Internes und externes Audit: Was jeweils geprüft wird

"Audit" ist ein Wort mit mehreren Bedeutungen. Wenn eine Kollegin sagt, ein Audit stehe an, kommt es entscheidend darauf an, welche Art gemeint ist: ein internes Audit, das Sie bei sich selbst durchführen, das externe Audit einer Zertifizierungsstelle oder ein Kunde, der Sie vor Vertragsabschluss inspiziert. Jede Art hat einen anderen Zweck, einen anderen Auditor und einen anderen Einsatz. Bei den letzten beiden gibt es zudem direkte Folgen für Verträge und Ausschreibungen. Dieser Leitfaden trennt sie und erklärt, worauf ein Auditor tatsächlich achtet und wie sich Feststellungen fortpflanzen.

Audits sind der Mechanismus hinter Compliance und Zertifizierung. Über sie wird geprüft und nicht bloß behauptet, dass die Anforderungen erfüllt sind. Falls der Unterschied zwischen konform und zertifiziert noch unklar ist, klärt dieser Leitfaden ihn. Hier gehen wir in die Tiefe der Audits selbst.

Die drei Parteien und warum die Bezeichnung zählt

Audits werden üblicherweise danach gruppiert, wer wen auditiert:

Erstparteien-Audit (internes Audit) - Sie auditieren sich selbst. Ihre eigenen Leute (oder jemand, den Sie beauftragen, in Ihrem Namen zu handeln) bewerten Ihr Managementsystem gegen die Norm und Ihre eigenen Verfahren.
Zweitparteien-Audit - eine Partei mit unmittelbarem Interesse auditiert Sie. In der Praxis ist das fast immer ein Kunde (oder ein potenzieller Kunde), der einen Lieferanten vor oder während eines Vertrags auditiert.
Drittparteien-Audit - eine unabhängige Stelle ohne Interesse am Ergebnis auditiert Sie. Das ist das Zertifizierungsaudit. Gerade die „dritte Partei“ verleiht dem Zertifikat seinen Wert.

Die Bezeichnungen sind nicht akademisch: Ein Kundenaudit und ein Zertifizierungsaudit können dasselbe System untersuchen und zu denselben Feststellungen kommen, doch die Folgen unterscheiden sich völlig. Das eine betrifft eine einzelne Geschäftsbeziehung, das andere ein Zertifikat, auf das sich jeder Kunde verlässt.

Interne Audits (Erstpartei): sich selbst ehrlich auditieren

Ein internes Audit ist die Prüfung des eigenen Managementsystems gegen die Norm und gegen die eigenen dokumentierten Verfahren. Nach ISO 9001 ist es nicht optional. Abschnitt 9.2 fordert es. Der eigentliche Wert liegt aber nicht in der Konformität um ihrer selbst willen: Es ist eine Generalprobe und ein Frühwarnsystem. Es findet Probleme, bevor ein externer Auditor oder ein Kunde sie findet, solange ihre Behebung noch günstig ist.

Es ist ein Werkzeug zur Verbesserung, keine Kontrollinstanz. Als Suche nach einem Schuldigen betrieben, bringt ein internes Audit den Leuten nur bei, Probleme zu verstecken, bis der Auditor wieder weg ist. Als der günstigste Ort im Unternehmen betrieben, um eine Abweichung zu finden - bevor sie einen Kunden oder ein Zertifikat erreicht -, verdient es sich die Ehrlichkeit, auf die es angewiesen ist. Ziel ist immer das System, nie die Person.

Ein wirksames Programm aufsetzen. Abschnitt 9.2.2 verlangt, das Programm nach der Bedeutung jedes Prozesses, den das Unternehmen betreffenden Änderungen und den Ergebnissen früherer Audits zu planen. Formal ausgedrückt heißt das: Auditieren Sie häufiger, was wichtig ist und was Ärger gemacht hat. Vier Dinge unterscheiden ein Programm, das Probleme findet, von einem, das nur einen Terminplan füllt:

