Was ein OEM-Fabrikaudit wirklich prüft: ISO 22716, GMPC und die GMP-Regeln hinter jedem Absatzmarkt

Die meisten Audits scheitern nicht am Reinraum, sondern an der Dokumentation

Ein Prüfer betritt eine Kosmetikfabrik nicht in der Erwartung, blank gefegte Böden zu sehen. Er erwartet Belege: dass genau das Verfahren, das Ihre Charge produziert hat, auch die Charge davor und die Charge danach produziert hat. ISO 22716:2007 ist die Norm, auf der die meisten Audits aufbauen – und sie ist nach wie vor die aktuelle Ausgabe. ISO/TC 217 hat sie im Dezember 2022 einer Revisionsprüfung unterzogen und dabei bestätigt, dass sie gültig bleibt. Es gibt keine ISO 22716:2026. Wenn ein Lieferant behauptet, eine neuere Fassung existiere, fragen Sie nach der geänderten Klausel und warum. Im QuickOEM-Netzwerk werden alle Werke gegen dieselbe Baseline bewertet, und Zertifikatsnummern werden vor der Aufnahme ins Werkverzeichnis gegen das öffentliche Register der ausstellenden Zertifizierungsstelle geprüft. Der Rest dieses Artikels ist die Checkliste, die wir als Käufer selbst anlegen würden.

ISO 22716 ist ein Prozessstandard, kein Produktstandard

Die Norm sagt nichts darüber, ob Ihr Serum tatsächlich wirkt. Sie sagt sehr viel darüber, ob die Fabrik belegen kann, was sie behauptet – reproduzierbar, und auch drei Jahre später noch belegbar, wenn eine Aufsichtsbehörde nachfragt. Der Standard ist um eine Handvoll Systeme organisiert, und ein Prüfer testet jedes einzelne anhand von Unterlagen, nicht anhand von Gesprächen.

• Qualitätsmanagement – dokumentierte Verantwortlichkeiten, Ressourcenplanung, Management-Review und interne Auditprogramme mit echten Feststellungen und echten Maßnahmen.
• Räume und Anlagen – Wasseraufbereitung samt Validierung, Lufttechnik dort, wo sie benötigt wird, Reinigungs- und Desinfektionsnachweise, Kalibrierprotokolle.
• Produktion und Kontrolle – Chargenprotokolle, Zwischenkontrollen, Gewichts- und Volumenabgleich, Ausbeutekontrollen und Umgebungsmonitoring, sofern die Darreichungsform es verlangt.
• Qualitätskontrolle – das Labor, das Chargen freigibt, Retentionsmuster, Stabilitätsdaten und die Handhabung von Prüfergebnissen außerhalb der Spezifikation.
• Beschwerden, Abweichungen, Änderungskontrolle und Rückruf – die vier Bereiche, in denen Fabriken den meisten Punktverlust haben, genau weil sie sich am Audittag nicht improvisieren lassen.

EU: GMP ist gesetzliche Pflicht – und die PIF muss es belegen

Artikel 8 der Verordnung (EG) Nr. 1223/2009 verlangt, dass kosmetische Mittel nach GMP hergestellt werden. Artikel 11 verlangt weiterhin, dass die Produktinformationsdatei (PIF) eine Erklärung enthält, das Produkt sei in Übereinstimmung mit GMP entwickelt und hergestellt worden – und die PIF ist mindestens 10 Jahre aufzubewahren. Diese eine Satzung ist der Grund, warum ein auf den EU-Markt ausgerichtetes Werk einen materiell anderen Dokumentensatz führt als eines, das nur domestisch verkauft. Sie erklärt auch, warum die Antwort „wir haben GMP“ ein unvollständiger Satz ist: Die Erklärung muss neben einem konkreten Werk, einer konkreten Produktkategorie und einem konkreten PIF-Inhaber stehen. Wurde die PIF einer Creme von einem Stand unterzeichnet, der keine Cremes herstellt, stützt die Akte die Behauptung nicht.

