Ein risikobasiertes Auditprogramm unterscheidet sich von einer Terminliste durch eine einzige Spalte: die Begründung. Für jeden Prozess steht darin, warum er in diesem Abstand und mit dieser Tiefe geprüft wird. Alles andere — Termine, Auditoren, Bereiche — ist Organisation und lässt sich in einer Stunde erledigen.
Programm und Plan werden ständig verwechselt
Diese Verwechslung ist der häufigste formale Mangel im Auditwesen. Das Auditprogramm beschreibt alle Audits eines Zeitraums: welche Prozesse, welche Standorte, welche Normen, in welchen Abständen, mit welcher Begründung, durch wen. Der Auditplan beschreibt ein einzelnes Audit: Datum, Ablauf, Gesprächspartner, Kriterien.
Wenn ein Auditor „Zeigen Sie mir Ihr Auditprogramm“ sagt und einen Wochenplan mit drei Terminen bekommt, ist die erste Feststellung schon geschrieben. Legen Sie beide Dokumente getrennt an, auch wenn das Programm nur eine Seite umfasst.
Was die Norm tatsächlich verlangt
ISO 9001 fordert interne Audits in geplanten Abständen und knüpft die Planung an drei Größen: die Bedeutung der betroffenen Prozesse, Änderungen mit Auswirkung auf die Organisation und die Ergebnisse früherer Audits.
Aus dieser Formulierung folgt zweierlei. Erstens: Ein gleichmäßiges Raster über alle Prozesse widerspricht der Anforderung eher, als dass es sie erfüllt — es berücksichtigt genau die drei genannten Größen nicht. Zweitens: Wer differenziert, muss die Einstufung begründen können. Eine unbegründete längere Prüffrequenz ist schlechter als ein gleichmäßiges Raster.
ISO 19011 beschreibt das Vorgehen ausführlicher und führt zusätzlich den Begriff der Programmrisiken ein: Risiken, die im Auditprogramm selbst liegen — zu knappe Zeit, unzureichende Kompetenz der Auditoren, fehlender Zugang zu Unterlagen, mangelnde Unabhängigkeit.
Vier Kriterien, die die Häufigkeit bestimmen
| Kriterium | Frage | Wirkung |
|---|---|---|
| Wirkung auf den Kunden | Führt ein Fehler in diesem Prozess direkt zu fehlerhafter Lieferung oder Leistung? | Erhöht Häufigkeit und Tiefe deutlich |
| Änderungen | Neue Software, neue Anlage, neue Vorgesetzte, neuer Standort, geänderte Rechtslage? | Zieht ein Audit vor, unabhängig vom Turnus |
| Vorgeschichte | Gab es Abweichungen, Reklamationen, verfehlte Ziele oder offene Maßnahmen? | Erhöht Häufigkeit, bis die Wirksamkeit belegt ist |
| Rechtliche und vertragliche Relevanz | Hängen Genehmigungen, Zulassungen oder Kundenforderungen daran? | Setzt eine Mindesthäufigkeit, die nicht unterschritten wird |
Ein fünftes Kriterium wird oft vergessen: die Personenabhängigkeit. Ein Prozess, den genau eine Person beherrscht, ist unabhängig von seiner Fehlerquote ein Risiko — und ein Audit ist eine der wenigen Gelegenheiten, das sichtbar zu machen.
So sieht die Einstufung in der Praxis aus
| Prozess | Einstufung | Abstand | Begründung |
|---|---|---|---|
| Fertigung Baugruppe A | hoch | halbjährlich | Direkte Kundenwirkung, zwei Reklamationen im Vorjahr |
| Reklamationsbearbeitung | hoch | halbjährlich | Schnittstelle zu Kunde und Entwicklung, Maßnahmen aus Vorjahr offen |
| Einkauf und Lieferantenbewertung | mittel | jährlich | Stabil, aber neue Zweitlieferanten qualifiziert |
| Instandhaltung | mittel | jährlich | Anlagenverfügbarkeit wirkt auf Termintreue |
| Personalverwaltung und Kompetenz | niedrig | alle zwei Jahre | Stabil, keine Feststellungen in zwei Zyklen |
| Dokumentenlenkung | niedrig | alle zwei Jahre | Wird bei jedem Prozessaudit ohnehin mitgeprüft |
Die letzte Zeile enthält ein Argument, das sich lohnt: Querschnittsthemen wie Dokumentenlenkung, Kompetenz oder Umgang mit Nichtkonformitäten lassen sich in jedem Prozessaudit mitprüfen. Sie brauchen dann kein eigenes Audit, sondern eine Zeile in jeder Auditcheckliste.
