Wie wird die Auditzeit nach IAF MD 5 in Systemzertifizierungs-Software verwaltet?

Wie wird die Auditzeit nach IAF MD 5 in Software verwaltet?

Die Auditzeit nach IAF MD 5 wird als versionierte Rechenaufzeichnung verwaltet, die mit der wirksamen Personalzahl beginnt, durch Risiko/Komplexität und organisationsspezifische Faktoren begründet angepasst, freigegeben und in jedem Zyklus neu geprüft wird.

Das richtige System zeigt dem Nutzer nicht nur das Ergebnis „wie viele Auditor-Tage?“. Es hält im selben Rechendossier fest, welche Dokumentversion verwendet wurde, die Ausgangsdaten, die Standort- und Schichtstruktur, erhöhende oder mindernde Faktoren, den Rundungsschritt, die Verteilung auf Phase 1 und Phase 2, die Teamzusammensetzung und die autorisierte Freigabe. So ist bei verändertem Ergebnis nicht nur die neue Zahl, sondern auch der Grund der Änderung nachvollziehbar.

Für welche Audits wird IAF MD 5 verwendet?

IAF MD 5:2023 bietet verbindliche Bestimmungen und Leitlinien für die konsistente Anwendung der einschlägigen Anforderungen der ISO/IEC 17021-1 bei Audits von Qualitäts-, Umwelt- und Arbeitsschutz-Managementsystemen.

Zum Zeitpunkt der Erstellung dieses Artikels ist das aktuelle offizielle Dokument IAF MD 5:2023, Issue 4, Version 3; es wurde am 14. Juni 2023 veröffentlicht. Das Dokument verwendet die wirksame Personalzahl als Ausgangspunkt, betont jedoch ausdrücklich, dass dies nicht die einzige Bewertung ist. Die Erstzertifizierung als Summe von Phase 1 und Phase 2; die für Überwachung und Re-Zertifizierung erforderliche Zeit ist je Kunde festzulegen. [1]

Auch die Antragsseite von TÜRKAK zur Akkreditierung von Managementsystem-Zertifizierungsstellen zeigt, dass neben den einschlägigen normativen Dokumenten der ISO/IEC 17021-1 die IAF-Pflichtdokumente anzuwenden sind und dass IAF MD 5 das Dokument zur Bestimmung der Auditzeit für Qualitäts-, Umwelt- und Arbeitsschutz-Managementsysteme ist. Das zeigt, dass die Software-Regel nicht unter dem Namen „allgemeine ISO-Rechnung“ gespeichert werden darf: Programm, Umfang und Dokumentversion sind ausdrücklich zu wählen. [2]

In welcher Reihenfolge ist zu rechnen?

Die Berechnung soll mit den Schritten fortschreiten: Wahl des anwendbaren Systemtyps, Bestimmung der wirksamen Personen, Ermittlung der Basiszeit, Bewertung der Faktoren, Rundung der Zeit und begründete Freigabe.

Wird diese Reihenfolge übersprungen, entstehen zwei Risiken. Nur das Personenband zu betrachten verliert die organisationsspezifische Komplexität; zuerst die Ziel-Tageszahl zu schreiben und dann die Faktoren an dieses Ergebnis anzupassen, dreht die Begründung um. Das System muss Basiszeit und Anpassungen in getrennten Feldern zeigen und dem Nutzer den Unterschied zwischen früherer und neuer Rechnung erläutern.

Warum ist die Zahl der wirksamen Personen nicht identisch mit der Payroll-Summe?

Wirksame Personen sind eine technische Eingangsgröße, die die in den Zertifizierungsumfang fallenden Vollzeit-, befristeten und Teilzeitbeschäftigten, Schichten und im anwendbaren Fall die im Umfang liegenden Auftragnehmer berücksichtigt.

IAF MD 5 verlangt in der Berechnung der wirksamen Personen die Bewertung von Stammbeschäftigten, befristet Beschäftigten und Teilzeitkräften; der Schichten im Umfang, des Verwaltungs- und Büropersonals und ähnlicher oder repetitiver Prozesse. Im OH&SMS-Umfang gewinnen auch Arbeitnehmer von Auftragnehmern und Unter-Auftragnehmern an Bedeutung, die unter der Kontrolle oder dem Einfluss der Organisation stehen und die Leistung beeinflussen können. Bei saisonalen Tätigkeiten ist die Auditzeit in einem Zeitraum zu planen, in dem die Tätigkeiten repräsentativ abgebildet werden können. [1]

In der Software kann die Quelle aus dem Personalwesensystem kommen; die rohe Zahl darf jedoch nicht als technisches Ergebnis gelten. Das Verhältnis jeder Personengruppe zum Umfang, der Teilzeitsatz, die Schicht, die Begründung ähnlicher Prozesse und der Fremdvergabestatus müssen sichtbar sein. Auch eine manuelle technische Korrektur nach der HR-Integration ist mit Nutzer, Datum und Erläuterung zu protokollieren.

