Der interne Auditor prüft im Auftrag der eigenen Organisation, ob das Managementsystem die Anforderungen erfüllt und wirksam arbeitet. Er ist Beschäftigter oder Beauftragter des Unternehmens, nicht der Zertifizierungsstelle. Seine Feststellungen sind eine Leistung für den Betrieb, keine Prüfung von außen.
Kompetenz ist mehr als Normkenntnis
Die Anforderungen an Auditoren beschreibt ISO 19011. Sie nennt drei Bausteine: Kenntnis der Anforderungen, Kenntnis der Prozesse und Beherrschung der Auditmethodik.
Der dritte Punkt entscheidet über den Wert des Audits. Wer nur die Norm kennt, arbeitet eine Checkliste ab und stellt Fragen, auf die es nur Ja oder Nein gibt. Wer die Methodik beherrscht, folgt einer Auditspur: Er greift einen konkreten Vorgang auf und verfolgt ihn durch die beteiligten Prozesse. Aus dieser Verfolgung entstehen die Erkenntnisse, die man nicht aus Dokumenten bekommt.
Ein Lehrgangszertifikat ist dafür kein Ersatz, aber der übliche Nachweis. Nützlich ist es außerdem, die Auditkriterien vorab schriftlich festzulegen: Ohne sie bewertet jeder Auditor gegen sein eigenes Verständnis. Die Organisation legt selbst fest, was sie als ausreichende Kompetenz ansieht — und muss diese Festlegung nachweisen können, wenn danach gefragt wird.
Unabhängigkeit ist die härtere Anforderung
Auditoren dürfen ihre eigene Arbeit nicht bewerten. Das klingt selbstverständlich und ist in kleinen Unternehmen die eigentliche Schwierigkeit. Wer soll den Prozess prüfen, den es nur einmal gibt und für den nur eine Person zuständig ist?
Praktikable Lösungen:
- Gegenseitige Audits zwischen Bereichen. Der Vertrieb prüft die Produktion und umgekehrt. Kostet Einarbeitung, bringt aber den frischen Blick.
- Audits über Standorte hinweg. In Gruppen mit mehreren Werken der einfachste Weg.
- Externer Auditor für die Kernprozesse des Qualitätsmanagements. Ein bis zwei Tage im Jahr reichen meist.
Nicht gemeint ist Unabhängigkeit vom Ergebnis: Der interne Auditor darf und soll beraten, wo er kann. Er darf nur nicht seine eigenen Festlegungen bewerten.
Woran es scheitert
Das Audit bestätigt, statt zu prüfen. Ein Bericht ohne einzige Feststellung wirkt nach außen gut und ist ein Warnsignal. Kein System ist nach einem Jahr Betrieb ohne Abweichung. Zertifizierungsauditoren lesen interne Auditberichte genau deshalb zuerst.
Der Auditor kündigt an, was er sehen will. Wenn die geprüften Unterlagen eine Woche vorher benannt werden, prüft er einen aufgeräumten Sonderzustand. Der Auditplan nennt Bereiche und Zeiten, nicht die konkreten Stichproben.
Feststellungen ohne Nachweis. Ein Satz wie „Dokumentenlenkung mangelhaft” ist nicht bearbeitbar. Eine Auditfeststellung braucht den konkreten Beleg, das betroffene Kriterium und die Bewertung — sonst beginnt die Diskussion bei der Korrekturmaßnahme von vorn.
Alles wird jedes Jahr gleich geprüft. Sinnvoller ist ein risikobasiert geplantes Auditprogramm, das Bereiche mit Problemen häufiger und stabile Bereiche seltener aufruft.