Warum interne Audits ohne Feststellungen ein Warnsignal sind

Ein interner Auditbericht ohne eine einzige Feststellung sagt in den meisten Fällen nichts über das Managementsystem aus, sondern etwas über das Audit. Externe Auditoren behandeln ihn deshalb nicht als Beleg für Reife, sondern als Anlass für eine Kontrollfrage: Wie wurde geprüft, und mit welcher Stichprobe?

Feststellung ist nicht gleich Abweichung

Die Ursache für viele Nullberichte liegt in einem Missverständnis des Begriffs. Eine Feststellung ist das Ergebnis eines Abgleichs zwischen dem, was der Auditor vorgefunden hat, und dem, was gefordert ist. Dieses Ergebnis kann drei Formen annehmen:

• Konformität. Die Anforderung ist erfüllt, der Nachweis liegt vor. Auch das ist eine Feststellung und gehört in den Bericht.
• Abweichung. Eine Anforderung ist nicht erfüllt — als Nebenabweichung punktuell, als Hauptabweichung systematisch oder mit erheblicher Wirkung.
• Verbesserungspotenzial. Die Anforderung ist erfüllt, aber der Ablauf ist fehleranfällig, umständlich oder von einer einzigen Person abhängig.

Wer „Feststellung“ mit „Abweichung“ gleichsetzt, produziert zwangsläufig Berichte mit null Feststellungen — weil er nur aufschreibt, was falsch ist, und dabei glaubt, das Aufschreiben sei bereits eine Anklage.

Woran Nullergebnisse tatsächlich liegen

In der Praxis wiederholen sich fünf Ursachen:

1. Die Checkliste ersetzt das Audit. Abgefragt wird, ob ein Dokument existiert, nicht, ob der beschriebene Ablauf gelebt wird. Ein Prozess, dessen Beschreibung vorliegt und dessen Formular ausgefüllt ist, besteht jede Existenzprüfung.
2. Der Auditor prüft die eigene Arbeit. Wenn dieselbe Person die Verfahrensanweisung geschrieben hat, die sie auditiert, findet sie systematisch nichts. Das ist keine Charakterfrage, sondern eine Wahrnehmungsfrage — und der Grund, warum Unparteilichkeit gefordert ist.
3. Die Stichprobe folgt der Bequemlichkeit. Geprüft wird der Vorgang, den der Bereich vorbereitet hat. Ein Auditor, der sich die Vorgänge nicht selbst aussucht, prüft eine Auswahl, keine Stichprobe.
4. Das Audit ist ein Termin, kein Vorgang. Sechzig Minuten für vier Prozesse reichen für Gespräche, nicht für Nachweise.
5. Feststellungen haben Folgen für Personen. Wo eine Abweichung als Vorwurf ankommt, hört der Bericht auf, Abweichungen zu enthalten. Diese Ursache ist die hartnäckigste, weil sie sich mit Methodik nicht beheben lässt.

Was der externe Auditor daraus liest

Interne Audits sind für den externen Auditor ein Prüfgegenstand mit doppeltem Boden. Er prüft nicht nur, ob sie stattgefunden haben, sondern ob sie funktionieren — und dafür benutzt er einen einfachen Abgleich.

Er sieht sich die Reklamationen, die Abweichungsliste, die Kennzahlen und die Personalwechsel des vergangenen Jahres an. Dann legt er die internen Auditberichte daneben. Wenn im Betrieb messbar Dinge schiefgegangen sind und die internen Audits das nicht bemerkt haben, ist die Schlussfolgerung eindeutig: Das interne Audit erfüllt seinen Zweck nicht. Das ist eine Feststellung zum Normkapitel über interne Audits — und je nach Ausmaß eine Hauptabweichung, weil ein ganzes Element des Systems nicht wirkt.

Der zweite Griff gilt dem Auditbericht selbst. Steht darin, welche Vorgänge geprüft wurden, mit Nummer und Datum? Oder steht dort nur „Prozess Einkauf: in Ordnung“? Ein Bericht ohne nachvollziehbare Stichprobe lässt sich nicht bewerten, und damit auch die Aussage „keine Abweichungen“ nicht.