• Zentrale und Standorte sind mit getrennter Personalverteilung zu führen.
• Schichten sind nicht nur als Gesamtzahl, sondern nach dem Unterschied der zu auditierenden Prozesse zu bewerten.
• Der für Saisonpersonal verwendete Zeitraum und Nachweis sind zu vermerken.
• Die Begründung einer Minderung für Personal außerhalb des Umfangs muss offen sein.
• Die Bewertung von Auftragnehmern und Unter-Auftragnehmern ist im Kontext von QMS, EMS und OH&SMS getrennt zu behandeln.

Wie erfolgt die Wahl von Risiko und Komplexität?

Für QMS wird das Risiko des Produkt- oder Dienstleistungsausfalls bewertet, für EMS die Komplexität der Umweltaspekte, für OH&SMS Art und Schwere der Arbeitsschutzrisiken.

Der Ansatz von IAF MD 5 ist für die drei Systeme nicht gleich. Auf der QMS-Seite gibt es Beispiele für hohes, mittleres und niedriges Risiko; auf der EMS-Seite fünf grundlegende Komplexitätskategorien für Umweltaspekte; auf der OH&SMS-Seite Sektorbeispiele im Zusammenhang mit der Risikokomplexität. Die Software darf nicht allein aus dem Sektorencode automatisch eine Klasse wählen und das Feld sperren. Tatsächliche Tätigkeit, Prozess, Produkt/Dienstleistung, Umweltbedingung und Risikkontext sind von der zuständigen Person zu bestätigen.

So kann innerhalb desselben groben Sektors die eine Organisation begrenzte Tätigkeiten mit geringer Komplexität ausüben, während eine andere chemische Prozesse, Mehrfachschichten oder hohe regulatorische Last trägt. Ein Standardvorschlag kann gegeben werden; doch die Begründung der gewählten Klasse und gegebenenfalls die Abweichung vom Standard sind zu speichern. Hat sich in der nächsten Überwachung die Tätigkeit geändert, darf die alte Klasse nicht still verwendet, sondern eine Neubewertungsaufgabe eröffnet werden.

Welche Faktoren verändern die Basiszeit?

Standort- und Logistikkomplexität, Sprache, große Flächen, hohe regulatorische Dichte, einmalige Prozesse, temporäre Standorte und ausgelagerte Prozesse sind die wichtigsten Faktoren, die die Zeit beeinflussen können.

IAF MD 5 stellt fest, dass Situationen wie mehrere Gebäude oder Standorte, unterschiedliche Sprachen und Dolmetscherbedarf, sehr große Standorte im Verhältnis zur Personalzahl, stark regulierte Tätigkeiten, sehr komplexe oder einmalige Prozesse und Besuche temporärer Standorte die Zeit erhöhen können. Für QMS, EMS und OH&SMS gibt es zusätzlich systemspezifische Faktoren. Wird eine Minderung erwogen, sind Grundlagen wie der Reifegrad des Systems, repetitive Prozesse geringer Komplexität oder die Begrenztheit des Umfangs ausdrücklich festzuhalten; die Wirksamkeit des Audits darf nicht geschwächt werden. [1]

Ein gutes Datenmodell hält die Faktoren nicht nur als Kästchen „erhöht/verringert“ fest. Faktortyp, Quelleninformation, Menge, Erläuterung, Anhangsdatei, vorschlagende Person, freigebende Person und Inkrafttretensdatum werden gemeinsam gespeichert. So ist sichtbar, ob eine Minderung aus dem früheren Zyklus für die heutige Organisation noch gilt.

Wie ist ein einfaches QMS-Beispiel zu lesen?

In der Tabelle QMS von IAF MD 5 beträgt der Ausgangswert für 26–45 wirksame Personen als Summe von Phase 1 und Phase 2 der Erstzertifizierung 4 Auditor-Tage; das ist kein finales Angebot.

