ISO 19011 beschreibt, wie Managementsystemaudits geplant, durchgeführt und ausgewertet werden. Sie ist ein Leitfaden ohne Zertifizierungsmöglichkeit — und trotzdem das Handbuch jedes internen Auditors.
Das ist der Punkt, der ständig verwechselt wird, deshalb gleich zu Beginn: Nach ISO 19011 kann sich niemand zertifizieren lassen. Weder ein Unternehmen noch eine Abteilung noch ein Auditprogramm. Die Norm enthält keine prüfbaren Anforderungen, sondern Empfehlungen — sie sagt, was sich bewährt hat, nicht, was zu erfüllen ist. Formulierungen wie „zertifiziert nach ISO 19011” beschreiben eine Sache, die es nicht gibt.
Trotzdem ist die Norm alles andere als unverbindlich. Die Managementsystemnormen verlangen in Kapitel 9.2 interne Audits, sagen aber nicht, wie diese aussehen sollen. Diese Lücke füllt ISO 19011. Ein externer Auditor darf ihre Anwendung nicht fordern — er wird aber fragen, nach welcher Systematik Sie auditieren, und die Antwort ist in aller Regel diese.
Wofür sie gilt und wofür nicht
| Auditart | Wer prüft wen | Maßgebliche Norm | Verbindlichkeit |
|---|---|---|---|
| Erstparteienaudit | Organisation prüft sich selbst | ISO 19011 | Empfehlung |
| Zweitparteienaudit | Kunde prüft Lieferanten | ISO 19011 | Empfehlung |
| Drittparteienaudit | Zertifizierungsstelle prüft | ISO/IEC 17021 | Anforderung, akkreditierungsrelevant |
Für interne Audits und Lieferantenaudits ist ISO 19011 die Referenz. Für Zertifizierungsaudits gilt ISO/IEC 17021, und das ist ein Unterschied in der Rechtsnatur, nicht nur im Adressaten.
ISO/IEC 17021 richtet sich an die Zertifizierungsstelle als Organisation: Unparteilichkeit, Haftung, Finanzierung, Zusammensetzung der Auditteams, Auditzeiten, Umgang mit Beschwerden, Entscheidung über die Zertifikatserteilung. Die Einhaltung wird von der Akkreditierungsstelle überwacht — im deutschsprachigen Raum von der DAkkS. Eine Zertifizierungsstelle, die davon abweicht, riskiert ihre Akkreditierung. Ein interner Auditor, der von ISO 19011 abweicht, riskiert nichts, außer dass sein Audit weniger taugt.
Praktisch relevant wird die Unterscheidung an einer Stelle regelmäßig: bei den Auditzeiten. Wie lange ein Zertifizierungsaudit dauert, ist über die Regelwerke der Akkreditierung vorgegeben und nicht verhandelbar. Wie lange Ihr internes Audit dauert, entscheiden Sie. Wer die externen Vorgaben auf interne Audits überträgt, produziert Aufwand, den niemand verlangt hat.
Aufbau der Norm
| Kapitel | Inhalt | Wofür Sie es brauchen |
|---|---|---|
| 4 | Auditprinzipien | Begründung, warum ein Audit so und nicht anders geführt wird |
| 5 | Auditprogramm | Jahresplanung, Ressourcen, Auditorenauswahl, Überwachung des Programms |
| 6 | Durchführung eines Audits | Vom Erstkontakt bis zur Nachverfolgung der Maßnahmen |
| 7 | Kompetenz und Bewertung von Auditoren | Auswahl, Qualifizierung und Beurteilung der eigenen Auditoren |
| Anhang A | Zusätzliche Anleitung zu Auditmethoden | Risikobasiertes Vorgehen, Remote-Audits, Prozessansatz, fachliches Urteilsvermögen |
Die Fassung von 2018 hat zwei Dinge verändert, die in der Praxis nachwirken. Erstens kam der risikobasierte Ansatz als eigenes Prinzip hinzu. Zweitens wurden die früheren fachspezifischen Kompetenzkataloge gestrichen — die Norm beschreibt nun allgemein, wie Kompetenz bestimmt und bewertet wird, und überlässt die fachliche Ausprägung der Organisation.
Die sieben Auditprinzipien
Integrität — Auditoren handeln professionell und ehrlich. Sachliche Darstellung — berichtet wird, was festgestellt wurde, auch wenn es unbequem ist. Angemessene berufliche Sorgfalt — Urteilsvermögen entsprechend der Bedeutung der Aufgabe. Vertraulichkeit — Informationen aus dem Audit werden geschützt. Unabhängigkeit — keine Auditierung des eigenen Verantwortungsbereichs. Faktengestützter Ansatz — Feststellungen beruhen auf Nachweisen, nicht auf Eindrücken. Risikobasierter Ansatz — das Auditprogramm richtet sich nach Bedeutung und Risiko.
Der letzte Punkt ist der praktisch folgenreichste: Ein Auditprogramm, das jeden Prozess gleich behandelt, verschwendet Zeit an unkritischen Stellen und geht an kritischen zu wenig in die Tiefe. Wie sich das umsetzen lässt, beschreibt der Leitfaden zur risikobasierten Auditprogrammplanung.