Was GMP je Markt bedeutet: EU, USA, China, UK, Indonesien, Saudi-Arabien, Australien

Die Baseline unterscheidet sich nach Zielmarkt. Ein Werk, das mit zwei Regimen zuverlässig zurechtkommt, ist meistens nicht mit allen zurecht – genau das sollten Sie vor der Bestellung fragen.

• Europäische Union – GMP ist nach (EG) 1223/2009 zwingend; die zuständige Behörde kann Sie oder Ihre Fabrik direkt prüfen. Meldeweg ist das CPNP, die PIF ist 10 Jahre aufzubewahren.
• USA – MoCRA gab der FDA die Befugnis, eine eigene GMP-Regel zu erlassen, aber bis Ende 2026 liegt keine Endfassung vor. Praktisch bleibt ISO 22716 der Maßstab. Die Anlagenregistrierung erneuert sich alle zwei Jahre, schwerwiegende unerwünschte Ereignisse (SUE) sind 15 Werktage nach Kenntnis zu melden, und die FDA hat ein zwangsläufiges Rückrufrecht.
• China – die GMP-Verordnung für Kosmetik gilt seit dem 1. Januar 2022. Für die Einordnung: Branchendaten vom Ende 2024 zählten deutschlandweit 5.935 kosmetische Produktionsunternehmen. Das ist eine Gesamtbranchenzahl, keine Liste geprüfter Lieferanten – lesen Sie sie als Kontext für die Dünne des zertifizierten Angebots.
• Vereinigtes Königreich – Das SCPN ist kein Spiegel des EU-CPNP. Meldeweg, PIF-Inhalt und zuständige Behörde greifen nicht grenzüberschreitend; die PIF ist mindestens 10 Jahre in englischer Sprache vorzuhalten.
• Indonesien (BPOM) – Eine Meldung braucht eine gültige NA-Nummer, und ein lokaler Meldungsinhaber ist verpflichtend. GMP-Nachweise werden in der Registrierungsphase geprüft, also muss die interne Akte der eingereichten Akte entsprechen.
• Saudi-Arabien – Die Konformität wird chargenweise über SFDA, GHAD und FASEH verifiziert. Der Weg ist dokumentengetrieben, nicht kalendergetrieben; versprechen Sie deshalb keine feste Anzahl an Werktagen in Ihrem Antrag.
• Australien – Es gibt keine vorherige Marktzulassung für Kosmetik, aber Sie müssen sich als AICIS-Introducer registrieren und Unterlagen mindestens fünf Jahre aufbewahren. Sonnenschutzprodukte sind TGA-Kurzerzeugnisse und unterliegen eigenen Pflichten.

ISO 9001 rettet Sie nicht

Ein Qualitätsmanagementszertifikat belegt, dass ein Unternehmen ein dokumentiertes Managementsystem betreibt. Es belegt nicht, dass dieses System kosmetikspezifische Risiken abdeckt – etwa den Challenge-Test zur Konservierungswirksamkeit, Keimgrenzwerte, Stabilität, Kontaminationskontrolle oder den Inhalt der Produktinformation. Aufsichtsbehörden akzeptieren ISO 9001 nicht als Ersatz für Kosmetik-GMP, und ein Prüfer, der eine Handvoll Inspektionen hinter sich hat, erst recht nicht. Die Gegenbeobachtung ist genauso wichtig: Ein ISO-22716-Zertifikat sagt Ihnen nichts über den Zustand des Werks heute Morgen. Zertifizierungen beschreiben den Moment der Zertifizierung. Nur ein Vor-Ort-Audit – oder ein dokumentiertes Fernaudit entlang einer ISO-22716-Checkliste – beschreibt den heutigen Tag.

