Ein Auditor sammelt Nachweise, bewertet sie gegen die Auditkriterien und hält das Ergebnis fest. Er kontrolliert keine Personen, sondern prüft, ob ein Prozess das leistet, was er leisten soll.
Drei Arten von Auditoren
Interne Auditoren sind Beschäftigte der Organisation und prüfen das eigene System. Grundlage ist ISO 19011.
Auditoren von Zertifizierungsstellen führen Zertifizierungsaudits durch. Für sie gilt ISO/IEC 17021-1, die strenger ist — vor allem bei Unabhängigkeit und Rotation.
Lieferantenauditoren prüfen im Auftrag eines Kunden dessen Lieferanten. Auch hier ist ISO 19011 die Referenz.
Die Kompetenzanforderungen ähneln sich, die Spielräume nicht. Ein interner Auditor darf mitdenken und Lösungen vorschlagen. Ein Auditor der Zertifizierungsstelle darf das nicht. Führt ein Team das Audit durch, übernimmt ein Lead Auditor die Leitung und verantwortet die Einstufung der Feststellungen.
Was Kompetenz konkret bedeutet
ISO 19011 beschreibt vier Bausteine: Kenntnis der Normanforderungen, Kenntnis der Organisation und ihres Umfelds, Auditmethodik und persönliche Eigenschaften.
Der letzte Punkt entscheidet über die Qualität. Fachwissen lässt sich nachlesen, Beharrlichkeit nicht. Der Unterschied zwischen einem nützlichen und einem folgenlosen Audit liegt fast immer darin, ob jemand nachfragt, wenn eine Antwort nicht schlüssig ist — und ob er die Stille nach der Frage aushält.
Ein zweiter, oft übersehener Punkt: Branchenkenntnis. Zertifizierungsstellen dürfen nur Auditoren einsetzen, deren Kompetenz den fachlichen Bereich der Organisation abdeckt. Bei ISO 27001, ISO 45001 und in regulierten Branchen ist das keine Formalie. Die Frage nach der Sektorqualifikation des vorgesehenen Auditors ist vor Vertragsschluss legitim.
Wo Unabhängigkeit endet
Die Regel lautet: Niemand auditiert seinen eigenen Verantwortungsbereich. In einem Betrieb mit dreißig Beschäftigten kollidiert das schnell mit der Realität, weil eine Person das gesamte System betreut.
Drei Auswege haben sich bewährt: gegenseitige Audits zwischen Abteilungen oder Standorten, ein zweiter geschulter Auditor aus einem fachfremden Bereich, oder ein externer interner Auditor auf Honorarbasis. Der dritte Weg ist zulässig, solange diese Person nicht zugleich das System aufgebaut hat.
Nicht ausreichend ist die Aufteilung „ich schreibe den Bericht, jemand anderes unterschreibt”. Das ändert nichts an der fehlenden Distanz und fällt im Zertifizierungsaudit auf, sobald der Auditor fragt, wer die Fragen tatsächlich gestellt hat.
Für Zertifizierungsstellen kommt eine zweite Regel hinzu: Dieselbe Person darf eine Organisation nicht unbegrenzt lange betreuen. Die Akkreditierungsvorgaben verlangen einen Wechsel innerhalb des Auditteams, damit sich keine Betriebsblindheit einstellt. Für Unternehmen ist das gelegentlich unbequem, weil ein neuer Auditor Fragen stellt, die drei Jahre lang niemand gestellt hat. Genau das ist der Zweck der Regel.
Der Auditor ist nicht der Beauftragte
Beide Rollen werden regelmäßig verwechselt. Der Qualitäts-, Umwelt- oder Sicherheitsbeauftragte betreibt das System: Er pflegt Dokumente, koordiniert Maßnahmen, bereitet die Managementbewertung vor. Der Auditor prüft dieses System gegen die Auditkriterien. Beide Rollen kann dieselbe Person ausfüllen — nur nicht am selben Gegenstand. Wo die Trennung organisatorisch nicht darstellbar ist, gehört sie offengelegt statt verdeckt: Ein dokumentierter Kompromiss mit ausgleichender Maßnahme ist besser als ein Auditbericht, dessen Unabhängigkeit im externen Audit auseinanderfällt.