Jede ISO-Zertifizierung folgt demselben Grundmuster aus neun Phasen – sechs davon führen einmalig von der ersten Orientierung zum Zertifikat, drei weitere begleiten Sie danach dauerhaft im Betrieb. Dieser Beitrag zeigt die ganze Strecke auf einen Blick, als Landkarte für Ihr eigenes Projekt. Zu jeder Phase erscheinen im ISO-Ratgeber laufend vertiefende Beiträge, die diesen Überblick Stück für Stück ergänzen.
Neun Phasen klingen nach viel. In der Praxis sind es neun Antworten auf dieselbe Frage, die sich mit dem Projektstand verschiebt: Was kommt jetzt? Am Anfang heisst das "Was ist ISO überhaupt", am Ende "Wie behalte ich das Zertifikat". Dazwischen liegt eine Reise, die für die meisten Schweizer KMU zwischen sechs und zwölf Monaten bis zur Erstzertifizierung dauert – und danach nie ganz endet, sondern in einen Dreijahresrhythmus übergeht. Dieser Beitrag ist die Landkarte dazu: Der rote Faden, an dem sich der ganze ISO-Ratgeber entlanghangelt.
Wir sprechen bewusst von einem Lebenszyklus und nicht von einem Projekt, weil das Wort "Projekt" ein Ende suggeriert, das es bei einer Zertifizierung nicht gibt. Ein Projekt wird abgeschlossen, ein Lebenszyklus wird gelebt. Diese Unterscheidung ist mehr als Wortklauberei: Betriebe, die die neun Phasen als einmaliges Projekt planen, budgetieren meist nur die ersten sechs und werden dann von den laufenden Aufwänden der letzten drei überrascht. Die Reihenfolge unten gilt unabhängig von der Betriebsgrösse und der gewählten Norm – ob Sie ISO 9001, 14001 oder eine andere Norm anstreben, das Grundmuster der neun Phasen bleibt dasselbe, nur die Inhalte innerhalb jeder Phase unterscheiden sich.
Der einmalige Weg: Von der Orientierung zum Zertifikat
Die ersten sechs Phasen durchlaufen Sie nur einmal, in dieser Reihenfolge. Jede baut auf der vorherigen auf, und jede endet dort, wo die Verantwortung an die nächste übergeht.
1. Orientierung
Hier steigen Sie ein, bevor Sie überhaupt eine Norm kennen: Was ISO ist, welche Norm zu Ihrem Betrieb passt, was eine Zertifizierung kostet, und wer sie in der Schweiz tatsächlich braucht. Reine Wissensvermittlung für komplette Neulinge, ohne dass schon eine konkrete Absicht vorliegt.
2. Strategischer Entscheid
Der Punkt, an dem aus einer Idee ein Projekt wird. Hier geht es um den Nutzen im Tagesgeschäft, die Kosten-Nutzen-Rechnung, und oft um Überzeugungsarbeit gegenüber der eigenen Geschäftsleitung. Auch akute Auslöser gehören hierher, etwa ein Grosskunde, der ein Zertifikat plötzlich zur Vertragsbedingung macht. Sobald Ressourcen und Zeitplan konkret werden, beginnt Phase 3.
3. Planung & Vorbereitung
Die organisatorische Vorarbeit nach dem Entscheid, bevor das erste Dokument entsteht: Rollen klären, Ressourcen budgetieren, Tools auswählen, eine erste Gap-Analyse zwischen Ist-Zustand und Normanforderungen erstellen. Wer diese Phase überspringt und direkt mit dem Dokumentieren beginnt, baut meist am Bedarf vorbei.
4. Systemaufbau
Das eigentliche Bauen des Managementsystems: Dokumente, Schulung, risikobasiertes Denken, Prozesslandkarte. Die Phase mit dem grössten Arbeitsaufwand – und die Phase, in der ein Betrieb am meisten Papierkram anhäufen kann, wenn er nicht aufpasst. Wer hier zu viel dokumentiert, merkt das oft erst beim internen Audit in Phase 5, wenn niemand mehr weiss, welches Formular tatsächlich gelebt wird und welches nur auf dem Papier existiert. Die Prüfung des fertigen Systems gehört noch nicht hierher, sondern erst zu den beiden folgenden Phasen.
