Rezertifizierung nach drei Jahren: So läuft sie ab – und so vermeiden Sie die Lücke im Zertifikat

Drei Jahre klingen nach einer halben Ewigkeit. Dann steht plötzlich ein Schreiben der Zertifizierungsstelle im Postfach: Ihr Zertifikat läuft in sechs Monaten ab, die Rezertifizierung steht an. Und die Frage, die wir in dem Moment am häufigsten hören, lautet: „Müssen wir jetzt alles noch mal von vorn machen?"

Die kurze Antwort: nein. Die ehrliche Antwort: Es wird gründlicher als ein Überwachungsaudit – und es ist der Moment, in dem sich zeigt, ob das System die drei Jahre überlebt hat oder nur das Zertifikat. Wer die Rezertifizierung als Fristsache behandelt, riskiert im schlimmsten Fall eine Lücke im Zertifikat. Wer sie als Bilanz behandelt, erlebt sie als das, was sie sein soll: ein Rückblick mit Ausblick.

Dieser Artikel erklärt, wie sich die Rezertifizierung vom Überwachungsaudit und vom Erstaudit unterscheidet, was der Auditor sich anschaut, wie Sie eine Lücke im Zertifikat sicher vermeiden – und was Sie in den sechs Monaten davor tun sollten.

Was die Rezertifizierung ist – und was nicht

Ein ISO-Zertifikat gilt drei Jahre. In den Jahren eins und zwei kommt die Zertifizierungsstelle zum Überwachungsaudit und prüft Stichproben. In Jahr drei wird das gesamte Managementsystem noch einmal vollständig geprüft – das ist die Rezertifizierung. Wird sie bestanden, beginnt der Zyklus von vorn: neues Zertifikat, neue drei Jahre, wieder zwei Überwachungsaudits.

Drei Abgrenzungen helfen:

• Es ist keine Neuzertifizierung. Es gibt keine Stufe 1 mit reiner Dokumentenprüfung, solange sich am Unternehmen nichts Grundlegendes geändert hat. Der Auditor kennt Sie, Ihre Berichte und Ihre Vorgeschichte – und startet dort, wo das letzte Audit aufgehört hat.
• Es ist auch kein größeres Überwachungsaudit. Im Überwachungsaudit schaut der Auditor auf einen festen Kern und einen wechselnden Schwerpunkt. In der Rezertifizierung kommt alles dran: sämtliche Normkapitel, alle Prozesse im Geltungsbereich, alle Standorte, die zertifiziert sind. Rechnen Sie mit etwa zwei Dritteln der Auditzeit des Erstaudits – als Richtwert, nicht als Garantie.
• Es prüft mehr als den Ist-Zustand. Der Auditor schaut auf die gesamte Laufzeit. Er liest die Berichte der beiden Überwachungsaudits, wertet aus, ob Feststellungen dauerhaft behoben wurden, und fragt sich vor allem eins: Hat sich das System in drei Jahren weiterentwickelt, oder wurde es nur am Leben erhalten?

Der dritte Punkt ist der, der Unternehmen überrascht. Die Norm verlangt fortlaufende Verbesserung (Kapitel 10.3), und die Rezertifizierung ist der Zeitpunkt, an dem das über einen Zeitraum von drei Jahren sichtbar sein muss – nicht in einer Präsentation, sondern in Kennzahlen, Maßnahmen und Ergebnissen.

Das Wichtigste: Wann die Entscheidung fällt

Die häufigste Sorge bei der Rezertifizierung ist die Lücke: Das alte Zertifikat läuft ab, das neue ist noch nicht da, und in der Ausschreibung steht „gültiges Zertifikat erforderlich". Die gute Nachricht: Diese Lücke ist vermeidbar, und die Regel dahinter ist einfach.

Entscheidend ist nicht das Datum des Audits, sondern das Datum der Zertifizierungsentscheidung. Fällt die positive Entscheidung, bevor das alte Zertifikat abläuft, schließt sich das neue nahtlos an – der neue Drei-Jahres-Zyklus beginnt am Tag nach dem Ablauf des alten. Es gibt keinen Tag ohne Zertifikat.

