Nach ISO 9001 oder ISO 13485 (Medizinprod.) muss der Lieferant nicht nach ISO zertifiziert sein. Lieferantenaudits müssen mit oder ohne Zertifizierung sein, die Audits sind aber keine ISO Audits, sondern können sich auf die zu liefernden Produkte und zugehörigen Prozesse beschränken.

Wenn eine ISO-Zertifizierung vorliegt kann natürlich vorausgesetzt werden, dass bestimmte Prozesse funktionieren, beispielsweise die Vertragsprüfung, das Änderungsmanagement. Bei einem Lieferantenaudit sollte aber genau das am Beispiel des eigenen Produkts eh abgeprüft werden, niemand vernünftiges verlässt sich auf die Stichprobe des ISO Audits von einem anderen Produkt.

Die Entscheidung, ob ISO zertifiziert oder nicht ist also eher eine Abwägung des Aufwands. Viele Einkäufer machen es sich nur einfach.