ISO 45001-Zertifizierung,
verständlich erklärt

ISO 45001 ist die internationale Norm für das Management von Arbeitssicherheit und Gesundheitsschutz. Sie zertifiziert nicht, dass Ihr Arbeitsplatz unfallfrei ist. Sie zertifiziert, dass Ihre Organisation ein funktionierendes SGA-Managementsystem betreibt: einen definierten Weg, die Gefährdungen Ihrer Arbeit zu ermitteln, die Risiken zu beurteilen, sie in vorgegebener Reihenfolge zu beherrschen, die Menschen einzubeziehen, die die Arbeit tun, zu untersuchen, was schiefgeht, und zu verbessern, immer wieder.

Veröffentlicht im März 2018, hat sie OHSAS 18001 abgelöst, die britische Spezifikation, die bis dahin weltweit verwendet wurde, und sie war die erste von ISO selbst herausgegebene Norm für Arbeitssicherheit. Amendment 1:2024 hat denselben Satz ergänzt, den ISO allen Managementsystem-Normen hinzugefügt hat: Die Organisation muss bestimmen, ob der Klimawandel ein relevantes Thema ist, was für die Sicherheit der Beschäftigten Hitze, Extremwetter und veränderte Arbeitsbedingungen bedeutet. Eine Revision der Ausgabe 2018 ist im Gang, mit einem Entwurf im Umlauf 2026; bis die neue Ausgabe veröffentlicht ist und ihre Übergangsfrist beginnt, bleibt ISO 45001:2018 die Ausgabe, nach der Sie zertifizieren.

Clause 4 ist der Kontext: die Themen, die die Sicherheit der Beschäftigten beeinflussen, die Beschäftigten und anderen interessierten Parteien mit ihren Bedürfnissen und der Anwendungsbereich, der jede Tätigkeit unter Ihrer Steuerung oder Ihrem Einfluss umfassen muss, die die SGA-Leistung beeinflussen kann. Clause 5 ist Führung und Beteiligung der Beschäftigten: Die oberste Leitung übernimmt die Gesamtverantwortung für die Verhütung von Verletzungen und Erkrankungen, legt die SGA-Politik mit ihren fünf Verpflichtungen fest, weist Rollen auf jeder Ebene zu und richtet Konsultation und Beteiligung der Beschäftigten ein. Clause 6 ist die Planung: Gefährdungsermittlung, Beurteilung von Risiken und Chancen, rechtliche und andere Anforderungen, geplante Massnahmen entlang der Massnahmenhierarchie und SGA-Ziele.

Clause 7 ist die Unterstützung: Ressourcen, Kompetenz einschliesslich der Fähigkeit, Gefährdungen zu erkennen, Bewusstsein einschliesslich des Rechts, gefährliche Arbeit zu verweigern, Kommunikation, die Sprache, Lesefähigkeit und Behinderung berücksichtigt, und dokumentierte Information. Clause 8 ist der Betrieb: Betriebssteuerung, Massnahmenhierarchie, Änderungsmanagement, Beschaffung, Auftragnehmer und Ausgliederung sowie Notfallvorsorge und Gefahrenabwehr einschliesslich Erster Hilfe. Clause 9 ist die Leistungsbewertung: Überwachung mit vorlaufenden und nachlaufenden Kennzahlen, Bewertung der Einhaltung, internes Audit und Managementbewertung. Clause 10 ist die Verbesserung: Vorfalluntersuchung, Nichtkonformität und Korrekturmassnahmen sowie fortlaufende Verbesserung.

Clause 5.4 unterscheidet ISO 45001 von jeder anderen ISO-Managementsystem-Norm. Beschäftigte aller Ebenen und, wo vorhanden, ihre Vertretungen müssen zur Politik, den Rollen, den rechtlichen Anforderungen, den Zielen, den Massnahmen, zur Ausgliederung und zur Überwachung konsultiert werden und sich an Gefährdungsermittlung, Risikobeurteilung, Massnahmenauswahl, Kompetenzbedarf, Kommunikation, Vorfalluntersuchung und Verbesserung beteiligen. Die Norm hebt Beschäftigte ohne Führungsfunktion hervor, weil sie diejenigen sind, die wissen, wo die wirklichen Gefährdungen liegen.

