Überwachungsaudit: Zyklus, Dauer und Abgrenzung

DATUM

04.11.2026

AUTOR

Dr. Merlin C. Köhnke

zurück

Ein Überwachungsaudit ist die jährliche Zwischenprüfung eines bereits zertifizierten Managementsystems innerhalb des dreijährigen Zertifizierungszyklus. Es bestätigt, dass das System nach der Erstzertifizierung wirksam geblieben ist, und ersetzt keine vollständige Normprüfung. Grundlage ist ISO/IEC 17021-1:2015, den Zeitumfang regelt IAF MD 5:2023.

Überwachungsaudit, Zertifizierungsaudit, Rezertifizierungsaudit und internes Audit: die Abgrenzung

Die vier Audits werden regelmäßig verwechselt, obwohl sie unterschiedliche Anlässe haben und nur zwei von ihnen über das Zertifikat entscheiden. Das Zertifizierungsaudit begründet es, das Rezertifizierungsaudit verlängert es, das Überwachungsaudit hält es aufrecht, und das interne Audit ist eine Anforderung an das Unternehmen selbst.

Audit	Wann im Zyklus	Wer prüft	Prüfumfang	Auditzeit	Folge für das Zertifikat
Zertifizierungsaudit (Stufe 1 und Stufe 2)	Zu Beginn des Zyklus	Zertifizierungsstelle	Vollprüfung aller Normanforderungen, in Stufe 1 Dokumentation und Auditbereitschaft	Referenzwert, aus dem sich alle weiteren Auditzeiten ableiten	Entscheidung über die Erteilung des Zertifikats
Überwachungsaudit	Jährlich in den Jahren zwischen Erst- und Rezertifizierung	Zertifizierungsstelle	Ausschnitt statt Vollprüfung; in der Praxis interne Audits, Managementbewertung, Beschwerden, Änderungen, Zeichennutzung	Etwa ein Drittel der Erstaudit-Zeit, kaum je unter einem Audittag	Aufrechterhaltung; bei ungelösten Abweichungen Aussetzung oder Entzug
Rezertifizierungsaudit	Am Ende des dreijährigen Zyklus	Zertifizierungsstelle	Erneute Prüfung des Gesamtsystems samt Leistung über den Zyklus	Zwei Drittel der Zeit, die ein Erstaudit heute benötigen würde	Entscheidung über ein neues Zertifikat für den Folgezyklus
Internes Audit	Nach eigenem Auditprogramm, unabhängig vom Zyklus	Unternehmen selbst oder beauftragte Dritte	Selbst festgelegter Umfang, Nachweis nach innen	Nicht normiert, vom Auditprogramm bestimmt	Keine; die Ergebnisse prüft aber das Überwachungsaudit

Was ISO/IEC 17021-1 und IAF MD 5 konkret vorgeben

Der Erstzertifizierungszyklus dauert drei Jahre, und die Überwachung findet innerhalb dieses Zyklus jährlich statt. IAF MD 5:2023 setzt die jährlich für Überwachungen aufgewendete Gesamtzeit auf etwa ein Drittel der Auditzeit des Erstzertifizierungsaudits und hält fest, dass ein Überwachungsaudit kaum je unter einem Audittag bleibt.

IAF MD 5 ist kein Leitfaden, sondern ein verbindliches Dokument des International Accreditation Forum für die Anwendung von ISO/IEC 17021-1. Es gilt für Qualitäts-, Umwelt- und Arbeitsschutzmanagementsysteme gleichermaßen: Für ein nach ISO 14001 oder ISO 50001 zertifiziertes Unternehmen gelten dieselben Zeitansätze wie für ein nach ISO 9001 zertifiziertes. ISO/IEC 17021-1:2015 wurde zuletzt 2020 bestätigt; eine systematische Überprüfung lief vom 15. Oktober 2025 bis zum 5. März 2026, ihr Ergebnis ist nicht veröffentlicht. Wer mehrjährig plant, prüft die Ausgabe deshalb vor dem nächsten Rezertifizierungstermin erneut.

