Allgemein8 Min. Lesezeit
ISO Zertifikat Gültigkeit prüfen: So gehen Sie vor
Ein ISO-Zertifikat ist gültig, wenn Aussteller, Frist und Geltungsbereich stimmen und sich der Eintrag beim Aussteller bestätigen lässt.
Von Michael Schwarz, Lead Auditor ISO 9001 und 14001, SICE
Ein ISO-Zertifikat ist gültig, wenn der Aussteller es bestätigt, das Ablaufdatum nicht überschritten ist und der Geltungsbereich zu dem passt, was Sie einkaufen. Die Prüfung dauert wenige Minuten, sofern das Dokument eine Zertifikatsnummer trägt und der Aussteller eine Überprüfung anbietet.
Die Frage stellt sich in zwei Situationen. Entweder liegt Ihnen das Zertifikat eines Lieferanten oder Partners vor, etwa im Lieferantenfragebogen oder in einer Offerte. Oder ein Kunde will wissen, ob Ihr eigenes Zertifikat hält, was es verspricht. Beide Seiten gehen dabei gleich vor.
Was «gültig» bei einem ISO-Zertifikat bedeutet
Ein Zertifikat bestätigt, dass ein Unternehmen zu einem bestimmten Zeitpunkt die Anforderungen einer Norm erfüllt hat, zum Beispiel ISO 9001 für Qualitätsmanagement oder ISO 14001 für Umweltmanagement. Es ist kein Produktsiegel und keine Garantie für einzelne Lieferungen. Es sagt etwas über das Managementsystem der Organisation aus.
Gültig ist es aus drei Gründen: Es wurde von der genannten Stelle tatsächlich ausgestellt. Es ist weder abgelaufen noch zurückgezogen. Und es deckt den Bereich ab, um den es in Ihrem Fall geht. Fehlt eine dieser drei Bedingungen, hilft das schönste PDF nicht weiter.
Schritt 1: Die Angaben auf dem Zertifikat lesen
Öffnen Sie das Dokument und suchen Sie diese Angaben:
- Name und Adresse der zertifizierten Organisation
- Norm mit Ausgabejahr, etwa ISO 9001:2015
- Zertifikatsnummer
- Ausstellungsdatum und Ablaufdatum
- Geltungsbereich (Scope)
- Name der ausstellenden Stelle
Fehlt die Zertifikatsnummer oder das Ablaufdatum, ist das Dokument kaum überprüfbar. Das ist noch kein Beweis für eine Fälschung, aber ein Grund, nachzufragen. Achten Sie auch auf das Ausgabejahr der Norm. Wer ein Zertifikat nach einer Fassung vorlegt, die längst durch eine neuere ersetzt wurde, muss erklären können, wie es damit weitergeht.
Stimmt der Firmenname nicht mit dem Handelsregistereintrag überein, lohnt sich ein Blick auf die Rechtsform. Ein Zertifikat für die Muttergesellschaft gilt nicht automatisch für die Tochter.
Schritt 2: Den Aussteller prüfen
Ein Zertifikat ist nur so aussagekräftig wie die Stelle, die es ausgestellt hat. Fragen Sie sich, wer dahintersteht und wie die Prüfung abgelaufen ist.
Bei der klassischen Route prüft eine Zertifizierungsstelle das Unternehmen vor Ort. Sie führt ein Verzeichnis ihrer Zertifikate oder beantwortet Anfragen direkt. Bei Zertifikaten auf Basis eines Online-Selbstassessments gibt es keinen Vor-Ort-Audit. Hier zählt, wer das Assessment auswertet und wer das Zertifikat ausstellt. Wie diese Variante funktioniert und was sie von der klassischen Route unterscheidet, erklärt unser Leitfaden zur ISO-Zertifizierung ohne Audit.
Entscheidend ist in beiden Fällen, dass der Aussteller klar benannt ist und seine Zertifikate öffentlich oder auf Anfrage bestätigt. Ein Zertifikat, das nur ein Firmenlogo und keinen identifizierbaren Aussteller trägt, lässt sich nicht prüfen.