5. Internes Audit & Managementbewertung
Die Selbstkontrolle vor der externen Prüfung – der erste Durchlauf. Die Norm verlangt sie als Voraussetzung fürs Zertifizierungsaudit, nicht als Kür. Sie prüft, ob das gebaute System auch wirklich funktioniert, bevor ein externer Auditor es sieht. Dieser Zyklus wiederholt sich später in geplanten Abständen, dann als fester Bestandteil der Systempflege in Phase 7 .
6. Zertifizierungsaudit
Der Termin, auf den alles hinausläuft: Auswahl der Zertifizierungsstelle, Ablauf von Stage-1- und Stage-2-Audit, Umgang mit allfälligen Abweichungen. Wählen Sie vorzugsweise eine Zertifizierungsstelle, die bei der Schweizerischen Akkreditierungsstelle SAS für die betreffende Norm und den relevanten Geltungsbereich akkreditiert ist. Eine solche Akkreditierung unterstützt die internationale Anerkennung des Zertifikats. Am Ende dieser Phase steht das Zertifikat, aber nicht das Ende des Projekts.
Häufiger Irrtum: Viele KMU denken, mit dem Zertifikat in der Hand sei das Projekt abgeschlossen. Tatsächlich beginnt genau dort erst der Dauerbetrieb: Die Phasen 7 bis 9 laufen ohne festes Enddatum weiter, solange das Zertifikat bestehen bleiben soll. Wer das von Anfang an einplant, wird später nicht von den jährlichen Aufwänden überrascht.
Der wiederkehrende Zyklus: Leben mit dem Zertifikat
Die letzten drei Phasen bilden keinen Weg mit Ziellinie, sondern einen Kreislauf. Sie laufen parallel, jede in ihrem eigenen Takt, solange Ihr Betrieb zertifiziert bleiben will.
7. Systempflege & Verbesserung
Was nach dem Zertifikat beginnt, statt endet – angetrieben vom eigenen Betrieb, nicht von der Zertifizierungsstelle. Dazu gehören Kennzahlen beobachten, Abweichungen bearbeiten und der interne Audit-Zyklus aus Phase 5, der sich jetzt in den festgelegten Abständen wiederholt. Extern getriebene, wiederkehrende Prüfungen gehören nicht hierher, sondern zu Phase 8: Innen gegen Aussen ist die Trennlinie zwischen den beiden Phasen.
8. Überwachung & Rezertifizierung
Der Dreijahresrhythmus, den jede Zertifizierung mitbringt – diesmal angetrieben von der Zertifizierungsstelle, nicht vom eigenen Betrieb. Nach der Erstzertifizierung folgen in der Regel Überwachungsaudits im ersten und zweiten Jahr. Im dritten Jahr findet vor Ablauf des Zertifikats das Rezertifizierungsaudit statt. Mit der erfolgreichen Rezertifizierung beginnt ein neuer dreijähriger Zertifizierungszyklus. Wer die Vorlaufzeit dafür verpasst, riskiert eine Lücke ohne gültiges Zertifikat.
9. Normrevisionen & Change Management
Normen stehen still, aber nicht für immer. Diese Phase begleitet Sie durch Revisionen wie die von ISO 27001:2022 – unregelmässig, aber mit klaren Übergangsfristen, die eingehalten werden müssen. Anders als die Phasen 7 und 8 lässt sich diese Phase nicht in den eigenen Jahreskalender einplanen, weil sie nicht vom Betrieb oder von der Zertifizierungsstelle ausgelöst wird, sondern von der internationalen Normungsarbeit – ein Revisionszyklus kann drei Jahre dauern oder zehn. Die Schweizerische Normen-Vereinigung SNV und Ihre eigene Zertifizierungsstelle sind die verlässlichsten Quellen, um frühzeitig von einer anstehenden Revision zu erfahren, statt erst kurz vor Fristablauf davon zu hören.