Chinesisches GMPC und ISO 22716 sind keine gleichwertigen Nachweise

Beide werden GMP genannt, aber es sind nicht dasselbe Instrument. Die chinesische Verordnung ist nationales Recht mit eigener Prüf- und Vollzugslinie; ISO 22716 ist eine internationale Konsensnorm, die von Kunden übernommen und von Behörden als Referenz genutzt wird. Ein Werk kann beide Zertifikate führen und trotzdem Lücken in genau dem Regime haben, das seine Kunden nie abgefragt haben. Deshalb fordern wir beide Datensätze an und prüfen, ob der Umfang zum Stand und zur Darreichungsform passt. Ein Betrieb mit einem ISO-22716-Zertifikat für allgemeine Kosmetik kann für eine leave-on-Emulsion, ein Serum oder ein Sonnenschutzmittel völlig andere Kontrollen haben – prüfen Sie deshalb pro Darreichungsform, nicht pro Unternehmen.

Die fünf Unterlagen, über die ein Audit entscheidet

Wenn Sie sonst nichts aus diesem Artikel behalten: diese fünf. Prüfer sind geschult, eine Unterlage rückwärts zu verfolgen,而不是 eine Anlage zu bewundern.

• Chargenprotokolle, die sich abgleichen – Eingangsware, Ausbeute und Verpackungsverbrauch gegen den tatsächlichen Versatz, wobei jede Abweichung erklärt ist.
• Abweichungs- und Änderungskontrollprotokolle mit Datum, befugter Freigabe und zugrundeliegender Risikobeurteilung. Offene oder achselzuckende Abweichungen sind der häufigste Befund.
• Retentionsmuster für den definierten Zeitraum korrekt etikettiert aufbewahrt, sodass eine Charge von vor drei Jahren immer noch testbar bleibt.
• Beschwerde- und Rückrufakten samt Nachweis einer Rückrufübung. Viele Fabriken haben ein Policy im Regal und keinen Nachweis, dass sie sie je geübt haben.
• Schulungs- und Qualifizierungsnachweise für alle, die mit dem Produkt in Berührung kommen, insbesondere bei aseptischen oder hochriskanten Schritten.

Ein Zertifikat in etwa fünfzehn Minuten prüfen

Zertifikatsnummern sind öffentlich – das nutzen Sie besser als das PDF im Lieferantendeck.

• Prüfen Sie die Nummer im öffentlichen Register der ausstellenden Zertifizierungsstelle, nicht in einem weitergeleiteten Dokument.
• Prüfen Sie den Umfang: Werbadresse und Darreichungsformen müssen abdecken, was Sie kaufen. Ein Gruppenzertifikat über mehrere rechtliche Einheiten ist keine Einzelstandsgarantie.
• Prüfen Sie die Daten: Erstzertifizierung, aktuelles Ablaufdatum und Auditzyklus. Ein abgelaufenes Zertifikat ohne Verlängerungspfad ist schlimmer als keines.
• Prüfen Sie die Sprache des Umfangs bei chinesischen Werken. Viele Zertifikate tragen einen chinesischsprachigen Umfang, der Ihre Produktkategorien nicht benennt.
• Fordern Sie den aktuellsten Auditbericht statt nur des Zertifikats. Die Seite mit Feststellungen und Korrekturnahmen zeigt einen schwachen Betrieb.

Aus dem Audit eine Einkaufsentscheidung machen

Ein Audit ist kein Bestehen/Durchfallen-Ereignis, sondern ein Bündel Risiken, das Sie entweder akzeptieren, in den Stückpreis einkalkulieren oder mit vertraglichen Regelungen vor der ersten Sendung schließen. Die meisten Marken investieren zu viel in die physische Anlage und zu wenig in die Papierarbeit, die einen Rückruf tatsächlich verursacht. Die günstigsten Korrekturen sollten Sie gleich zu Beginn einfordern: eine namentlich benannte PIF-Inhaberin oder ein PIF-Inhaber, ein Retentionssammlungsplan, eine schriftliche Beschwerdestrecke in die Fabrik und eine Zusage zur Chargendatenreaktion innerhalb von 48 Stunden. Bei QuickOEM ist der Zugang für Markenseite kostenlos, und Fabrikangebote kommen direkt ohne Zuschlag. Nennen Sie uns Ihre Zielmärkte, und wir listen nur die Werke auf, deren Zertifikatsumfang diese abdeckt.