ISO 9001-Zertifizierung,
verständlich erklärt

ISO 9001 ist die internationale Norm für Qualitätsmanagement. Sie zertifiziert nicht, dass ein Produkt gut oder eine Dienstleistung schnell ist. Sie zertifiziert, dass Ihre Organisation ein funktionierendes Qualitätsmanagementsystem (QMS) betreibt: einen definierten Weg, um zu verstehen, was Kunden und Regulatoren verlangen, Prozesse zu gestalten, die das liefern, zu messen, ob sie es getan haben, und zu beheben, was nicht gelungen ist, immer wieder.

Diese Unterscheidung ist wichtiger, als sie klingt. Ein Auditor beurteilt nicht Ihr Produkt. Er fragt, ob Sie ihm das System zeigen können, mit dem Sie es konsistent richtig machen, und die Nachweise, dass dieses System läuft. ISO 9001 ist ausserdem mit grossem Abstand das weltweit am häufigsten erteilte Managementsystem-Zertifikat, weshalb es in Ausschreibungen und Lieferantenfragebögen in jeder Branche auftaucht, nicht nur in der Fertigung.

Die aktuelle Ausgabe ist ISO 9001:2015. Sie wurde 2021 unverändert bestätigt, und Amendment 1:2024 ergänzte die Anforderung zu prüfen, ob der Klimawandel ein relevantes Thema für die Organisation und ihre interessierten Parteien ist, dieselbe Änderung, die ISO auf ISO 27001 und ihre anderen Managementsystem-Normen angewendet hat.

ISO 9001 beruht auf sieben Grundsätzen, die ISO zusammen mit der Norm veröffentlicht: Kundenorientierung, Führung, Einbeziehung von Personen, prozessorientierter Ansatz, Verbesserung, faktengestützte Entscheidungsfindung und Beziehungsmanagement. Keiner davon wird direkt auditiert. Sie sind die Begründung hinter den Anforderungen, und wer sie zuerst liest, findet die Clauses deutlich weniger rätselhaft.

Zwei davon prägen die ganze Norm. Der prozessorientierte Ansatz verlangt, Ihre Organisation als Geflecht zusammenhängender Prozesse mit Eingaben, Ergebnissen, Verantwortlichen und Kennzahlen zu sehen, nicht als Sammlung von Abteilungen. Faktengestützte Entscheidungsfindung verlangt, diese Prozesse auf Basis von Daten zu steuern: Kundenfeedback, Fehlerquoten, Lieferperformance, Auditfeststellungen. Der Plan-Do-Check-Act-Zyklus, der sich durch jede Clause zieht, ist schlicht die Anwendung dieser beiden Grundsätze in einer Schleife.

Die Anforderungen von ISO 9001 sind in sieben Clauses gegliedert, die der harmonisierten Struktur folgen, die ISO für alle ihre Managementsystem-Normen verwendet. Clause 4 ist der Kontext: wer Ihre interessierten Parteien sind, was sie verlangen und was Ihr QMS abdeckt. Clause 5 ist Führung: die oberste Leitung verantwortet die Qualitätspolitik, die Ziele und die Kundenorientierung und kann diese Verantwortung nicht delegieren. Clause 6 ist Planung, wo Risiken und Chancen behandelt und Qualitätsziele festgelegt werden.

Clause 7 ist Unterstützung: die Personen, Infrastruktur, Kompetenz, das Bewusstsein, die Kommunikation und die dokumentierte Information, die das System braucht. Clause 8 ist der Betrieb und die längste Clause: wie Sie Kundenanforderungen ermitteln, Produkte und Dienstleistungen entwickeln, das steuern, was Sie von Lieferanten beziehen, Produktion oder Dienstleistungserbringung betreiben, Ergebnisse freigeben und mit nichtkonformen umgehen. Clause 9 ist die Bewertung der Leistung: Überwachung, Kundenzufriedenheit, internes Audit und Managementbewertung. Clause 10 ist Verbesserung: Nichtkonformität, Korrekturmassnahmen und fortlaufende Verbesserung.

Weil es keinen Anhang mit Controls gibt, sind die Clauses die ganze Norm. Jede Anforderung ist ein «muss» darin, und ein Auditor arbeitet sie eine nach der anderen durch und fragt, wie Ihre Prozesse jede erfüllen und welche Nachweise das belegen.

Die Ausgabe 2015 ersetzte die alte Anforderung an Vorbeugungsmassnahmen durch risikobasiertes Denken. Clause 6 verlangt, die Risiken und Chancen zu bestimmen, die Ihre Fähigkeit beeinträchtigen könnten, konforme Produkte und Dienstleistungen zu liefern und Kunden zufriedenzustellen, Massnahmen zu deren Behandlung zu planen und zu bewerten, ob diese Massnahmen gewirkt haben. Es ist eine Denkweise, die das ganze System durchzieht, kein separates Verfahren.

Anders als ISO 27001 schreibt ISO 9001 keine formale Risikobewertungsmethodik und kein Risikoregister vor. Sie dürfen eines führen, und Organisationen, die auch ISO 27001 betreiben, tun das in der Regel, aber die Norm verlangt nur, dass Risiken und Chancen berücksichtigt werden, dass diese Berücksichtigung im Verhältnis zu ihrer möglichen Auswirkung steht und dass Sie einem Auditor zeigen können, wo sie stattgefunden hat. Prozessreviews, Projekt-Kick-offs und Protokolle der Managementbewertung sind allesamt akzeptable Orte dafür.

ISO 9001 hat «Dokumente und Aufzeichnungen» durch einen einzigen Begriff ersetzt, dokumentierte Information, und unterscheidet zwei Arten. Information, die Sie aufrechterhalten, beschreibt das System und muss aktuell gehalten werden: der Anwendungsbereich des QMS, die Qualitätspolitik, die Qualitätsziele und die Verfahren, die Ihre Prozesse nach Ihrer Entscheidung brauchen. Information, die Sie aufbewahren, ist der Nachweis, dass das System gelaufen ist: Auditergebnisse, Ergebnisse der Managementbewertung, Aufzeichnungen zu Nichtkonformitäten und Korrekturmassnahmen, Kompetenznachweise, Kalibrier- und Überwachungsergebnisse sowie die Aufzeichnungen, die ein Produkt oder eine Dienstleistung durch den Betrieb nachverfolgbar machen.

Zum Format schweigt die Norm bewusst. Sie verlangt kein Qualitätshandbuch mehr, schreibt keine Verfahren vor und akzeptiert ein gut organisiertes Wiki ebenso wie einen Ordner. Was sie verlangt, ist Lenkung: dokumentierte Information muss gekennzeichnet, versioniert, freigegeben, dort verfügbar sein, wo sie gebraucht wird, und vor unbeabsichtigter Änderung geschützt werden. In der Praxis entscheidet sich hier zwischen den Audits, ob ein QMS lebt oder stirbt. Ein Verfahren, das eines sagt, während die Aufzeichnungen etwas anderes zeigen, ist die Feststellung, die Auditoren am häufigsten erheben.

Die Zertifizierung führt eine akkreditierte Zertifizierungsstelle in zwei Stufen durch. Stage 1 ist eine Bereitschaftsprüfung: Der Auditor prüft, ob das QMS als dokumentierte Information existiert, ob der Anwendungsbereich definiert ist, ob interne Audits und eine Managementbewertung geplant oder durchgeführt wurden und ob die Organisation bereit für die Bewertung ist. Meist ergibt sich daraus eine Liste von Lücken, die vor dem nächsten Schritt zu schliessen sind.

Stage 2 ist das eigentliche Zertifizierungsaudit. Der Auditor prüft Ihre Prozesse stichprobenweise gegen jede Clause, geht durch den Betrieb, befragt die Personen, die ihn führen, und testet, ob das System so funktioniert wie beschrieben, nicht nur, ob es aufgeschrieben ist. Vor Stage 2 erwartet die Norm, dass Sie mindestens einen vollständigen internen Auditzyklus und eine Managementbewertung selbst durchgeführt haben.

Ab einem ernsthaften Start erreichen die meisten kleinen und mittleren Organisationen Stage 2 in sechs bis zwölf Monaten, vor allem abhängig davon, wie viel Prozessdisziplin bereits vorhanden und wie viel davon aufgezeichnet ist. Das Zertifikat ist ein Kontrollpunkt für ein System, das Sie weiter betreiben, nicht das Ende eines Projekts.

Ein ISO 9001-Zertifikat ist drei Jahre gültig, und die Zertifizierungsstelle lässt Sie dazwischen nicht in Ruhe. Ein Überwachungsaudit in Jahr eins und zwei prüft, ob das QMS noch funktioniert, ob interne Audits und Managementbewertungen stattgefunden haben, ob Nichtkonformitäten geschlossen werden und ob sich das System verbessert. Ein vollständiges Rezertifizierungsaudit in Jahr drei verlängert das Zertifikat um einen weiteren Zyklus.

Das ist der Teil, den Organisationen unterschätzen. Die Arbeit, die das erste Zertifikat eingebracht hat, das interne Auditprogramm zu betreiben, Managementbewertungen mit den Eingaben abzuhalten, die die Norm auflistet, Korrekturmassnahmen mit Wirksamkeitsnachweis zu schliessen, dokumentierte Information aktuell zu halten, ist dieselbe Arbeit, die Sie durch jedes folgende Überwachungsaudit trägt. Teams, die die Zertifizierung als einmaliges Projekt behandeln, bauen die Nachweise vor jedem Besuch neu auf; Teams, die das QMS in ihre bestehende Arbeitsweise einbauen, nicht.

Es gibt keinen einheitlichen Preis für ISO 9001, weil der grösste Teil der Kosten Ihr eigener Aufwand ist und kein Posten auf einer Rechnung. Die Zertifizierungsstelle verrechnet die Stage-1- und Stage-2-Audits sowie jedes Überwachungsaudit, skaliert nach der Zahl der Personen, Standorte und Prozesse im Anwendungsbereich. Diese Gebühr ist meist der kleinere Teil.

Der grössere Teil ist der Aufbau und Betrieb des QMS: Prozesse abbilden, festlegen, welche dokumentierte Information sie brauchen, interne Audits durchführen, Managementbewertungen abhalten, Korrekturmassnahmen bis zum Abschluss verfolgen und all das durch jedes Audit hindurch aktuell halten. Organisationen, die das in Tabellen und geteilten Laufwerken führen, bezahlen vor jedem Überwachungsaudit erneut dafür, mit der Zeit, die es braucht, Aufzeichnungen zu rekonstruieren, die nie an einem Ort aufbewahrt wurden.

Zwei Hebel bewegen die Gesamtkosten stärker als die Gebühr der Zertifizierungsstelle. Der erste ist der Anwendungsbereich: die Standorte und Prozesse zertifizieren, nach denen Ihre Kunden tatsächlich fragen, statt alles auf einmal. Der zweite ist Integration: Wenn Sie auch ISO 27001 betreiben, lässt ein integriertes Managementsystem ein Auditprogramm, eine Managementbewertung und einen Korrekturmassnahmenprozess beiden Zertifikaten dienen, und viele Zertifizierungsstellen auditieren beide gemeinsam.