Warum das Rezertifizierungsaudit regelmäßig teurer ausfällt als erwartet

Weil die zwei Drittel nicht auf das ursprüngliche Audit gerechnet werden. IAF MD 5:2023 stellt ausdrücklich klar, dass die Rezertifizierungszeit zwei Drittel der Zeit beträgt, die ein Erstzertifizierungsaudit heute benötigen würde – nicht zwei Drittel der damals tatsächlich aufgewendeten Zeit. Die Auditzeit wird also auf Basis aktueller Beschäftigtenzahlen und Standorte neu ermittelt.

Das ist der häufigste Fallstrick in Zertifizierungsprojekten, die wir begleiten: Ein Unternehmen, das seit der Erstzertifizierung von zwei auf fünf Standorte gewachsen ist, kalkuliert die Rezertifizierung aus dem alten Angebot – und bekommt ein Audit, das länger dauert und mehr kostet als die Erstzertifizierung. Beim Überwachungstermin empfehlen wir das erste Halbjahr: Wer ihn ans Jahresende legt, prüft das System in der Phase, in der interne Audits und Managementbewertung erfahrungsgemäß liegen bleiben. Dagegen spricht die dünnere Datenlage – wer die Leistungsentwicklung zeigen will, hat im Herbst das bessere Material. Die Abwägung fällt je nach Reifegrad anders aus.

Für Unternehmen, die ein Umwelt- oder Energiemanagementsystem aufbauen, ist der Zyklus das eigentliche Planungsobjekt, nicht die Erstzertifizierung. Wir übernehmen die Begleitung des gesamten Zertifizierungszyklus von der Erstzertifizierung über die jährlichen Überwachungsaudits bis zur Rezertifizierung.

01Worin unterscheidet sich das Überwachungsaudit vom Rezertifizierungsaudit?+

Im Prüfanlass und im Umfang. Das Überwachungsaudit bestätigt in den Jahren nach der Zertifizierungsentscheidung, dass das System weiterhin wirksam ist, und benötigt nach IAF MD 5:2023 etwa ein Drittel der Auditzeit eines Erstzertifizierungsaudits. Das Rezertifizierungsaudit schließt den Zyklus ab und entscheidet über ein neues Zertifikat; dafür sind in der Regel zwei Drittel dieser Auditzeit angesetzt.

02Wie lange dauert ein Überwachungsaudit?+

Etwa ein Drittel der Auditzeit, die für das Erstzertifizierungsaudit aus Stufe 1 und Stufe 2 ermittelt wurde. IAF MD 5:2023 hält dazu ausdrücklich fest, dass ein Überwachungsaudit kaum je unter einem Audittag bleibt. Die konkrete Zeit richtet sich nach Beschäftigtenzahl, Standorten und Komplexität.

03Gilt der dreijährige Zyklus auch für ISO 14001 und ISO 50001?+

Ja. IAF MD 5:2023 gilt für Qualitäts-, Umwelt- und Arbeitsschutzmanagementsysteme gleichermaßen und setzt den Erstzertifizierungszyklus auf drei Jahre. Für ISO 50001 kommt hinzu, dass die Zertifizierung nach § 8 Absatz 3 EDL-G von der Energieauditpflicht befreit – diese Befreiung hängt am aufrechterhaltenen Zertifikat.

04Was passiert, wenn im Überwachungsaudit eine Abweichung festgestellt wird?+

Eine Abweichung führt nicht automatisch zum Verlust des Zertifikats. Die Zertifizierungsstelle setzt eine Frist für Korrekturmaßnahmen und prüft deren Wirksamkeit nach; erst wenn sie ausbleiben, kommen Aussetzung oder Entzug in Betracht. Nach unserer Projekterfahrung sind unvollständige interne Audits und eine übersprungene Managementbewertung die häufigsten Auslöser.