Das Rezertifizierungsaudit steht am Ende des dreijährigen Zyklus und entscheidet, ob das Zertifikat für weitere drei Jahre gilt. Anders als beim Überwachungsaudit wird nicht ausgewählt: Alle Normkapitel und alle Prozesse werden erneut bewertet. Der Aufwand liegt trotzdem unter dem der Erstzertifizierung, weil das Stufe-1-Audit entfällt — nach der Systematik von IAF MD 5 etwa bei zwei Dritteln.
Was zusätzlich bewertet wird
Über die reine Normkonformität hinaus schaut das Rezertifizierungsaudit auf den Zyklus als Ganzes. Drei Fragen stehen im Vordergrund.
Erstens die Wirksamkeit über drei Jahre: Haben die Maßnahmen aus den Überwachungsaudits gewirkt, oder kehren dieselben Feststellungen wieder? Wiederkehrende Abweichungen an derselben Stelle werden härter bewertet als eine neue.
Zweitens die Reaktion auf Veränderung: Umstrukturierungen, neue Produkte, neue Standorte, veränderte rechtliche Anforderungen. Ein System, das seit drei Jahren unverändert ist, obwohl sich das Unternehmen verändert hat, ist ein Befund für sich.
Drittens die interne Steuerung: internes Auditprogramm über den gesamten Zyklus, Managementbewertungen, Zielerreichung. Ein Auditprogramm, das jedes Jahr dieselben zwei gut aufgestellten Bereiche prüft, fällt hier auf, weil über drei Jahre nicht alle Prozesse abgedeckt wurden.
Die Frist ist hart
Die Rezertifizierungsaktivitäten müssen vor dem Ablaufdatum des Zertifikats abgeschlossen sein. Abgeschlossen heißt: Audit durchgeführt, Abweichungen geschlossen, Entscheidung getroffen. Nicht: Termin stattgefunden.
Genau hier entsteht der häufigste Planungsfehler. Der Termin wird auf vier Wochen vor Ablauf gelegt, im Audit tritt eine Hauptabweichung auf, die Korrektur braucht sechs Wochen — und die Gültigkeit endet. Rückwirkend verlängern lässt sich nichts.
Nach dem Ablauf gibt es ein begrenztes Fenster, in dem sich die Zertifizierung wiederherstellen lässt, wenn die offenen Punkte abgearbeitet werden. Es ist kürzer, als die meisten annehmen. Verstreicht es, bleibt die vollständige Neuzertifizierung. Und in der Zwischenzeit besteht eine Lücke im Zertifizierungsverlauf, die bei Ausschreibungen und in Lieferantenbewertungen sichtbar wird.
Planen Sie den Termin deshalb drei bis vier Monate vor Ablauf. Der Puffer kostet nichts und deckt den Fall ab, der sich nicht planen lässt.
Zwei weitere Termine gehören in dieselbe Planung. Das interne Audit muss vor der Rezertifizierung abgeschlossen sein, ebenso die Managementbewertung — beide sind Prüfgegenstand und dürfen nicht erst in der Woche davor stattfinden. Wer den externen Termin vorzieht, zieht damit auch diese beiden vor. Das ist der eigentliche Grund, warum die Terminplanung ein halbes Jahr vorher beginnt und nicht acht Wochen vorher.
Der Punkt, an dem verhandelt wird
Vor der Rezertifizierung ist der zweitbeste Zeitpunkt für eine Preisverhandlung — der beste war vor der Erstzertifizierung. Ein Wechsel der Zertifizierungsstelle ist zum Zyklusende leichter möglich als mitten im Zyklus, und das weiß der Anbieter.
Zwei Fragen lohnen sich dabei besonders: eine Reduktion für ein System, das drei Jahre ohne wesentliche Abweichungen gelaufen ist, und die Bündelung mit weiteren Normen. Beides steht selten von selbst im Angebot. Wie sich die Zyklussumme zusammensetzt, steht unter Folgekosten nach dem Zertifikat, die Zeitplanung unter Dauer einer ISO-Zertifizierung.