Stufe-1- gegen Stufe-2-Audit: Warum die Zertifizierung zwei Besuche braucht

Die Qualitätsmanagerin eines mittelständischen Lebensmittelverpackungsbetriebs buchte ihre ISO 9001-Zertifizierung in der Annahme, der Auditor komme, gehe die Linien ab und unterschreibe das Zertifikat oder eben nicht. Stattdessen erhielt sie einen Terminplan mit zwei getrennten Audits, Wochen auseinander, durchgeführt vom selben Auditor. Der erste Besuch berührte die Produktionsfläche kaum. Der zweite spielte sich vollständig dort ab. Diese Struktur mit zwei Besuchen verwirrt viele Erstantragsteller, und die Verwirrung kostet sie etwas, denn die beiden Stufen belohnen völlig unterschiedliche Arten der Vorbereitung.

Eine akkreditierte Zertifizierung nach einer Managementsystem-Norm, ISO 9001, ISO 14001, ISO 45001, ISO 27001, ISO 22000, folgt der Reihenfolge Stufe 1 und danach Stufe 2. Das ist keine Formalität, die sich die Zertifizierungsstelle ausgedacht hat, um ihren Kalender zu füllen. Es steht in der ISO/IEC 17021-1, dem Regelwerk, an das Akkreditierungsstellen wie TÜRKAK (die türkische Akkreditierungsstelle) jede akkreditierte Stelle binden. Zu verstehen, wofür jeder Besuch tatsächlich da ist, entscheidet zwischen einem sauberen Zertifikat im ersten Anlauf und einer Stufe 2, die Abweichungen zutage fördert, die Sie Wochen früher hätten schließen können.

Stufe 1 ist eine Bereitschaftsprüfung, keine Generalprobe

Das Stufe-1-Audit beantwortet eine einzige Frage: Ist dieses Managementsystem real und bereit, geprüft zu werden. Der Auditor sichtet Ihre dokumentierten Informationen, Ihre Geltungsbereichserklärung, Ihre Qualitätspolitik, die Ergebnisse Ihres internen Audits und die Aufzeichnungen Ihrer Managementbewertung. Er liest überwiegend, er beobachtet nicht. Er will Belege dafür, dass das System auf dem Papier existiert, die richtigen Prozesse und Standorte abdeckt und dass Sie es bereits durch mindestens einen internen Audit- und einen Managementbewertungszyklus geführt haben.

Genau an diesem letzten Punkt straucheln Antragsteller. Ein System, das letzte Woche dokumentiert wurde, aber nie eine interne Audit-Aufzeichnung erzeugt, nie eine Managementbewertung protokolliert, nie eine einzige Korrekturmaßnahme erfasst hat, ist nicht bereit für Stufe 2, und Stufe 1 existiert genau dafür, das aufzufangen, bevor jemand einen Stufe-2-Besuch daran verschwendet. Der Auditor bestätigt außerdem Praktisches: dass Ihre Standorte zu Ihrem erklärten Geltungsbereich der Zertifizierung passen, dass Sie die Anforderungen der Norm verstehen und dass die Ressourcen für Stufe 2 vorhanden sind.

Stufe 1 findet meist vor Ort statt, einzelne Teile können je nach Schema und den Regeln der Zertifizierungsstelle remote erfolgen. Sie ist kürzer als Stufe 2. Ihr Ergebnis ist kein Bestehen oder Durchfallen im Sinne des Zertifikats. Es ist eine Reihe von Feststellungen, oft als Aufmerksamkeitsbereiche bezeichnet, die Ihnen genau sagen, was Sie vor dem Implementierungsaudit beheben müssen. Behandeln Sie diese Liste als Geschenk. Sie ist die günstigste Rückmeldung mit dem geringsten Einsatz, die Sie im gesamten Prozess erhalten.

Ein konkreter Blick darauf, was Stufe 1 in der Praxis prüft, hilft. Der Auditor gleicht Ihre Geltungsbereichserklärung mit Ihren tatsächlichen Standorten und Tätigkeitsfeldern ab; ein zu weit gefasster Geltungsbereich oder ein Prozess, den Sie im Zertifikat sehen möchten, aber in der Praxis nicht betreiben, wird sofort zum Aufmerksamkeitsbereich. Er prüft, ob Sie die Klauseln der Norm zu Kontext, Führung und Risiken durchdrungen haben, ob Ihr internes Auditprogramm alle Klauseln abdeckt und ob die Eingaben Ihrer Managementbewertung die von der Norm geforderten Punkte enthalten. Das ist keine Generalprobe, sondern eine Vorlektüre, deren Zweck es ist, die Lücken auf dem Papier aufzudecken, bevor Sie in die längere und kostenintensivere Stufe 2 gehen.

