FAQ: Auswirkungen der Corona-Pandemie auf Audits und Zertifizierungen

Fristen

Verlegungen vereinbarter Termine und etwaige Verlängerungen von Fristen sind möglich. Bei einer Vielzahl von Kunden sollte dies prinzipiell kein Problem darstellen, da Überprüfungsaudits immer innerhalb eines Kalenderjahrs durchgeführt werden können. Lediglich bei Rezertifizierungen und bei dem ersten Überprüfungsaudit nach der Erstzertifizierung sind wir an die strikte Einhaltung von Fristen gebunden.

Diese können nun um bis zu 6 Monate verschoben werden. Allerdings ist dies keine generelle Vorgehensweise, sondern beruht auf einer Einzelfallentscheidung, die durch den betreffenden Kunden fallweise begründet und durch die Zertifizierungsstelle bestätigt werden muss.

Remote-Audits

Prinzipiell gibt es nach dem aktuellen IAF MD4 keine Begrenzungen zur Durchführung von Remoteaudits. Allerdings können „Ergebnisse von Konformitätsbewertungen nicht ohne Inaugenscheinnahme von Objekten/Prozessen erstellt werden, wenn dies durch gesetzliche Vorschriften oder die Programmeigner gefordert ist.“ Sollte eine solche Prüfung vor Ort aufgrund der aktuellen Situation nicht möglich sein, kann die Konformitätsbewertung nicht abgeschlossen werden.

Ein vollständiger Ersatz von Audits durch „alternative Methoden“ beziehungsweise Remote-Audits ist nur möglich, falls dies durch eine Anpassung der Rechtslage oder die Zustimmung der zuständigen Behörden bzw. der Programmeigner genehmigt wird. Allerdings kann der Umfang der Remote-Auditierung auch auf Bereiche mit mittlerem Risiko gemäß AA162 ausgeweitet werden. Weitere Regelungen der AA162 bleiben in Kraft.

Multisite-Verfahren mit Stichprobenanwendung

Wenn im Rahmen eines Multisite-Verfahrens Stichprobenprüfungen angewandt werden, können Standorte in Problemgebieten flexibel, aber in Rücksprache mit der Zertifizierungsstelle, umgeplant werden. Auch besteht die Möglichkeit nach o.g. Voraussetzungen Teile remote zu auditieren oder sogar gleiche Standorte wie im Vorjahr zu wählen.

Interne Audits müssen entsprechend dem Auditprogramm durchgeführt werden. Selbstverständlich können auch hier alternative Methoden (remote, Checklisten, Berichterstattungen, etc.) genutzt oder das Programm entsprechend den Gegebenheiten anpasst werden.

Anträge auf Intervallwechsel sind bei Ihrem Projektbearbeiter möglich.

Fristen

Eine Verschiebung anstehender Überprüfungs- und Rezertifizierungsaudits für einen Zeitraum von nicht mehr als sechs Monaten ist vorläufig zulässig. Voraussetzung hierfür ist, dass entweder der Kunde oder die Zertifizierungsstelle nachweislich durch Vorgaben des zuständigen Gesundheitsamts von der Pandemie betroffen ist. Beispiele für eine Betroffenheit sind etwa eine verordnete Quarantäne von Mitarbeitern oder ein von offizieller Stelle angeordneter regionaler Lockdown an Standorten des Betreibers oder der Zertifizierungsstelle.

Im Falle einer geplanten Auditverschiebung muss die Zertifizierungsstelle der Bundesnetzagentur detailliert nachweisen, dass die reguläre Durchführung des Audits angesichts der Corona Pandemie vor dem Hintergrund von z.B. regionalen Lockdowns oder Quarantänefällen nicht möglich ist.

Der ausgefallene Audittermin ist schnellstmöglich nachzuholen, um die Erbringung des Nachweises der Umsetzung des IT-Sicherheitskatalogs wieder in das reguläre Verfahren zu überführen.
Falls Rezertifizierungen verschoben werden, wird die GUTcert die BNetzA über die Verschiebung informieren.

