ISO/IEC 17021-1 beschreibt die Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren. Sie richtet sich also nicht an Unternehmen, die ein Zertifikat wollen, sondern an die Organisation, die es ausstellt. Trotzdem lohnt sich die Norm für die andere Seite: Fast alles, was Sie an Ihrem Zertifizierungsaudit als starr empfinden — die Zahl der Tage, der zweite Termin nach zwölf Monaten, das Verbot, Lösungen vorzuschlagen —, steht hier drin.
Die Stelle selbst wird nach dieser Norm nicht zertifiziert, sondern akkreditiert. Zuständig ist die nationale Akkreditierungsstelle, in Deutschland die DAkkS. Das ist keine Formalie, sondern die Konstruktion des ganzen Systems: Wer andere bewertet, wird von einer übergeordneten Ebene bewertet. Was ein Zertifikat ohne diese Ebene wert ist, beschreibt der Beitrag dazu, was ein nicht akkreditiertes Zertifikat wert ist.
Die Nummer trägt seit der Fassung von 2015 den Zusatz „-1”. Die weiteren Teile der Reihe regeln nicht das Verfahren, sondern die Kompetenzanforderungen an Auditoren für einzelne Disziplinen — etwa Umwelt, Qualität oder Arbeitsschutz. Wer nur „ISO 17021” liest, meint fast immer den ersten Teil.
Was die Norm verlangt
Die Norm ist in Prinzipien und daraus abgeleitete Anforderungen gegliedert. Die Prinzipien in Abschnitt 4 — Unparteilichkeit, Kompetenz, Verantwortung, Offenheit, Vertraulichkeit, Umgang mit Beschwerden und ein risikobasierter Ansatz — sind der Maßstab, an dem im Zweifel ausgelegt wird.
| Abschnitt | Inhalt | Was daraus für Kunden folgt |
|---|---|---|
| 5 | Allgemeine Anforderungen | Trennung von Beratung und Zertifizierung, Umgang mit Interessenkonflikten, Haftung und Finanzierung |
| 6 | Struktur | Absicherung der Unparteilichkeit über ein Gremium mit ausgewogener Interessenvertretung |
| 7 | Ressourcen | Kompetenz von Auditoren und Entscheidern je Norm und Branchensektor, Einsatz externer Auditoren, Leistungsbewertung |
| 8 | Informationen | Öffentlich zugängliche Angaben, Inhalte des Zertifikats, Verzeichnis der zertifizierten Kunden, Regeln zur Zeichennutzung |
| 9 | Prozesse | Antragsprüfung, Auditprogramm, Stufe 1 und Stufe 2, Überwachung, Rezertifizierung, Sonderaudits, Aussetzen und Entziehen |
| 10 | Eigenes Managementsystem | Interne Audits, Managementbewertung, Korrekturmaßnahmen der Stelle selbst |
Vier Regelungen prägen den Alltag im Audit.
Unparteilichkeit ist ein bewertetes Risiko, keine Beteuerung. Die Stelle muss ihre Beziehungen fortlaufend analysieren: Beratungsnähe, Eigentümerstrukturen, langjährige Auditoren beim selben Kunden, Umsatzkonzentration. Überwacht wird das durch den Unparteilichkeitsausschuss, der mit Vertretern verschiedener Interessengruppen besetzt ist und Einblick in diese Analyse hat.
Audit und Entscheidung sind getrennt. Der Zertifizierungsentscheider darf nicht am Audit beteiligt gewesen sein. Das erklärt, warum zwischen dem Schlussgespräch und dem Zertifikat Zeit vergeht — und warum ein Auditor Ihnen im Schlussgespräch keine Zusage machen darf.
Die Auditzeit ist nicht verhandelbar. Grundlage ist ein verbindliches Berechnungsschema, das von der Zahl der effektiv Beschäftigten ausgeht und nach Standorten, Prozesskomplexität und einbezogenen Normen angepasst wird. Wer bei einem Angebotsvergleich auffällig wenige Tage angeboten bekommt, sollte nachfragen, wie diese Zahl zustande kommt.
Der Zyklus hat feste Fristen. Die erste Überwachung muss innerhalb von zwölf Monaten nach der Zertifizierungsentscheidung stattfinden. Die Rezertifizierung muss abgeschlossen sein, bevor das Zertifikat abläuft; eine rückwirkende Verlängerung ist ausgeschlossen und eine Wiederherstellung nach Ablauf nur in einem begrenzten Zeitfenster zulässig. Das ist der Grund, warum Ihre Stelle früh auf Termine drängt.