Schritt 3: Laufzeit und laufende Bestätigung kontrollieren
ISO-Zertifikate gelten befristet. Verbreitet ist ein Zyklus von drei Jahren. Das Ablaufdatum steht auf dem Dokument, und ein Zertifikat mit abgelaufenem Datum ist nicht mehr gültig, auch wenn das Unternehmen weiterhin damit wirbt.
Zwischen Ausstellung und Ablauf muss das Zertifikat in der Regel aufrechterhalten werden. Bei Zertify zum Beispiel gilt es drei Jahre und wird jedes Jahr mit einem kurzen Online-Re-Audit bestätigt. Fragen Sie deshalb bei einem älteren Zertifikat nach, ob die jährliche Bestätigung erfolgt ist. Ein Zertifikat, das vor zweieinhalb Jahren ausgestellt wurde und seither nie bestätigt wurde, ist formal vielleicht noch nicht abgelaufen, sagt aber wenig über den heutigen Stand aus.
Schritt 4: Geltungsbereich und Standorte vergleichen
Der Geltungsbereich ist die Stelle, an der die meisten Missverständnisse entstehen. Ein Unternehmen mit mehreren Standorten ist oft nur an einem davon zertifiziert. Ein Dienstleister ist vielleicht nur für die Softwareentwicklung zertifiziert, nicht für den Betrieb des Rechenzentrums.
Lesen Sie den Scope Satz für Satz und vergleichen Sie ihn mit dem, was Sie tatsächlich beziehen. Wenn Ihr Einkauf Hosting-Leistungen bestellt und das Zertifikat nur «Entwicklung von Webanwendungen» nennt, deckt es Ihre Bestellung nicht ab. Das gilt auch für die Standortangabe: Eine Adresse in Zürich auf dem Zertifikat sagt nichts über die Niederlassung in Lyon.
Schritt 5: Die Zertifikatsnummer beim Aussteller verifizieren
Das ist der eigentliche Gültigkeitstest. Das PDF allein beweist nichts, denn ein PDF lässt sich kopieren und verändern. Verlassen Sie sich darum auf eine Bestätigung ausserhalb des Dokuments.
Dafür gibt es drei Wege:
- Verifizierungsseite des Ausstellers. Viele Aussteller bieten eine Seite, auf der Sie Nummer oder Firmenname eingeben und Status, Norm, Scope und Ablaufdatum sehen.
- QR-Code auf dem Zertifikat. Er führt direkt zum Eintrag. Prüfen Sie, dass die Adresse zur Domain des genannten Ausstellers gehört und nicht zu einer fremden Seite.
- Anfrage per E-Mail. Wenn es keine öffentliche Prüfseite gibt, schreiben Sie dem Aussteller mit Zertifikatsnummer und Firmenname. Eine seriöse Stelle antwortet mit einer Bestätigung.
Vergleichen Sie danach die Angaben auf der Verifizierungsseite mit dem Dokument. Weichen Name, Norm oder Datum ab, gilt der Eintrag beim Aussteller.
Warnzeichen, bei denen Sie genauer hinschauen sollten
- Das Zertifikat ist nur als Bild oder Screenshot im Umlauf.
- Es gibt keine Zertifikatsnummer.
- Der Aussteller lässt sich nicht finden oder hat keine eigene Website.
- Der QR-Code führt auf eine Seite, die nicht zum Aussteller gehört.
- Der Geltungsbereich ist so allgemein formuliert, dass er alles und nichts abdeckt.
- Das Ablaufdatum liegt in der Vergangenheit, das Unternehmen verwendet das Zertifikat aber weiter.
- Der Aussteller antwortet auf Verifizierungsanfragen nicht.
Ein einzelnes Warnzeichen ist kein Urteil. Sie sollten es aber klären, bevor Sie das Zertifikat in eine Ausschreibung oder eine Lieferantenbewertung übernehmen.
Checkliste: ISO-Zertifikat prüfen
Der letzte Punkt wird oft vergessen. Bei einem Kundenaudit oder einer Revision fragt jemand, wann Sie das Zertifikat geprüft haben. Eine kurze Notiz mit Datum und Ergebnis genügt.
