Wie ein internes Audit abläuft: Leitfaden für den ersten Durchgang

Ein internes Audit besteht aus fünf Abschnitten: Auftrag, Vorbereitung, Durchführung, Bericht, Nachverfolgung. Der Teil, den die meisten für das Audit halten — das Gespräch vor Ort — macht davon vielleicht die Hälfte der Zeit aus. Der Rest entscheidet darüber, ob am Ende etwas Brauchbares herauskommt.

Der Auftrag: Was genau wird geprüft

Vor dem Termin steht ein Auftrag, der aus dem Auditprogramm abgeleitet wird. Er legt drei Dinge fest:

• Geltungsbereich: welcher Prozess, welcher Standort, welcher Zeitraum.
• Auditkriterien: wogegen geprüft wird — Normkapitel, eigene Verfahrensanweisungen, Kundenanforderungen, rechtliche Vorgaben.
• Ziel: Wirksamkeit prüfen, eine Änderung begleiten, die Umsetzung früherer Maßnahmen kontrollieren.

Ohne festgelegte Kriterien lässt sich keine Feststellung formulieren, denn eine Abweichung ist immer eine Abweichung von etwas. „Mir gefällt der Ablauf nicht“ ist keine Feststellung.

Die Vorbereitung entscheidet über die Prüftiefe

Zwei Stunden Vorbereitung sind für ein erstes Audit keine Verschwendung. Sinnvoll ist diese Reihenfolge:

1. Die Prozessbeschreibung und die zugehörigen Formulare lesen — und dabei notieren, was unklar bleibt.
2. Die Ergebnisse des letzten Audits dieses Bereichs ansehen: Welche Maßnahmen waren offen?
3. Kennzahlen, Reklamationen und Abweichungen des Zeitraums durchsehen.
4. Die Stichprobe festlegen: konkrete Aufträge, Vorgänge oder Aufzeichnungen, mit Nummer und Datum.
5. Zehn bis fünfzehn offene Fragen notieren, keine Ja-Nein-Fragen.

Der Auditplan geht vorab an den Bereich: Datum, Uhrzeit, wer wann gebraucht wird, welche Unterlagen bereitliegen sollen. Die Stichprobe steht nicht darin.

Der Ablauf am Audittag

1. Eröffnungsgespräch, zehn Minuten. Zweck, Umfang, Kriterien, Ablauf, Umgang mit Feststellungen. Ein Satz zur Haltung gehört dazu: Geprüft wird der Prozess, nicht die Person.
2. Gespräch mit der Prozessverantwortung. Wie ist der Ablauf gedacht, was hat sich geändert, wo hakt es aus ihrer Sicht?
3. Beobachtung am Arbeitsplatz. Hier zeigt sich der Unterschied zwischen beschriebenem und tatsächlichem Ablauf.
4. Befragung der ausführenden Personen. Nicht die Norm abfragen, sondern den Arbeitsschritt.
5. Einsicht in die Nachweise. Die vorbereitete Stichprobe wird geprüft, und zwar vollständig.
6. Kurze Auswertung allein. Zwanzig Minuten, um Notizen zu sortieren und Feststellungen zu formulieren.
7. Abschlussgespräch. Feststellungen vorstellen, Sachverhalt bestätigen lassen, weiteres Vorgehen und Termine klären.

Wie man fragt

Die häufigste Anfängerfrage lautet: „Halten Sie sich an die Verfahrensanweisung?“ Darauf gibt es genau eine Antwort, und sie ist wertlos.

Brauchbare Fragen zielen auf den letzten konkreten Fall:

• „Zeigen Sie mir bitte den Auftrag, den Sie zuletzt bearbeitet haben.“
• „Was passiert, wenn das Material nicht passt? Wann kam das zuletzt vor?“
• „Woher wissen Sie, welche Version des Prüfplans gilt?“
• „Wer entscheidet, wenn Sie sich nicht sicher sind — und wie erreichen Sie diese Person nachts?“
• „Was hat sich hier in den letzten zwölf Monaten geändert?“

Danach gilt eine einfache Regel: schweigen. Die aufschlussreichen Sätze kommen fast immer nach der ersten Pause, wenn der Auditor sie aushält.

