Gap-Analyse — Konformitätslückenanalyse zum Standard

Was ist ein Audit?

Eine Gap-Analyse bestimmt systematisch den Abstand zwischen der gelebten Praxis einer Organisation und den Anforderungen der angestrebten Norm oder des Programms. Sie ist Vorbereitungsarbeit vor dem Zertifizierungsaudit.

Warum wird sie durchgeführt?

Ziel ist, die im Zertifizierungsaudit zu erwartenden Abweichungen vorab zu erkennen und Vorbereitung, Zeit und Ressourcen realistisch zu planen. Ein unvorbereitet begonnenes Zertifizierungsaudit kostet Zeit und Geld.

Wer beauftragt es?

Organisationen, die den Übergang zu einem neuen Standard planen
Zertifizierte Unternehmen, die auf eine neue Standardversion umstellen
Lieferanten, von deren Kunden ein neues Schema gefordert wird
Organisationen, die bei einem Zertifizierungsaudit eine Abweichung erhalten haben
Unternehmen, die die Integration mehrerer Standards planen

Auditkriterien

Die Kriterien umfassen sämtliche Anforderungen des Zielstandards oder -schemas (z. B. ISO 9001, ISO 27001, FSSC 22000, IATF 16949). Die Analyse erfolgt Klausel für Klausel; der Ist-Zustand wird mit jeder Anforderung verglichen.

Auditumfang

Klausel-für-Klausel-Prüfung des Zielstandards
Ermittlung der aktuellen Praxis für jede Anforderung
Bewertung von Umfang und Angemessenheit der vorhandenen Dokumentation
Identifizierung von Lücken bei Aufzeichnungen und Nachweisen
Lücken bei Prozessverantwortung und Zuständigkeit
Ermittlung des Ressourcen- und Kompetenzbedarfs
Überschneidungen mit bestehenden anderen Systemen und Integrationsmöglichkeiten
Klassifizierung der Lücken nach Bedeutung und Schwierigkeitsgrad
Schätzung der für die Konformität erforderlichen Zeit
Ein priorisierter Aktionsplan und eine Roadmap

Zugehörige Normen

ISO 19011
Der Zielstandard selbst

Auditablauf

1Festlegung von Zweck und UmfangEs wird schriftlich festgelegt, in welche Entscheidung die Bewertung einfließt und welche Bereiche sie umfasst.
2InformationsanforderungDie zu prüfenden Dokumente, Aufzeichnungen und Daten werden aufgelistet und angefordert.
3Prüfung von Dokumenten und DatenDie bereitgestellten Informationen werden geprüft; Widersprüche und Lücken werden benannt.
4Vor-Ort-Besuch und GesprächeErforderlichenfalls erfolgt eine Prüfung vor Ort und Gespräche mit den zuständigen Personen.
5AnalyseDie Feststellungen werden mit dem Zielkriterium oder Risikorahmen verglichen; Lücken und Risiken werden priorisiert.
6BerichterstattungFeststellungen, Risiken und Empfehlungen werden entscheidungsgeeignet berichtet; kritische Feststellungen werden gesondert hervorgehoben.

Feststellungen

Feststellungen werden als LÜCKE, nicht als Abweichung gemeldet, und jede wird der betreffenden Klausel des Zielstandards zugeordnet. Die Priorisierung erfolgt nach Schließungsaufwand und dem Risiko, die Zertifizierung zu blockieren.

Auditbericht

Zweck, Umfang und Grenzen der Bewertung
Verzeichnis der geprüften Dokumente und Daten
Angewandte Kriterien oder Referenzrahmen
Feststellungen und Lücken
Priorisierung der Risiken
Empfehlungen und geschätzter Aufwand
Informationsgrenzen und Annahmen

Grenzen des Ergebnisses

Eine Gap-Analyse ist eine vorbereitende Maßnahme und kein Audit; sie führt nicht zu einem akkreditierten Zertifikat und ersetzt kein Zertifizierungsaudit. Werden in der Analyse keine Lücken festgestellt, bedeutet das nicht, dass das Zertifizierungsaudit keine Abweichungen ergeben wird: Ein Audit basiert auf Stichproben, und ein anderer Auditor kann sich auf andere Bereiche konzentrieren. Zudem darf gemäß der Unparteilichkeitsregel die Partei, die die Gap-Analyse und Beratung durchführt, nicht das Zertifizierungsaudit derselben Organisation durchführen.

Akkreditierung

Die Akkreditierung hängt von der Auditart ab. Drittparteienaudits als Grundlage der Managementsystemzertifizierung erfolgen nach ISO/IEC 17021-1, solche für die Produktzertifizierung nach ISO/IEC 17065; diese Bereiche unterliegen der Akkreditierung. Erst- und Zweitparteienaudits sowie Audits nach eigenen Regeln eines Programmeigners (etwa SMETA oder amfori BSCI) fallen nicht unter akkreditierte Zertifizierung; sie folgen dem Leitfaden ISO 19011 und erzeugen einen Bericht. EUROLAB verfügt über international anerkannte Akkreditierungen nach ISO/IEC 17021-1 und ISO/IEC 17065 von Unterzeichnerstellen der IAF-Vereinbarung; welches Audit im akkreditierten Umfang angeboten werden kann, wird im Angebotsstadium schriftlich bestätigt.

Geltungsbereich und Befugnisse

Zugehörige Audits

Due-Diligence-Audit

Häufige Fragen

Kann die Stelle, die meine Gap-Analyse durchgeführt hat, auch meine Zertifizierung übernehmen?

Nein. Gemäß der Unparteilichkeitsregel von ISO/IEC 17021-1 darf die Partei, die einer Organisation Managementsystemberatung oder vorbereitende Leistungen erbringt, nicht das Zertifizierungsaudit derselben Organisation durchführen. Damit soll verhindert werden, dass jemand seine eigene Arbeit prüft.

Wie weit im Voraus sollte eine Gap-Analyse durchgeführt werden?

So lange vor dem Zertifizierungsaudit, dass genug Zeit bleibt, die festgestellten Lücken zu schließen und das System eine Weile zu betreiben. Managementsystemstandards verlangen Aufzeichnungen zu internen Audits und Managementbewertungen; dafür muss das System eine Zeit lang tatsächlich in Betrieb sein.

Ist das dasselbe wie ein Voraudit?

Ähnlich, aber nicht dasselbe. Ein Voraudit ist ein vorbereitendes Audit, das vom eigenen Auditor der Zertifizierungsstelle durchgeführt wird und ein optionaler Schritt im Zertifizierungsprozess ist. Eine Gap-Analyse ist dagegen eine unabhängige vorbereitende Leistung und liefert eine detailliertere Roadmap.

Gap-Analyse-Audit