ISO 9001 Zertifizierung: Ablauf Schritt für Schritt, von der Entscheidung bis zum Zertifikat

Der Ablauf auf einen Blick

Eine ISO 9001 Zertifizierung besteht aus zwei getrennten Teilen, die oft verwechselt werden. Der erste Teil ist der Aufbau des Managementsystems: Das macht das Unternehmen selbst oder mit einem Berater. Der zweite Teil ist die Zertifizierung: Das macht eine unabhängige Zertifizierungsstelle, die prüft, ob das System die Norm erfüllt, und das Zertifikat ausstellt.

Die acht Schritte in der Reihenfolge, in der sie in der Praxis ablaufen:

• Entscheidung und Geltungsbereich festlegen
• Prozesse aufnehmen
• Managementsystem aufbauen
• System einführen und Team mitnehmen
• Internes Audit
• Managementbewertung
• Zertifizierungsaudit, Stufe 1 und Stufe 2
• Zertifikat und die drei Jahre danach

Schritt 1 bis 6 sind der Aufbau, Schritt 7 und 8 die Zertifizierung. Wer die Reihenfolge einhält, hat im Audit keine Überraschungen.

Schritt 1: Entscheidung und Geltungsbereich

Am Anfang steht fast immer ein äußerer Anlass: Ein Kunde verlangt das Zertifikat, eine Ausschreibung setzt es voraus, ein Konzern reicht seine Anforderungen an die Lieferkette durch. Die erste Entscheidung ist deshalb nicht, ob, sondern wie: selbst machen oder mit Berater, und wann das Zertifikat da sein muss.

Dann wird der Geltungsbereich festgelegt: Welche Standorte, welche Bereiche, welche Leistungen soll das Zertifikat abdecken? Ein Handwerksbetrieb mit einem Standort ist einfach. Ein Dienstleister mit drei Niederlassungen muss entscheiden, ob alle rein sollen. Der Geltungsbereich steht später wörtlich auf dem Zertifikat, und Kunden lesen ihn.

Typischer Fehler: Der Geltungsbereich wird zu groß gewählt, weil man alles abdecken will. Besser klein anfangen mit dem, was der Kunde braucht, erweitern geht später immer.

Schritt 2: Prozesse aufnehmen

Das ist der Schritt, der darüber entscheidet, ob das System später funktioniert oder in der Schublade landet. Es geht darum, zu beschreiben, wie der Betrieb heute arbeitet: Wie kommt ein Auftrag rein, wer plant, wer führt aus, wer prüft, wer stellt die Rechnung? Welche Lieferanten, welche Werkzeuge, welche Prüfungen?

Bei uns passiert das in zwei bis drei Gesprächen mit der Geschäftsführung und den Leuten, die die Arbeit machen. Das Ergebnis ist eine Prozesslandkarte: eine Seite, auf der alle Kernprozesse mit Verantwortlichen stehen. Sie ist das Herz des Systems, und sie ist oft das erste Mal, dass ein Geschäftsführer sein Unternehmen als Ganzes sieht.

Typischer Fehler: Prozesse so beschreiben, wie sie sein sollten, statt wie sie sind. Der Auditor merkt das in Stufe 2 sofort, weil die Mitarbeitenden etwas anderes erzählen als die Dokumente.

Schritt 3: Managementsystem aufbauen

Jetzt entstehen die Dokumente, die die Norm verlangt. Das ist weniger, als die meisten denken: Qualitätspolitik, Kontextanalyse mit interessierten Parteien, Prozessbeschreibungen, Rollen und Verantwortlichkeiten, Risiken und Chancen, Qualitätsziele, die wichtigsten Vorlagen für Nachweise. Ein Handbuch ist seit 2015 keine Anforderung mehr, auch wenn viele es noch schreiben.

Mit Berater: Der Berater schreibt auf Basis der Gespräche, das Unternehmen prüft, korrigiert und gibt frei. Aufwand für den Betrieb: wenige Stunden. Ohne Berater: Jemand im Unternehmen arbeitet sich in die Norm ein, schreibt alles selbst und lernt an jedem Kapitel. Aufwand: erfahrungsgemäß mehrere Monate neben dem Tagesgeschäft.