Risikobasierte Planung. Decken Sie das gesamte System über einen Zyklus ab, aber nicht gleichmäßig: Ein stabiler Prozess mit geringem Risiko wird vielleicht einmal auditiert, ein sicherheitskritischer, kürzlich geänderter oder problembehafteter mehrmals im Jahr.
Kompetenz und Unabhängigkeit des Auditors. Ein Auditor muss die Norm und den Prozess gut genug kennen, um eine echte Lücke von harmloser Streuung zu unterscheiden, und muss vom Bereich unabhängig sein. Niemand auditiert die eigene Arbeit. In einem kleinen Betrieb bedeutet das Cross-Auditing oder das Beauftragen eines externen Auditors, der in Ihrem Namen handelt. ISO 19011 ist der internationale Leitfaden für Kompetenz und Unparteilichkeit von Auditoren.
Audit-Checklisten. Eine Checkliste macht aus der Norm und Ihren Verfahren eine konkrete Liste dessen, worauf zu achten und was stichprobenartig zu prüfen ist. So decken zwei Auditoren dasselbe Feld ab und das diesjährige Audit ist mit dem letztjährigen vergleichbar. Sie ist ein Minimum, keine Obergrenze. Ein guter Auditor folgt den Nachweisen darüber hinaus.
Der Auditablauf. Jedes Audit folgt demselben Bogen: Planen (Anwendungsbereich, Kriterien, Zeitplan), Durchführen (Aufzeichnungen stichprobenartig prüfen, befragen, beobachten, objektive Nachweise sammeln), Berichten (Feststellungen dokumentieren und einstufen) und Abschließen und Verifizieren (Korrekturmaßnahmen vereinbaren, umsetzen, ihre Wirksamkeit bestätigen). Dieser letzte Schritt wird am häufigsten übersprungen. Ein Audit, dessen Feststellungen nie als geschlossen verifiziert werden, ist nur ein halbes Audit.

Ein durchgespieltes Beispiel. Der interne Auditor eines Herstellers prüft die Lenkung dokumentierter Information (Abschnitt 7.5) und findet drei Werker, die mit einer veralteten Version einer vor zwei Monaten aktualisierten Arbeitsanweisung arbeiten. Das ist eine Feststellung. Intern entdeckt, kostet sie einen Nachmittag und eine Korrektur am Mechanismus, der das ermöglicht hat. Von einem Zertifizierungsauditor entdeckt, wird sie zu einer Nichtkonformität in Ihrer Akte. Von einem Kunden entdeckt, wird sie zum Grund, an allem anderen zu zweifeln.

Worauf Auditoren achten, ist gleich, ob intern oder extern: Konformität mit der Norm und Ihren Verfahren, Nachweise, die Sie zeigen können statt sie zu behaupten, Wirksamkeit (funktioniert es oder ist es nur Papier?) und Konsequenz (wurden frühere Probleme an der Wurzel behoben oder nur geflickt?).

Wie eine gute Nichtkonformität aussieht

Ob intern oder von einem externen Auditor erhoben, eine Nichtkonformität ist nur nützlich, wenn sie gut formuliert ist. Eine Feststellung wie „Die Lenkung dokumentierter Information muss verbessert werden“ ist wertlos: Man kann sie nicht diskutieren, keine Ursachenanalyse dazu betreiben und nicht als geschlossen verifizieren, weil es nichts Konkretes gibt, das man erneut prüfen könnte. Eine gute Feststellung nennt drei Dinge, in dieser Reihenfolge:

Die Anforderung. Der konkrete Abschnitt der Norm oder Ihr eigenes Verfahren, das nicht erfüllt wurde - hier ISO 9001 Abschnitt 7.5.3, der fordert, dass dokumentierte Information dort und dann verfügbar und geeignet ist, wo und wann sie benötigt wird.
Der objektive Nachweis. Was tatsächlich beobachtet wurde, konkret genug, dass jeder es erneut prüfen könnte: „An den Arbeitsplätzen 4, 7 und 9 arbeiteten die Werker nach Revision B der WI-114, die durch die zwei Monate zuvor ausgegebene Revision C ersetzt wurde.“ Keine Meinung, sondern die Tatsache.
Die Lücke. Der Satz, der beides verbindet: Aktuelle Versionen müssen am Ort der Verwendung verfügbar sein; drei Exemplare am Ort der Verwendung waren veraltet; also ist die Anforderung nicht erfüllt.

So formuliert ist die Feststellung schließbar. Sie bestätigen die Behebung, indem Sie diese Arbeitsplätze erneut prüfen. Vage Feststellungen scheitern, weil Sie nie belegen können, dass sie erledigt sind.