Stufe 2 prüft das Tun, nicht die Dokumente

Stufe 2 ist das Implementierungsaudit, und es ist von anderer Art. Hier verlässt der Auditor den Besprechungsraum und geht dorthin, wo die Arbeit geschieht: an die Produktionslinie, ins Lager, in den Serverraum, an die Wareneingangsrampe, in das Kalibrierprotokoll. Die Frage verschiebt sich von "existiert das System" zu "tut die Organisation tatsächlich das, was ihre Dokumente sagen". Der Auditor zieht Stichproben aus Aufzeichnungen, befragt Bediener und Führungskräfte, verfolgt einen Prozess vom Eingang bis zum Ausgang und prüft, ob die niedergeschriebenen Kontrollen jene sind, die die Menschen täglich anwenden.

Hier wird die Konformität entschieden. Stufe 2 erzeugt Abweichungen in zwei Graden. Eine kleinere Abweichung ist ein einzelner Ausrutscher: eine fehlende Unterschrift, eine leicht überfällige Kalibrierung, eine einzige Aufzeichnung, die nicht zum Verfahren passt. Eine größere Abweichung ist ein Versagen auf Systemebene: ein ganzer geforderter Prozess fehlt, eine Kontrolle existiert auf dem Papier, aber niemand befolgt sie, oder eine Häufung kleinerer Abweichungen, die auf dieselbe defekte Grundursache deutet. Größere Abweichungen blockieren das Zertifikat, bis Sie korrigieren und die Zertifizierungsstelle die Korrektur verifiziert. Für ein ISO 9001-Qualitätsmanagementsystem bedeutet das in der Regel, geschlossene Korrekturmaßnahmen mit dem Nachweis vorzulegen, dass die Behebung trägt, nicht bloß ein Versprechen.

Den Ton auf der Produktionsfläche bestimmt, wie der Auditor den Spuren der Belege folgt. Er greift ein einzelnes Produkt oder einen Fertigungsauftrag heraus und verfolgt die gesamte Kette vom Eingang bis zum Versand: Wareneingangsaufzeichnung, Einrichtungsblatt der Produktion, Kalibrieretikett, Unterschrift der Endkontrolle. Ein gerissenes Glied genügt. Ebenso fragt er einen Bediener nach dessen Aufgabe; kennt die Person das Verfahren nicht oder arbeitet sie anders, zeigt das sofort den Abstand zwischen niedergeschriebener Kontrolle und gelebter Praxis. Deshalb heißt Vorbereitung auf Stufe 2, nicht nur den Ordner in Ordnung zu bringen, sondern auch dafür zu sorgen, dass die Menschen vor Ort ihren Teil erklären können.

Die Lücke zwischen den beiden Besuchen ist der Ort, an dem Zertifikate gewonnen werden

Das Intervall zwischen Stufe 1 und Stufe 2 ist keine tote Zeit. Es ist das produktivste Fenster im Projekt, und wie Sie es nutzen, entscheidet Ihr Stufe-2-Ergebnis. Die Stufe-1-Feststellungen sind eine Mängelliste. Jeder Aufmerksamkeitsbereich, den der Auditor angesprochen hat, ist eine wahrscheinliche Stufe-2-Abweichung, wenn Sie ihn unberührt lassen. Sie bewusst und mit Aufzeichnungen zu schließen, ist die Tätigkeit mit dem höchsten Ertrag in der gesamten Zertifizierung.

Die Lücke liegt meist zwischen einigen Wochen und ein paar Monaten, bemessen so, dass Sie realistische Zeit zum Handeln haben, ohne dass das Bild aus Stufe 1 veraltet. Schieben Sie es zu weit hinaus, muss der Auditor womöglich Dinge erneut verifizieren, die sich inzwischen geändert haben. Überstürzen Sie es, erscheinen Sie zu Stufe 2 mit denselben Lücken, die Stufe 1 bereits markiert hat, und das ist der vermeidbarste Weg, Abweichungen zu sammeln. Die Arbeit in diesem Fenster ist unspektakulär: beenden Sie das interne Audit, das Sie nur halb durchgeführt haben, halten Sie die Managementbewertung ab, die Sie ausgelassen haben, erzeugen Sie die Aufzeichnungen, die belegen, dass das System in Betrieb war und nicht bloß in einem Ordner lag. Ein ISO 14001-Umweltmanagementsystem mit drei Monaten echter Überwachungsdaten im Rücken liest sich in Stufe 2 ganz anders als eines, das eine Woche zuvor in Betrieb genommen wurde.