Die Gegenprobe für den eigenen Bericht

Bevor ein interner Auditbericht abgeschlossen wird, lohnen fünf Fragen:

1. Steht im Bericht, welche konkreten Vorgänge, Aufträge oder Aufzeichnungen geprüft wurden?
2. Hat der Auditor die Stichprobe selbst gezogen?
3. Wurde mindestens eine Person befragt, die den Prozess ausführt — nicht nur die, die ihn verantwortet?
4. Gibt es zu jedem geprüften Normkapitel eine Aussage, nicht nur ein Häkchen?
5. Enthält der Bericht mindestens eine Beobachtung, die dem Bereich vorher nicht bewusst war?

Die fünfte Frage ist die härteste. Wenn ein Audit nichts hervorbringt, was der Bereich nicht schon wusste, hat es keinen Nutzen erzeugt — unabhängig davon, ob am Ende eine Abweichung steht.

Drei Techniken, die zuverlässig etwas zutage fördern

Wenn ein Audit regelmäßig ohne Ergebnis endet, liegt es meist an der Methode, nicht am Betrieb. Drei Vorgehensweisen ändern das schnell:

Einen Vorgang rückwärts verfolgen. Nicht den Prozess von Anfang bis Ende abfragen, sondern einen ausgelieferten Auftrag nehmen und zurückgehen: Wer hat freigegeben, auf welcher Grundlage, wo ist die Prüfung dokumentiert, wo kam die Anforderung her? Rückwärts fällt jede Lücke auf, weil ein fehlendes Glied nicht überbrückt werden kann.

Zwei Personen dieselbe Frage stellen. Fragen Sie die Bereichsleitung und die ausführende Person, was passiert, wenn ein Teil außerhalb der Toleranz liegt. Weichen die Antworten voneinander ab, ist der Ablauf nicht wirksam vermittelt — unabhängig davon, was in der Verfahrensanweisung steht.

Schnittstellen prüfen, nicht Abteilungen. Die meisten Fehler entstehen nicht innerhalb eines Bereichs, sondern an der Übergabe zwischen zweien: Vertrieb an Arbeitsvorbereitung, Fertigung an Versand, Reklamation an Entwicklung. Wer sein Auditprogramm nach Abteilungen schneidet, prüft genau diese Stellen nie.

Alle drei Techniken kosten mehr Zeit als das Abarbeiten einer Checkliste. Das ist der Grund, warum sie unterbleiben — und zugleich der Grund, warum sie wirken.

Die Kehrseite: Feststellungen um jeden Preis

Die Gegenbewegung ist ebenso schädlich. Wer sich vornimmt, pro Audit mindestens drei Abweichungen zu finden, produziert Formalkritik: fehlende Unterschriften, veraltete Fußzeilen, Dokumente ohne Versionsnummer.

Solche Feststellungen sind formal korrekt und praktisch wertlos. Sie erzeugen Maßnahmenlisten, die abgearbeitet werden, ohne dass sich etwas verbessert — und sie lehren die Bereiche, dass interne Audits eine Formalie sind. Der Maßstab ist nicht die Zahl, sondern die Frage, ob die Feststellung ein Risiko oder eine Schwachstelle beschreibt.

Der Fehler dahinter

Der eigentliche Fehler liegt selten in der Audittechnik. Er liegt in der Frage, wie im Betrieb über Abweichungen gesprochen wird.

Solange eine Nichtkonformität als Versagen einer Person gilt, wird niemand freiwillig eine dokumentieren. Solange sie als Information über einen Prozess gilt, kommen die Feststellungen von allein — und zwar zuerst aus den Bereichen selbst, was der eigentlich anzustrebende Zustand ist.

Der praktische Hebel ist deshalb kein Formular, sondern ein Satz im Abschlussgespräch: Die Feststellung gilt dem Prozess, nicht der Person, die ihn ausführt. Wer das ernst meint, merkt es daran, dass die Zahl der gemeldeten Abweichungen zunächst steigt. Das ist kein schlechteres System. Das ist ein sichtbareres.