Den Mechanismus beheben, nicht den Einzelfall. Eine gut formulierte Feststellung sagt Ihnen dennoch nur, was falsch ist, nicht warum. Die Ursachenanalyse schließt diese Lücke, und das einfachste Werkzeug ist, so lange „warum“ zu fragen, bis Sie an etwas gelangen, das sich zu ändern lohnt. Spielen wir den Fall der veralteten Arbeitsanweisung durch:

Warum arbeiteten die Werker mit der alten Revision? Die aktuelle erreichte ihre Arbeitsplätze nie.
Warum nicht? Die Aktualisierung wurde im Dokumentensystem ausgegeben, doch die Exemplare in der Fertigung werden gedruckt und an jedem Arbeitsplatz ausgehängt, und niemand druckte sie neu.
Warum druckte niemand sie neu? Das Änderungsverfahren weist niemandem die Verantwortung zu, die Exemplare am Ort der Verwendung bei einer Dokumentenrevision zu ersetzen.
Warum fehlt dieser Schritt? Die Lenkung dokumentierter Information wurde für ein Büro geschrieben, in dem alle am Bildschirm lesen, und nie angepasst, als gedruckte Exemplare in die Fertigung gingen.
Warum wurde sie nie angepasst? Die Änderungslenkung liegt in der Verantwortung der Qualität, die nicht sieht, wie Dokumente in die Fertigung gelangen, und keine Überprüfung fing die Lücke ab.

Die Ursache sind nicht „drei nachlässige Werker“, sondern ein Änderungsverfahren ohne gelenkten Schritt zum Einziehen und Ersetzen der Exemplare am Ort der Verwendung. Dadurch kann jede künftige Revision unbemerkt die Fertigung verfehlen. Fügen Sie diesen Schritt hinzu, verifizieren Sie, dass alte Exemplare entfernt werden, und die ganze Problemklasse ist geschlossen, nicht nur dieser Einzelfall. Das ist der Unterschied, den Abschnitt 10.2 zwischen Korrektur (Dokument neu ausgeben) und Korrekturmaßnahme (beheben, warum es falsch war) zieht.

Externe Audits (Drittpartei / Zertifizierung): das unabhängige Urteil

Das Zertifizierungsaudit ist die Drittparteien-Bewertung, die in Wie Zertifizierung funktioniert behandelt wird: eine Bereitschaftsüberprüfung in Stufe 1, eine Bewertung des Systems im Betrieb in Stufe 2, danach jährliche Überwachung und alle drei Jahre eine Rezertifizierung. Hier ist zu betonen, wie Feststellungen eingestuft werden, denn das bestimmt den Einsatz:

Schwerwiegende Nichtkonformität - eine Anforderung ist nicht erfüllt oder ein Teil des Systems ist ausgefallen. Eine schwerwiegende muss mit Nachweis behoben werden, bevor ein Zertifikat ausgestellt oder aufrechterhalten wird. Bleibt sie ungelöst, blockiert sie die Zertifizierung oder kann zur Aussetzung führen.
Geringfügige Nichtkonformität - ein einzelner Verstoß gegen eine Anforderung. Meist über einen Korrekturmaßnahmenplan behandelt, der beim nächsten Besuch verifiziert wird.
Verbesserungspotenzial - kein Versagen und nicht gefordert, aber ein bedenkenswerter Hinweis.

Wo die Grenze gezogen wird. Schwerwiegend gegen geringfügig ist eine Beurteilung von Umfang und Auswirkung, kein festes Tarifschema. Eine Feststellung ist schwerwiegend, wenn eine Anforderung nicht adressiert ist, ein Prozess ausgefallen statt nur ins Rutschen geraten ist oder der Verstoß konformes Produkt oder die Integrität des Systems gefährdet. Sie ist geringfügig, wenn das System im Übrigen funktioniert und der Ausrutscher ein Einzelfall ist. Ein veraltetes Dokument ist geringfügig; dieselbe Feststellung über mehrere voneinander unabhängige Prozesse ist ein ausgefallener Prozess der Lenkung dokumentierter Information und wird als eine einzige schwerwiegende erhoben. Das Muster ist das Versagen, nicht der Einzelfall.

Was ein Verbesserungspotenzial in der Praxis bedeutet. Ein Verbesserungspotenzial ist keine Nichtkonformität: Keine Anforderung ist verletzt und Sie müssen nicht handeln. Auditoren erheben es, wo sie eine Schwäche sehen, die noch kein Versagen verursacht hat, oder eine Praxis, die schlicht besser ist als Ihre - kostenlose Erkenntnis, keine Kritik. Ignorieren Sie eines, ist das in Ordnung. Ignorieren Sie eine Reihe davon, die später als Nichtkonformitäten auftauchen, untergraben Sie das Vertrauen des Auditors in Ihr Urteilsvermögen.

