Q9 Was ein Zertifizierungsaudit ist

Für: V, EA
Quelle: ISO/IEC 17021-1:2015, deutsche Fassung DIN EN ISO/IEC 17021-1:2015-11. Einleitung, Abschnitt 1, Abschnitt 4, Anmerkung zu 9.2.1.2. Die Grundsätze sind in 17021-02 ausgeführt. Der Ablauf ist in 17021-12, 17021-13 und 17021-16 ausgeführt.

Zertifizierung eines Managementsystems ist nach Abschnitt 1 eine Konformitätsbewertung durch eine dritte Seite. Die Norm verweist dafür auf ISO/IEC 17000:2004, 5.5. Diese Ausgabe liegt nicht vor. Aus dem vorliegenden Text folgt: Die Stelle, die zertifiziert, ist von dem Kunden unabhängig, dessen System auditiert wird, und von den Parteien, die sich auf die Zertifizierung stützen. Ein Zertifizierungsaudit umfasst Erst-, Überwachungs- und Re-Zertifizierungsaudits und kann Audits aus besonderem Anlass umfassen. Das interne Audit nach Q6 ist dieses Audit nicht. In ISO 9001:2026, Anmerkung 6 zu 3.18, sind Audits durch externe unabhängige Stellen, die Konformität zertifizieren oder registrieren, Audits durch eine dritte Seite. Das ist eine Anmerkung zum Begriff.

Die Einleitung sagt, was die Zertifizierung erkennen lässt. Die Organisation hat ein System umgesetzt, das mit ihrer Politik und mit der jeweiligen Managementsystemnorm im Einklang steht. Die Zertifizierung liefert eine unabhängige Darlegung, dass das System festgelegte Anforderungen erfüllt, in der Lage ist, Politik und Ziele ständig zu erreichen, und wirksam umgesetzt ist. Der zertifizierte Kunde, nicht die Stelle, ist dafür verantwortlich, die mit der Managementsystemnorm beabsichtigten Ergebnisse zu erreichen und die Zertifizierungsanforderungen zu erfüllen. Die Stelle ist dafür verantwortlich, ausreichend objektive Nachweise zu begutachten und auf dieser Grundlage zu entscheiden, die Zertifizierung zu gewähren oder nicht zu gewähren. Die Anmerkung zum Grundsatz der Verantwortlichkeit sagt, jedes Audit sei eine Stichprobe und keine Garantie für hundertprozentige Übereinstimmung.

Abschnitt 4 nennt sieben Grundsätze: Unparteilichkeit, Kompetenz, Verantwortung, Offenheit, Vertraulichkeit, Umgang mit Beschwerden und einen risikobasierten Ansatz. 4.1.1 sagt: „Grundsätze sind keine Anforderungen.“ Eine Abweichung gegen Abschnitt 4 schreibt die Norm nicht vor. Die auditierbaren Sätze stehen in den Abschnitten 5 bis 10 und im normativen Anhang A.

Die Anmerkung zu 9.2.1.2 hält fest, dass das Zertifizierungsaudit die Fähigkeit des Systems feststellt, die Erfüllung rechtlicher Anforderungen sicherzustellen. Es ist kein Rechtscompliance-Audit. Der Satz ist eine Anmerkung, kein zusätzlicher Grundsatz in Abschnitt 4.

ISO 14001:2026, 0.5, und ISO 45001:2018, 0.5, nennen die Zertifizierung durch eine externe Organisation als einen von mehreren Wegen, Konformität darzulegen. Daneben stehen Selbstbewertung und Selbsterklärung, Bestätigung durch interessierte Parteien und Bestätigung der Selbsterklärung durch eine externe Partei. Das sind Möglichkeiten der Managementsystemnorm. Die Anforderungen an die Stelle, die zertifiziert, stehen in ISO/IEC 17021-1.

ISO/IEC 27006:2015 enthält zusätzliche Anforderungen an Stellen, die ein ISMS zertifizieren. Im Dokument selbst sind ISO/IEC 17021-1:2015 und ISO/IEC 27001:2013 die normativen Verweisungen. Auditzeiten und Anhang D dieser Ausgabe werden hier nicht auf Zertifizierungen nach ISO/IEC 27001:2022 übertragen. Die Erläuterung steht in 27006-01.

Nicht in diesem Text: Stufe 1 und Stufe 2, der Zyklus aus Überwachung und Re-Zertifizierung, Aussetzung, Auditzeit, und Werbesätze, die in ISO/IEC 17021-1 nicht stehen. Der Ablauf steht in den verlinkten Artikeln zu ISO/IEC 17021-1. Das interne Auditprogramm steht in Q6.