Unternehmen einen Qualitätsmanagementbeauftragten bestellen?
ISO 9001 verlangt keine bestimmte Stellenbezeichnung „QMB“. Die erforderlichen Verantwortlichkeiten und Befugnisse müssen jedoch eindeutig zugewiesen sein; ein Unternehmen kann sie einer einzelnen Person, mehreren Rollen oder der Führungsebene zuordnen, sofern die Aufgaben wirksam erfüllt werden.
Was macht ein IMS-Beauftragter?
Ein IMS-Beauftragter koordiniert ein integriertes Managementsystem, das mehrere Themen wie Qualität, Umwelt und Arbeitsschutz verbindet. Die Rolle achtet auf gemeinsame Strukturen und Schnittstellen, kann aber fachliche Spezialverantwortung etwa für Umweltrecht, Arbeitssicherheit oder technische Prüfungen nicht automatisch ersetzen.
Was macht ein interner Auditor?
Ein interner Auditor plant und führt unabhängige Bewertungen innerhalb der Organisation durch, sammelt objektive Nachweise, bewertet diese gegen festgelegte Kriterien und berichtet sachlich über Feststellungen. Ziel ist nicht die Suche nach Schuldigen, sondern die Prüfung, ob Anforderungen umgesetzt werden und das System wirksam funktioniert.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Welche Qualifikation und welche Nachweise braucht ein interner Auditor?
Ein interner Auditor sollte Schulung oder nachgewiesenes Wissen zu Auditmethodik, der angewendeten Norm und den relevanten betrieblichen Prozessen besitzen sowie praktische Auditerfahrung aufbauen. Eine Kursbestätigung allein genügt nicht, wenn die Person weder Auditfragen entwickeln, Nachweise bewerten noch sachlich belastbare Feststellungen formulieren kann.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Welche Rolle spielt ISO 19011 bei der Qualifikation und Arbeit interner Auditoren?
ISO 19011:2026 enthält Leitlinien für Auditprogramme, die Durchführung von Managementsystemaudits und die Bewertung der Auditorenkompetenz. Sie ist kein allgemeines gesetzliches Zulassungsverfahren für interne Auditoren. Unternehmen können die Leitlinien nutzen, um notwendige Fachkenntnisse, Fähigkeiten und praktische Auditerfahrung nachvollziehbar zu bestimmen.
Quellen: ISO – ISO 19011:2026, „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Welche Aufgaben eines Managementsystems sollte ein Unternehmen intern behalten – und was kann extern unterstützt werden?
Intern bleiben sollten vor allem Entscheidungen, Prozessverantwortung, tatsächliche Anwendung und das Wissen über den eigenen Betrieb. Externe Unterstützung kann sinnvoll sein, wenn Auditkompetenz, zusätzliche Kapazität oder ein neutraler Blick für Reviews und Verbesserungen benötigt werden.
Die Grenze hängt von internen Ressourcen und gewünschter Eigenständigkeit ab. Ein Managementsystem darf aber nicht nur beim Berater „existieren“.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Wenn intern Zuständigkeiten fehlen und ein Managementsystem erstmals aufgebaut werden soll, ist DCC ISO Modular Starter eine mögliche Umsetzungsunterstützung.
Welche Aufgaben und Kompetenzen benötigen interne Auditoren und Managementsystemverantwortliche?
Managementsystemverantwortliche koordinieren die wirksame Anwendung, die Erhebung von Verbesserungen und die notwendigen Berichte. Interne Auditoren benötigen die Kompetenz, Auditkriterien anzuwenden, Nachweise zu bewerten und Feststellungen nachvollziehbar zu dokumentieren. Die betrieblichen Entscheidungen und Prozessverantwortungen verbleiben im Unternehmen.
Wenn daraus ein konkretes ISO-Einführungs- oder Erstzertifizierungsprojekt wird, bietet DCC ISO Modular Starter dafür eine strukturierte Begleitung.
Quellen: ISO, ISO 19011:2026 „Guidelines for auditing management systems“, offizielle Normübersicht; https://www.iso.org/standard/19011; abgerufen am 15.10.2026.
Wie übernimmt man ein bestehendes ISO-System von einem anderen Berater, ohne wieder bei null anzufangen?