Das heißt: Das Audit allein reicht nicht. Nach dem Audit kommt der Bericht, danach die Abweichungen samt Korrekturen, danach die unabhängige Bewertung und erst dann die Entscheidung. Bei einem Audit fünf Tage vor Ablauf ist das nicht zu schaffen. Als Faustregel gilt:

• Zwei bis drei Monate vor Ablauf sollte das Audit abgeschlossen sein.
• Vier bis sechs Monate vor Ablauf sollte der Termin feststehen – Auditoren haben Kalender, und der Herbst ist bei uns wie bei allen anderen voll.
• Abweichungen brauchen Zeit für Korrektur und Nachweis. Wer im Audit eine wesentliche Abweichung bekommt, hat nur dann eine Chance auf eine lückenlose Entscheidung, wenn nach dem Audit noch Wochen übrig sind.

Und wenn es doch zu spät wird? Läuft das Zertifikat ab, bevor die Entscheidung gefallen ist, ist es abgelaufen – auch wenn das Audit längst gelaufen ist. Wird die Rezertifizierung innerhalb von sechs Monaten nach Ablauf erfolgreich abgeschlossen, lässt sich der Zyklus in der Regel wiederherstellen, meist ohne komplette Erstzertifizierung. Bis dahin aber gibt es kein gültiges Zertifikat, und Sie dürfen damit weder werben noch es in Ausschreibungen vorlegen. Nach mehr als sechs Monaten ist es eine Erstzertifizierung mit allem, was dazugehört.

Was der Auditor sich in der Rezertifizierung anschaut

Der Auditor arbeitet in der Rezertifizierung an drei Ebenen gleichzeitig:

1. Das gesamte System, Kapitel für Kapitel. Wo sich das Überwachungsaudit auf einen Kern beschränkt, kommen jetzt alle Anforderungen dran, auch die, die zuletzt zwei Jahre nicht angeschaut wurden. Kontext, Risiken und Chancen, Ziele, Ressourcen, Lenkung von Dokumenten, operative Prozesse, Lieferantensteuerung – alles einmal. Wer in den Überwachungsjahren stets nur das Nötigste für den jeweiligen Schwerpunkt vorbereitet hat, merkt spätestens jetzt, wo Lücken sind.

2. Die Entwicklung über drei Jahre. Der Auditor schaut auf Trends: Wie haben sich Reklamationsquote, Liefertermintreue oder Kundenzufriedenheit entwickelt? Wurden Ziele erreicht – und wenn nicht, was folgte daraus? Gibt es Feststellungen, die in drei Jahren immer wieder auftauchen? Ein Problem, das im ersten Überwachungsaudit gefunden, im zweiten „behoben" und in der Rezertifizierung wieder da ist, wird zur ernsten Frage nach der Wirksamkeit Ihrer Maßnahmen.

3. Die Passung von Zertifikat und Realität. Genau hier schließt der Geltungsbereich an, den wir in unserem letzten Artikel behandelt haben: Beschreibt der Satz auf dem Zertifikat noch das, was Sie heute tun, und dort, wo Sie es tun? Die Rezertifizierung ist die natürliche Gelegenheit, ihn zu aktualisieren – neue Leistungen aufnehmen, Standorte ergänzen, Überholtes streichen. Wer das nicht vorher klärt, diskutiert es im Audit.

Die häufigsten Stolpersteine

Bei Rezertifizierungen sehen wir fast immer dieselben vier Muster:

• Das System wurde nach der Erstzertifizierung nie mehr angefasst. Prozesse beschreiben den Betrieb von vor drei Jahren, Verantwortliche sind gewechselt, Formulare werden nicht mehr verwendet. Der Auditor findet das in der ersten Stunde.
• Die Kennzahlen von damals gibt es nicht mehr. Die Ziele aus dem ersten Jahr wurden nie fortgeschrieben, weil niemand sie mehr auswertet. Die Rezertifizierung ist der Moment, in dem eine Trendaussage über drei Jahre erwartet wird – und keine Zahlen zu haben, ist selbst eine Feststellung.
• Offene Feststellungen aus den Überwachungsaudits. Was seit zwei Jahren als „in Arbeit" geführt wird, ist keine Maßnahme, sondern ein Aufschub. Der Auditor liest die alten Berichte, bevor er kommt.
• Änderungen wurden nie gemeldet. Neuer Standort, neue Leistung, Umzug, Übernahme, halbierte oder verdoppelte Mitarbeiterzahl – wer das der Zertifizierungsstelle über drei Jahre nie gemeldet hat, stellt es in der Rezertifizierung auf einmal, und dann ist es eine Auditzeit-Frage und manchmal eine Erweiterungsfrage.

Alle vier haben dieselbe Wurzel wie die Klassiker im Überwachungsaudit: Das System läuft nicht im Alltag mit, sondern wird zum Termin reanimiert. Der Unterschied: Bei drei Jahren Abstand ist das deutlich schwerer aufzuholen als bei einem.