Remote-Audits

Ebenso ist die teilweise Durchführung der anstehenden Überprüfungs- und Rezertifizierungsaudits durch „alternative Methoden“ beziehungsweise sogenannten Remote-Verfahren vorläufig erlaubt (siehe AA162).

Durch Remote-Audits dürfen

• im Fall von Überwachungsaudits maximal 50%
• im Fall von Rezertifizierungsaudits maximal 70%

des Auditumfangs durchgeführt werden.

Auch hier muss durch den Kunden/Netzbetreiber detailliert nachgewiesen werden, dass die reguläre Durchführung des Audits angesichts der Corona-Pandemie vor dem Hintergrund einer internen Risikobeurteilung nicht möglich ist. Die Bundesnetzagentur behält sich vor, sich von den Zertifizierungsunternehmen bzw. den Kunden/Netzbetreibern entsprechende Nachweise vorlegen zu lassen.

Ein vollständiger Ersatz durch „alternative Methoden“ beziehungsweise sogenannte Remote-Audits ist nicht möglich.

Erstzertifizierung:

Gemäß Vorgaben der EU-Kommission sind Erstzertifizierungsaudits vor Ort durchzuführen. Die GUTcert hat sich mit dem SURE-System darauf verständigt, dass die Dokumentenprüfung remote erfolgen kann und durch eine Begehung der Anlage vor Ort ergänzt wird.

Rezertifizierung:

Im Fall einer Rezertifizierung muss ein vor-Ort-Audit innerhalb von drei Monaten nach Beendigung von pandemiebedingten Einschränkungen komplementär zum Remote-Audit erfolgen.

Erstzertifizierung:

Gemäß Vorgaben der EU-Kommission sind Erstzertifizierungsaudits im Bereich Biokraftstoffzertifizierung vor Ort durchzuführen. Eine Erstzertifizierung unter ISCC-Plus kann remote durchgeführt werden, sofern eine Erlaubnis von ISCC vorliegt und der Systemteilnehmer unter die mittlere Risikokategorie fällt.

Für Rezertifizierungsaudits unter ISCC-EU und ISCC-PLUS können Fernaudits durchgeführt werden. Diese müssen jedoch gegenüber dem ISCC-System gerechtfertigt und ggf. durch Vor-Ort-Audits ergänzt werden.

Nach Ende des Monats, in dem nationale Reisebeschränkungen aufgehoben werden, sind Audits wieder komplett in Präsenz durchzuführen, sofern für den Auditierenden keine zusätzlichen Reiseeinschränkungen gegeben sind. Für ISCC-Plus-Zertifizierungen können noch weitere 2 Monate Fernaudits stattfinden. Offene Vor-Ort-Audits zur Komplementierung von Fernaudits sind innerhalb von 5 Monaten nach der Freigabe von Einreisen nachzuholen. Ein Vor-Ort-Audit ist notwendig, wenn:

• ein erhöhtes Risiko festgestellt wurde
• im Fernaudit nicht eindeutig festgestellt werden konnte, ob alle Systemgrundsätze erfüllt werden
• Abweichungen oder andere Nichtkonformitäten erfasst wurden.

Diese Punkte werden im Follow-Up On-Site Audit explizit geprüft, es ist jedoch nicht notwendig, nochmals einen vollständigen (Re-)Zertifizierungsprozess zu durchlaufen.

Gegenstand des Follow-Up On-Site Audits ist die Überprüfung der Feststellungen aus dem Fernaudit. Sollte es zusätzlich Hinweis auf Abweichungen von den ISCC-Systemgrundsätzen geben, die innerhalb des Zeitraums nach dem Fernaudit aufgetreten sind, wird auch dieser Zeitraum durch eine Stichprobe auditiert.

Ein komplementäres Vor-Ort-Audit kann nicht durch ein Remote-Rezertifizierungsaudit ersetzt werden. Beide Audits können jedoch zeitgleich durchgeführt werden, wenn separate Prozessdokumente geführt werden, z.B. bei der Prüfung der Massenbilanz für die unterschiedlichen Zeiträume.