Das Prinzip der Unabhängigkeit bereitet kleinen Organisationen die meisten Schwierigkeiten. In einem Betrieb mit dreißig Beschäftigten gibt es niemanden, der von allem unabhängig ist. Die üblichen Auswege: gegenseitige Auditierung zwischen Bereichen, ein Auditor aus einem Schwesterunternehmen oder ein extern beauftragter interner Auditor. Was nicht trägt, ist die Selbstauditierung des eigenen Bereichs mit dem Hinweis, es gehe nicht anders.
Das Auditprogramm
Die Norm unterscheidet zwischen dem Programm — der Gesamtplanung über einen Zeitraum — und dem einzelnen Audit. Diese Trennung ist mehr als eine Begriffsfrage: Das Auditprogramm ist der Gegenstand, den ein externer Auditor prüft, nicht der einzelne Auditbericht.
Zum Programm gehören: Ziele, Umfang, Verantwortlichkeiten, Ressourcen, Verfahren, Risiken und Chancen des Programms selbst, Überwachung und Verbesserung. Ein Programm, das nur aus einer Terminliste besteht, greift zu kurz.
Die Risiken des Programms sind der Teil, den fast niemand dokumentiert. Gemeint ist nicht das Risiko im auditierten Prozess, sondern das Risiko, dass das Auditprogramm sein Ziel verfehlt: zu wenig Zeit, ungeeignete Auditoren, Termine, die regelmäßig verschoben werden, Bereiche, die seit drei Jahren nicht an der Reihe waren. Wer diese Punkte einmal benennt, hat gleichzeitig die Argumente für die Ressourcen, die er braucht.
Der Ablauf eines Audits
- Veranlassung — Kontakt zum auditierten Bereich, Machbarkeit klären.
- Vorbereitung — Dokumentenprüfung, Auditplan, Arbeitsdokumente.
- Durchführung — Eröffnungsgespräch, Informationssammlung, Bewertung, Abschlussgespräch.
- Bericht — Feststellungen mit Nachweisen, Schlussfolgerungen.
- Abschluss — Verteilung, Aufbewahrung.
- Nachverfolgung — Umsetzung und Wirksamkeit der Maßnahmen.
Der letzte Schritt gehört ausdrücklich dazu und wird am häufigsten weggelassen. Die Norm zieht dabei eine Grenze, die im Alltag verschwimmt: Die Nachverfolgung liegt beim Auditprogramm, die Umsetzung der Korrekturmaßnahmen beim auditierten Bereich. Ein Auditor, der die Maßnahme selbst formuliert, verliert seine Rolle — und begutachtet beim nächsten Mal seine eigene Arbeit.
Auditorenkompetenz
Kapitel 7 widmet sich der Frage, was Auditoren können müssen: Kenntnis der Normanforderungen, der Organisation und ihres Kontexts, Auditmethodik — und persönliche Eigenschaften. Die Norm nennt unter anderem Beobachtungsgabe, Beharrlichkeit, Aufgeschlossenheit und die Fähigkeit, unter Druck sachlich zu bleiben.
Das ist keine Nebensächlichkeit. Der Unterschied zwischen einem wirkungslosen und einem nützlichen internen Audit liegt selten am Fachwissen und fast immer daran, ob jemand nachfragt, wenn eine Antwort nicht schlüssig ist.
Vorgesehen ist außerdem, die Kompetenz regelmäßig zu bewerten — nicht nur einmal bei der Benennung. Übliche Wege: Begleitung durch einen erfahrenen Auditor, Rückmeldung aus den auditierten Bereichen, Durchsicht der Auditberichte auf Nachweisqualität. Eine Kompetenzmatrix mit einem Schulungsdatum von 2019 erfüllt den Zweck nicht.
Woran interne Audits scheitern
Die Checkliste ersetzt das Gespräch. Abgefragte Normkapitel liefern die erwarteten Antworten. Wirksam wird ein Audit erst, wenn es einem Vorgang folgt — von der Kundenanfrage bis zur Auslieferung, quer durch die Zuständigkeiten.
Es gibt keine Feststellungen. Ein Auditjahr ohne einzige Auditfeststellung ist kein Qualitätsbeweis, sondern ein Hinweis darauf, dass zu flach geprüft wurde. Warum das als Warnsignal gilt, ist im Beitrag zu internen Audits ohne Feststellungen ausgeführt.
Feststellungen ohne Nachweis. „Die Dokumentenlenkung ist verbesserungswürdig” ist eine Meinung. Prüfbar wird sie erst mit Beleg: welches Dokument, welche Version, welche Abweichung von welcher Vorgabe.
Das Programm folgt dem Kalender, nicht dem Risiko. Jeder Prozess einmal im Jahr, gleich lang, unabhängig davon, wo im Vorjahr Nichtkonformitäten aufgetreten sind.
Die Nachverfolgung endet mit der Maßnahmenmeldung. Erfasst wird, dass etwas erledigt gemeldet wurde — nicht, ob es gewirkt hat.
Auditoren prüfen den eigenen Bereich. Meist aus Ressourcennot, meist stillschweigend. Im externen Audit ist das eine der am schnellsten erkennbaren Abweichungen, weil der Auditplan die Zuordnung offenlegt.