ISO/IEC 17065 beschreibt die Anforderungen an Stellen, die Produkte, Prozesse und Dienstleistungen zertifizieren. Sie richtet sich damit an die Stelle, nicht an das Unternehmen, dessen Produkt bescheinigt wird. Für die andere Seite lohnt sie trotzdem: Wer wissen will, warum sein IFS-Audit unangekündigt stattfinden kann, warum eine Zertifizierungsstelle ihr Programm nicht anpassen darf und warum zwischen Auditbericht und Zertifikat noch jemand dazwischensteht, findet die Antwort hier.
Die Stelle wird nach dieser Norm akkreditiert, nicht zertifiziert. Zuständig ist die nationale Akkreditierungsstelle, in Deutschland die DAkkS. Der Akkreditierungsumfang benennt dabei die einzelnen Programme und Produktbereiche — die Norm allein sagt noch nichts darüber, wofür eine Stelle tatsächlich zuständig ist.
Der entscheidende Unterschied zu ISO/IEC 17021-1 liegt im Gegenstand. Dort wird ein Managementsystem bewertet, hier eine Sache: ein Bauteil, eine Charge, ein Herstellprozess, eine Dienstleistung. Deshalb besteht die Bewertung selten nur aus einem Audit. Sie kombiniert Prüfungen im Labor, Inspektionen vor Ort, Probenahmen und Begutachtungen der Fertigung.
Was die Norm verlangt
Die Norm folgt dem Weg eines Zertifizierungsvorgangs von der Anfrage bis zur Überwachung und regelt daneben die Voraussetzungen, unter denen die Stelle überhaupt arbeiten darf.
| Abschnitt | Inhalt | Was daraus für Kunden folgt |
|---|---|---|
| 4 | Rechtliche und vertragliche Grundlagen, Unparteilichkeit, Haftung und Finanzierung, nicht diskriminierende Bedingungen, Vertraulichkeit, öffentliche Informationen | Zugang für jeden Antragsteller zu denselben Bedingungen, veröffentlichte Verfahren und Gebührengrundlagen |
| 5 | Strukturelle Anforderungen | Absicherung der Unparteilichkeit, Einbindung betroffener Interessengruppen |
| 6 | Ressourcen | Kompetenz von Bewertern und Entscheidern je Produktbereich, Regeln für ausgelagerte Prüfungen und Inspektionen |
| 7 | Prozesse | Antrag, Antragsprüfung, Bewertung, Begutachtung der Bewertung, Entscheidung, Zertifikat, Verzeichnis, Überwachung, Änderungen, Aussetzen und Entziehen, Beschwerden und Einsprüche |
| 8 | Managementsystem der Stelle | Option A mit eigenen Regelungen oder Option B über ein ISO-9001-System |
Vier Regelungen prägen die Praxis.
Das Programm ist bindend. Zertifiziert wird nie gegen die Norm selbst, sondern gegen ein Zertifizierungsprogramm. Gehört dieses Programm einem Dritten — einem Handelsverband, einem Branchenverein, dem Gesetzgeber —, muss die Stelle es unverändert anwenden. Das erklärt, warum eine Zertifizierungsstelle bei einer als unpassend empfundenen Anforderung nur auf den Programmträger verweisen kann.
Bewertung, Begutachtung und Entscheidung sind drei Schritte. Wer bewertet hat, darf die Bewertung nicht selbst durchsehen und nicht über die Zertifizierung entscheiden. Der Zertifizierungsentscheider ist deshalb eine eigene Rolle mit eigener Kompetenzanforderung.
Auslagern ist möglich, Abgeben nicht. Prüfungen können bei einem Labor liegen, Inspektionen bei einer Inspektionsstelle. Die Stelle muss deren Kompetenz bewerten und bleibt für das Ergebnis verantwortlich. Die Entscheidung selbst ist unauslagerbar.
Das Zertifikat muss die Sache eindeutig benennen. Produkt, Typ, Herstellort, zugrunde liegendes Programm und Geltungsdauer. Ein Zertifikat, aus dem nicht hervorgeht, welches Produkt aus welchem Werk gemeint ist, erfüllt seinen Zweck in der Lieferkette nicht.
Wer die Norm braucht — und wer nur hineinsehen sollte
Anwenden muss sie jede Stelle, die Produktzertifikate ausstellen und dafür akkreditiert sein will. Das betrifft mehr Bereiche, als die Nummer vermuten lässt: Lebensmittelprogramme wie IFS, BRCGS und GLOBALG.A.P., die Kontrolle im ökologischen Landbau, Bauprodukte einschließlich der werkseigenen Produktionskontrolle bei EN 1090, Holz- und Papierketten, Futtermittelprogramme und die gute Herstellungspraxis für Kosmetik nach ISO 22716.