Typischer Fehler: Vorlagen aus dem Internet kaufen und ausfüllen. Das Ergebnis passt zu keinem Betrieb, und der Auditor erkennt es am Vokabular.

Schritt 4: System einführen und Team mitnehmen

Ein System, das nur die Geschäftsführung kennt, besteht kein Audit. Die Norm verlangt, dass Mitarbeitende die Qualitätspolitik kennen, ihre Rolle verstehen und wissen, wo sie Vorgaben und Vorlagen finden. Seit der ISO 9001:2026 kommt die Qualitätskultur dazu, und der Auditor fragt die Leute direkt danach.

In der Praxis heißt das: eine kurze Unterweisung für alle, eine etwas längere für die, die Prozesse verantworten, und ein paar Wochen, in denen das System wirklich benutzt wird. Nachweise, die der Auditor sehen will, etwa Schulungsnachweise, Lieferantenbewertungen, Reklamationsbearbeitung, müssen in dieser Zeit entstehen. Ein System ohne Nachweise ist nur Papier.

Typischer Fehler: Das Audit direkt nach dem Aufbau ansetzen. Dann gibt es keine Nachweise, und der Auditor kann nicht prüfen, ob das System gelebt wird.

Schritt 5: Internes Audit

Bevor der externe Auditor kommt, prüft das Unternehmen sich selbst. Das interne Audit ist eine Normanforderung aus Kapitel 9.2 und gleichzeitig die beste Generalprobe. Jemand, der nicht für den geprüften Bereich verantwortlich ist, geht die Norm Kapitel für Kapitel durch, spricht mit den Leuten, lässt sich Nachweise zeigen und schreibt auf, was fehlt.

Bei kleinen Betrieben macht das oft der Berater, weil intern niemand unabhängig genug ist. Die gefundenen Abweichungen werden vor dem externen Audit behoben. Ein gutes internes Audit nimmt dem Zertifizierungsaudit den Schrecken, weil man weiß, was kommt.

Mehr dazu im Artikel zum internen Audit.

Schritt 6: Managementbewertung

Die Geschäftsführung setzt sich einmal hin und bewertet das System: Erreichen wir die Qualitätsziele? Was sagen Kunden? Was kam im internen Audit heraus? Reichen die Ressourcen? Was ändern wir? Das ist Kapitel 9.3 der Norm, und es ist Pflicht vor der Zertifizierung.

Die Managementbewertung ist bei den meisten ein Dokument von zwei bis drei Seiten mit einem Protokoll. Wichtig ist, dass sie Entscheidungen enthält, nicht nur Feststellungen. Der Auditor will sehen, dass die Führung das System steuert.

Schritt 7: Zertifizierungsaudit in zwei Stufen

Jetzt übernimmt die Zertifizierungsstelle. Das Unternehmen wählt eine akkreditierte Stelle, in Deutschland etwa TÜV Rheinland, TÜV SÜD, DEKRA, DQS oder kleinere Anbieter, holt ein Angebot ein und vereinbart Termine. Die Stelle prüft unabhängig, ein Berater darf das nie selbst tun.

Stufe 1, die Dokumentenprüfung: Der Auditor sichtet das System, prüft, ob alle Normkapitel abgedeckt sind, und beurteilt, ob der Betrieb bereit für Stufe 2 ist. Das geht oft online und dauert einen halben bis einen Tag. Am Ende gibt es einen Bericht mit Hinweisen, die vor Stufe 2 behoben werden sollten.

Stufe 2, das Audit im Betrieb: Der Auditor kommt ins Unternehmen, je nach Größe ein bis drei Tage. Er spricht mit Geschäftsführung und Mitarbeitenden, geht durch die Prozesse, lässt sich Nachweise zeigen und prüft, ob Beschreibung, Aussagen und Belege zusammenpassen. Am Ende steht eine Abschlussbesprechung mit dem Ergebnis.

Drei mögliche Ergebnisse: keine Abweichungen, dann wird das Zertifikat empfohlen. Nebenabweichungen, einzelne Lücken, die innerhalb einer Frist mit Maßnahmenplan behoben werden, das Zertifikat kommt trotzdem. Hauptabweichungen, ein Normkapitel ist nicht oder systematisch nicht erfüllt, dann gibt es erst nach Nachbesserung und Nachprüfung ein Zertifikat. Mit sauberer Vorbereitung sind Hauptabweichungen die Ausnahme.

