Kein Audit prüft alles. Geprüft wird eine Auswahl — einzelne Aufträge, einzelne Personalakten, einzelne Prüfmittel, einzelne Arbeitsplätze. Aus dieser Auswahl schließt der Auditor auf das Ganze. Das ist kein Mangel des Verfahrens, sondern seine Konstruktion, und daraus folgen einige Konsequenzen, die in der Praxis regelmäßig übersehen werden.
Wie ausgewählt wird
Die ISO 19011 unterscheidet zwei Verfahren. Bei der urteilsbasierten Auswahl entscheidet der Auditor nach Sachkenntnis und Risiko. Bei der statistischen Auswahl wird zufällig gezogen, was eine Aussage über die Grundgesamtheit erlaubt, aber eine hinreichende Zahl gleichartiger Vorgänge voraussetzt. In Managementsystemaudits ist die urteilsbasierte Auswahl der Regelfall.
Bevorzugt gewählt werden Fälle mit erhöhtem Risiko:
- Vorgänge kurz nach einer Prozessänderung oder einem Systemwechsel
- Eilaufträge und Sonderfreigaben
- der erste Auftrag mit einem neuen Lieferanten oder einer neuen Maschine
- Vorgänge, die über Bereichsgrenzen laufen
- Themen, zu denen es im Vorjahr eine Feststellung gab
- Zeiträume mit Urlaub, Krankheit oder Personalwechsel
Was die Stichprobe aussagt und was nicht
Sie kann Fehler nachweisen, aber keine Fehlerfreiheit. Ein Audit ohne Feststellungen belegt, dass in der geprüften Auswahl nichts gefunden wurde — mehr nicht. Deshalb gehört der Hinweis auf die Stichprobenlogik ins Eröffnungsgespräch, und deshalb ist die Aussage „das war letztes Jahr genauso und wurde nicht beanstandet“ kein Argument. Die Verantwortung für die Konformität bleibt bei der Organisation.
Umgekehrt gilt: Ein einzelner Fund in einer kleinen Stichprobe ist statistisch schwach, praktisch aber ernst zu nehmen. Wenn von fünf geprüften Unterweisungsnachweisen einer fehlt, ist die naheliegende Annahme nicht, dass genau dieser eine Fall unglücklich war.
Stichprobe über mehrere Standorte
Bei mehreren Standorten im Geltungsbereich kommt eine zweite Ebene hinzu: Nicht jeder Standort wird in jedem Jahr besucht. Die Zertifizierungsstelle wählt nach festgelegten Regeln aus, wobei Standorte mit Feststellungen aus dem Vorjahr, neue Standorte und solche mit besonderen Prozessen bevorzugt an die Reihe kommen. Wer daraus schließt, ein selten besuchter Standort sei weniger relevant, erlebt die Korrektur meist beim nächsten Zertifizierungszyklus.
Der häufigste Vorbereitungsfehler
Unternehmen bereiten Inhalte vor statt Zugriff. Ordner werden sortiert, Musterakten zusammengestellt, ausgewählte Vorgänge geprüft. Im Audit fragt der Auditor dann nach Auftrag 24-0817, und niemand findet ihn in vertretbarer Zeit.
Nützlicher ist die umgekehrte Übung: Lassen Sie sich von einer unbeteiligten Person drei Vorgänge nennen und versuchen Sie, die zugehörige Auditspur lückenlos zu belegen. Was dabei fehlt, hätte im Audit ohnehin gefehlt.
Zusammenhang mit der Auditzeit
Der Umfang der Stichprobe hängt direkt am Auditvolumen. Wer die Auditzeit als Kostenposition betrachtet und kürzt, bekommt eine kleinere Stichprobe und damit ein Audit, das weniger findet. Das ist kurzfristig angenehm und verlagert die Feststellungen nur nach hinten — häufig in ein Kundenaudit, das schlechter ausgeht als das Zertifizierungsaudit.