Das Überwachungsaudit: Was jedes Jahr auf Sie zukommt

Der schönste Moment der Zertifizierung ist der, in dem das Zertifikat da ist. Das Audit ist bestanden, das PDF hängt gerahmt im Flur oder als Logo auf der Website – und im Unternehmen kehrt spürbar Ruhe ein. Genau in diesem Moment entsteht das Missverständnis, das uns ein Jahr später am häufigsten begegnet: die Vorstellung, das Thema sei jetzt für drei Jahre erledigt.

Ist es nicht. Ein ISO-Zertifikat gilt zwar drei Jahre – aber nur unter einer Bedingung: dass jedes Jahr ein Überwachungsaudit stattfindet und bestanden wird. Wer das erst wieder auf dem Schirm hat, wenn die Einladung des Auditors kommt, erlebt einen unangenehm hektischen Monat. Wer weiß, was drankommt, erledigt das Ganze an einem entspannten Vormittag.

Dieser Artikel erklärt, wie der Drei-Jahres-Zyklus wirklich funktioniert, was im Überwachungsaudit geprüft wird und was nicht, an welchen drei Punkten es fast immer hakt – und wie Sie dafür sorgen, dass das jährliche Audit zur Routine wird statt zum Stresstest.

Der Drei-Jahres-Zyklus: So hängt alles zusammen

Eine ISO-Zertifizierung ist kein einmaliges Ereignis, sondern ein Zyklus. Er sieht so aus:

• Jahr 0 – Erstzertifizierung: Das große Audit in zwei Stufen (Dokumentenprüfung und Prüfung der gelebten Praxis). Danach wird das Zertifikat ausgestellt – mit drei Jahren Laufzeit.
• Jahr 1 – erstes Überwachungsaudit: Rund zwölf Monate nach der Zertifizierungsentscheidung. Kleiner als das Erstaudit, aber verpflichtend.
• Jahr 2 – zweites Überwachungsaudit: Wieder rund zwölf Monate später, gleiches Format.
• Jahr 3 – Rezertifizierung: Vor Ablauf des Zertifikats wird das System noch einmal vollständig geprüft, und der Zyklus beginnt von vorn.

Zwei Dinge daran werden regelmäßig übersehen. Erstens: Die Fälligkeit hängt am Datum Ihrer Zertifizierung, nicht am Kalenderjahr. Wer im November zertifiziert wurde, hat sein Überwachungsaudit im Herbst – nicht „irgendwann nächstes Jahr". Zweitens: Das Überwachungsaudit ist keine freundliche Empfehlung. Findet es nicht statt oder wird es nicht bestanden, kann das Zertifikat ausgesetzt oder entzogen werden – auch mitten in der Laufzeit. Die drei Jahre auf dem Papier gelten nur, solange die jährliche Prüfung mitläuft.

So verlangt es die ISO/IEC 17021, die Norm für Zertifizierungsstellen – und so handhaben wir es auch. Ein Zertifikat, das drei Jahre lang niemand mehr anschaut, wäre genau das Gefälligkeitspapier, von dem wir uns bewusst abgrenzen.

Was im Überwachungsaudit geprüft wird – und was nicht

Die gute Nachricht zuerst: Das Überwachungsaudit ist deutlich kleiner als das Erstaudit. Es wird nicht jedes Jahr das komplette Managementsystem von vorn bis hinten durchgeprüft. Typischerweise liegt der Aufwand bei etwa einem Drittel des Erstaudits – für ein kleines Unternehmen heißt das oft: ein Vormittag bis ein Tag.

Geprüft wird in jedem Überwachungsaudit ein fester Kern:

• Interne Audits: Haben Sie seit dem letzten Audit selbst geprüft, ob Ihr System funktioniert? Gibt es Ergebnisse, nicht nur einen Plan?
• Managementbewertung: Hat die Geschäftsführung das QM-System bewertet – mit echten Zahlen, Zielen und Entscheidungen?
• Umgang mit Reklamationen und Fehlern: Werden Beschwerden und interne Abweichungen erfasst, bearbeitet und ausgewertet?
• Maßnahmen aus dem letzten Audit: Wurden die Feststellungen vom letzten Mal tatsächlich umgesetzt – und hat es etwas gebracht?
• Änderungen im Unternehmen: Neue Standorte, neue Leistungen, deutlich mehr oder weniger Mitarbeiter? Das kann den Geltungsbereich des Zertifikats berühren.
• Verwendung von Zertifikat und Logo: Wird mit dem Zertifikat korrekt geworben – für das, was tatsächlich zertifiziert ist?

