Akkreditierung, Zertifizierung, Audit, wer darf eigentlich was?

Rund um Zertifizierungen kursieren viele Begriffe, Akkreditierung, Zertifizierung, Auditor, Berater. Wer sie verwechselt, kauft schnell das Falsche ein. Das System ist aber logisch aufgebaut: Es ist eine Vertrauenskette mit klaren Rollen.

Die Vertrauenskette von oben nach unten

• Akkreditierungsstelle (in Deutschland die DAkkS): überwacht und akkreditiert Zertifizierungsstellen, sie „zertifiziert die Zertifizierer“.
• Zertifizierungsstelle: führt die externen Audits durch und stellt das Zertifikat aus. Sie ist nach internationalen Anforderungen akkreditiert.
• Organisation: lässt ihr Managementsystem auditieren und zertifizieren.

Diese Kette ist der Grund, warum ein akkreditiertes Zertifikat Gewicht hat: Es steht nicht für sich, sondern ist Teil eines überwachten Systems.

Wer darf was?

• Interner Auditor: auditiert das eigene Unternehmen (Pflicht), darf aber keine Zertifikate ausstellen.
• Berater / Implementer: hilft beim Aufbau des Managementsystems.
• Lead Auditor (extern): leitet Audits, auch im Auftrag von Zertifizierungsstellen, mit entsprechender Qualifikation und Audit-Erfahrung.
• Zertifizierungsstelle: spricht als einzige das akkreditierte Zertifikat aus.

Warum Beratung und Zertifizierung getrennt sind

Eine zentrale Regel lautet: Wer ein System aufbaut oder berät, darf es nicht zugleich zertifizieren. Sonst würde man die eigene Arbeit prüfen, die Unabhängigkeit wäre dahin. Deshalb ist die Aufgabenteilung sinnvoll: Ein Implementierungspartner bringt Sie zur Reife, die akkreditierte Stelle bestätigt sie unabhängig.

Genau diese Trennung ist kein Hindernis, sondern Qualitätssicherung: Vorbereitung und Urteil liegen bewusst in verschiedenen Händen.

System- vs. Personenzertifizierung

Zwei Dinge werden oft verwechselt: Die Systemzertifizierung bescheinigt einer Organisation ein funktionierendes Managementsystem. Die Personenzertifizierung bescheinigt einem Menschen eine Qualifikation, etwa als Lead Auditor. Beides ist nützlich, aber es sind unterschiedliche Nachweise mit unterschiedlichem Zweck.

Für KI-Managementsysteme nach ISO 42001 baut sich diese Landschaft gerade auf: Akkreditierungs- und Zertifizierungsstellen positionieren sich, und qualifizierte Auditoren sind noch rar, ein Vorteil für alle, die früh anfangen.