ISO Zertifizierung für Agenturen: So gehen Sie vor

Eine Agentur braucht eine ISO Zertifizierung, sobald Kunden einen Nachweis für Qualität oder Datensicherheit verlangen. Meist geht es um ISO 9001 für das Qualitätsmanagement oder ISO 27001 für die Informationssicherheit. Den Nachweis erhalten Sie auf dem klassischen Weg mit einem Audit vor Ort durch eine Zertifizierungsstelle oder über eine Selbstbeurteilung.

Warum Agenturen nach ISO gefragt werden

Eine Agentur verkauft Arbeit, die der Kunde vor dem Kauf nicht prüfen kann. Er muss davon ausgehen, dass Termine eingehalten, Fehler systematisch behoben und vertrauliche Unterlagen geschützt werden. Ein ISO Zertifikat belegt das auf anerkannte Weise.

Der Anstoss kommt fast immer von aussen: ein Lieferantenfragebogen aus dem Einkauf, eine Zeile zu Zertifikaten in der Ausschreibung, die Frage eines Grosskunden nach dem Umgang mit Zugangs- und Kundendaten. Aus der Agentur selbst kommt er selten.

Intern bringt die Arbeit trotzdem etwas. Beschriebene Abläufe verkürzen die Einarbeitung neuer Mitarbeitender, geklärte Verantwortlichkeiten sparen Rückfragen, und wer Vorfälle erfasst, macht denselben Fehler seltener ein zweites Mal.

Welche Norm passt zu welcher Agentur

Eine Norm, die für alle Agenturen stimmt, gibt es nicht. Entscheidend ist, was Ihre Kunden von Ihnen erwarten.

ISO 9001: Qualitätsmanagement

ISO 9001 wählen Sie, wenn Ihre Projekte nach einem festen Muster ablaufen sollen: Briefing, Planung, Umsetzung, Freigabe, Auswertung. Für Kreativ-, Marketing-, Digital- und Beratungsagenturen ist sie meist der erste Schritt, denn sie bildet den Kern des Geschäfts ab, nämlich Kundenanforderungen zu verstehen und zuverlässig zu erfüllen.

ISO 27001: Informationssicherheit

ISO 27001 gehört zu Agenturen mit Zugriff auf sensible Kundendaten. Das gilt für Entwicklungsagenturen, Hosting und Wartung, CRM-Projekte, Performance-Marketing mit Kundendaten und Agenturen im regulierten Umfeld. Die Norm verlangt eine Risikobetrachtung und angemessene Schutzmassnahmen für Informationen.

ISO 14001: Umweltmanagement

ISO 14001 kommt ins Spiel, wenn Kunden Nachhaltigkeitsnachweise in der Lieferkette einfordern. Das kommt seltener vor, nimmt aber bei grösseren Auftraggebern zu.

Alle verfügbaren Normen listet die Seite Normen. Weil die Grundstruktur ähnlich ist, beginnen viele Agenturen mit einer Norm und ergänzen später eine zweite.

Was die Normen von einer Agentur verlangen

ISO 9001, ISO 14001 und ISO 27001 folgen derselben Grundstruktur, Sie lernen sie also nur einmal. Die Kapitel 4 bis 10 sind überall gleich aufgebaut:

• 4 Kontext der Organisation: Wer sind Ihre Kunden und weiteren interessierten Parteien, was erwarten sie, und welchen Geltungsbereich hat Ihr Managementsystem?
• 5 Führung: Die Geschäftsleitung übernimmt Verantwortung, legt eine Politik fest und verteilt Rollen.
• 6 Planung: Sie erkennen Risiken und Chancen und setzen messbare Ziele.
• 7 Unterstützung: Ressourcen, Kompetenzen, Bewusstsein, Kommunikation und dokumentierte Information.
• 8 Betrieb: Die eigentliche Arbeit. Bei einer Agentur sind das Angebot, Briefing, Produktion, Freigabe und Übergabe.
• 9 Bewertung der Leistung: Messen, interne Überprüfung und Bewertung durch die Leitung.
• 10 Verbesserung: Abweichungen behandeln und Korrekturen umsetzen.

Eine Agentur mit fünf bis fünfzig Personen braucht dafür kein Handbuch mit hundert Seiten. Die Norm verlangt Wirksamkeit, nicht Umfang, und ein kurzes, gelebtes System schlägt ein dickes, das niemand liest. Grundlagen für kleinere Betriebe finden Sie im Leitfaden zur ISO Zertifizierung für KMU.

Typische Agentur-Themen im Betrieb

In der Praxis tauchen immer wieder dieselben Punkte auf:

• Briefing und Anforderungen: Wer hält fest, was der Kunde wirklich will, und wie wird es bestätigt?
• Freigaben: Wer prüft Arbeitsergebnisse, bevor sie den Kunden erreichen?
• Änderungswünsche: Wie gehen Sie mit späten Anpassungen und deren Aufwand um?
• Externe Partner: Freelancer, Druckereien und Entwicklungspartner gehören zu Ihrer Lieferkette und müssen bewertet werden.
• Kundendaten und Zugänge: Wer darf worauf zugreifen, und was passiert, wenn jemand die Agentur verlässt?
• Reklamationen: Wie werden Rückmeldungen erfasst und ausgewertet?

Wer diese sechs Punkte im Griff hat, erfüllt die meisten Normanforderungen bereits.

Zwei Wege: klassischer Weg mit Audit vor Ort durch eine Zertifizierungsstelle oder Selbstbeurteilung

Ein ISO Zertifikat erhalten Sie auf zwei Arten.