Dazu kommt ein wechselnder Schwerpunkt: Über die beiden Überwachungsaudits verteilt schaut sich der Auditor nach und nach weitere Bereiche des Systems an, sodass über den Zyklus alles einmal drankommt. Welcher Bereich das ist, steht im Auditprogramm – Sie können also vorher wissen, was auf dem Plan steht, und dürfen danach fragen.

Was das Überwachungsaudit dagegen nicht ist: eine zweite Erstzertifizierung. Niemand erwartet, dass Sie jedes Jahr alle Prozesse neu dokumentieren oder das ganze Unternehmen stillsteht. Wenn Ihr System im Alltag mitläuft, ist das Überwachungsaudit im Kern ein strukturiertes Jahresgespräch über das, was ohnehin passiert ist.

Die drei Klassiker: Woran es fast immer hakt

Wenn ein Überwachungsaudit schiefgeht, dann selten an exotischen Normkapiteln. Es sind mit erstaunlicher Zuverlässigkeit dieselben drei Punkte – und alle drei haben dieselbe Ursache: Das QM-System hat nach dem Erstaudit elf Monate geschlafen.

Klassiker 1: Das interne Audit fehlt. Die Norm verlangt, dass Sie Ihr System regelmäßig selbst prüfen. In der Praxis heißt das: mindestens ein internes Audit zwischen zwei externen Terminen. Steht der Auditor vor der Tür und das interne Audit existiert nur als leere Vorlage, ist das eine Abweichung – und zwar eine völlig vermeidbare.

Klassiker 2: Die Managementbewertung fehlt oder ist eine Alibi-Veranstaltung. Eine halbe Seite „alles in Ordnung, keine Änderungen" drei Tage vor dem Audit erkennt jeder erfahrene Auditor als das, was sie ist. Gemeint ist etwas anderes: Die Geschäftsführung schaut einmal im Jahr strukturiert auf Kennzahlen, Kundenfeedback, Fehler und Ziele – und entscheidet etwas. Das darf kurz sein. Es muss nur echt sein.

Klassiker 3: Die Maßnahmen aus dem letzten Audit wurden nicht umgesetzt. Das wiegt am schwersten. Wer die Feststellungen vom Vorjahr unbearbeitet liegen lässt, sagt dem Auditor faktisch: Wir nehmen das Verfahren nicht ernst. Aus einer kleinen Feststellung vom letzten Mal kann so eine wesentliche Abweichung werden – nicht weil das ursprüngliche Problem so groß war, sondern weil der Umgang damit das eigentliche Problem ist.

Alle drei Klassiker haben eine gemeinsame, unbequeme Wahrheit: Sie entstehen nicht im Audit, sondern in den elf Monaten davor. Ein Zertifikat an der Wand ersetzt kein System im Betrieb – und das Überwachungsaudit ist genau der Moment, in dem dieser Unterschied sichtbar wird.

Was passiert, wenn etwas gefunden wird?

Zunächst einmal: nichts Dramatisches. Für Feststellungen im Überwachungsaudit gelten dieselben Spielregeln wie im Erstaudit – es gibt Hinweise, kleinere und wesentliche Abweichungen, und für Abweichungen liefern Sie Korrektur, Ursachenanalyse und Korrekturmaßnahme nach. Ein Überwachungsaudit mit zwei kleineren Feststellungen ist kein schlechtes Ergebnis, sondern der Normalfall eines ehrlichen Verfahrens.

Kritisch wird es in zwei Situationen. Erstens bei wesentlichen Abweichungen, die nicht fristgerecht behoben werden – dann steht die Aussetzung des Zertifikats im Raum. Zweitens, wenn das Überwachungsaudit gar nicht stattfindet, weil der Termin verschleppt wird. Ein Zertifikat, dessen Überwachung überfällig ist, verliert seine Grundlage: Die Zertifizierungsstelle muss es dann aussetzen und schließlich zurückziehen. Für Ihre Kunden ist ein ausgesetztes Zertifikat schlimmer als gar keins – es wirft die Frage auf, was bei Ihnen passiert ist.

