Stufe 1 und Stufe 2: Warum die Erstzertifizierung aus zwei Audits besteht

Die meisten Unternehmen rechnen mit einem Termin: Der Auditor kommt, prüft das System, am Ende steht das Zertifikat. Dann kommt der Terminvorschlag der Zertifizierungsstelle – und darauf stehen zwei Termine, Wochen auseinander, mit unterschiedlicher Dauer und offensichtlich unterschiedlichem Charakter. Die Frage, die wir dazu am häufigsten hören: „Reicht das nicht in einem Rutsch?"

Nein, und das ist auch nicht verhandelbar. Jede Erstzertifizierung nach ISO 9001, 27001 oder vergleichbaren Normen läuft zweistufig – Stufe 1 und Stufe 2 –, das schreibt die ISO/IEC 17021-1 für alle Zertifizierungsstellen verbindlich vor. Was in unserem Artikel zur Rezertifizierung nur eine Randbemerkung war („keine Stufe 1 mehr, solange sich am Unternehmen nichts Grundlegendes geändert hat"), holen wir hier nach: Was in Stufe 1 passiert, was in Stufe 2, warum die Trennung Sinn ergibt – und wie viel Zeit realistisch dazwischen liegt.

Warum es überhaupt zwei Audits braucht

Die Logik dahinter ist einfach, wird aber selten erklärt: Ein Auditor kann nicht sinnvoll prüfen, ob ein System wirksam gelebt wird, bevor er weiß, ob es überhaupt vollständig da ist. Beides in einem Termin zu prüfen würde bedeuten, mitten in der Prozessbeobachtung festzustellen, dass eine Pflichtangabe im Handbuch fehlt oder der Geltungsbereich nicht zum Geschäft passt – und dann steht der ganze Termin auf der Kippe.

Deshalb trennt die Norm die beiden Fragen bewusst:

• Stufe 1 fragt: Ist das System bereit für die Prüfung? Dokumentation vollständig, Geltungsbereich klar, Pflichtprozesse beschrieben, keine offensichtlichen Lücken.
• Stufe 2 fragt: Funktioniert das System im Alltag, so wie es beschrieben ist? Das ist die eigentliche Wirksamkeitsprüfung – vor Ort, mit Beobachtung, Interviews und Nachweisen.

Der Nebeneffekt, der in der Praxis oft der wichtigere ist: Stufe 1 filtert. Wird dort eine wesentliche Lücke gefunden, wird Stufe 2 verschoben, statt vor Ort mit einem System zu scheitern, das erkennbar nicht reif war. Das spart am Ende beiden Seiten Zeit und Geld – ein abgebrochenes Stufe-2-Audit ist teurer als ein verschobenes.

Stufe 1: Die Bereitschaftsprüfung

Stufe 1 ist in erster Linie eine Dokumenten- und Bereitschaftsprüfung, oft kürzer als Stufe 2 und je nach Zertifizierungsstelle remote oder vor Ort möglich. Der Auditor schaut sich an:

• Den Geltungsbereich. Beschreibt er, was das Unternehmen tatsächlich tut, und wo? Passt er zu Standort, Produkten oder Dienstleistungen? Ein unklarer oder zu weit gefasster Geltungsbereich ist der klassische Stufe-1-Befund.
• Die Pflichtdokumente und -aufzeichnungen. Ist die Politik verabschiedet, sind Ziele definiert, gibt es die von der Norm geforderten Nachweise – oder zumindest ein plausibles Konzept dafür, wie sie entstehen sollen?
• Die Kontextanalyse und Risikobewertung. Wurden relevante interne und externe Themen sowie interessierte Parteien identifiziert (Kapitel 4)? Das ist die Grundlage für fast alles, was danach kommt.
• Den Stand des internen Audits und der Managementbewertung. Beide müssen zum Zeitpunkt der Stufe 2 mindestens einmal vollständig durchlaufen sein – Stufe 1 prüft, ob das terminlich realistisch ist.
• Die betriebliche Bereitschaft. Ist genug vom System tatsächlich im Einsatz, dass ein Vor-Ort-Audit überhaupt sinnvolle Beobachtungen liefert – oder existiert bislang nur die Dokumentenmappe?

Am Ende von Stufe 1 steht kein Zertifikat und in aller Regel auch keine Feststellung im formellen Sinn, sondern ein Bericht mit Beobachtungen und – falls nötig – Punkten, die vor Stufe 2 noch zu klären sind. Der Auditor gibt außerdem eine Einschätzung ab, ob und wann das Unternehmen reif für Stufe 2 ist. Ist die Lücke groß, wird der Termin verschoben; das ist kein Rückschlag, sondern genau der Zweck von Stufe 1.

