Akkreditierung, Zertifizierung, Audit – wer darf eigentlich was?

Rund um Zertifizierungen kursieren viele Begriffe – Akkreditierung, Zertifizierung, Auditor, Berater. Wer sie verwechselt, kauft schnell das Falsche ein. Das System ist aber logisch aufgebaut: Es ist eine Vertrauenskette mit klaren Rollen.

Die Vertrauenskette von oben nach unten

• Akkreditierungsstelle (in Deutschland die DAkkS): überwacht und akkreditiert Zertifizierungsstellen – sie „zertifiziert die Zertifizierer“.
• Zertifizierungsstelle: führt die externen Audits durch und stellt das Zertifikat aus. Sie ist nach internationalen Anforderungen akkreditiert.
• Organisation: lässt ihr Managementsystem auditieren und zertifizieren.

Diese Kette ist der Grund, warum ein akkreditiertes Zertifikat Gewicht hat: Es steht nicht für sich, sondern ist Teil eines überwachten Systems.

Wer darf was?

• Interner Auditor: auditiert das eigene Unternehmen (Pflicht), darf aber keine Zertifikate ausstellen.
• Berater / Implementer: hilft beim Aufbau des Managementsystems.
• Lead Auditor (extern): leitet Audits, auch im Auftrag von Zertifizierungsstellen – mit entsprechender Qualifikation und Audit-Erfahrung.
• Zertifizierungsstelle: spricht als einzige das akkreditierte Zertifikat aus.

Warum Beratung und Zertifizierung getrennt sind

Eine zentrale Regel lautet: Wer ein System aufbaut oder berät, darf es nicht zugleich zertifizieren. Sonst würde man die eigene Arbeit prüfen – die Unabhängigkeit wäre dahin. Deshalb ist die Aufgabenteilung sinnvoll: Ein Implementierungspartner bringt Sie zur Reife, die akkreditierte Stelle bestätigt sie unabhängig.

Genau diese Trennung ist kein Hindernis, sondern Qualitätssicherung: Vorbereitung und Urteil liegen bewusst in verschiedenen Händen.

System- vs. Personenzertifizierung

Zwei Dinge werden oft verwechselt: Die Systemzertifizierung bescheinigt einer Organisation ein funktionierendes Managementsystem. Die Personenzertifizierung bescheinigt einem Menschen eine Qualifikation – etwa als Lead Auditor. Beides ist nützlich, aber es sind unterschiedliche Nachweise mit unterschiedlichem Zweck.

Für KI-Managementsysteme nach ISO 42001 baut sich diese Landschaft gerade auf: Akkreditierungs- und Zertifizierungsstellen positionieren sich, und qualifizierte Auditoren sind noch rar – ein Vorteil für alle, die früh anfangen.