Ein konkreter Blick darauf, wie eine einzelne Feststellung geschlossen wird, macht den Wert dieses Fensters deutlich. Angenommen, Stufe 1 hat bemängelt, dass Ihre Kalibrierliste einige Messmittel auslässt. Sie zu schließen bedeutet mehr, als diese Messmittel in die Liste aufzunehmen: die fehlenden Kalibrierungen durchführen lassen, die Aufzeichnungen ablegen und einen Ablauf mit benanntem Verantwortlichen und festem Intervall einrichten, damit dieselbe Lücke nicht wiederkehrt. Bringen Sie diese Spur in Stufe 2, sieht der Auditor eine funktionierende Korrektur und kein Versprechen. Dieselbe Logik gilt für eine ausgelassene Managementbewertung, eine halbfertige Risikobewertung oder eine nicht unterzeichnete Schulungsaufzeichnung. Jede Schließung löst im Voraus eine Abweichung auf, die Ihnen sonst in Stufe 2 begegnet wäre.

Warum die Teilung existiert und warum ein einzelner kombinierter Besuch schlechter wäre

Es ist berechtigt zu fragen, warum die Zertifizierung nicht ein einziger Besuch sein kann. Die zweistufige Struktur schützt beide Seiten. Für Sie heißt das: Sie investieren nie ein vollständiges Implementierungsaudit, das längere und teurere der beiden, nur um zu hören, dass Ihre Dokumentation nie bereit war. Stufe 1 fängt das günstig ab. Für die Zertifizierungsstelle und das dahinterstehende Akkreditierungssystem macht die Teilung das Zertifikat glaubwürdig: ein Auditor, der Ihr System in Stufe 1 bereits gelesen hat, betritt Stufe 2 und weiß genau, was zu prüfen ist, sodass das Implementierungsaudit schärfer und schwerer zu unterlaufen ist.

Eine verbreitete Ausnahme verdient Erwähnung. Für ein Rezertifizierungsaudit am Ende des Dreijahreszyklus ist eine separate Stufe 1 oft nicht erforderlich, weil die Zertifizierungsstelle Ihr System bereits aus dem ursprünglichen Audit und den Überwachungsaudits dazwischen kennt. Eine Erstzertifizierung, eine größere Erweiterung des Geltungsbereichs oder eine wesentliche Änderung Ihrer Abläufe bringt die volle Stufe 1 zurück ins Spiel.

Wie Sie in jede Stufe vorbereitet hineingehen

Betrachten Sie Stufe 1 als den Tag, an dem Ihre Unterlagen und Ihr Betriebsnachweis beurteilt werden, und Stufe 2 als den Tag, an dem Ihre Produktionsfläche beurteilt wird. Stellen Sie vor Stufe 1 sicher, dass das dokumentierte System vollständig ist und, wichtiger noch, dass es bereits gelaufen ist: ein interner Auditzyklus abgeschlossen, eine Managementbewertung protokolliert, Korrekturmaßnahmen eröffnet und verfolgt. Schließen Sie vor Stufe 2 jede Stufe-1-Feststellung mit Nachweis, und sorgen Sie dafür, dass die Ausführenden ihren Teil des Systems in eigenen Worten beschreiben können, denn der Auditor fragt sie, nicht Sie.

Sistem Patent Kalite begleitet seit 1999 Zertifizierungsprojekte in den Bereichen Lebensmittel, Fertigung, Bau und IT, und die Projekte, die im ersten Anlauf sauber erteilt werden, sind fast immer jene, die die Lücke zwischen Stufe 1 und Stufe 2 als Arbeitszeit statt als Wartezeit genutzt haben. Wenn Sie eine Erstzertifizierung planen und die Abfolge mit zwei Besuchen um Ihre tatsächliche Bereitschaft herum planen möchten, kann unser Team für Systemzertifizierung den Umfang mit Ihnen festlegen, bevor die Uhr zu laufen beginnt.