Auch die Zweiteilung des Erstaudits stammt aus dieser Norm. Stufe 1 prüft, ob das System überhaupt auditierbar ist: Geltungsbereich, Dokumentation, interne Audits, Managementbewertung, Standortbedingungen. Stufe 2 prüft die Wirksamkeit in der Praxis. Zwischen beiden muss genug Zeit liegen, um Lücken zu schließen, und Stufe 1 findet grundsätzlich beim Kunden statt, wenn nur so beurteilt werden kann, ob die Voraussetzungen vorliegen. Wer ein Angebot ohne getrennte Stufe 1 erhält, sollte nachfragen.
Wer die Norm braucht — und wer nur hineinsehen sollte
Anwenden muss sie jede Stelle, die Managementsysteme zertifiziert und dafür akkreditiert sein will. Ohne diese Akkreditierung sind ihre Zertifikate in Ausschreibungen regelmäßig wertlos, weil Auftraggeber ausdrücklich akkreditierte Nachweise verlangen — der Beitrag dazu, warum akkreditierte Zertifikate in Ausschreibungen verlangt werden, erklärt die Mechanik.
Nicht die richtige Norm ist sie für drei Fälle, die regelmäßig verwechselt werden. Wer Produkte, Prozesse oder Dienstleistungen zertifiziert, braucht ISO/IEC 17065. Wer Personen zertifiziert — Schweißer, Auditoren, Sachkundige —, braucht ISO/IEC 17024. Wer prüft oder kalibriert, braucht ISO/IEC 17025. Eine Stelle, die mehrere dieser Tätigkeiten anbietet, braucht mehrere Akkreditierungen und muss die Tätigkeiten organisatorisch trennen.
Für Unternehmen, die zertifiziert werden, lohnt der Blick in die Norm aus einem anderen Grund. Sie ist der Maßstab, an dem Sie das Verhalten Ihrer Zertifizierungsstelle messen können: bei der Auswahl, bei einem Streit über eine Feststellung und beim Wechsel der Zertifizierungsstelle.
Drei Rechte aus der Norm werden dabei regelmäßig übersehen. Sie dürfen dem vorgeschlagenen Auditteam widersprechen, wie der Beitrag dazu erklärt, wie Sie einen Auditor ablehnen können. Sie dürfen gegen eine Feststellung und gegen die Zertifizierungsentscheidung Einspruch einlegen, und über diesen Einspruch muss jemand entscheiden, der nicht beteiligt war. Und Sie dürfen ein laufendes Zertifikat zu einer anderen akkreditierten Stelle mitnehmen, ohne dass der Zyklus neu beginnt — die Regeln dafür stehen in einem eigenen Auslegungsdokument.
Der Weg zur Akkreditierung
Für die Stelle selbst verläuft das Verfahren in fünf Schritten und dauert deutlich länger als eine Managementsystem-Zertifizierung.
Antrag mit Umfang. Die Stelle beantragt konkrete Normen und Branchensektoren. Was nicht beantragt wird, steht später nicht im Akkreditierungsumfang — und Zertifikate außerhalb dieses Umfangs sind nicht akkreditiert, auch wenn das Logo daruntersteht.
Kompetenznachweise aufbauen. Für jede Norm und jeden Sektor müssen Auditoren und Entscheider mit dokumentierter Kompetenz vorhanden sein, nicht nur benannt. Das ist der aufwendigste Teil, weil die Nachweise personenbezogen sind und bei jedem Ausscheiden neu gefüllt werden müssen.
Dokumentenbegutachtung. Die Akkreditierungsstelle prüft Verfahren, Unparteilichkeitsanalyse, Kompetenzsystem und Vertragswerk.
Begutachtung am Standort und Zeugenbegutachtung. Zusätzlich zur Prüfung im Haus begleiten Begutachter echte Audits bei Kunden der Stelle. Bewertet wird dort der Auditor: Führt er das Audit normkonform, verhält er sich unparteiisch, sind seine Feststellungen belegt.
