Der Auditbericht ist das Ergebnis eines Audits — und häufig das einzige, was davon bleibt. Entsprechend hängt der Nutzen des ganzen Aufwands daran, wie er geschrieben ist. Ein Bericht, den man ein Jahr später nicht mehr versteht, hat den Audittag entwertet.
Aufbau
- Rahmen — Datum, Bereich, Auditor, Auditkriterien, Teilnehmende
- Umfang und Vorgehen — was wurde geprüft, welche Stichproben, welche Methode
- Feststellungen — nach Art getrennt, jede mit Nachweis
- Bewertung — Gesamteinschätzung zum geprüften Bereich
- Maßnahmen — mit Verantwortlichem und Termin, sofern schon vereinbart
Punkt zwei fehlt am häufigsten und wird am häufigsten vermisst. Wer nicht festhält, welche Vorgänge er gezogen hat, kann später nicht belegen, dass die Prüfung Substanz hatte.
Die Feststellung ist der Kern
Eine brauchbare Feststellung enthält drei Teile:
- Was wurde beobachtet — konkret, mit Beleg. „In drei von fünf geprüften Einarbeitungsakten fehlt der Nachweis der Sicherheitsunterweisung (Akten 2026-014, 2026-021, 2026-033).“
- Gegen welche Anforderung — mit Fundstelle. „Anforderung: ISO 9001, Kapitel 7.2 c) sowie interne Verfahrensanweisung VA-07.“
- Welche Einstufung — Hauptabweichung, Nebenabweichung oder Verbesserungspotenzial.
Fehlt der Nachweis, ist die Feststellung eine Meinung. Fehlt der Anforderungsbezug, ist sie angreifbar. Beides führt im Abschlussgespräch zu Diskussionen über Formulierungen statt über Ursachen.
Programm, Plan und Bericht sind drei verschiedene Dinge
Die drei Begriffe werden im Alltag vermischt, im Audit aber getrennt geprüft:
| Dokument | Bezugsgröße | Kernfrage |
|---|---|---|
| Auditprogramm | alle Audits eines Zeitraums | Wird das System über den Zyklus vollständig abgedeckt? |
| Auditplan | ein einzelnes Audit | Wer spricht wann mit wem worüber? |
| Auditbericht | ein durchgeführtes Audit | Was kam heraus, und worauf beruht das? |
Der Bericht ist damit zugleich der Nachweis, dass Programm und Plan abgearbeitet wurden. Fehlt zu einem geplanten Audit der Bericht, gilt das Audit als nicht durchgeführt — unabhängig davon, ob es stattgefunden hat.
Was ein externer Auditor darin sucht
Er liest Ihre internen Berichte nicht, um Ihre Prozesse zu bewerten. Das prüft er selbst. Er prüft, ob Ihr internes Audit funktioniert, und stellt dazu fünf Fragen:
- Deckt sich der geprüfte Umfang mit dem, was im Auditprogramm angekündigt war?
- Stützen sich die Feststellungen auf benannte Nachweise oder auf Eindrücke?
- Gibt es überhaupt Feststellungen? Ein sauberer Bericht über Jahre hinweg ist ein Warnsignal, kein Gütesiegel.
- Wurden die vereinbarten Maßnahmen umgesetzt und ihre Wirksamkeit geprüft?
- Sind die Ergebnisse in die Managementbewertung eingegangen?
Der letzte Punkt ist die häufigste Lücke. Berichte existieren, sind ordentlich geschrieben, tauchen in der Managementbewertung aber nicht auf. Damit fehlt der Rückweg zur Leitung, den Kapitel 9.2.2 verlangt.
Häufige Schwächen
Alles ist in Ordnung. Ein interner Auditbericht ohne jede Feststellung über mehrere Jahre zeigt fehlende Tiefe oder fehlende Unabhängigkeit.
Bewertungen statt Beobachtungen. „Die Dokumentation ist unzureichend“ ist kein Nachweis. Was genau fehlte, wo, in wie vielen von wie vielen Fällen?
Personenbezug. Feststellungen betreffen Prozesse, nicht Menschen. Sobald Namen in Mängelbeschreibungen auftauchen, endet die ehrliche Mitwirkung.
Ursache und Beobachtung vermischt. Der Bericht hält fest, was gefunden wurde. Die Ursachenanalyse gehört zur Maßnahme und wird von den Beteiligten erarbeitet, nicht vom Auditor vorweggenommen.
Keine Nachverfolgung. Der Bericht wird abgelegt, die Maßnahmen versanden. Das ist der Punkt, an dem ein externes Audit im Folgejahr zuverlässig ansetzt.