Remote, vor Ort oder hybrid. Remote- und Hybrid-Audits sind heute Routine, mit Vorgaben der Akkreditierungsstellen zum Einsatz von Video und Bildschirmfreigabe für einen Teil der Zeit vor Ort. Die dokumentenlastige Hälfte eines Audits lässt sich gut auf einen Bildschirm verlagern: gelenkte Dokumente, Befragungen, Aufzeichnungen zu Managementbewertung und internen Audits. Was sich nicht verlagern lässt, ist alles Physische: einen Prozess laufen zu sehen, das Exemplar am Arbeitsplatz gegen das System zu prüfen, Kalibrieretiketten stichprobenartig zu kontrollieren. Ein Hybrid-Audit erledigt daher die Dokumente remote und behält den Besuch für diese Prüfungen. Remote ist nicht die bequemere Option: Ihre Nachweise müssen in Echtzeit am Bildschirm abrufbar sein, und eine holprige Bildschirmfreigabe zeigt, wie gelenkt Ihre Information wirklich ist.

Die Unabhängigkeit des Auditors ist der ganze Sinn: Ohne Interesse daran, Sie zu bestehen, ist sein Zertifikat eines, das ein Kunde akzeptiert, statt Sie selbst zu auditieren. Ein akkreditiertes Zertifikat steht stellvertretend für Dutzende einzelner Kundenaudits - und macht einen Großteil dessen aus, was die Zertifizierung wirtschaftlich wertvoll macht.

Zweitparteien-Audits (Kunde): wenn ein Vertrag auf dem Spiel steht

Ein Zweitparteien-Audit ist ein Kunde, der Sie auditiert - das Audit mit der unmittelbarsten kommerziellen Schärfe. Ein Generalunternehmer, ein regulierter Einkäufer oder jeder Kunde, für den Ihre Arbeit ein Risiko birgt, kann Sie vor der Vergabe eines Vertrags auditieren (ein Pre-Award- oder Lieferantenfreigabe-Audit) und regelmäßig während des Vertrags (Überwachung).

Was daran anders ist. Ein Zertifizierungsauditor bewertet Sie gegen die Norm; ein Kunde bewertet Sie gegen seine Anforderungen - meist einschließlich der Norm, plus allem, was ihm an Vertrags-, Regulierungs- oder Branchenbedingungen wichtig ist. Wo die Zertifizierung über die gesamte Norm stichprobenartig prüft, ist die Checkliste eines Kunden enger und weit tiefer bei den wenigen Dingen, die seinen Vertrag berühren. Typischerweise dringt sie ein in:

Rückverfolgbarkeit dessen, was er kauft - können Sie einen gelieferten Gegenstand auf sein Material, Los oder seine Charge zurückführen und vorwärts auf jeden Ort, an den er ging, für genau die Teile, die er bestellt?
Lenkung des Prozesses, von dem er abhängt - der spezielle Prozess im Kern seines Produkts (Wärmebehandlung, Schweißen, Sterilisation, Codierung), weit genauer untersucht, als es eine allgemeine Bewertung täte.
Weitergabe seiner Anforderungen - die Abschnitte, die er Ihnen vertraglich überträgt, und der Nachweis, dass Sie die relevanten an Ihre eigenen Unterauftragnehmer weitergeben.
Änderungsmeldung und Umgang mit entwichenem Produkt - werden Sie ihn informieren, bevor Sie ein Material, einen Prozess oder einen Unterlieferanten ändern; und wie würden Sie einen Rückruf durchführen oder eine nichtkonforme Charge eindämmen, die ihn bereits erreicht hat?
Die eigenen Regeln seiner Branche - ein regulierter Einkäufer legt die Erwartungen seiner Branche vielleicht über ISO 9001: die AS9100-Weitergaben eines Luftfahrtkunden, die GxP-Erwartungen eines Pharma-Einkäufers, die regulatorischen Anforderungen eines Medizinprodukteherstellers.

Das sind die Bereiche, die ein Zertifizierungsaudit nur am Rande berührt; für den Kunden sind sie der ganze Sinn des Besuchs.

Auswirkungen auf Verträge und Ausschreibungen. Hier hört ein Audit auf, eine Qualitätsübung zu sein, und wird zu einer kommerziellen: