Das Stichprobenverfahren lohnt sich, wenn Sie viele gleichartige Standorte unter einheitlicher Steuerung betreiben — Filialen, Niederlassungen, Servicestützpunkte, Verkaufsstellen. Es lohnt sich nicht bei zwei oder drei Standorten und nicht bei Standorten, die fachlich unterschiedlich arbeiten.
Der Grund liegt in der Mechanik: Der Vorteil wächst mit der Zahl der Standorte, der Aufwand für die Voraussetzungen bleibt weitgehend gleich. Unterhalb einer gewissen Größe zahlen Sie also für Struktur, die sich nicht amortisiert.
Wie die Stichprobe bemessen wird
Der übliche Ausgangswert für die Erstzertifizierung ist die Wurzel aus der Zahl der Standorte, aufgerundet. In den Überwachungsjahren fällt die Stichprobe kleiner aus, zur Rezertifizierung liegt sie dazwischen. Die Zentrale — genauer: die Stelle, die das Managementsystem steuert — wird zusätzlich in jedem Auditzyklus geprüft.
| Standorte | Stichprobe Erstzertifizierung | Ersparnis gegenüber Vollprüfung |
|---|---|---|
| 4 | 2 plus Zentrale | gering |
| 9 | 3 plus Zentrale | spürbar |
| 25 | 5 plus Zentrale | erheblich |
| 100 | 10 plus Zentrale | sehr groß |
Man sieht sofort, wo die Schwelle liegt. Bei vier Standorten sparen Sie zwei Besuche und handeln sich dafür eine zentral gesteuerte Systemarchitektur ein. Ab etwa zehn Standorten kehrt sich das Verhältnis deutlich um.
Zur Auswahl gibt es zwei Regeln, die in der Planung oft übersehen werden: Ein Teil der Stichprobe muss zufällig gezogen werden, und die Auswahl darf nicht dazu führen, dass einzelne Standorte über den Zyklus nie geprüft werden. Sie können also nicht dauerhaft den Vorzeigestandort anbieten.
Die Voraussetzungen
Die Erleichterung ist an Bedingungen geknüpft, die inhaltlich anspruchsvoll sind:
- Ein gemeinsames Managementsystem, zentral aufgesetzt und für alle Standorte verbindlich.
- Eine zentrale Funktion mit Weisungsbefugnis, die Änderungen tatsächlich durchsetzen kann — nicht nur Empfehlungen aussprechen.
- Gleichartige Tätigkeiten an den einbezogenen Standorten.
- Ein internes Auditprogramm, das alle Standorte abdeckt und vor der Zertifizierung bereits durchlaufen wurde.
- Eine gemeinsame Managementbewertung mit Daten aus allen Standorten.
- Zentrale Erfassung von Abweichungen, Beschwerden, Kennzahlen und Korrekturmaßnahmen.
Punkt 4 ist der, an dem Projekte scheitern. Das interne Auditprogramm muss vorher gelaufen sein — nicht parallel, nicht anschließend. Wer ein Stichprobenverfahren beantragt und keine internen Auditberichte aller Standorte vorlegen kann, bekommt die Vollprüfung. Und die ist dann nicht eingeplant, weder im Budget noch im Terminkalender.
Was das Verfahren nicht ersetzt
Ein verbreitetes Missverständnis: Standorte, die nicht in der Stichprobe liegen, seien vom Managementsystem ausgenommen. Das Gegenteil ist der Fall.
Alle einbezogenen Standorte stehen im Zertifikat und müssen die Anforderungen erfüllen — auch die, bei denen in diesem Jahr kein externer Auditor war. Der Nachweis dafür wird nicht weniger, er verlagert sich nach innen: Was der externe Auditor nicht selbst sieht, muss Ihr internes Auditprogramm abdecken. Genau deshalb ist es Voraussetzung und nicht Beiwerk.
Für die Kalkulation heißt das: Die Ersparnis ist eine Verlagerung, keine Streichung. Sie sparen externe Audittage und Reisekosten und zahlen dafür mit internem Aufwand für Auditoren, Reisen und Berichte im eigenen Haus. Bei zwanzig Filialen rechnet sich das deutlich, weil interne Audits günstiger sind als externe. Bei vier Standorten rechnet es sich nicht.
Zusätzlich gilt: Neue Standorte, die während des Zyklus dazukommen, fallen nicht automatisch unter das laufende Verfahren. Sie werden gemeldet, bewertet und häufig zunächst einzeln auditiert, bevor sie in die Grundgesamtheit aufgenommen werden. Wer im Zyklus expandiert, sollte das früh mit der Zertifizierungsstelle abstimmen — nicht im Monat vor dem Überwachungsaudit.
Wann es sich nicht lohnt
Bei wenigen Standorten. Bis etwa vier oder fünf steht der Aufwand für zentrale Steuerung und flächendeckende Interne Audits in keinem Verhältnis zur Ersparnis.
Bei ungleichen Standorten. Ein Produktionswerk, ein Entwicklungsstandort und ein Servicebetrieb sind keine gleichartigen Standorte. Hier greift das Verfahren nicht.
Bei normspezifischen Einschränkungen. Automotive-, Medizinprodukte- und Luftfahrtstandards haben eigene Regeln, die Stichproben ausschließen oder stark begrenzen. Auch für Informationssicherheitsmanagementsysteme gelten zusätzliche Anforderungen — die Kostenwirkung dort beschreibt die Seite zu den ISO 27001 Kosten.
Wenn Risiken oder Regulierung je Standort unterschiedlich sind. Unterschiedliche Genehmigungen, Gefahrstoffe oder Kundenanforderungen führen dazu, dass Standorte nicht mehr repräsentativ füreinander sind.
Die Falle, die selten eingeplant wird
Das Stichprobenverfahren teilt Risiko um, es beseitigt es nicht. Eine Abweichung an einem geprüften Standort wirkt auf das gesamte Zertifikat — die Stichprobe steht stellvertretend für alle.
Die praktische Folge: Findet der Auditor an einem von fünf geprüften Filialen eine Hauptabweichung, kann die Zertifizierungsstelle zusätzliche Standorte prüfen, um zu klären, ob es sich um einen Einzelfall oder um ein Systemproblem handelt. Zusätzliche Standortbesuche bedeuten zusätzliche Audittage und zusätzliche Reisekosten — und zwar genau in dem Jahr, in dem das System ohnehin Aufmerksamkeit braucht.
Deshalb ist die Erleichterung nicht für schwache Systeme gedacht. Sie belohnt zentrale Steuerung und bestraft lokale Eigenwege. Wer seine Filialen weitgehend selbst wirtschaften lässt, spart mit dem Verfahren nicht, sondern verlagert Kosten in das Jahr mit dem größten Ärger.
Was Sie vor der Angebotsanfrage klären sollten
Fragen Sie die Zertifizierungsstelle konkret und normbezogen: Ist ein Stichprobenverfahren für diese Norm und diesen Standorttyp anwendbar? Wie groß wären Stichprobe und Auditzeit im Erstjahr, in den Überwachungsjahren und zur Rezertifizierung? Welche Nachweise verlangen Sie für die zentrale Steuerung?
Klären Sie außerdem, wie die Stelle mit Standorten umgeht, die nur zeitweise betrieben werden, und wie sie die Zentrale bewertet, wenn dort selbst operative Prozesse laufen. Beides verändert die Rechnung spürbar, taucht aber in Standardangeboten nicht auf.
Lassen Sie sich beide Varianten anbieten — mit und ohne Stichprobe. Erst dieser Vergleich zeigt, ob sich die Struktur lohnt, die Sie dafür aufbauen müssen. Wie Sie die Angebote insgesamt vergleichbar halten, steht unter Angebote vergleichen; die Grundmechanik der Auditzeit unter Audittage.