Beim klassischen Weg mit Audit vor Ort durch eine Zertifizierungsstelle prüft eine externe Stelle Ihr System bei Ihnen im Betrieb. Das Verfahren ist aufwendiger und teurer. Behörden, Ausschreibende und manche Grosskunden verlangen es ausdrücklich.

Bei der Selbstbeurteilung beantworten Sie strukturierte Fragen zu den Anforderungen der Norm und belegen, wie Ihr Betrieb sie umsetzt. Das Zertifikat bestätigt diese Beurteilung. Es zeigt, dass Sie sich systematisch mit der Norm auseinandergesetzt haben.

Welcher Weg passt, hängt davon ab, wer das Zertifikat sehen will und was er damit tut. Die Unterschiede beschreibt der Beitrag zwei Wege im Vergleich im Detail.

Als Faustregel gilt:

• Verlangt eine Ausschreibung, ein Vertrag oder eine Aufsichtsbehörde ausdrücklich ein Audit vor Ort durch eine Zertifizierungsstelle, brauchen Sie den klassischen Weg.
• Wollen Sie vor allem Ihre Abläufe ordnen, einem Kunden Ihre Sorgfalt zeigen oder eine Lieferantenanfrage beantworten, in der kein Audit vor Ort gefordert wird, ist die Selbstbeurteilung ein schlanker Einstieg.
• Sind Sie unsicher, fragen Sie beim Kunden oder in den Ausschreibungsunterlagen nach. Das kostet eine E-Mail und erspart eine falsche Investition.

Checkliste: Ist Ihre Agentur bereit?

Mit dieser Liste klären Sie den Stand vor dem Start. Je mehr Punkte Sie abhaken können, desto leichter fällt die Beurteilung.

• Wir wissen, wer das Zertifikat verlangt und ob dafür ein Audit vor Ort durch eine Zertifizierungsstelle nötig ist.
• Wir haben die Norm gewählt, die zu unseren Kundenanforderungen passt.
• Der Geltungsbereich ist definiert: Standorte, Teams und Leistungen.
• Die Geschäftsleitung trägt das Vorhaben mit und hat Zeit dafür eingeplant.
• Wir können unseren Projektablauf in wenigen Schritten beschreiben.
• Rollen und Verantwortlichkeiten sind schriftlich festgehalten.
• Wir haben eine Qualitäts- oder Sicherheitspolitik und mindestens zwei messbare Ziele.
• Freigaben und Änderungswünsche folgen einem festen Verfahren.
• Freelancer und Partner werden bewertet und vertraglich eingebunden.
• Zugriffe auf Kundendaten sind geregelt, auch beim Austritt von Mitarbeitenden.
• Reklamationen und Fehler werden erfasst und ausgewertet.
• Wir haben mindestens einmal intern überprüft, ob wir wie beschrieben arbeiten.

Wie Zertify zu Ihrer Agentur passt

Zertify ist eine Online-Plattform, die ISO Zertifikate auf Basis einer Selbstbeurteilung ausstellt. Die Zertifikate stellt die G6 Agency AG unter Lizenz von SICE (Swiss Institute of Certification and Education) aus.

Sie wählen eine Norm, beantworten die Fragen des Assessments und reichen Ihre Angaben ein. Nach bestandenem Assessment und erfolgter Zahlung stellen wir das Zertifikat innerhalb von 4 Stunden aus.

Das passt zu Agenturen, die ihr Management strukturiert nachweisen möchten, ohne ein mehrwöchiges Auditverfahren zu durchlaufen. Verlangt Ihr Kunde oder eine Ausschreibung ausdrücklich ein Audit vor Ort durch eine Zertifizierungsstelle, passt es nicht.

So gehen Sie vor:

1. Auf der Seite Normen sehen Sie, welche Standards verfügbar sind, und wählen die passende.
2. Auf der Seite Preise finden Sie die aktuellen Konditionen.
3. Unter Assessment starten beginnen Sie die Selbstbeurteilung.

Die Fragen zwingen Sie, Ihre Abläufe ehrlich anzuschauen. Das bleibt auch ohne Zertifikat nützlich.

Häufige Fehler bei Agenturen

Die falsche Norm wählen. Wer ISO 9001 erwirbt, weil sie bekannt klingt, obwohl der Kunde einen Nachweis zur Informationssicherheit verlangt, hat Zeit verloren. Klären Sie die Anforderung zuerst.

Zu viel Papier. Manche Agenturen dokumentieren gar nichts, andere schreiben überladene Handbücher. Beides bringt nichts. Halten Sie fest, was Sie tatsächlich tun und was ein neuer Mitarbeiter wissen muss.

Das System ohne Geschäftsleitung aufbauen. Kapitel 5 der Norm verlangt Führung. Delegieren Inhaber das Thema und befassen sich nicht mehr damit, wird das System nicht gelebt.

Zertifikat mit Rechtskonformität verwechseln. Ein ISO Zertifikat sagt nichts darüber aus, ob Sie das Datenschutzrecht einhalten, etwa das schweizerische Datenschutzgesetz oder die DSGVO. Es hilft, Prozesse zu ordnen, ersetzt aber keine rechtliche Prüfung.

Wann sich die Zertifizierung lohnt

Sie lohnt sich bei einem konkreten Anlass: eine Kundenanfrage beantworten, Abläufe ordnen, Sorgfalt belegen. Klären Sie zuerst, welche Norm Ihr Kunde erwartet und ob er ein Audit vor Ort durch eine Zertifizierungsstelle verlangt. Wenn ja, gehen Sie direkt den klassischen Weg. Wenn nein, genügt die Selbstbeurteilung.