Stufe 2: Die Wirksamkeitsprüfung

Stufe 2 ist das, was die meisten sich unter „dem Audit" vorstellen: ein Vor-Ort-Termin, an dem der Auditor durch den Betrieb geht, mit Mitarbeitenden spricht, Nachweise sehen will und beobachtet, ob das, was in den Dokumenten steht, auch tatsächlich passiert. Der Fokus liegt auf:

• Der Umsetzung im Alltag. Werden die beschriebenen Prozesse tatsächlich so gelebt? Kennen die Verantwortlichen ihre Aufgaben, ohne im Handbuch nachschlagen zu müssen?
• Der Wirksamkeit, nicht nur der Existenz. Ein Reklamationsprozess, der dokumentiert ist, aber nie zu einer Korrekturmaßnahme geführt hat, ist auf dem Papier vollständig und in der Wirkung fraglich.
• Allen Normkapiteln im Geltungsbereich. Anders als im späteren Überwachungsaudit, das mit Schwerpunkten arbeitet, deckt Stufe 2 einmal das gesamte System ab.
• Konkreten Nachweisen. Schulungsprotokolle, Prüfaufzeichnungen, Reklamationsakten, Ergebnisse des internen Audits und der Managementbewertung – alles, was zeigt, dass der PDCA-Zyklus mindestens einmal komplett durchlaufen wurde.

Erst nach Stufe 2 kann die Zertifizierungsstelle eine Zertifizierungsentscheidung treffen. Gibt es Abweichungen, müssen diese – je nach Schwere – vor der Entscheidung behoben und nachgewiesen sein, bevor das Zertifikat ausgestellt wird.

Wie viel Zeit zwischen den Stufen liegt

Eine feste Vorgabe gibt es nicht, aber in der Praxis hat sich ein Rahmen etabliert:

• Meist einige Wochen bis wenige Monate. Genug Zeit, um aus Stufe 1 gefundene Lücken zu schließen, zu knapp bemessen führt sonst dazu, dass Stufe 2 dieselben Punkte wieder vorfindet.
• Ein internes Audit und eine Managementbewertung müssen dazwischenpassen, falls sie zum Zeitpunkt von Stufe 1 noch nicht stattgefunden haben. Das ist oft der zeitbestimmende Faktor, nicht der Kalender des Auditors.
• Nach oben gibt es eine Grenze. Liegt zwischen den Stufen zu viel Zeit – als Richtwert gilt meist um die sechs Monate –, verlangen viele Zertifizierungsstellen eine erneute Prüfung, ob sich seither etwas Wesentliches verändert hat, bevor Stufe 2 stattfinden kann.

Wer diesen Zeitraum aktiv nutzt statt nur abzuwarten, hat den größten Hebel für ein reibungsloses Stufe-2-Audit in der eigenen Hand.

Die häufigsten Stolpersteine

• Stufe 1 wird als Formsache abgehakt. Wer die Beobachtungen aus Stufe 1 nicht ernst nimmt, trägt dieselben Lücken unverändert in Stufe 2 – nur dass sie dort als Abweichung zählen, nicht mehr als Hinweis.
• Zu wenig Zeit zwischen den Terminen. Interne Audits und Managementbewertung werden erst kurz vor Stufe 2 durchgeführt, wirken dadurch wie eine Pflichtübung fürs Audit statt wie ein echter Systembestandteil – der Auditor merkt das.
• Das System existiert nur für Stufe 1. Dokumentation ist vollständig, aber im Alltag noch nicht angekommen. Stufe 1 prüft Papier, Stufe 2 prüft Praxis – wer das verwechselt, erlebt in Stufe 2 eine böse Überraschung.
• Der Geltungsbereich wird zwischen den Stufen verändert, ohne die Zertifizierungsstelle zu informieren – etwa weil sich das Angebot in der Zwischenzeit erweitert hat. Das gehört gemeldet, nicht stillschweigend mitgeführt.

Die Fünf-Minuten-Prüfung vor Stufe 1

Bevor Sie den Termin für Stufe 1 bestätigen, prüfen Sie:

1. Ist der Geltungsbereich final formuliert und deckt er alle Standorte und Leistungen ab, die zertifiziert werden sollen?
2. Sind Politik und Ziele verabschiedet – nicht im Entwurf, sondern unterschrieben und kommuniziert?
3. Ist mindestens ein interner Audit-Durchlauf bis zur Stufe 2 realistisch terminierbar? Wenn nicht, ist der Stufe-2-Termin zu früh angesetzt.
4. Kennen die betroffenen Mitarbeitenden ihre Rolle im System, oder wurde bislang nur die Dokumentation erstellt?
5. Gibt es für die zentralen Prozesse bereits erste Aufzeichnungen – Schulungsnachweise, Prüfprotokolle, Reklamationsfälle –, die in Stufe 2 als Beleg dienen können?

Vier von fünf Ja reichen für einen entspannten Start in Stufe 1. Bei der fünften Frage geht es nicht um Perfektion, sondern darum, dass zwischen den Stufen noch genug Zeit bleibt, sie zu beantworten.

Fazit: Zwei Audits, ein Ziel

Stufe 1 und Stufe 2 sind kein bürokratischer Umweg, sondern zwei unterschiedliche Fragen, die beide beantwortet werden müssen, bevor ein Zertifikat seinen Namen verdient: Ist das System vollständig – und funktioniert es. Wer das versteht, plant den Abstand zwischen den Terminen als Arbeitszeit statt als Wartezeit und nutzt Stufe 1 als das, was sie sein soll: eine kostenlose Vorwarnung, bevor es in Stufe 2 um die Entscheidung geht.

---

Sie stehen kurz vor der Erstzertifizierung und wissen nicht, ob Ihr System schon reif für Stufe 1 ist? Schicken Sie uns Ihren Stand – im kostenlosen Erstgespräch sagen wir Ihnen ehrlich, wo Sie stehen und wie viel Zeit Sie realistisch bis Stufe 2 brauchen.