Was ins Programm gehört
Ein vollständiges Auditprogramm enthält:
- den Zeitraum, den es abdeckt — Jahr oder Zertifizierungszyklus,
- die Liste der Prozesse, Bereiche und Standorte mit Einstufung und Begründung,
- die Zuordnung der Normkapitel, damit die Vollständigkeit über den Zyklus prüfbar ist,
- die vorgesehenen Auditoren mit Hinweis auf Unabhängigkeit vom geprüften Bereich,
- den geplanten Zeitaufwand je Audit,
- die Regel, wann außerplanmäßig auditiert wird,
- die Freigabe durch die Leitung und das Datum der letzten Überarbeitung.
Punkt 3 wird am häufigsten weggelassen und ist der, den externe Auditoren am schnellsten prüfen: Sie nehmen ein Normkapitel und fragen, wann es zuletzt intern auditiert wurde.
Wer auditiert wen
Die Zuordnung der Auditoren gehört ins Programm, nicht in die Terminplanung, weil sie eine Anforderung erfüllt: Auditoren dürfen ihre eigene Arbeit nicht prüfen. In kleinen Betrieben ist das die schwierigste Zeile des ganzen Dokuments.
Drei Lösungen sind gebräuchlich. Erstens das Übers-Kreuz-Prinzip: Die Fertigung auditiert die Verwaltung, die Verwaltung die Fertigung. Das setzt voraus, dass beide Seiten geschult sind, funktioniert aber erstaunlich gut, weil fachfremde Auditoren mehr nachfragen. Zweitens ein externer Auditor für die Prozesse, die die verantwortliche Person selbst betreut. Drittens ein Zweierteam aus einer fachkundigen und einer unabhängigen Person, wobei die unabhängige die Feststellungen verantwortet.
Was nicht funktioniert: die formale Zuweisung an eine Person, die den Termin dann an die geprüfte Abteilung zurückgibt, weil dort das Wissen liegt. Das ist Selbstprüfung mit fremder Unterschrift, und im externen Audit fällt es auf, sobald nach der Auditvorbereitung gefragt wird.
Halten Sie außerdem fest, worauf sich die Auditorenkompetenz stützt: Schulung, begleitete Audits, Berufserfahrung. Für die Nachweispflicht reicht ein Eintrag in der Kompetenzmatrix; für die Qualität der Audits ist die begleitete erste Runde der wirksamere Teil.
Die Lücke im Zyklus, die teuer wird
Der Zertifizierungszyklus dauert drei Jahre mit jährlichen Überwachungsaudits. Über diesen Zeitraum sollen alle Prozesse und alle zutreffenden Normanforderungen intern auditiert worden sein.
Die typische Lücke entsteht nicht durch Absicht, sondern durch Verschiebung: Ein Audit fällt aus, wird ins nächste Quartal gelegt, dann in den nächsten Jahresplan — und taucht dort als regulärer Termin auf, ohne dass jemand den Ausfall bemerkt. Im Rezertifizierungsaudit wird dann festgestellt, dass ein Prozess seit vier Jahren nicht geprüft wurde.
Dagegen hilft eine simple Spalte im Programm: das Datum des letzten Audits je Prozess. Sie macht Lücken sichtbar, ohne dass jemand rechnen muss.
Der häufigste Denkfehler
Risikobasiert wird oft als „weniger auditieren“ gelesen. Gemeint ist Umverteilung. Die Zeit, die ein stabiler Verwaltungsprozess nicht mehr braucht, wandert in den Prozess, an dem die Liefertreue hängt.
Wer die Gesamtzeit senkt, statt sie zu verschieben, hat kein risikobasiertes Programm, sondern ein gekürztes. Der Unterschied fällt spätestens auf, wenn ein Auditor die Auditzeiten je Prozess mit der Zahl der Feststellungen vergleicht.