ISO-Zertifikate prüfen: Aussteller, Gültigkeit und Geltungsbereich

Aussteller und Zertifikatsrichtlinie prüfen

Drei Angaben am Zertifikat sind entscheidend: vollständiger Firmenwortlaut des Ausstellers, zugrunde liegende Norm samt Version und Geltungsbereich. Prüfen Sie daher den Firmenwortlaut gegen die tatsächliche Rechtsperson, fragen Sie den Aussteller nach seiner Befugnis für genau diese Norm und diesen Geltungsbereich und verifizieren Sie das Zertifikat direkt beim Aussteller – nicht über einen Scan, den die gelieferte Unterlage nur behauptet. Ein PDF ohne Ausstellerkennung, ohne Normversion und ohne Ansprechstelle bietet keine Grundlage für eine Bewertung.

Zertifikate können abgeleitet sein; dann entscheidet die übergeordnete Richtlinie über ihre Gültigkeit. Ein Beispiel aus dem Trust-Service-Bereich: Die GLOBALTRUST Certificate Policy legt fest, dass der VDA Endkunden-Sub-Zertifikate speziell für einen Signator erstellen kann, wobei der private Schlüssel ausschließlich unter der Kontrolle des VDA liegt. Das Dokument regelt damit ausdrücklich, wer ausstellen darf, auf welcher Stufe das Zertifikat steht und wer die Verantwortung trägt. Bei jeder abgeleiteten Unterlage sind dieselben drei Punkte zu klären: Ausstellungsbefugnis, Ableitungsstufe und Haftung für den Inhalt.

Bei einem als Sub- oder Unterzertifikat vorgelegten Dokument verlangen Sie die übergeordnete Richtlinie, das übergeordnete Zertifikat und eine schriftliche Bestätigung des Ausstellers, dass die Ableitung zulässig ist. Fehlt ein Teil, reicht die Aussagekraft nur so weit, wie die übergeordnete Richtlinie tatsächlich abdeckt – Aussagen über die Normkonformität einzelner Prozesse des Zulieferers lassen sich daraus nicht ableiten.

Gültigkeit: Datum, Revision und Aktualität

Gültigkeit umfasst mehr als das Ablaufdatum: Ausgabedatum, Ablaufdatum, Revisionsstand des Dokuments und die im Zertifikat genannte Normversion. Ein Ausdruck oder eine einmal gespeicherte Datei zeigt nur den Stand des Ausgabedatums und garantiert nicht, dass die Informationen künftig gültig bleiben – dasselbe gilt für Zertifikatskopien in einer Lieferantenmappe oder auf einem Datenträger. Maßgeblich ist immer die aktuell beim Aussteller hinterlegte Fassung, nicht das älteste vorliegende Exemplar.

Normen werden überarbeitet, mit der Revision ändern sich die Anforderungen. Die geänderten Anforderungen der ISO 9001:2015 und der ISO 13485:2016 nach ihrer Neurevisionierung für Zulieferer behandelt eine Masterarbeit an der TU Graz. Für die Prüfung heißt das: Ein Zertifikat, das eine ältere Normversion ausweist, belegt Konformität mit dieser älteren Version – nicht mit der geltenden Fassung. Bei Zulieferern in regulierten Bereichen ist der Unterschied entscheidend, weil die Revision auch Dokumentations-, Risiko- und Lenkungspflichten verschiebt.

Praktisch gehen Sie so vor: die aktuelle Zertifikatsfassung beim Aussteller anfordern, Ausgabedatum und Ablaufdatum mit Normversion und Geltungsbereich in eine Liste aufnehmen, vor Ablauf nachfassen und bei jeder Normrevision prüfen, ob das Zertifikat die neue Versionsbezeichnung trägt. Mehrjährige Zertifizierungszyklen mit zwischenzeitlichen Überwachungsaudits ändern nichts daran, dass das Dokument nur den ausgewiesenen Zeitraum abdeckt.

Wichtige Fakten zu Zertifikatsprüfungen

Geltungsbereich und Normversion abgrenzen

Der Geltungsbereich bestimmt, wofür das Zertifikat überhaupt etwas aussagt: Standorte, Produkte oder Dienstleistungen, Prozesse und ausdrücklich ausgenommene Bereiche. Ein auf Handel oder Vertrieb eingeschränkter Geltungsbereich deckt keine Produktion an einem anderen Standort. Prüfen Sie daher, ob der Standort, die Linie oder der Prozess, der Sie beliefert, im Geltungsbereich namentlich angeführt ist und ob Ausnahmen – etwa ausgelagerte Fertigungsschritte – dokumentiert sind.

Die Normversion ist ebenso Teil des Geltungsbereichs. Ein Zertifikat muss den Stand ausweisen, gegen den auditiert wurde – im Qualitätsmanagement ISO 9001:2015, im Medizinproduktebereich ISO 13485:2016. Trägt ein Zertifikat eine andere Versionsbezeichnung als die derzeit geltende, ist es für die aktuelle Fassung nicht aussagekräftig. Beim Vergleich mehrerer Lieferanten sollten Sie Zertifikate unterschiedlicher Normversionen nie nebeneinanderstellen, sondern zuerst auf gleiche Norm und gleiche Version und danach auf die Überlappung der Geltungsbereiche achten.

Sub-Zertifikate und andere abgeleitete Dokumente gelten nur im Rahmen der übergeordneten Richtlinie. In der GLOBALTRUST Certificate Policy wird ein Endkunden-Sub-Zertifikat speziell für einen Signator erstellt; sein Umfang ist auf diesen Adressaten und die dort geregelten Bedingungen zugeschnitten. Wird ein solches Dokument vorgelegt, verlangen Sie die Kette: übergeordnete Richtlinie, übergeordnetes Zertifikat, Ableitungsstufe und Bestätigung der Ausstellungsbefugnis. Läuft das übergeordnete Dokument ab oder wird es geändert, verliert das abgeleitete Zertifikat seine Grundlage – unabhängig vom aufgedruckten Ablaufdatum.

Unterschied zwischen Zertifikaten verschiedener Normversionen