Schritt 8: Zertifikat und die drei Jahre danach

Nach dem Audit prüft die Zertifizierungsstelle den Bericht intern und stellt das Zertifikat aus, meist innerhalb von zwei bis sechs Wochen. Es nennt Unternehmen, Standorte, Geltungsbereich, Norm und Gültigkeit. Das Unternehmen darf jetzt mit dem Zertifikat und dem Logo der Zertifizierungsstelle werben.

Das Zertifikat gilt drei Jahre. Im zweiten und dritten Jahr kommt ein Überwachungsaudit, kürzer als das erste, meist ein Tag. Nach drei Jahren folgt die Rezertifizierung, wieder ein vollständiges Audit. Damit das System in der Zeit nicht einschläft, braucht es jährlich ein internes Audit und eine Managementbewertung, das sind die beiden Termine, die man sich in den Kalender schreibt.

Wie lange dauert das Ganze?

Das hängt fast nur von Schritt 2 bis 4 ab. Mit einem Berater, der das System auf Basis der Gespräche aufbaut, sind Betriebe bis etwa 50 Mitarbeitende in wenigen Wochen auditbereit. Größere Unternehmen oder mehrere Standorte brauchen etwas länger. Dazu kommt die Wartezeit auf den Audittermin bei der Zertifizierungsstelle, die je nach Auslastung zwei bis acht Wochen beträgt, und die Ausstellung des Zertifikats.

Ohne Berater rechnen die meisten Unternehmen mit zwölf bis achtzehn Monaten, weil die Einarbeitung in die Norm und das Schreiben neben dem Tagesgeschäft laufen. Das ist nicht falsch, aber selten geplant.

Wer einen festen Termin hat, etwa eine Ausschreibungsfrist, sollte vom Termin rückwärts rechnen: Zertifikat vier Wochen vorher, Audit sechs Wochen vorher, Auditbereitschaft also mindestens zehn Wochen vor der Frist.

Was kostet die Zertifizierung?

Zwei getrennte Posten. Erstens der Systemaufbau: entweder Eigenleistung, also die Arbeitszeit der eigenen Leute, oder ein Berater, bei uns zum Festpreis nach Größe und Standorten. Zweitens die Zertifizierungsstelle: Sie rechnet nach Audittagen ab, die sich aus Mitarbeiterzahl und Komplexität ergeben, plus Zertifikatsgebühr. Für einen Betrieb mit 20 Mitarbeitenden liegt das Audit im unteren vierstelligen Bereich pro Jahr, Überwachungsaudits sind günstiger.

Die Zertifizierungsstelle darf nicht beraten und der Berater nicht zertifizieren, das ist gesetzlich so vorgesehen. Wer also ein Angebot bekommt, das beides aus einer Hand verspricht, sollte genau hinschauen.

Alle Kostenblöcke mit Zahlen stehen im Artikel zu den Kosten der ISO 9001.

Die fünf Stellen, an denen es hakt

• Die Prozesse werden beschrieben, wie sie sein sollten, nicht wie sie sind. Folge: Widersprüche in Stufe 2.
• Das Team wird nicht mitgenommen. Folge: Mitarbeitende kennen die Politik nicht, der Auditor merkt es im ersten Gespräch.
• Keine Nachweise, weil das Audit zu früh angesetzt wurde. Folge: Der Auditor kann nicht prüfen, ob das System läuft.
• Internes Audit und Managementbewertung werden vergessen. Folge: zwei garantierte Abweichungen, weil beides Normpflicht ist.
• Die Zertifizierungsstelle wird zu spät angefragt. Folge: Der Audittermin liegt hinter der Ausschreibungsfrist.

Alle fünf lassen sich vermeiden, wenn man die Reihenfolge einhält und früh genug anfängt. Wie der Weg für deinen Betrieb konkret aussieht, mit Dauer und Festpreis, zeigt die Leistungsseite, und im Erstgespräch rechnen wir es dir vor.