Das eigene Zertifikat so gestalten, dass es sich prüfen lässt
Wer selbst zertifiziert ist, erlebt die andere Seite dieser Prüfung. Der Einkauf eines Grosskunden verlangt das Zertifikat, und die Rückfrage kommt drei Tage später: Ist das echt? Kleinere Unternehmen, die sich mit ISO-Zertifizierung für KMU beschäftigen, sollten deshalb schon bei der Wahl des Anbieters darauf achten, dass das Zertifikat eine öffentliche Verifizierung mitbringt. Sonst bleibt die Arbeit an Ihnen hängen.
Wie Zertify die Prüfbarkeit löst
Das Zertifikat von Zertify beruht auf einem Online-Selbstassessment und kommt ohne Vor-Ort-Audit aus. Ausgestellt wird es von der G6 Agency AG im Rahmen einer Lizenz des SICE (Swiss Institute of Certification and Education). Jedes Assessment prüft ein Mitglied des SICE Certification Board, bevor das Zertifikat entsteht. Nach bestandenem Assessment und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden.
Auf dem PDF steht ein QR-Code. Er führt zur öffentlichen Verifizierungsseite, auf der Ihr Kunde Firma, Norm, Status und Gültigkeit selbst nachsehen kann. Der Einkauf muss Sie dafür nicht anrufen.
Das Zertifikat gilt drei Jahre. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit, das Teil eines jährlichen Abonnements ist. Die Verifizierungsseite zeigt damit nicht nur, dass einmal ein Assessment bestanden wurde, sondern auch den aktuellen Stand.
Welche Normen zur Auswahl stehen, sehen Sie in der Übersicht der Normen. Die Konditionen finden Sie auf der Seite Preise. Wenn Sie direkt loslegen wollen, starten Sie das Assessment.
Wenn die Prüfung kein klares Ergebnis liefert
Kommt vom Aussteller keine Antwort oder weichen die Angaben ab, behandeln Sie das Zertifikat vorläufig als nicht belegt. Teilen Sie das dem Lieferanten sachlich mit und bitten Sie ihn, einen aktuellen Nachweis zu senden. Die meisten Unstimmigkeiten klären sich so: ein vergessenes Re-Audit, ein neuer Firmenname, ein geänderter Scope. Böswillige Fälschungen sind die Ausnahme. Wer ein echtes Zertifikat besitzt, reicht den Beleg meist am selben Tag nach.
Häufige Fragen
Wie lange ist ein ISO-Zertifikat gültig?
Das Ablaufdatum steht auf dem Zertifikat. Verbreitet ist eine Laufzeit von drei Jahren. Das Zertifikat von Zertify gilt drei Jahre und wird jedes Jahr mit einem kurzen Online-Re-Audit bestätigt.
Kann ich ein ISO-Zertifikat ohne Zertifikatsnummer prüfen?
Nur schwer. Ohne Nummer müssen Sie den Aussteller mit Firmenname, Norm und Ausstellungsdatum anschreiben und um Bestätigung bitten. Bitten Sie den Lieferanten besser um eine vollständige Kopie mit Nummer.
Woran erkenne ich, dass der QR-Code auf einem Zertifikat echt ist?
Prüfen Sie, ob die Adresse, auf die der Code führt, zur Domain des genannten Ausstellers gehört. Die Seite sollte Firma, Norm, Status und Ablaufdatum zeigen, und diese Angaben müssen mit dem Dokument übereinstimmen.
Was heisst der Geltungsbereich auf einem ISO-Zertifikat?
Der Geltungsbereich (Scope) nennt die Tätigkeiten und Standorte, für die das Managementsystem zertifiziert wurde. Ein Zertifikat deckt nur das ab, was dort steht. Vergleichen Sie ihn deshalb mit der Leistung, die Sie beziehen.
Muss ich ein ISO-Zertifikat meines Lieferanten regelmässig neu prüfen?
Prüfen Sie es bei der Aufnahme des Lieferanten und danach spätestens zum Ablaufdatum. Bei jährlich bestätigten Zertifikaten bietet sich eine jährliche Kontrolle an. Notieren Sie Datum und Ergebnis in der Lieferantenakte.