Entscheidung und laufende Überwachung. Nach der Erteilung folgen jährliche Überwachungsbegutachtungen mit weiteren Zeugenbegutachtungen. Verliert eine Stelle die Akkreditierung, betrifft das ihre Kunden unmittelbar — was dann zu tun ist, beschreibt der Beitrag dazu, was passiert, wenn Ihre Zertifizierungsstelle die Akkreditierung verliert.
Woran Begutachtungen scheitern
Die Unparteilichkeitsanalyse nennt keine Risiken. Ein Formular mit dem Ergebnis, es bestünden keine Interessenkonflikte, obwohl eine Beratungsgesellschaft desselben Eigentümers dieselben Branchen bedient. Gefordert ist eine benannte, bewertete und mit Maßnahmen unterlegte Risikoliste.
Die Auditzeit wird ohne Begründung unterschritten. Häufig bei Mehrfachnormen, wenn Synergien pauschal abgezogen werden. Jede Reduktion muss dokumentiert und begründet sein.
Die Entscheidung trifft jemand, der auditiert hat. Passiert vor allem in kleinen Stellen mit dünner Personaldecke — und ist ein systematischer Mangel, keine Formalie.
Kompetenz ist behauptet, nicht belegt. Ein Auditor ist für einen Branchensektor eingesetzt, für den weder Berufserfahrung noch Schulung noch eine begleitete Auditteilnahme dokumentiert ist.
Die Standortstichprobe bei Mehrstandortkunden ist falsch gebildet. Zentrale nicht in jedem Zyklus einbezogen, Stichprobe rechnerisch zu klein, Standorte mit besonderen Risiken nicht berücksichtigt.
Zertifikatsangaben sind unvollständig. Fehlender oder unpräziser Geltungsbereich, nicht ausgewiesene Standorte, kein Bezug zur Normfassung. Das fällt später auch Ihren Kunden auf, wenn sie den Nachweis prüfen.
Die Zeichennutzung wird nicht kontrolliert. Kunden setzen das Zertifizierungszeichen auf Produkte oder auf Bereiche außerhalb des Geltungsbereichs, und die Stelle greift nicht ein.
Das Verzeichnis der zertifizierten Kunden ist nicht aktuell. Ausgesetzte und entzogene Zertifikate stehen weiter als gültig im Zertifikatsregister.
Feststellungen werden ohne Wirksamkeitsnachweis geschlossen. Der Kunde meldet eine Maßnahme, die Stelle hakt ab, ohne einen Beleg zu verlangen.
Abgrenzung zu verwandten Normen
Die 17000er-Reihe verteilt die Konformitätsbewertung nach Art der bewerteten Sache. Wer die falsche Norm heranzieht, prüft den falschen Gegenstand.
| Norm | Was die Stelle bewertet | Typische Anwender |
|---|---|---|
| ISO/IEC 17021-1 | Managementsysteme | Zertifizierungsstellen für ISO 9001, ISO 14001, ISO 45001, ISO 27001 |
| ISO/IEC 17021-2, -3 und folgende | Kompetenzanforderungen an Auditoren je Disziplin | Dieselben Stellen, ergänzend zum ersten Teil |
| ISO/IEC 17065 | Produkte, Prozesse und Dienstleistungen | Produktzertifizierer, Programme wie IFS, BRCGS und GLOBALG.A.P. |
| ISO/IEC 17025 | Prüf- und Kalibrierergebnisse | Prüf- und Kalibrierlaboratorien |
| ISO/IEC 17020 | Gegenstände und Anlagen durch fachliches Urteil | Inspektionsstellen |
| ISO/IEC 17024 | Personen | Personalzertifizierungsstellen, etwa für Auditoren und Sachkundige |
| ISO/IEC 17011 | Die Akkreditierungsstellen selbst | Nationale Akkreditierungsstellen wie die DAkkS |
Ergänzt wird die Norm durch verbindliche Auslegungsdokumente des International Accreditation Forum. Sie regeln Punkte, die die Norm offen lässt: die Stichprobenbildung bei Mehrstandortzertifizierungen, den Transfer eines Zertifikats zwischen Stellen, die Berechnung der Auditzeit und den Einsatz von Fernaudits. Diese Dokumente sind der Grund, warum zwei akkreditierte Stellen bei derselben Ausgangslage auf ähnliche Angebote kommen — und warum ein deutlich abweichendes Angebot eine Rückfrage verdient. Welche Fragen dabei helfen, steht in der Übersicht zur Auswahl der Zertifizierungsstelle.