Deshalb unser klarer Rat: Den Termin niemals schleifen lassen. Wenn es organisatorisch eng wird – Krankheit, Auftragsspitze, Umzug –, reden Sie frühzeitig mit Ihrer Zertifizierungsstelle. Für Terminverschiebungen gibt es fast immer eine Lösung, solange sie vor der Fälligkeit gesucht wird. Danach wird es formell.

Mit vier Terminen im Kalender wird das Audit zur Routine

Die beruhigende Nachricht: Ein entspanntes Überwachungsaudit ist keine Frage von Aufwand, sondern von Timing. Wer vier Dinge über das Jahr verteilt, statt sie in den letzten vier Wochen zu stapeln, hat dem Audit nichts mehr nachzuarbeiten:

1. Internes Audit terminieren – am besten drei bis vier Monate vor dem Überwachungsaudit. Dann bleibt Zeit, gefundene Schwächen tatsächlich zu beheben, statt sie nur zu dokumentieren.
2. Managementbewertung dahinterlegen – nach dem internen Audit, mit dessen Ergebnissen als Grundlage. Zwei Stunden mit der Geschäftsführung reichen, wenn die Zahlen vorbereitet sind.
3. Maßnahmen aus dem letzten Audit im Blick behalten – nicht als Jahresend-Aktion, sondern mit Verantwortlichem und Termin direkt nach dem Audit, an dem sie entstanden sind.
4. Reklamationen und Fehler laufend erfassen – das ist der einzige Punkt, der wirklich Alltag sein muss. Eine simple Liste genügt; sie muss nur geführt werden, wenn etwas passiert, nicht rekonstruiert, wenn das Audit naht.

Wer so arbeitet, braucht für die eigentliche Auditvorbereitung kaum mehr als ein paar Stunden: Unterlagen zusammenstellen, Teilnehmer informieren, offene Punkte durchgehen. Alles andere ist dann schon da – weil es das Jahr über entstanden ist.

Und die Kosten?

Kurz und transparent: Ein Überwachungsaudit kostet deutlich weniger als die Erstzertifizierung, weil es kleiner ist. Entscheidend ist, dass Sie die Überwachungskosten von Anfang an kennen. Ein seriöses Angebot weist die jährlichen Überwachungsaudits von vornherein aus – ein Zertifikat ist ein Drei-Jahres-Paket, kein Einmalkauf. Wenn Ihnen ein Anbieter nur den Preis fürs erste Jahr nennt und den Rest im Kleingedruckten versteckt, wissen Sie, was Sie von ihm zu halten haben.

Fazit: Das Überwachungsaudit ist der Beweis, dass Ihr Zertifikat lebt

Man kann das jährliche Überwachungsaudit als lästige Pflicht sehen. Man kann es aber auch als das begreifen, was es eigentlich ist: der Mechanismus, der Ihr Zertifikat von einem hübschen PDF unterscheidet. Gerade weil jedes Jahr jemand hinschaut, können sich Ihre Kunden darauf verlassen, dass hinter dem Logo ein funktionierendes System steht – nicht nur eine gelungene Momentaufnahme von vor zwei Jahren.

Der Aufwand dafür ist überschaubar, wenn das System im Alltag mitläuft: ein internes Audit, eine ehrliche Managementbewertung, umgesetzte Maßnahmen, eine gepflegte Fehlerliste. Wer diese vier Dinge über das Jahr verteilt, erlebt das Überwachungsaudit als das, was es bei einem gesunden System ist – ein nützliches Jahresgespräch mit einem kritischen Blick von außen. Und wer stattdessen elf Monate nichts tut, erlebt jedes Jahr aufs Neue denselben hektischen Monat. Die Wahl liegt, ehrlich gesagt, komplett bei Ihnen.

---

Ihr Überwachungsaudit rückt näher und Sie sind unsicher, ob alles beisammen ist? Schicken Sie uns eine kurze Nachricht – im kostenlosen Erstgespräch gehen wir die typischen Prüfpunkte mit Ihnen durch und sagen Ihnen ehrlich, wo Sie stehen.