In einer Beispielorganisation sei die Zahl der wirksamen Personen mit 38 bestätigt. Die Tabelle QMS 1 gibt einen Ausgangswert von 4 Auditor-Tagen. Betreibt die Organisation ihre Tätigkeit in zwei getrennten Gebäuden, liegt der Konstruktionsprozess an einem anderen Standort und werden im Audit zwei Sprachen verwendet, sind diese Bedingungen zusätzlich zu bewerten. Demgegenüber kann die überwiegend repetitive Natur der Prozesse eine Minderungsdiskussion auslösen. Die Grundlage jeder Erhöhung und Minderung wird getrennt geschrieben; das Ergebnis wird auf den nächsten halben Tag gerundet und der autorisierten Freigabe vorgelegt. [1]

Dieses Beispiel ist kein fertiges Ergebnis für einen bestimmten Kunden. Ohne Kenntnis der Risikoklasse, des Umfangs, der Schichten, Standorte, der Fremdvergabe, integrierter Systeme und der Programmregeln ist „38 Personen gleich 4 Tage“ unvollständig. Die Software kann das Beispiel zu Schulungszwecken zeigen; in der echten Rechnung muss sie jede Eingabe neu verifizieren.

Sind Auditor-Tage, Kalendertage und Teamgröße dasselbe?

Nein. Der Auditor-Tag ist der Gesamtaufwand; Kalenderdauer und Teamgröße zeigen, wie dieser Aufwand verteilt wird, und sind im Hinblick auf die Wirksamkeit gesondert zu planen.

Nach IAF MD 5 entspricht ein Audit-Tag normalerweise acht Stunden. Ergibt die Rechnung einen Dezimalwert, wird auf den nächsten halben Tag angepasst; beispielsweise werden 5,3 Tage zu 5,5 Tagen und 5,2 Tage zu 5 Tagen. Durch Planung längerer Arbeitstage die Zahl der Audit-Tage von Beginn an zu senken, ist kein geeigneter Ansatz. Auch die Teamgröße ist keine Frage mechanischer Teilung: Eine Tätigkeit, die zwei Auditoren in einem halben Tag durchführen, erzeugt nicht in jedem Fall dieselbe Wirkung wie ein ganzer Tag eines Auditors. [1]

Die Software muss die gesamten Auditor-Tage, die Kalendertage vor Ort, die Fernaktivität, die Reise und die zugewiesene Zeit je Teammitglied getrennt zeigen. Überlappende Sitzungen oder eine Person, die gleichzeitig an zwei Standorten erscheint, sind in der Planvalidierung zu erkennen. Ändert sich der Plan, ist, auch wenn das Rechenergebnis gleich bleibt, die Verteilungsversion zu erneuern.

Wie werden Fern-, Mehrfachstandort- und integrierte Audits behandelt?

Diese Szenarien bringen zusätzliche Regeln auf die Basisrechnung; die Software muss Eignung, Beprobung, die Grenze der Fernaktivität und die integrierte Zeitanpassung getrennt kontrollieren.

IAF MD 5 verlangt bei Nutzung von Fernaudit-Techniken die Anwendung der Anforderungen von IAF MD 4 und die Definition der Tätigkeiten im Plan. Für OH&SMS sind Fernaktivitäten auf Dokument- und Datensatzprüfung sowie Interviews beschränkt; Prozesskontrolle und Arbeitsschutz-Risikokontrolle können nicht mit Fernaudit-Technik auditiert werden. Diese Grenze ist in der Software nicht nur mit dem Etikett „fern“, sondern mit Tätigkeitstyp und Begründung zu errichten. [3]

Bei Mehrfachstandorten werden jeder Standort, die zentralen Funktionen, Personal, Tätigkeit und Beprobungsentscheidung verknüpft geführt. Bei integrierten Systemen sind die anwendbaren Zeiten der verschiedenen Managementsysteme, der Integrationsgrad und die Teamkompetenz gemeinsam zu bewerten. IAF ID 14:2023 ist ein aktuelles Informationsdokument, das zur Bestimmung der Auditzeit integrierter Mehrfachstandort-Audits die Schritte Eignung, Beprobung, wirksame Personen, Komplexität, Anpassung und Gesamtzeit erläutert; es ersetzt nicht die verbindlichen Anforderungen von IAF MD 5 oder des Programms. [4]

Wie werden Überwachungs- und Re-Zertifizierungszeiten aktualisiert?

Statt die alte Tageszahl zu kopieren, sind Überwachungs- und Re-Zertifizierungszeiten anhand der aktuellen Kundendaten und der Systemleistung neu zu prüfen.

IAF MD 5 bietet einen Rahmen, wonach im ersten dreijährigen Zyklus die jährliche Überwachung etwa ein Drittel der Erstzertifizierungszeit und die Re-Zertifizierungszeit etwa zwei Drittel einer zum damaligen Zeitpunkt aktuellen Erstzertifizierung betragen soll. Die Re-Zertifizierungsrechnung ist nicht automatisch zwei Drittel der im Erstaudit tatsächlich aufgewendeten Zeit. Änderungen in Organisation, Umfang, Personal, Standorten, Schichten, Prozessen und Systemreife sind zu berücksichtigen. [1]

Deshalb soll die Software vor jeder Überwachung ein Kundenaktualisierungsformular öffnen, die frühere Rechnung mit den neuen Daten vergleichen und Unterschiede, die eine Neubewertung erfordern, markieren. Auch ohne Änderung sind prüfende Person und Datum festzuhalten. So wird der Satz „letztes Jahr waren es auch zwei Tage“ nicht anstelle einer technischen Begründung verwendet.