Die Organisation muss dafür Mechanismen, Zeit, Schulung und Informationen bereitstellen und die Hindernisse erkennen und beseitigen: Sprache, Lesefähigkeit, Angst vor Repressalien, Zeitmangel. Auditoren prüfen das direkt. Sie fragen Beschäftigte, ob sie zur letzten Risikobeurteilung konsultiert wurden, ob sie wissen, wie sie eine Gefährdung melden, und was beim letzten Mal geschehen ist, als jemand das getan hat.

Die Gefährdungsermittlung nach ISO 45001 ist fortlaufend und vorausschauend, kein jährliches Formular. Sie umfasst die Arbeitsorganisation, Arbeitsbelastung und psychosoziale Faktoren, routinemässige und nicht routinemässige Arbeit, frühere Vorfälle, Notfälle, Auftragnehmer und Besucher, die Arbeitsplatzgestaltung und jede geplante Änderung. Risiken werden mit dokumentierten Kriterien und unter Berücksichtigung bestehender Massnahmen beurteilt, und auch Chancen, Gefährdungen wegzukonstruieren, werden beurteilt.

Bei der Behandlung der Risiken schreibt die Norm eine Reihenfolge vor. Zuerst die Gefährdung beseitigen. Wenn das unmöglich ist, einen weniger gefährlichen Prozess, ein weniger gefährliches Material oder Gerät einsetzen. Dann technische Massnahmen und Umorganisation der Arbeit. Dann organisatorische Massnahmen wie Verfahren und Schulung. Persönliche Schutzausrüstung kommt zuletzt. Jede Massnahmenentscheidung muss zeigen, dass die höheren Stufen geprüft wurden, und eine Risikobeurteilung, die direkt bei Helm und Handschuhen landet, ist die Feststellung, die Auditoren am häufigsten erheben.

Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle in zwei Stufen. Stage 1 ist eine Bereitschaftsprüfung: Der Auditor prüft, ob das System als dokumentierte Information existiert, ob Anwendungsbereich, Politik, Gefährdungsregister, Risikobeurteilungen und rechtliche Anforderungen vorhanden sind und ob internes Audit, Bewertung der Einhaltung und Managementbewertung geplant oder durchgeführt wurden. Stage 2 ist das eigentliche Zertifizierungsaudit: Der Auditor begeht die Arbeitsplätze, verfolgt Gefährdungen in die Massnahmen, die sie beherrschen, befragt Beschäftigte zu Konsultation, Gefährdungen und ihrem Recht, gefährliche Arbeit zu verweigern, prüft das Auftragnehmermanagement und testet die Notfallvorsorge.

Von einem ernsthaften Start aus erreichen die meisten kleinen und mittleren Organisationen Stage 2 in sechs bis zwölf Monaten, vor allem abhängig davon, wie ausgereift Gefährdungsermittlung und Beteiligung der Beschäftigten bereits sind. Das Zertifikat ist dann drei Jahre gültig, mit einem Überwachungsaudit in den Jahren eins und zwei und einer vollständigen Rezertifizierung im dritten Jahr.

Die Zertifizierungsstelle verrechnet die Stage-1- und Stage-2-Audits sowie jedes Überwachungsaudit, skaliert nach Zahl der Standorte, Beschäftigten und dem Risikoniveau im Anwendungsbereich. Diese Gebühr ist meist der kleinere Teil. Der grössere Kostenblock ist der Aufbau und Betrieb des Systems: Gefährdungsermittlung mit Beteiligung der Beschäftigten, Risikobeurteilungen, rechtliche Anforderungen, sichere Arbeitsverfahren, Auftragnehmermanagement, Notfallübungen, Kompetenz und Schulung, Überwachung, Bewertung der Einhaltung, Audits und Bewertungen, und all das durch jedes Audit hindurch aktuell zu halten.

Zwei Hebel bewegen diese Kosten stärker als die Zertifizierungsgebühr. Der Anwendungsbereich, weil die Zertifizierung der Standorte und Tätigkeiten, nach denen Ihre Kunden und Behörden tatsächlich fragen, günstiger ist als die Zertifizierung von allem auf einmal. Und die Integration, weil bei gleichzeitigem Betrieb von ISO 9001, ISO 14001 oder ISO 27001 eine Kontextanalyse, ein Auditprogramm, eine Managementbewertung und ein Korrekturmassnahmenprozess jedem Zertifikat dienen können, und Zertifizierungsstellen auditieren sie üblicherweise gemeinsam.