Das interne Audit prüft, ob das eigene Managementsystem tut, was es soll. Es ist damit der Selbsttest vor der Fremdprüfung — und der einzige Teil des Systems, bei dem eine Organisation strukturiert nach eigenen Schwächen sucht.
Genau deshalb ist es unbeliebt. Und genau deshalb ist es die Stelle, an der externe Auditoren zuerst nachsehen.
Abgrenzung: internes Audit, Zertifizierungsaudit, Lieferantenaudit
Die drei Auditarten werden ständig verwechselt, obwohl sie unterschiedliche Auftraggeber und Zwecke haben.
| Internes Audit | Zertifizierungsaudit | Lieferantenaudit | |
|---|---|---|---|
| Auftraggeber | die eigene Organisation | die Zertifizierungsstelle | der Kunde |
| Gegenstand | das eigene System | das System des Kunden der Stelle | das System des Lieferanten |
| Ergebnis | Bericht an die eigene Leitung | Zertifikatsentscheidung | Freigabe oder Auflagen |
| Pflicht aus | Kapitel 9.2 | Vertrag mit der Stelle | eigener Beschaffungsprozess |
Ein extern beauftragter Auditor, der Ihr System für Sie prüft, führt ein internes Audit durch. Der Begriff bezieht sich auf den Auftraggeber, nicht auf das Arbeitsverhältnis. Umgekehrt ersetzt kein Zertifizierungsaudit die eigene Prüfung — die Zertifizierungsstelle setzt sie voraus.
Was die Norm verlangt
Kapitel 9.2 fordert in allen Managementsystemnormen dasselbe:
- ein Auditprogramm, das Häufigkeit, Methoden und Verantwortlichkeiten festlegt und dabei Bedeutung der Prozesse, Änderungen und Ergebnisse früherer Audits berücksichtigt,
- Auditkriterien und Umfang für jedes einzelne Audit,
- Auditoren, die objektiv und unparteiisch sind — praktisch: niemand prüft den eigenen Bereich,
- Berichterstattung an die zuständige Leitung,
- Korrekturmaßnahmen ohne unangemessene Verzögerung,
- dokumentierte Nachweise über Programm und Ergebnisse.
Nicht gefordert sind: eine bestimmte Auditdauer, eine externe Auditorenzertifizierung oder ein bestimmtes Formular. Methodische Hinweise dazu, wie man ein Auditprogramm zuschneidet und Auditoren bewertet, liefert der Leitfaden ISO 19011 — er ist nicht zertifizierbar und nicht verpflichtend, aber die übliche Bezugsquelle.
Ablauf in fünf Schritten
- Programm. Zu Jahresbeginn wird festgelegt, welche Prozesse wann geprüft werden. Ein Prozess mit drei Abweichungen im Vorjahr gehört früher und gründlicher geprüft als einer, der seit Jahren unauffällig läuft — dieser risikobasierte Zuschnitt ist der Unterschied zwischen einem Programm und einer Terminliste.
- Vorbereitung. Der Auditor sichtet Prozessbeschreibungen, Kennzahlen, frühere Feststellungen und offene Maßnahmen. Der Auditplan geht rechtzeitig an die Beteiligten — Überraschungsaudits sind kein Qualitätsmerkmal, sondern erzeugen Abwehr.
- Durchführung. Gespräche am Arbeitsplatz, Stichproben an konkreten Vorgängen, Beobachtung. Die produktivste Frage lautet nicht „Haben Sie eine Arbeitsanweisung?”, sondern „Zeigen Sie mir den letzten Fall — wie sind Sie vorgegangen?”
- Bericht. Feststellungen mit Nachweis, getrennt nach Abweichung, Verbesserungspotenzial und positiver Beobachtung. Jede Abweichung braucht den Bezug auf die verletzte Anforderung — sonst ist sie eine Meinung.
- Maßnahmen. Verantwortlicher, Termin, Wirksamkeitsprüfung. Ein Audit ohne verfolgte Maßnahmen erfüllt Kapitel 9.2 nicht.
Was der externe Auditor dazu sehen will
Im Zertifizierungsaudit ist das interne Audit ein eigener Prüfpunkt, und die Reihenfolge der Fragen ist berechenbar:
- Das Programm für den laufenden Zyklus. Deckt es alle Prozesse und alle Normkapitel ab? Ist erkennbar, warum bestimmte Bereiche häufiger geprüft werden?
- Die Kompetenz der Auditoren. Wie ist sie festgestellt und dokumentiert?
- Die Unabhängigkeit. Wer hat welchen Bereich auditiert, und war das jeweils ein anderer als der Verantwortliche?
- Zwei bis drei Auditberichte als Stichprobe. Sind Feststellungen mit Nachweis und Anforderungsbezug belegt?
- Die Maßnahmenverfolgung. Sind die Maßnahmen aus dem Vorjahr geschlossen, und womit ist die Wirksamkeit belegt?
- Die Verbindung zur Managementbewertung. Sind die Auditergebnisse dort eingeflossen und haben sie Entscheidungen ausgelöst?
Punkt 5 ist der kritische. Ein sauber geplantes Programm mit gut geschriebenen Berichten, dessen Maßnahmen seit einem Jahr offen stehen, führt regelmäßig zu einer Feststellung — nicht im Kapitel zum Audit, sondern im Kapitel zur Verbesserung.
Woran es scheitert
Es findet zu spät statt. Vor der Erstzertifizierung muss ein vollständiger Zyklus abgeschlossen und ausgewertet sein. Wer das interne Audit vier Wochen vor dem Stufe-2-Audit ansetzt, hat keine Zeit mehr für Korrekturmaßnahmen — und genau das prüft der externe Auditor. Dieser Fehler kostet am zuverlässigsten Geld: Er verschiebt entweder den Audittermin oder erzeugt eine Abweichung mit anschließendem Nachweisaufwand.
Der Auditor ist zu nah dran. Wer die Prozesse selbst geschrieben hat, sieht ihre Lücken nicht. In kleinen Organisationen ist der Ausweg, dass sich Bereiche gegenseitig prüfen — Vertrieb auditiert Produktion, Produktion auditiert Einkauf.
Nur Dokumente werden geprüft. Die Existenz einer Verfahrensanweisung sagt nichts darüber, ob danach gearbeitet wird. Ein Programm, das über Jahre keine einzige Feststellung produziert, ist deshalb kein gutes Zeichen, sondern ein Warnsignal.
Feststellungen bleiben folgenlos. Der häufigste Befund im externen Audit: Die internen Feststellungen des Vorjahrs stehen unverändert offen. Wie ein belastbarer Maßnahmenplan aussieht, steht unter Nichtkonformität.
Das Programm ist eine Kopie des Vorjahres. Wenn sich nichts ändert, obwohl neue Prozesse, Standorte oder Produkte dazugekommen sind, fehlt der von der Norm verlangte Risikobezug.
Es wird als Kontrolle inszeniert. Wenn Mitarbeitende ein Audit als Prüfung ihrer Person erleben, bekommt der Auditor vorbereitete Antworten statt Realität. Der Gegenstand ist der Prozess, nicht die Person — das muss vor dem ersten Audit klar sein und im Ton spürbar bleiben.