Die Sechs-Monats-Vorbereitung

Wer sechs Monate vor Ablauf beginnt, braucht keinen Großeinsatz. Ein Ablauf, der sich bewährt hat:

1. Sechs Monate vorher: Termin sichern und Bestandsaufnahme machen. Rezertifizierungstermin mit der Zertifizierungsstelle festlegen. Parallel die Berichte der beiden letzten Audits nebeneinanderlegen und prüfen: Ist alles abgeschlossen, was dort steht?
2. Fünf Monate vorher: Geltungsbereich und Änderungen prüfen. Passt der Satz noch? Gibt es neue Tätigkeiten oder Standorte, die noch nicht gemeldet sind? Jetzt melden, nicht im Audit.
3. Vier Monate vorher: Internes Audit über das ganze System. Nicht nur der Schwerpunkt, sondern alle Kapitel – möglichst mit Blick auf die Punkte, die in den Überwachungsjahren nicht dran waren.
4. Drei Monate vorher: Managementbewertung mit Dreijahresblick. Kennzahlen über den gesamten Zeitraum, Entwicklung der Ziele, Wirksamkeit der Maßnahmen. Das ist die Grundlage für alles, was der Auditor im Gespräch fragen wird.
5. Zwei Monate vorher: Nacharbeit und Unterlagen. Aus dem internen Audit gefundene Punkte beheben, Dokumente aktualisieren, Ansprechpartner für den Audittag benennen.

Was hier bewusst fehlt: Ein Berg neuer Dokumente. Die Rezertifizierung verlangt kein neues Handbuch und keine neuen Formulare. Sie verlangt Belege dafür, dass das vorhandene System gelebt und verbessert wurde.

Die Rezertifizierung in fünf Minuten geprüft

Nehmen Sie die letzten beiden Auditberichte, Ihr Zertifikat und die letzte Managementbewertung zur Hand:

1. Wann läuft Ihr Zertifikat ab – und steht der Auditor-Termin? Wenn beides nicht im Kalender steht: heute nachholen, mit mindestens zwei Monaten Puffer.
2. Sind alle Feststellungen aus den beiden Überwachungsaudits wirklich abgeschlossen? Nicht „in Arbeit", sondern umgesetzt und auf Wirksamkeit geprüft.
3. Können Sie für Ihre zwei wichtigsten Ziele die Entwicklung über drei Jahre zeigen? Drei Zahlen und ein Satz dazu reichen – aber sie müssen da sein.
4. Beschreibt der Geltungsbereich noch Ihr Geschäft? Neue Leistungen, neue Standorte, Wegfälle: vor dem Audit klären.
5. Deckt Ihr internes Auditprogramm über die drei Jahre alle Kapitel ab? Wenn ein Bereich nie geprüft wurde, ist die Rezertifizierung der schlechteste Zeitpunkt, es herauszufinden.

Wer alle fünf mit Ja beantwortet, geht entspannt ins Audit. Wer bei einer Frage ins Stocken kommt, hat jetzt noch Zeit, es zu beheben.

Fazit: Die Bilanz, die Ihr Zertifikat trägt

Die Rezertifizierung ist im Zyklus die einzige Stelle, an der ein Auditor auf alles schaut – und zwar in der Rückschau. Das macht sie anspruchsvoller als ein Überwachungsaudit, aber auch aussagekräftiger: Wer sie besteht, belegt seinen Kunden nicht nur, dass das System heute funktioniert, sondern dass es sich seit drei Jahren bewährt hat.

Und es gibt eine zweite Seite. Für Unternehmen, die ihr System über die Jahre gepflegt haben, ist die Rezertifizierung oft überraschend unspektakulär: Es gibt Zahlen, es gibt erledigte Maßnahmen, es gibt einen Geltungsbereich, der passt. Das Audit fühlt sich dann eher an wie ein Gespräch über drei Jahre Entwicklung als wie eine Prüfung. Wer dagegen erst sechs Wochen vorher anfängt, holt drei Jahre in sechs Wochen nach – und das merkt man beiden Seiten an.

Die gute Nachricht: Beides liegt in Ihrer Hand, und der Zeitpunkt zum Entscheiden ist jetzt.

---

Ihr Zertifikat läuft in den nächsten Monaten ab und Sie wollen wissen, ob der Zeitplan für die Rezertifizierung hält? Schicken Sie uns das Ablaufdatum – im kostenlosen Erstgespräch rechnen wir mit Ihnen rückwärts und sagen Ihnen ehrlich, wo es eng wird.