Definition
Audit, das von einer unabhängigen, akkreditierten Zertifizierungsstelle durchgeführt wird, um die Konformität mit einer Norm (z. B. ISO 9001, IATF 16949, ISO 13485) zu bewerten. Ergebnis ist ein Zertifikat mit definierter Gültigkeitsdauer und Überwachungsaudits.
In der Praxis
Das Third-Party-Audit ist der Moment, in dem sich entscheidet, ob Ihr System Substanz hat — und die Fehler beginnen lange vor dem Auditor. Erstens: die Stufe 1 als Formalie unterschätzt. Dort werden Scope, Standorte und Reifegrad geprüft; wer dort ohne gelaufenes internes Audit und ohne Managementbewertung erscheint, wird zur Nachbesserung nach Hause geschickt. Zweitens: der Scope falsch gewählt — zu breit formuliert, und Sie müssen Prozesse nachweisen, die Sie gar nicht beherrschen; zu eng, und der Kunde findet seinen gelieferten Standort nicht auf dem Zertifikat. Drittens: Überwachungsaudits verpennt — die Fristen im Zyklus sind keine Empfehlung; wer sie reißt, riskiert das Ruhen des Zertifikats. Viertens: Der Auditor wird mit dem Handbuch beworfen statt mit den Prozessen. Der Zyklus selbst ist einfach: Erstaudit in Stufe 1 und 2, jährliche Überwachungsaudits, Rezertifizierung nach drei Jahren. Planen Sie die Termine rückwärts aus dem Zertifikatsablauf — nicht, wenn es gerade passt.
Verwandte Begriffe
Häufige Fragen zu Third-Party-Audit
Was unterscheidet First-, Second- und Third-Party-Audits?
Die drei Auditarten unterscheiden sich nach dem Verhältnis zwischen Auditor und Auditierendem. Das First-Party-Audit ist das interne Audit: Die Organisation prüft sich selbst — durch eigene, geschulte Mitarbeitende oder einen beauftragten Dritten in ihrem Auftrag; es dient der Selbstverbesserung und der Vorbereitung. Das Second-Party-Audit führt eine interessierte Partei durch, typischerweise der Kunde beim Lieferanten — Zweck ist die Lieferantenqualifizierung oder -überwachung, oft als Prozessaudit nach VDA 6.3. Das Third-Party-Audit schließlich führt eine unabhängige, akkreditierte Zertifizierungsstelle ohne eigenes Interesse am Ergebnis durch; nur es endet in einem Zertifikat. Die Auditprinzipien und der methodische Ablauf sind dabei weitgehend gleich — der Leitfaden der ISO 19011 gilt für alle drei Arten. Entscheidend ist: Nur das Third-Party-Audit erzeugt die externe, marktfähige Konformitätsaussage (ISO 19011:2018).
Wie läuft der Zertifizierungszyklus beim Third-Party-Audit ab?
Der Zyklus beginnt mit dem Erstaudit in zwei Stufen. Stufe 1 prüft die Dokumentation, den Scope und den Reifegrad — ob das System grundsätzlich auditbereit ist; größere Lücken werden als Voraussetzung für Stufe 2 benannt. Stufe 2 prüft die Wirksamkeit der Umsetzung vor Ort über alle relevanten Prozesse und Standorte; bei Bestehen wird das Zertifikat mit einer Gültigkeit von drei Jahren ausgestellt. In den Folgejahren finden jährliche Überwachungsaudits statt, die Stichproben des Systems und die zentralen Prozesse prüfen. Vor Ablauf der drei Jahre steht die Rezertifizierung, die wieder den vollen Umfang erfasst. Werden gravierende Nichtkonformitäten nicht fristgerecht behoben, kann die Stelle das Zertifikat suspendieren oder zurückziehen. Planen Sie interne Audits und Managementbewertung so, dass sie jedem externen Audit aktuell vorangehen.
Wie bereiten wir uns auf das Erstaudit vor, ohne in Aktionismus zu verfallen?
Drei Voraussetzungen müssen vor Stufe 2 erfüllt sein, alles andere ist Kosmetik. Erstens: ein vollständig durchgeführtes internes Auditprogramm über alle Prozesse — mit Befunden, deren Korrekturmaßnahmen abgeschlossen oder zumindest wirksam eingeleitet sind. Zweitens: eine durchgeführte Managementbewertung mit den geforderten Eingaben und dokumentierten Beschlüssen; beides sind normative Pflichtbausteine und werden im Erstaudit zwingend verlangt. Drittens: gelebte Prozesse über einen ausreichenden Zeitraum — ein System, das seit drei Wochen existiert, kann keine Wirksamkeit zeigen; rechnen Sie mit mehreren Monaten Belegen. Sorgen Sie am Audittag dafür, dass die Prozesseigner erreichbar sind und die Belege griffbereit liegen — der Auditor prüft die Praxis, nicht das Handbuch. Und nehmen Sie Feststellungen aus Stufe 1 ernst: Sie sind die kostenlose Vorwarnung vor dem Scheitern in Stufe 2 (ISO 9001:2015, Abschnitte 9.2 und 9.3).