Ein ISO 9001-Zertifikat sagt, dass ein Lieferant ein System hat – nicht, ob er die geforderte Qualität liefern kann. Ein strukturiertes 2nd-Party-Audit deckt genau diesen Unterschied auf.
Ein ISO 9001-Zertifikat ist bei der Lieferantenauswahl oft das entscheidende Kriterium – und wird in der Praxis häufig mit der Frage verwechselt, ob ein Lieferant die im Einzelfall geforderte Qualität tatsächlich liefern kann. Ein 2nd-Party-Audit macht genau diesen Unterschied sichtbar, oft bevor er zum teuren Problem wird.
Auf einen Blick
Ein ISO 9001-Zertifikat bestätigt, dass ein Lieferant über ein dokumentiertes Qualitätsmanagementsystem verfügt, das die Anforderungen der Norm erfüllt. Es bestätigt nicht automatisch, dass dieser Lieferant die konkrete, im Einzelfall geforderte Qualität liefern kann.
Branchenquellen weisen zudem auf konkrete Grenzen der alleinigen Zertifikatsprüfung hin: Scheinzertifikate und manipulierte Nachweise, abgelaufene oder nicht mehr gültige Zertifizierungen, eine im Einzelfall unzureichende Prüftiefe beim Zertifizierungsaudit, eine fehlende Überwachung nach der Zertifikatserstellung sowie ein begrenzter Geltungsbereich. Jedes ISO 9001-Zertifikat bezieht sich nämlich nur auf den darin festgelegten Scope – bestimmte Standorte, Prozesse oder Produktgruppen. Für das konkret zu beschaffende Produkt kann dieser Scope im Einzelfall gar nicht zutreffen, ohne dass eine reine Zertifikatsprüfung das auf den ersten Blick erkennen lässt.
Auch aus anderer Richtung zeigt sich dasselbe Muster. Ein WEKA-Fachbeitrag beschreibt, wie sich Unternehmen auf ein Zertifikat verlassen, während zugesagte Prüfungen und vertragliche Vereinbarungen in der Praxis nicht vollständig umgesetzt werden – das Zertifikat schafft Verantwortung, ohne die tatsächliche Leistungsfähigkeit des Lieferanten zu sichern.
Ein 2nd-Party-Audit (Second-Party-Audit) ist eine Überprüfung des Lieferanten durch den Auftraggeber selbst oder durch einen von ihm beauftragten Auditor. Das unterscheidet es vom Zertifizierungsaudit (Third-Party-Audit), das eine unabhängige Zertifizierungsstelle durchführt. Auch der fachliche Fokus unterscheidet sich. Ein Third-Party-Audit prüft ausschließlich das Managementsystem gegen die Normanforderungen. Ein 2nd-Party-Audit ergänzt die Fragen zum Managementsystem um die spezifischen Anforderungen des Auftraggebers an das zu liefernde Produkt.
Im Vergleich
Third-Party-Audit
Second-Party-Audit
Ein 2nd-Party-Audit dient der risikobasierten Lieferantenbewertung. Zu den Aufgaben des Lieferantenauditors gehören die Planung und Durchführung des Audits, die Prüfung der lieferantenbezogenen QM-Dokumentation, die Informationsbeschaffung zur Risikoevaluierung, die Überwachung der Lieferantenleistung sowie die Erstellung eines Berichts mit Korrekturmaßnahmen und Terminvorgaben.
ISO 9001 verlangt in Kapitel 8.4 (Steuerung extern bereitgestellter Prozesse, Produkte und Dienstleistungen), dass Unternehmen Kriterien für die Bewertung, Auswahl, Überwachung der Leistung und Neubewertung externer Anbieter festlegen und diese Steuerung risikobasiert gestalten. Bei Lieferanten mit hohem Risiko für das eigene Unternehmen sind engere Kontrollen vorzusehen als bei unkritischen Lieferanten.
In der Beratungspraxis zeigt sich immer wieder ein bestimmtes Muster, wenn Unternehmen bei einem neuen oder wenig bekannten Lieferanten in Schwierigkeiten geraten. Der Lieferant wurde nach Preis und Verfügbarkeit ausgewählt, ein vorliegendes ISO 9001-Zertifikat beim Besuch vor Ort geprüft und auf dieser Basis der Auftrag vergeben. Im Vordergrund steht bei einem solchen Besuch jedoch häufig das Kaufmännische – etwa Preise und Lieferzeiten –, während ein strukturierter technischer Auditfragebogen fehlt und technische Aspekte eher auf Basis allgemeiner Erfahrung mitbeurteilt werden. Entsprechend fehlt in diesen Fällen häufig jede Dokumentation zu den technischen Feststellungen des Besuchs.
Erst wenn die Lieferung eintrifft, stellt sich heraus, dass der Lieferant das geforderte Qualitätsniveau nicht erfüllen kann. Erst an diesem Punkt werden häufig weitere Fachexperten hinzugezogen, um das Thema zu retten – nachdem der Schaden bereits entstanden ist.
Erst wenn die Lieferung eintrifft, stellt sich heraus, dass der Lieferant das geforderte Qualitätsniveau nicht erfüllen kann.
Ein strukturiertes 2nd-Party-Audit folgt einem anderen Ablauf. Nach ISO 19011, dem Leitfaden zum Auditieren von Managementsystemen, gehören dazu vorbereitete Arbeitsdokumente wie Checklisten, kompetente und dafür qualifizierte Auditoren, eine risikobasierte Planung, ein faktenbasierter, dokumentierter Auditbericht, ein Abschlussgespräch mit Abstimmung der Feststellungen sowie die Verfolgung von Korrekturmaßnahmen bis zur Wirksamkeitsprüfung.
Bausteine eines strukturierten 2nd-Party-Audits
Quelle: ISO 19011, Leitfaden zur Auditierung von Managementsystemen
Fehlt diese Struktur, nennen Fachquellen als typische Folgen: oberflächliche oder voreingenommene Bewertungen, unvollständig geprüfte Compliance-Themen und einen fehlenden Follow-up-Prozess, der nur begrenzte Sicherheit über den tatsächlichen Zustand beim Lieferanten bietet.
Ein Second-Party-Auditor benötigt dafür entsprechende Kompetenzen. Dazu zählen Dokumentenprüfung, Interviewtechniken, ein systematischer Ansatz zur Prozessplanung – etwa die Turtle-Methodik – sowie die Fähigkeit, eine Checkliste vorab zu erstellen und risikobasiert zu denken.
Mit QualiTEx Global unterstütze ich Unternehmen beim Aufbau strukturierter 2nd-Party-Audits – von der Checkliste über die Risikoklassifizierung der Lieferantenbasis bis zur laufenden Durchführung vor Ort.
Lassen Sie uns unverbindlich besprechen, was diese Entwicklung für Ihr Unternehmen bedeutet.