Nicht die richtige Norm ist sie in vier Fällen. Wer Managementsysteme zertifiziert, braucht ISO/IEC 17021-1. Wer Personen zertifiziert, braucht ISO/IEC 17024. Wer prüft oder kalibriert, braucht ISO/IEC 17025. Wer inspiziert und ein fachliches Urteil abgibt, ohne zu zertifizieren, braucht ISO/IEC 17020. In der Praxis kombinieren größere Häuser mehrere dieser Akkreditierungen — und müssen die Tätigkeiten dann organisatorisch trennen, damit die Unparteilichkeit gewahrt bleibt.
Für Unternehmen, deren Produkte zertifiziert werden, lohnt der Blick aus einem anderen Grund. Die Norm ist der Maßstab, an dem Sie das Verhalten Ihrer Zertifizierungsstelle messen: bei einer Feststellung, gegen die Sie sich wehren wollen, bei einer Aussetzung des Zertifikats und bei der Frage, ob eine Stelle für Ihr Programm überhaupt akkreditiert ist. Wie Sie das prüfen, beschreibt der Beitrag dazu, wie Sie prüfen, ob eine Zertifizierungsstelle akkreditiert ist.
Der Weg zur Akkreditierung
Programme und Produktbereiche festlegen. Der Antrag benennt die konkreten Programme, nicht nur die Norm. Was nicht beantragt ist, wird nicht begutachtet und steht später nicht im Umfang.
Kompetenz je Produktbereich nachweisen. Für jeden Bereich müssen Bewerter, Prüfer und Entscheider mit dokumentierter fachlicher Kompetenz vorhanden sein. Bei Produktzertifizierungen ist das anspruchsvoller als bei Managementsystemen, weil die Kompetenz an konkrete Produkttechnologien gebunden ist.
Bewertungskette absichern. Ausgelagerte Prüfungen und Inspektionen müssen vertraglich geregelt und die Unterauftragnehmer bewertet sein. Ein Labor ohne passende Akkreditierung im benötigten Verfahren ist an dieser Stelle ein Ausschlusskriterium.
Dokumentenbegutachtung und Begutachtung am Standort. Die Akkreditierungsstelle prüft Verfahren, Unparteilichkeitsanalyse, Kompetenzsystem, Musterzertifikate und Aufzeichnungen abgeschlossener Vorgänge.
Zeugenbegutachtung. Begutachter begleiten eine echte Bewertung beim Kunden — ein Audit, eine Werksinspektion oder eine Probenahme. Bewertet wird dabei die Stelle, nicht der Kunde.
Entscheidung und laufende Überwachung. Nach der Erteilung folgen jährliche Überwachungsbegutachtungen mit weiteren Zeugenbegutachtungen, am Ende des Zyklus eine Wiederholungsbegutachtung. Verliert eine Stelle die Akkreditierung, sind die Zertifikate ihrer Kunden betroffen — was dann zu tun ist, beschreibt der Beitrag dazu, was passiert, wenn Ihre Zertifizierungsstelle die Akkreditierung verliert.
Woran Begutachtungen scheitern
Bewertung und Entscheidung fallen zusammen. Der Auditor schreibt den Bericht, sieht ihn selbst durch und stellt das Zertifikat aus. In kleinen Stellen mit dünner Personaldecke der häufigste systematische Mangel.
Programmvorgaben werden abgewandelt. Auditdauer verkürzt, unangekündigte Audits nicht durchgeführt, Probenahmeumfang reduziert. Die Stelle darf ein fremdes Programm nicht auslegen, sondern nur anwenden.
Unterauftragnehmer sind nicht bewertet. Prüfergebnisse eines Labors werden übernommen, ohne dass dessen Kompetenz für das konkrete Verfahren belegt ist.
Das Zertifikat benennt den Gegenstand nicht eindeutig. Produktfamilie statt Typ, Firmensitz statt Herstellort, kein Bezug zur Programmfassung. In der Lieferkette führt das später zu Rückfragen, die niemand beantworten kann.
Die Überwachung passt nicht zur Programmart. Ein Programm verlangt laufende Fertigungsüberwachung, tatsächlich stattfindet nur eine jährliche Dokumentenprüfung.
Produktänderungen werden nicht gemeldet und nicht bewertet. Der Kunde ändert Rezeptur, Lieferant oder Fertigungsort. Ohne Meldepflicht im Vertrag und ohne Bewertung durch die Stelle bescheinigt das Zertifikat etwas, das es nicht mehr gibt.
Zeichenmissbrauch wird nicht verfolgt. Kunden setzen das Zertifizierungszeichen auf Produkte außerhalb des Geltungsbereichs, und die Stelle greift nicht ein.
Einsprüche bearbeitet, wer entschieden hat. Die Norm verlangt, dass über einen Einspruch Personen entscheiden, die an der ursprünglichen Entscheidung nicht beteiligt waren. Wie ein solches Verfahren abläuft, beschreibt der Beitrag zum Beschwerdeverfahren bei Zertifizierungsstellen.