Welche Kontrollen sind in der Rechen-Engine verpflichtend?

Die Rechen-Engine muss Version, Eingabe-Momentaufnahme, erklärbare Zwischenschritte, autorisierte Freigabe, Sperre und Neuberechnungsauslöser gemeinsam verwalten.

• Regelversion: „IAF MD 5“ allein genügt nicht; Issue, Version, Veröffentlichungs- und Anwendungsdatum sowie interne Regelversion müssen sichtbar sein.
• Quelldaten: Von wem und an welchem Datum Personal-, Standort- und Tätigkeitsinformationen bezogen wurden, ist festzuhalten.
• Zwischenergebnis: Basiszeit, jede Anpassung, Rundung und Verteilung müssen für den Nutzer nachvollziehbar sein.
• Rollenprüfung: Ersteller und Freigebender der Rechnung sind nach dem Verfahren der Organisation in der Befugnismatrix zu trennen.
• Sperre: Eine mit Angebot oder genehmigtem Plan verbundene Rechnung darf nicht still geändert werden; es ist eine neue Revision zu eröffnen.
• Auslöser: Änderungen an Personal, Umfang, Standort, Schicht oder Prozess müssen eine Neubewertungsaufgabe erzeugen.
• Bericht: Die dem Kunden vorgelegte Zeit und Begründung sowie die internen technischen Rechendetails sind auf der richtigen Zugriffsebene anzuzeigen.

Dieser Ansatz unterstützt den Kompetenz-, Konsistenz- und Unparteilichkeitsrahmen der ISO/IEC 17021-1; er ersetzt jedoch nicht den vollständigen Anforderungssatz der Norm. Der Rechenbildschirm ist des Systemzertifizierungsdossiers von Antrag bis Zertifikat nur ein Kontrollpunkt. [5]

Was sind die häufigsten Fehler in IAF-MD-5-Software?

Die häufigsten Fehler sind, die Payroll-Zahl direkt als wirksame Personen anzunehmen, die Faktorbegründung nicht festzuhalten und die alte Rechnung ohne Änderungskontrolle zu kopieren.

• Für QMS, EMS und OH&SMS dieselbe Risiko-/Komplexitätswahl zu verwenden.
• Schicht- und Standortverteilung nur in der Gesamtzahl der Personen aufgehen zu lassen.
• Den Minderungsfaktor ohne Bewertung der Audit-Wirksamkeit anzuwenden.
• Die Zeit der Fernaktivität einzutragen, ohne zu zeigen, welcher Prozess wie bewertet wurde.
• Auditor-Tage durch Kalendertage zu teilen, ohne die Teamwirksamkeit zusätzlich zu bewerten.
• Bei Überwachung und Re-Zertifizierung automatisch die Zahl des ersten Jahres zu kopieren.
• Bei einer neuen Dokumentversion frühere Dossiers still mit der neuen Regel neu zu berechnen.

Wie kann der IAF-MD-5-Prozess in Vizyon Alia gestaltet werden?

In Vizyon Alia kann die Rechnung als Datensatz gestaltet werden, der an Antragsdaten gebunden ist, Regelversion und Faktorbegründungen sichtbar zeigt, mit Angebots-, Planungs- und Entscheidungsdossiers verknüpft und autorisiert freigegeben ist.

In der Lösung von Vizyon Alia werden Kunde, Umfang, Standort, Auditor und Zertifikatszyklus an dasselbe Betriebsdossier gebunden. Ohne Analyse der bestehenden IAF-MD-5-Rechenblätter, Freigabeabläufe und Programmunterschiede der Organisation eine allgemeine Formel einzuschalten, ist nicht richtig. Während des Piloten sind einige anonyme, in der Vergangenheit abgeschlossene Dossiers mit der neuen Engine neu zu berechnen; ob die Unterschiede aus Regel, Daten oder früherer Praxis stammen, ist vom technischen Team zu prüfen.

Demo und Prozessanalyse Für ein QMS-, ein EMS/OH&SMS-, ein Mehrfachstandort- und ein Umfangsänderungsbeispiel vorzubereiten, stellt sicher, dass die Rechen-Engine nicht nur im Normal-, sondern auch in Ausnahmefällen bewertet wird.

Häufig gestellte Fragen