Das Auditprogramm ist die Antwort auf die Frage, wie eine Organisation über die Zeit sicherstellt, dass ihr Managementsystem geprüft wird. Es steht in Kapitel 9.2.2 und ist mehr als eine Terminliste.
Was hineingehört
- Häufigkeit und Zeitpunkte je Prozess und Normkapitel
- Methoden — Vor-Ort-Audit, Dokumentenprüfung, Fernaudit, Prozessbeobachtung
- Verantwortlichkeiten — wer plant, wer auditiert, wer berichtet
- Anforderungen an die Planung des einzelnen Audits
- Berichterstattung — an wen, in welcher Form
- Berücksichtigung von Bedeutung der Prozesse, Änderungen und früheren Ergebnissen
Der letzte Punkt ist der, an dem sich Programme unterscheiden.
Die Ebene über dem einzelnen Audit
Das Programm steuert, der Plan führt aus, der Bericht belegt. Diese Reihenfolge zu trennen erspart die häufigste Verwechslung im Audit:
- Das Auditprogramm entscheidet, dass der Beschaffungsprozess in diesem Jahr zweimal geprüft wird, weil im Vorjahr Feststellungen offen blieben.
- Der Auditplan legt den Termin, die Gesprächspartner und die Kriterien für jeden dieser beiden Durchgänge fest.
- Der Auditbericht hält fest, was dabei herauskam.
Ein externer Auditor liest das Programm zuerst und prüft dann stichprobenartig, ob zu den geplanten Audits Pläne und Berichte existieren. Lücken zwischen diesen drei Ebenen fallen sofort auf.
Risikobasiert planen
Ein Programm, das zwölf Prozesse gleichmäßig über zwölf Monate verteilt, ist ordentlich, aber nicht risikobasiert. Die Norm verlangt eine Gewichtung:
| Merkmal | Konsequenz für die Planung |
|---|---|
| Prozess mit hohem Kundeneinfluss | Häufiger, mit größerer Stichprobe |
| Neuer oder geänderter Prozess | Früh im Jahr, mit Nachverfolgung |
| Feststellungen aus dem Vorjahr | Gezielt erneut prüfen |
| Neue Mitarbeitende in Schlüsselrollen | Prüfen, ob Einarbeitung wirkt |
| Seit Jahren unauffälliger Prozess | Seltener, kürzer |
Diese Gewichtung sollte im Programm sichtbar sein — nicht als Prosa, sondern als erkennbare Verteilung. Wie sich das konkret aufbauen lässt, beschreibt der Leitfaden zur risikobasierten Auditprogrammplanung.
Der Vorteil der Verteilung
Vier interne Audits über das Jahr verteilt sind leichter zu organisieren als vier in einer Woche. Sie liefern außerdem Ergebnisse, mit denen sich noch etwas anfangen lässt: Wer im Februar eine Lücke findet, hat bis zum Zertifizierungsaudit Zeit, sie zu schließen.
Der geballte Auditblock kurz vor dem externen Termin ist am Datum der Berichte erkennbar — und ein Hinweis darauf, dass das System nicht gesteuert, sondern hergerichtet wurde.
Woran Programme im Audit scheitern
Das Programm ist eine Kopie des Vorjahres. Gleiche Prozesse, gleiche Monate, gleiche Dauer. Damit fehlt der Nachweis, dass frühere Ergebnisse berücksichtigt wurden.
Die unterstützenden Prozesse fehlen. Geprüft werden Produktion und Vertrieb, nicht aber Dokumentenlenkung, Managementbewertung, Schulung oder das interne Audit selbst. Das Programm muss alle Anforderungen abdecken, nicht nur die sichtbaren.
Die Kompetenz der Auditoren ist nicht belegt. Zum Programm gehört die Frage, wer auditieren darf. Ohne Schulungsnachweis oder dokumentierte Auditerfahrung ist das eine offene Flanke.
Es gibt keine Reaktion auf Abweichungen im Programm selbst. Fallen drei geplante Audits aus, muss das Programm angepasst und die Anpassung begründet werden. Ein stillschweigend gestrichener Termin ist eine Abweichung.