Der dreiteilige Aufbau einer Feststellung

Eine Feststellung, die im externen Audit standhält und im Betrieb akzeptiert wird, besteht aus drei Teilen — Anforderung, Nachweis, Abweichung:

Die Verfahrensanweisung VA-07 verlangt, dass Prüfmittel vor der Verwendung auf gültige Kalibrierung geprüft werden. Beim Messschieber Inv.-Nr. 4412, verwendet am 14.08. für Auftrag 20981, lag das Kalibrierdatum zwölf Monate zurück, der Prüfaufkleber wies den 30.06. als Fälligkeit aus. Die geforderte Prüfung vor Verwendung ist damit nicht erfolgt.

Fehlt der erste Teil, wird über Meinungen diskutiert. Fehlt der zweite, lässt sich die Feststellung nicht nachvollziehen. Fehlt der dritte, weiß niemand, was eigentlich beanstandet wird.

Was nicht in die Feststellung gehört: die Ursache und die Maßnahme. Beides ist Sache des geprüften Bereichs. Ein Auditor, der die Lösung mitliefert, nimmt der Ursachenanalyse den Sinn — und kann die Wirksamkeit später nicht unbefangen bewerten.

Mitschreiben, so dass die Notiz später trägt

Notizen sind die Grundlage jeder Feststellung, und unbrauchbare Notizen sind der Grund, warum Berichte drei Wochen später entstehen. Hilfreich ist eine feste Struktur: links der Sachverhalt mit Beleg, rechts die Bewertung.

Ein Beleg besteht aus einem Bezeichner und einem Datum — Auftragsnummer, Inventarnummer, Dokumentkürzel mit Version, Name der befragten Funktion. „Prüfmittel teilweise überfällig“ ist keine Notiz, sondern eine Erinnerungsstütze, die drei Tage hält. Wer im Audit konsequent Nummern notiert, schreibt den Bericht in einer Stunde statt in einem halben Tag.

Fotos und Kopien sind zulässig, wenn Betriebsvereinbarung und Datenschutz das zulassen — klären Sie das vor dem ersten Audit, nicht währenddessen. Personenbezogene Daten gehören nicht in den Auditbericht; geprüft werden Funktionen, nicht Namen.

Wenn der Bereich widerspricht

Widerspruch im Abschlussgespräch ist normal und meist nützlich. Er betrifft eine von zwei Ebenen, und die Unterscheidung entscheidet, wie Sie reagieren.

Beim Sachverhalt gilt: Wer den besseren Nachweis hat, gewinnt. Legt der Bereich ein Dokument vor, das Sie nicht kannten, ändern Sie die Feststellung. Das ist kein Gesichtsverlust, sondern der Zweck des Gesprächs.

Bei der Bewertung gilt: Die Feststellung bleibt. Ob ein Sachverhalt eine Abweichung darstellt, entscheidet der Auditor anhand der Kriterien, nicht der geprüfte Bereich anhand der Folgen. Wird über diesen Punkt keine Einigung erzielt, gehört der abweichende Standpunkt in den Bericht — dokumentiert, nicht ausgeräumt.

Bericht und Nachverfolgung

Der Auditbericht sollte innerhalb weniger Tage vorliegen. Er enthält Auftrag, Kriterien, Teilnehmer, geprüfte Stichprobe, alle Feststellungen mit Einstufung und eine zusammenfassende Bewertung.

Danach beginnt der Teil, der am häufigsten liegen bleibt: Der Bereich legt Korrektur, Ursachenanalyse und Korrekturmaßnahme fest, mit Verantwortlichem und Termin. Nach Ablauf des Termins prüft der Auditor die Wirksamkeit — nicht, ob die Maßnahme umgesetzt wurde, sondern ob sie gewirkt hat. Das sind zwei verschiedene Fragen, und nur die zweite schließt eine Nichtkonformität wirklich ab.

Die drei häufigsten Fehler beim ersten Mal

Zu viel auf einmal. Vier Prozesse an einem Vormittag ergeben vier oberflächliche Gespräche. Lieber ein Prozess gründlich.

Der Bereich bestimmt die Stichprobe. Wer sich die Vorgänge vorlegen lässt, prüft die Vorbereitung des Bereichs.

Feststellungen werden im Abschlussgespräch weichgespült. Aus „Kalibrierung überfällig“ wird „Prozess grundsätzlich in Ordnung, kleinere Punkte besprochen“. Damit ist die Feststellung erledigt, das Risiko aber nicht — und im nächsten externen Audit steht sie wieder da, dann mit fremdem Namen darunter.