Überwachungsaudit und Rezertifizierung

Ein ISO-Zertifikat an der Wand sagt wenig, wenn niemand prüft, ob die Prozesse dahinter noch gelebt werden. Genau dafür gibt es Überwachungsaudits und die Rezertifizierung. Wer einen Dienstleister für Datenlöschung oder Entsorgung auswählt, sollte wissen, was diese Begriffe bedeuten und woran man ein gültiges Zertifikat erkennt.

Wie der Zertifizierungszyklus funktioniert

Managementsysteme nach ISO-Normen werden von unabhängigen Zertifizierungsstellen geprüft. Wie diese Stellen arbeiten müssen, regelt die Norm ISO/IEC 17021-1. Sie legt einen Zyklus von drei Jahren fest.

Phase	Zeitpunkt	Was geprüft wird
Erstzertifizierung	Jahr 0, in zwei Stufen	Dokumentation und vollständige Umsetzung des Managementsystems
1. Überwachungsaudit	spätestens 12 Monate nach der Zertifizierungsentscheidung	Ausgewählte Bereiche, Umgang mit früheren Abweichungen, Wirksamkeit
2. Überwachungsaudit	im folgenden Kalenderjahr	Weitere Bereiche, laufende Verbesserung
Rezertifizierung	vor Ablauf des Zertifikats	Das gesamte System, Ergebnis ist ein neues Zertifikat für drei Jahre

Ein Überwachungsaudit ist kürzer als eine Rezertifizierung und prüft nicht jedes Detail. Über den Zyklus hinweg sollen aber alle wesentlichen Bereiche abgedeckt werden. Findet die Stelle schwere Abweichungen, kann sie das Zertifikat aussetzen oder zurückziehen.

Woran Sie ein belastbares Zertifikat erkennen

• Gültigkeit: Auf dem Zertifikat stehen Ausstellungs- und Ablaufdatum. Ein abgelaufenes Zertifikat ist kein Nachweis mehr.
• Geltungsbereich: Er beschreibt, welche Standorte und Tätigkeiten zertifiziert sind. Passt er zu der Leistung, die Sie beauftragen?
• Zertifizierungsstelle: Seriöse Stellen sind für die jeweilige Norm akkreditiert, in Deutschland durch die DAkkS. Mehr dazu im Eintrag Akkreditierung von Zertifizierungsstellen.
• Normversion: Wird eine Norm überarbeitet, gibt es Übergangsfristen, nach denen Zertifikate auf die neue Fassung umgestellt sein müssen.

Eine Liste weiterer Prüffragen für die Auswahl eines Dienstleisters finden Sie in unserem Ratgeber ITAD-Anbieter auswählen.

Abgrenzung

Ein internes Audit führt das Unternehmen selbst durch, es ist Teil jedes ISO-Managementsystems. Überwachungsaudit und Rezertifizierung sind dagegen externe Prüfungen durch die Zertifizierungsstelle. Ein Datenschutzaudit prüft die Einhaltung des Datenschutzrechts und ist nicht an einen Zertifizierungszyklus gebunden. Für Lieferanten-Audits gelten die Regeln, die Kunde und Dienstleister vereinbaren.

Überwachungsaudits bei Second IT

Second IT ist nach ISO 9001, ISO 14001, ISO 45001 und ISO/IEC 27001 zertifiziert, dazu für die Datenträgervernichtung nach DIN 66399 (H-5) und als Entsorgungsfachbetrieb nach § 56 KrWG. Die Zertifikate werden jährlich durch unabhängige Prüfstellen auditiert, pro Jahr finden mindestens drei externe Audits statt. Wie Second IT Vertraulichkeit und Datenschutz organisiert, lesen Sie unter Datengeheimnis und Vertraulichkeit.

Häufige Fragen zu Überwachungsaudit und Rezertifizierung

Wie oft finden Überwachungsaudits statt?

Nach ISO/IEC 17021-1 mindestens einmal pro Kalenderjahr, außer im Jahr der Rezertifizierung. Das erste Überwachungsaudit muss spätestens zwölf Monate nach der Zertifizierungsentscheidung stattfinden.

Was passiert, wenn die Rezertifizierung nicht rechtzeitig erfolgt?

Dann läuft das Zertifikat ab. Für eine begrenzte Zeit kann die Zertifizierungsstelle die Wiederherstellung ermöglichen, wenn offene Punkte geklärt werden. Bis dahin ist das Zertifikat kein gültiger Nachweis.

Wie prüfe ich, ob ein Zertifikat echt und gültig ist?

Achten Sie auf Ablaufdatum, Geltungsbereich und ausstellende Stelle. Viele Zertifizierungsstellen bieten eine Online-Abfrage an. Im Zweifel fragen Sie die Stelle direkt mit der Zertifikatsnummer an.