Auditkriterien sind der Maßstab eines Audits. Sie legen fest, wogegen geprüft wird. Ohne Kriterium gibt es keine Abweichung, sondern nur einen Eindruck.
Was alles Auditkriterium ist
Die Norm ist nur ein Teil des Maßstabs. Zu den Kriterien eines Managementsystemaudits gehören regelmäßig:
- die Managementsystemnorm in einer bestimmten Ausgabe, etwa ISO 9001:2015,
- die eigenen Vorgaben der Organisation: Handbuch, Verfahrens- und Arbeitsanweisungen, Prozessbeschreibungen, Formblätter,
- gesetzliche und behördliche Anforderungen, bei ISO 14001 und ISO 45001 ausdrücklich als bindende Verpflichtungen,
- Kunden- und Vertragsanforderungen aus Liefer- oder Qualitätssicherungsvereinbarungen,
- Anforderungen interessierter Parteien, soweit die Organisation sie übernommen hat.
Die eigene Dokumentation ist der schärfste Maßstab
Der zweite Punkt kostet in der Praxis die meisten Abweichungen. Die Norm formuliert Anforderungen bewusst offen. Die eigene dokumentierte Information tut das nicht: Sie nennt Fristen, Verantwortliche, Prüfschritte und Unterschriften.
Wer ein Muster-Handbuch übernimmt, übernimmt damit auch dessen Detailtiefe als Prüfmaßstab. Eine Verfahrensanweisung, die eine monatliche Kennzahlenauswertung vorschreibt, erzeugt zwölf mögliche Nachweislücken pro Jahr — obwohl die Norm keinen Monatsrhythmus fordert.
Der Ausweg ist nicht, weniger zu tun, sondern weniger zu versprechen. Vorgabedokumente sollten beschreiben, was tatsächlich geschieht. Jede Zeile mehr ist ein zusätzliches Kriterium.
Dasselbe gilt für Vorgaben, die niemand mehr kennt. Eine Arbeitsanweisung aus dem Jahr der Erstzertifizierung bleibt Kriterium, solange sie in Kraft ist — auch wenn der beschriebene Ablauf seit zwei Umbauten nicht mehr existiert. Dokumente außer Kraft zu setzen ist ein legitimer und oft überfälliger Schritt, der im Audit nicht negativ bewertet wird. Bewertet wird die Differenz zwischen gültigem Dokument und gelebter Praxis.
Ohne Kriterium keine Feststellung
Eine belastbare Auditfeststellung besteht aus drei Teilen: der Anforderung, dem Nachweis und der Abweichung dazwischen. Fehlt der erste Teil, lässt sich die Feststellung nicht schließen, weil unklar bleibt, was erfüllt sein muss.
Sätze wie „das macht man üblicherweise anders” oder „das ist nicht Stand der Technik” benennen kein Kriterium. Die sachliche Rückfrage, gegen welche Anforderung geprüft wurde, gehört zum Abschlussgespräch und ist Teil des faktengestützten Ansatzes, den ISO 19011 als Auditprinzip beschreibt.
Kriterien gehören in den Auditplan
Im Auditplan stehen die Kriterien vor dem Audit — mit Ausgabestand. „ISO 9001” ist unpräzise, „ISO 9001:2015” ist ein Maßstab. Das wird relevant, sobald eine Normrevision im Umlauf ist: Dann muss klar sein, ob gegen die alte oder die neue Fassung geprüft wird und ab wann.
Zwei weitere Punkte werden bei internen Audits häufig übersehen. Erstens begrenzt der Geltungsbereich die Kriterien: Was nicht im Scope liegt, wird nicht daran gemessen. Zweitens ändern sich Kundenanforderungen häufiger als Normen. Eine Qualitätssicherungsvereinbarung aus dem Vorjahr kann still ersetzt worden sein — dann prüft das interne Audit gegen ein Dokument, das der Kunde längst nicht mehr anwendet.