Audit im Managementsystem: Arten, Ablauf und Anforderungen an Auditoren

Ein Audit ist eine systematische, unabhängige und dokumentierte Untersuchung, bei der Nachweise gesammelt und objektiv bewertet werden, um festzustellen, inwieweit festgelegte Kriterien erfüllt sind – die Anforderungen einer Norm, eines Gesetzes, eines Kunden oder der eigenen Regelungen. Das Wort kommt vom lateinischen audire, hören: Der Auditor hört zu, sieht nach und vergleicht, was er vorfindet, mit dem, was gelten soll. Im Managementsystem ist das Audit das wichtigste Prüfinstrument – intern als Selbstkontrolle, extern als Grundlage für Zertifikate und Lieferantenfreigaben.

Auditarten nach Auftraggeber

Erstparteien-Audit (internes Audit): Das Unternehmen prüft sich selbst, durch eigene geschulte Auditoren oder beauftragte Externe – Pflicht nach Abschnitt 9.2 aller Managementsystemnormen.
Zweitparteien-Audit (Kundenaudit, Lieferantenaudit): Ein Kunde prüft seinen Lieferanten – oder das Unternehmen prüft seine eigenen Lieferanten.
Drittparteien-Audit (Zertifizierungsaudit): Eine unabhängige, akkreditierte Stelle prüft für ein Zertifikat – mit Überwachungsaudits, Rezertifizierung und bei Bedarf Nachaudit.

Auditarten nach Gegenstand

Systemaudit: das gesamte Managementsystem gegen die Norm.
Prozessaudit: ein einzelner Prozess auf Wirksamkeit und Beherrschung – in der Automobilindustrie nach VDA 6.3.
Produktaudit: ein fertiges Produkt aus Kundensicht gegen Spezifikation und Erwartung.
Compliance-Audit: Einhaltung gesetzlicher und sonstiger Verpflichtungen.
Kombiniertes und integriertes Audit: mehrere Normen gleichzeitig, bei integrierten Systemen mit reduzierter Auditzeit.
Fernaudit: per Videokonferenz und Dokumentenzugriff, seit 2020 für Teile von Audits etabliert.

Ablauf eines Audits

Auditprogramm: Welche Audits finden im Jahr statt, mit welchen Zielen, Umfängen und Auditoren? Grundlage sind Bedeutung der Prozesse, Risiken, Änderungen und frühere Ergebnisse.
Vorbereitung: Auditziel, Umfang und Kriterien festlegen, Dokumente sichten, Auditplan mit Zeiten und Gesprächspartnern erstellen.
Eröffnungsgespräch: Ziel, Ablauf, Vertraulichkeit, Bewertung.
Durchführung: Interviews, Beobachtung, Einsicht in Nachweise – nach dem Prinzip: Was ist geregelt, wird es so gemacht, wirkt es? Auditoren sammeln Fakten, keine Meinungen.
Feststellungen: Konformität, Abweichungen (Haupt-/Neben-), Hinweise und Stärken, jeweils mit Nachweis und Kriterium.
Abschlussgespräch und Bericht: Schlussfolgerung zum Auditziel, Maßnahmen mit Verantwortlichen und Fristen.
Nachverfolgung: Ursachenanalyse und Korrekturmaßnahmen, Wirksamkeitsprüfung im Folgeaudit.

Die Leitlinie ISO 19011 beschreibt Grundsätze, Programm, Durchführung und Auditorenkompetenz für interne und Lieferantenaudits; für Zertifizierungsaudits gilt die ISO/IEC 17021-1.

Was ein gutes Audit ausmacht

Auditoren sind unabhängig vom auditierten Bereich, kompetent in Norm und Fachgebiet und arbeiten nachweisbasiert – jede Feststellung nennt Kriterium, Nachweis und Ort. Sie prüfen Wirksamkeit, nicht nur Dokumente: Ob eine Verfahrensanweisung existiert, ist weniger interessant als ob die Beschäftigten danach arbeiten und ob das Ergebnis stimmt. Und sie behandeln Abweichungen als Verbesserungschance, nicht als Schuldzuweisung – sonst versiegt die Auskunftsbereitschaft. Für kleine Unternehmen sind externe interne Auditoren oft die praktikable Lösung: unabhängig, erfahren, mit dem Blick des Zertifizierers.

Häufige Fragen zum Audit

Was ist der Unterschied zwischen internem und externem Audit?

Das interne Audit führt das Unternehmen selbst durch, als Pflichtbestandteil des Managementsystems und zur Vorbereitung auf externe Audits; die Auditoren können eigene Beschäftigte oder beauftragte Externe sein, müssen aber vom auditierten Bereich unabhängig sein. Externe Audits führen Kunden (Zweitpartei) oder Zertifizierungsstellen (Drittpartei) durch; nur Letztere führen zu einem Zertifikat.

Wie oft müssen interne Audits stattfinden?

Die Managementsystemnormen verlangen ein Auditprogramm in geplanten Abständen, ohne feste Frist. Üblich ist, alle Prozesse und Normkapitel mindestens einmal im dreijährigen Zertifikatszyklus zu auditieren, wichtige oder auffällige Bereiche jährlich; vor jedem Zertifizierungs- oder Überwachungsaudit sollte ein internes Audit stattgefunden haben.

Wer darf interne Audits durchführen?

Personen mit Auditkompetenz und Kenntnis der Norm und des Fachgebiets, die nicht ihre eigene Arbeit prüfen. Eine formale Zertifizierung ist nicht vorgeschrieben; eine Auditorenschulung nach ISO 19011 ist üblich. In kleinen Unternehmen übernehmen oft externe Berater die internen Audits, weil Unabhängigkeit und Fachkunde intern schwer darstellbar sind.