Das Verzeichnis der zertifizierten Produkte ist nicht aktuell. Ausgesetzte Zertifikate stehen weiter als gültig im Zertifikatsregister.
Abgrenzung zu verwandten Normen
Die 17000er-Reihe teilt sich nach dem Gegenstand der Bewertung auf. Diese Tabelle ordnet die Normen, die im Umfeld von ISO/IEC 17065 regelmäßig verwechselt werden.
| Norm | Gegenstand der Bewertung | Typische Anwender |
|---|---|---|
| ISO/IEC 17065 | Produkte, Prozesse, Dienstleistungen | Produktzertifizierer, Programme im Lebensmittel-, Bau- und Agrarbereich |
| ISO/IEC 17021-1 | Managementsysteme | Zertifizierungsstellen für ISO 9001, ISO 14001, ISO 45001 |
| ISO/IEC 17025 | Prüf- und Kalibrierergebnisse | Prüf- und Kalibrierlaboratorien, oft als Unterauftragnehmer |
| ISO/IEC 17020 | Gegenstände und Anlagen durch fachliches Urteil | Inspektionsstellen, oft als Unterauftragnehmer |
| ISO/IEC 17024 | Personen | Personalzertifizierungsstellen |
| ISO/IEC 17067 | Aufbau von Zertifizierungsprogrammen | Programmträger, die ein Programm gestalten |
| ISO/IEC 17011 | Akkreditierungsstellen selbst | Nationale Akkreditierungsstellen |
Die häufigste Verwechslung in der Praxis ist eine andere: die zwischen einem Produktzertifikat nach ISO/IEC 17065 und einer Konformitätserklärung des Herstellers. Die Konformitätserklärung stellt der Hersteller selbst aus, in eigener Verantwortung. Ein Produktzertifikat kommt von einer unabhängigen Stelle. Beide können nebeneinander stehen, und in vielen Rechtsakten ist genau das vorgesehen — die Erklärung ist die Aussage des Herstellers, das Zertifikat der Beleg, auf den er sich dabei stützt. Wer in einer Ausschreibung eines von beidem verlangt bekommt, sollte den Wortlaut genau lesen, wie der Beitrag dazu, was Ihr Auftraggeber tatsächlich fordert, zeigt.
Wenn Sie selbst eine Zertifizierungsstelle aufbauen
Der Fall ist selten, kommt aber vor — etwa wenn ein Verband ein eigenes Gütezeichen etablieren will oder ein Prüfdienstleister vom Prüfen ins Zertifizieren wechselt. Die Hürden liegen dabei weniger im Fachlichen als in der Struktur.
Die Unparteilichkeit ist das Nadelöhr. Ein Verband, dessen Mitglieder die zu zertifizierenden Unternehmen sind, muss belegen, dass die Zertifizierungsentscheidung nicht von Mitgliederinteressen beeinflusst wird. Das führt in der Praxis zu eigenen Gesellschaften, getrennten Gremien und einem Ausschuss zur Wahrung der Unparteilichkeit, in dem die interessierten Kreise ausgewogen vertreten sind.
Das Personal muss je Produktbereich qualifiziert sein. Eine Stelle kann nicht pauschal alles zertifizieren. Für jeden Bereich im Akkreditierungsumfang braucht es Personen mit nachgewiesener Fachkenntnis — und eine Regelung, wer entscheidet, wenn diese Person selbst bewertet hat.
Das Zertifizierungsprogramm muss vor der Akkreditierung stehen. Die Akkreditierungsstelle begutachtet nicht die Absicht, sondern das ausgearbeitete Verfahren samt Musterdokumenten, Entscheidungsregeln und Überwachungskonzept.
Der Vorlauf bis zur ersten Akkreditierung wird regelmäßig unterschätzt. Realistisch ist ein Zeitraum von deutlich über einem Jahr, weil die Begutachtung auch die Anwendung des Verfahrens an echten Fällen prüft — die es zu Beginn noch nicht gibt.
Was Auftraggeber aus der Akkreditierung ablesen können
Für den Einkauf ist die Norm vor allem ein Filter. Sie garantiert nicht, dass ein zertifiziertes Produkt gut ist — sie garantiert, dass die Prüfung nach nachvollziehbaren Regeln von einer überwachten Stelle durchgeführt wurde.
Was die Akkreditierung nicht leistet: Sie sagt nichts über die inhaltliche Strenge des zugrunde liegenden Programms. Zwei akkreditierte Stellen können nach unterschiedlich anspruchsvollen Programmen zertifizieren, und beide Zertifikate tragen dasselbe Akkreditierungssymbol. Wer Produkte vergleicht, muss deshalb auf das Programm schauen, nicht nur auf die Akkreditierung.