Wie die drei Rhythmen zusammenspielen
Systempflege im eigenen Rhythmus, Überwachung im Rhythmus der Zertifizierungsstelle, Normrevisionen im Rhythmus der internationalen Normungsarbeit: Diese drei Takte laufen nebeneinander her, nicht nacheinander. Ein internes Audit findet statt, während gleichzeitig ein Überwachungsaudit ansteht oder eine Normrevision durchgearbeitet wird.
Ein Beispiel aus der Praxis: Ein KMU mit ISO-9001-Zertifikat plant sein internes Audit jeweils im ersten Quartal, damit die Managementbewertung rechtzeitig vor dem Überwachungsaudit der Zertifizierungsstelle im dritten Quartal steht. Im Jahr einer Normrevision kommt eine dritte Terminreihe dazu: Die Umstellungsfrist, die unabhängig vom eigenen Auditkalender tickt. Wer alle drei Terminreihen in einem einzigen Jahreskalender führt, statt sie getrennt zu verwalten, verliert keinen Termin aus den Augen.
Für Ihre Planung heisst das: Sobald Sie zertifiziert sind, brauchen Sie keinen neuen Projektplan mehr, sondern einen Jahreskalender mit drei Spalten. Die Phasen 7 und 8 geben den Takt vor, Phase 9 kommt unregelmässig dazu, wenn eine Norm sich ändert.
Für wen dieser Überblick gedacht ist
Dieser Beitrag richtet sich an zwei Arten von Leser:innen. Die einen stehen ganz am Anfang und wollen wissen, was sie erwartet, bevor sie sich auf ein Projekt einlassen. Die anderen sind bereits mitten im Prozess und suchen Orientierung, wo ihre aktuelle Aufgabe im Gesamtbild steht – etwa um einer Geschäftsleitung zu erklären, warum ein internes Audit nicht das Ende, sondern erst der Anfang der eigentlichen Arbeit ist.
ISOfee-Tipp: Lesen Sie nicht den ganzen Ratgeber am Stück. Springen Sie direkt zur Phase, in der Ihr Projekt gerade steht, und kehren Sie zu diesem Überblick zurück, sobald die nächste Phase beginnt. Das spart Zeit und verhindert, dass Detailwissen zu Phase 8 Sie verwirrt, während Sie noch bei Phase 2 stehen.
Fazit
Eine ISO-Zertifizierung ist kein einzelnes Projekt mit einem Enddatum, sondern eine Reise mit neun Etappen, von denen die letzten drei nie ganz aufhören. Wer diese Struktur von Anfang an kennt, plant realistischer: Personentage für den Systemaufbau, aber auch einen festen Platz im Jahreskalender für die Zeit danach. Die grösste Fehlerquelle liegt nicht im Systemaufbau selbst, sondern in der Annahme, das Zertifikat sei ein Schlusspunkt statt ein Zwischenstand. Ebenso wichtig ist die ehrliche Grenze dieser Übersicht: Die neun Phasen sind ein Grundmuster, kein starres Schema, das für jeden Betrieb identisch abläuft. Ein Kleinstbetrieb ohne eigene QM-Abteilung durchläuft dieselben neun Phasen wie ein grösseres KMU, aber mit anderem Tempo und anderer Rollenverteilung. Nutzen Sie diesen Beitrag als Ausgangspunkt: Er wird mit jedem neu veröffentlichten Detail-Beitrag um weitere Verlinkungen ergänzt, bis die ganze Landkarte steht. Bis dahin hilft schon die Reihenfolge der neun Phasen, die eigene Position im Projekt einzuordnen. Und wo Sie auch gerade stehen – der nächste Schritt ist nie mehr als eine Phase entfernt.