Das Zertifikat gilt drei Jahre. In dieser Zeit fallen zwei Überwachungsaudits und im dritten Jahr die Rezertifizierung an. Diese Folgekosten stehen in vielen Angeboten klein gedruckt oder gar nicht — und machen zusammen mehr aus als das Erstaudit.
Der Zyklus in Zahlen
| Jahr | Prüfung | Anteil am Erstaufwand |
|---|---|---|
| 0 | Erstzertifizierung, Stufe 1 und 2 | 100 % |
| 1 | Überwachungsaudit | etwa 33 % |
| 2 | Überwachungsaudit | etwa 33 % |
| 3 | Rezertifizierung | etwa 66 % |
| Summe über drei Jahre | etwa 230 % |
Dazu kommt in jedem Jahr die Zertifikatsgebühr. Der Kostenrechner weist die Summe über drei Jahre deshalb getrennt aus — sie ist die relevante Vergleichsgröße.
Die Fristen
Das erste Überwachungsaudit muss innerhalb von zwölf Monaten nach dem Stufe-2-Audit stattfinden. Gezählt wird ab dem Audittag, nicht ab dem Ausstellungsdatum des Zertifikats. Zwischen beiden liegen häufig mehrere Wochen — wer sich am Zertifikatsdatum orientiert, verpasst die Frist.
Wird der Termin versäumt, kann die Zertifizierungsstelle das Zertifikat aussetzen. Während der Aussetzung darf es nicht verwendet werden. Bei längerem Verzug folgt der Entzug, und es bleibt nur die vollständige Neuzertifizierung.
Der interne Aufwand läuft weiter
Die Auditkosten sind nur der sichtbare Teil. Dauerhaft anfallend sind:
- Interne Audits über alle Prozesse und Normkapitel im Jahreszyklus,
- die Managementbewertung mit den geforderten Eingaben,
- Pflege der Dokumentation bei Prozess- und Organisationsänderungen,
- Bearbeitung von Abweichungen und Nachverfolgung der Maßnahmen,
- Schulungen und Unterweisungen,
- normspezifisch: Aktualisierung der Umweltaspekte, der Gefährdungsbeurteilung, der Risikobeurteilung.
Realistisch ist das bei einem mittelständischen Betrieb ein Aufwand im Bereich einer Viertelstelle — verteilt, aber dauerhaft. Wer das nicht einplant, erlebt vor jedem Überwachungsaudit dieselbe Aufholjagd, und die kostet mehr als die verteilte Arbeit.
Was im Überwachungsaudit tatsächlich geprüft wird
Ein Überwachungsaudit ist kein verkleinertes Vollaudit. Es hat einen festen Pflichtteil und einen wechselnden Stichprobenteil. Zum Pflichtteil gehören in jedem Jahr die internen Audits, die Managementbewertung, der Umgang mit Beschwerden und Abweichungen, die Wirksamkeit der Maßnahmen aus dem Vorjahr sowie die Verwendung von Zertifikat und Akkreditierungszeichen. Der Rest ist Auswahl — über den Zyklus hinweg müssen aber alle Normanforderungen und alle Prozesse einmal abgedeckt sein.
Für die Praxis heißt das: Ein Prozess, der im ersten Überwachungsaudit nicht drankam, kommt im zweiten mit erhöhter Wahrscheinlichkeit dran. Wer nach Jahr eins den Eindruck mitnimmt, es werde ohnehin nur oberflächlich geschaut, plant den Aufwand für Jahr zwei zu knapp.
Die Feststellungen, die jedes Jahr dieselben sind
Drei Befunde tauchen in Überwachungsaudits mit großem Abstand am häufigsten auf, und alle drei sind vermeidbar:
- Das interne Auditprogramm ist nicht abgearbeitet. Geplant waren sechs interne Audits, durchgeführt wurden zwei, meist die einfachen. Das ist keine Formalie: Die internen Audits sind der Nachweis, dass das System auch ohne den externen Auditor funktioniert.
- Die Managementbewertung fehlt oder ist zu dünn. Ein Protokoll mit drei Zeilen deckt die geforderten Eingaben nicht ab. Regelmäßig fehlen die Bewertung der Ziele, die Ressourcenfrage und erkennbare Entscheidungen der Leitung.
- Maßnahmen aus dem Vorjahr sind erledigt, aber nicht wirksam belegt. Die Abweichung wurde geschlossen, der Wirksamkeitsnachweis fehlt. Das führt zur Wiederholung derselben Feststellung — und wiederholte Feststellungen werden höher eingestuft.
Jede dieser Feststellungen kann ein Nachaudit auslösen. Das ist der Posten, der in keinem Angebot steht und die Jahresrechnung am zuverlässigsten sprengt.
Die Frist, die anders läuft als gedacht
Bei der Rezertifizierung zählt nicht das Auditdatum, sondern der Abschluss. Das gesamte Verfahren einschließlich der Bewertung eingereichter Korrekturmaßnahmen und der Zertifizierungsentscheidung muss vor Ablauf des bestehenden Zertifikats abgeschlossen sein. Wer die Rezertifizierung wenige Wochen vor Ablauf terminiert und eine Hauptabweichung kassiert, hat keine Zeit mehr für die Nachweisführung.
Planen Sie deshalb einen Puffer von mehreren Monaten ein. Der kostet nichts. Eine Lücke im Zertifikat kostet eine vollständige Neuzertifizierung zum Erstpreis — plus die Erklärung gegenüber jedem Auftraggeber, der den Nachweis lückenlos verlangt. Wie die Laufzeit gerechnet wird, steht unter Zertifikatslaufzeit.
Ein zweiter Punkt mit Fristcharakter wird häufig übersehen: Wesentliche Änderungen sind der Zertifizierungsstelle unaufgefordert zu melden — neuer Standort, verlagerte Produktion, geändertes Leistungsangebot, deutliche Veränderung der Mitarbeiterzahl. Wer das erst im nächsten Audit erwähnt, bekommt eine Feststellung und im ungünstigen Fall eine Nachberechnung der Audittage, siehe Nachtragsangebot.
Wo sich bei den Folgekosten sparen lässt
Konditionen für den ganzen Zyklus verhandeln. Vor der Erstzertifizierung ist Ihre Verhandlungsposition am besten. Lassen Sie sich Überwachungsaudits und Rezertifizierung verbindlich mit anbieten.
Remote-Anteile klären. Wo zulässig, sparen sie Reisekosten.
Normen bündeln. Ein integriertes Audit spart auch in den Folgejahren — siehe Mehrere Normen kombinieren.
Termine bündeln. Bei mehreren Standorten oder Gesellschaften lassen sich Anreisen zusammenlegen.
Das System pflegen statt reaktivieren. Der größte Hebel und der einzige, der nichts kostet: Ein laufend gepflegtes System verursacht im Überwachungsaudit weniger Feststellungen — und damit weniger Nacharbeit und keine Nachaudits.