Zertifizierungsaudit vorbereiten: Checkliste für Unternehmen

Wie bereiten Sie ein Zertifizierungsaudit praktisch vor?

Ordnen Sie dem Auditplan zuständige Personen, vorhandene Systeminformationen und passende betriebliche Nachweise zu. Prüfen Sie an realen Vorgängen, ob Durchführung, Zuständigkeit und Dokumentation zusammenpassen. Klären Sie Zugänge und offene fachliche Lücken vorab. Der IfQA-Zertifizierungsablauf ist der Ausgangspunkt für die Abstimmung der konkreten Planung.

Ein vorhandener Auftrag als Vorbereitungstest

Fiktives Beispiel: Ein Unternehmen prüft vor dem Audit einen abgeschlossenen Kundenauftrag. Der Vertrieb findet die Anforderungen, die Fertigung die freigegebene Version und die Qualitätssicherung die Ergebnisprüfung. Es zeigt sich aber, dass nur eine abwesende Person Zugang zu den Reklamationsdaten hat.

Die Aufgabe ist nun, einen geeigneten Zugang und die Erläuterung durch eine zuständige Person zu organisieren. Fehlt dagegen die vereinbarte Prüfung des Auftrags, lässt sich das nicht durch einen neuen Ablageordner lösen. Bearbeiten Sie die tatsächliche Lücke und dokumentieren Sie nachvollziehbar, was jetzt getan wurde.

Prüfen Sie zunächst den Stand Ihres Qualitätsmanagementsystems. Ordnen Sie danach die Informationen der jeweiligen Auditstufe zu.

Geltungsbereich und Ansprechpartner klären

Halten Sie fest, welche Tätigkeiten zertifiziert werden sollen, wo sie ausgeführt werden und welche unterstützenden Prozesse dazugehören. Stimmen Sie Grenzen und zugehörige Standortangaben mit der Zertifizierungsstelle ab. Ein verständlicher Umfang und passende Ansprechpartner erleichtern die Planung.

Benennen Sie intern eine verantwortliche Kontaktperson, die während beider Auditstufen erreichbar ist und Zugang zu allen relevanten Unterlagen hat. Planen Sie außerdem, welche Führungskräfte und Mitarbeitenden für Gespräche zur Verfügung stehen. Der Auditor wird mit verschiedenen Ebenen sprechen, nicht nur mit der Systemverantwortlichen oder dem Systemverantwortlichen.

Stimmen Sie dazu eine verständliche Beschreibung der zu zertifizierenden Tätigkeiten und die zugehörigen Standortangaben ab, bevor Termine und Ansprechpartner festgelegt werden.

• Geltungsbereich schriftlich dokumentiert und begründet
• Ausschlüsse sachlich hergeleitet
• Interne Ansprechperson für beide Auditstufen benannt
• Verfügbarkeit von Führung und Mitarbeitenden für Gespräche sichergestellt

Systemunterlagen: Was aktuell und auffindbar sein muss

Halten Sie die nach der einschlägigen Norm erforderlichen Systeminformationen und Nachweise aktuell und zugänglich. Dazu gehören unter anderem Politik, Ziele, interne Audits und Managementbewertung. Umfang und Form der Prozessinformationen richten sich nach den Anforderungen und dem notwendigen Maß wirksamer Steuerung. Umweltziele sind soweit praktikabel messbar.

Für ISO 27001 gehören insbesondere Risikobeurteilung, Risikobehandlung und Statement of Applicability dazu. Erforderliche Inventare ergeben sich aus begründeter Maßnahmenauswahl und anwendbaren Anforderungen. Prüfen Sie vorhandene Aufzeichnungen, statt pauschal ein zusätzliches Dokumentenpaket anzulegen.

• Normabhängig erforderliche Politik und Ziele verfügbar.
• Erforderliche Prozessinformationen geeignet, aktuell und verfügbar.
• Interne Audits und Managementbewertung nachvollziehbar.
• Erforderliche Fachnachweise passend zur betreffenden Norm zugeordnet.

Operative Nachweise aus dem Tagesgeschäft

Das Stufe-2-Audit bewertet, ob das System tatsächlich gelebt wird. Dafür braucht der Auditor Nachweise aus dem Betrieb: Aufzeichnungen zu Schulungen, Lieferantenbewertungen, Reklamationsbearbeitung, Messungen, Kalibrierprotokollen oder Vorfallsmeldungen, je nach Norm und Geltungsbereich. Im Audit werden repräsentative Stichproben vorgelegt; normativ, gesetzlich oder vertraglich geforderte Aufzeichnungen müssen im erforderlichen Umfang geführt werden.

Stellen Sie sicher, dass Mitarbeitende wissen, wo Aufzeichnungen abgelegt sind, und dass sie im Audit erklären können, wie sie in ihrem Bereich vorgehen. Wenn im Audit Abweichungen festgestellt werden, erhalten Sie die Gelegenheit zur Korrektur, bevor die Zertifizierungsentscheidung fällt. Wie dieser Prozess funktioniert, beschreibt der Artikel Abweichung im Audit: Korrektur, Ursache und Wirksamkeit.

• Schulungsnachweise für relevante Rollen vorhanden
• Aufzeichnungen zu Lieferanten, Reklamationen oder Vorfällen auffindbar
• Mitarbeitende kennen die Ablagestruktur
• Korrekturen aus früheren internen Audits nachweislich umgesetzt

Technik und Organisation bei Remote-Audits

Remote-Audits stellen besondere Anforderungen an die technische Infrastruktur. Stabile Internetverbindung, eine funktionsfähige Kamera und ein geeignetes Videokonferenztool sind Grundvoraussetzung. Planen Sie außerdem, wie Sie digitale Unterlagen während des Audits teilen, etwa per Bildschirmfreigabe oder über einen gemeinsam zugänglichen Dokumentenbereich. Testen Sie die Technik vor dem Audittermin.

Klären Sie intern, wer an welchem Zeitpunkt zugeschaltet ist, und stellen Sie sicher, dass die Verbindung in ruhiger Umgebung stattfindet. Bei Produktionsunternehmen kann eine Kombination aus Remote-Gesprächen und einem kompakten Vor-Ort-Termin sinnvoll sein, wenn eine Begehung fachlich erforderlich ist.

• Stabile Internetverbindung und Kamera getestet
• Videokonferenztool mit Auditor abgestimmt
• Bildschirmfreigabe oder digitaler Dokumentenzugang vorbereitet
• Zeitplan mit Zugeschalteten intern kommuniziert
• Ruhige Umgebung für alle Teilnehmenden sichergestellt

Ausgefülltes Vorbereitungsmuster für einen fiktiven Auftrag

Quellen und weiterführende Informationen

• IfQA: Ablauf des Zertifizierungsverfahrens

Ihre nächsten Schritte

1. Legen Sie den abgestimmten Auditplan neben Ihre Zuständigkeitsübersicht.
2. Gehen Sie einen realen Vorgang durch und prüfen Sie den Zugang zu den zugehörigen Informationen.
3. Bearbeiten Sie offene fachliche Lücken und organisieren Sie fehlende Zugänge oder Vertretungen.
4. Testen Sie bei Remote-Anteilen Bildschirmfreigabe und erforderliche Einblicke mit den tatsächlich beteiligten Personen.