Ein bestehendes Managementsystem wird zuerst auf tatsächliche Nutzung, Normstand, offene Feststellungen, Dokumentenlogik und Verantwortlichkeiten geprüft. Gut funktionierende Prozesse und Nachweise bleiben bestehen; nur echte Lücken oder unnötige Parallelstrukturen werden verändert.
Wichtig ist, nicht die Handschrift des vorherigen Beraters zu „ersetzen“, sondern das System wieder stärker an den Betrieb zu binden. Der Startpunkt ist deshalb eine belastbare Bestandsaufnahme und kein automatischer Neuaufbau. Wenn gleichzeitig Zuständigkeiten, Abläufe und Nachweise neu geordnet werden müssen, zeigt die Geschichte „Betrieb verbessern“ einen passenden betrieblichen Ausgangspunkt.
Konkrete Verbesserungsfälle zeigen die Praxisbeispiele zur Betriebsverbesserung.
Wenn ein bestehendes ISO-System übernommen oder weiterentwickelt werden soll, kann der tatsächlich benötigte Umfang über eine individuelle Anfrage an DCC geklärt werden; ISO Modular Starter ist nicht automatisch ein Übernahmepaket.
Wie verschlankt man ein überladenes ISO-System vor einer Rezertifizierung?
Zuerst wird geprüft, welche Dokumente, Freigaben, Listen und Meetings tatsächlich Anforderungen erfüllen oder den Betrieb steuern. Doppelte Beschreibungen, ungenutzte Formulare und parallel gepflegte Ablagen können anschließend zusammengeführt oder entfernt werden, sofern notwendige Nachweise und Kontrollen erhalten bleiben.
ISO 10013 unterstützt eine dokumentierte Information, die zum tatsächlichen Bedarf der Organisation passt. Verschlankung bedeutet deshalb nicht „weniger Papier um jeden Preis“, sondern weniger unnötige Pflege bei gleicher oder besserer Steuerbarkeit. Vor der Rezertifizierung sollte anschließend geprüft werden, ob die vereinfachte Struktur im Alltag stabil funktioniert.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Wenn Sie ein bestehendes ISO-System für die Rezertifizierung vorbereiten möchten, kann eine individuelle Anfrage an DCC zur Leistungsabgrenzung sinnvoll sein; die Zertifizierungsentscheidung bleibt bei der unabhängigen Zertifizierungsstelle.
Was sollte vor einer Rezertifizierung geprüft werden, wenn sich Organisation, Prozesse oder Standorte stark verändert haben?
Größere Veränderungen können Scope, Verantwortlichkeiten, Prozesslandschaft, Risiken, Dokumentation und Auditplanung beeinflussen. Vor einer Rezertifizierung sollte deshalb geprüft werden, ob das Managementsystem diese Änderungen vollständig übernommen hat und ob interne Audits sowie Managementreview bereits auf der neuen Realität basieren.
Auch die Zertifizierungsstelle muss über relevante Änderungen informiert werden. Bei erheblichen Veränderungen kann eine zusätzliche oder teilweise Stage-1-ähnliche Bewertung sinnvoll werden.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Wie sieht ein sinnvoller jährlicher ISO-Zyklus nach der Erstzertifizierung aus?
Nach der Zertifizierung läuft das Managementsystem weiter: Ziele und Kennzahlen beobachten, Änderungen aufnehmen, Maßnahmen verfolgen, interne Audits durchführen, Managementreview vorbereiten und Erkenntnisse aus Kundenfeedback, Vorfällen oder Abweichungen einarbeiten. Zusätzlich kommen die externen Überwachungsaudits der Zertifizierungsstelle hinzu.
Der Zyklus muss nicht als separates ISO-Kalenderprogramm neben dem Unternehmen existieren. Gute Systeme verbinden diese Aufgaben mit den vorhandenen betrieblichen Planungs-, Entscheidungs- und Kontrollabläufen.
Quellen: ISO, ISO/IEC 17021-1:2015, „Conformity assessment — Requirements for bodies providing audit and certification of management systems“, offizielle Normübersicht (Stand 2026 weiterhin aktuell); https://www.iso.org/standard/61651.html; abgerufen am 15.10.2026.
Wenn der jährliche ISO-Zyklus noch nicht eingerichtet ist, zeigt DCC ISO Modular Starter den Aufbau von Audit-, Bewertungs- und Verbesserungsabläufen.