ISO-9001-Audit: Ablauf Schritt für Schritt

Ein ISO 9001 Audit ist eine unabhängige Überprüfung, ob Ihr Qualitätsmanagementsystem die Anforderungen der Norm erfüllt und in der Praxis funktioniert. Die meisten Organisationen durchlaufen mehrere Arten: eigene interne Audits, das zweistufige Zertifizierungsaudit sowie die Überwachungs- und Rezertifizierungsaudits, die ein Zertifikat aufrechterhalten. Dieser Leitfaden erklärt jede Art. Sie erfahren, worauf ein Auditor achtet, wie Feststellungen bewertet werden und wie Sie sich auf Ihre erste Zertifizierung vorbereiten.

Arten von ISO-9001-Audits

• Internes Audit. Ihre eigene Überprüfung, gefordert nach Abschnitt 9.2. Sie planen ein Programm, auditieren Ihre Prozesse gegen die Norm und Ihre eigenen Verfahren und handeln nach dem, was Sie feststellen. Vor der Zertifizierung erwartet eine Zertifizierungsstelle mindestens einen abgeschlossenen internen Auditzyklus.
• Zertifizierungsaudit. Durchgeführt von einer akkreditierten Zertifizierungsstelle in zwei Stufen. Stufe 1 prüft die Bereitschaft, Stufe 2 prüft, ob das System funktioniert. Nach einer erfolgreichen Stufe 2 folgt das Zertifikat.
• Überwachungsaudit. Ein kürzerer Besuch in jedem der beiden Jahre nach der Zertifizierung. Er prüft Teile des Systems stichprobenartig und bestätigt so, dass es weiterhin gepflegt wird.
• Rezertifizierungsaudit. Ein umfassenderes Audit vor Ablauf der dreijährigen Laufzeit des Zertifikats, das dieses für einen weiteren Zyklus erneuert.
• Second-Party-Audit. Ein Kunde auditiert Sie als Lieferant. Das ist keine Zertifizierung, folgt aber oft derselben Logik. Siehe interne, externe und Second-Party-Audits.

Stufe 1: die Bereitschaftsprüfung

Stufe 1 ist eine Prüfung der Dokumentation. Der Auditor bestätigt, dass Ihr QMS auf dem Papier existiert und die Anforderungen der ISO 9001 abdeckt. Er liest Ihr Qualitätsmanagementhandbuch oder eine gleichwertige Beschreibung des Anwendungsbereichs, Ihre dokumentierten Prozesse und den Aufbau Ihrer dokumentierten Information. Außerdem prüft er, ob Sie den Anwendungsbereich der Zertifizierung festgelegt und die darin enthaltenen Prozesse benannt haben.

Der Auditor sucht nach Lücken, nicht nach Perfektion. Rechnen Sie damit, dass er Feststellungen auflistet, die Sie vor Stufe 2 schließen müssen. Häufige Feststellungen in Stufe 1 sind ein fehlendes internes Auditprogramm, eine nicht durchgeführte Managementbewertung oder Ziele, die zwar formuliert, aber nicht messbar sind. Stufe 1 legt auch den Termin für Stufe 2 fest, meist einige Wochen bis wenige Monate später.

Stufe 2: das Zertifizierungsaudit

Stufe 2 prüft, ob die Mitarbeiter die dokumentierten Prozesse tatsächlich befolgen. Der Auditor befragt Personen aus den Funktionen im Anwendungsbereich, beobachtet die Arbeit und verfolgt Nachweise zurück bis zu der Anforderung, die sie erfüllen. Er arbeitet mit Stichproben. Wenn Sie angeben, dass Sie Geräte nach einem Plan kalibrieren, verlangt er die Kalibriernachweise und prüft die Daten.

Was am Audittag geschieht

Ein Zertifizierungsaudit folgt einem veröffentlichten Plan. Es beginnt mit einer kurzen Besprechung, um Anwendungsbereich, Ablauf und die Gesprächspartner des Auditors zu bestätigen. Danach arbeitet der Auditor den Plan ab: Er befragt Personen in jeder Funktion im Anwendungsbereich, beobachtet die Arbeit und verlangt die Nachweise, die belegen, dass eine Anforderung erfüllt ist. Rechnen Sie mit Stichproben statt mit einer vollständigen Durchsicht. Der Auditor verfolgt einen roten Faden von einer Anforderung über ein Verfahren zu einem Nachweis und zurück.

Der Auditor hält Feststellungen laufend fest und stellt sie in einer Abschlussbesprechung vor. Nichts in der Abschlussbesprechung sollte Sie überraschen, wenn Sie im Laufe des Tages Fragen gestellt haben. Vereinbaren Sie vor Ende der Besprechung die Frist für die Reaktion auf etwaige Nichtkonformitäten.

Nichtkonformitäten und wie Sie diese schließen

Feststellungen werden bewertet. Eine geringfügige Nichtkonformität ist ein einzelner Verstoß: ein nicht befolgter Prozess, ein fehlender Nachweis. Eine schwerwiegende Nichtkonformität ist eine Anforderung, die fehlt oder systematisch nicht erfüllt wird. Sie hält Ihr Zertifikat auf, bis Sie sie korrigieren und Nachweise vorlegen. Auditoren halten außerdem Beobachtungen und Verbesserungspotenziale fest, die keine formale Reaktion erfordern, aber ein Handeln lohnen.

Eine Nichtkonformität zu schließen bedeutet mehr, als den einzelnen Fall zu beheben. Die Zertifizierungsstelle erwartet drei Dinge: die Korrektur (was Sie in diesem Fall getan haben), die Ursache (warum es passiert ist) und die Korrekturmaßnahme (was ein erneutes Auftreten verhindert), samt Nachweis, dass die Maßnahme umgesetzt wurde. Rechnen Sie bei einem ersten Audit mit mindestens einer geringfügigen Feststellung. Ein erstes Audit ganz ohne Feststellungen ist selten.

Zuerst eine Gap-Analyse durchführen

Führen Sie die Gap-Analyse durch, bevor Sie eine der beiden Stufen buchen. Nehmen Sie jeden Abschnitt der ISO 9001 von Abschnitt 4 bis Abschnitt 10 und halten Sie drei Dinge fest: was der Abschnitt fordert, was Sie derzeit tun und die Differenz. Weisen Sie jeder Lücke einen Verantwortlichen und einen Termin zu. Das ist das nützlichste Dokument, das Sie erstellen können, denn es ist dieselbe Karte, die auch der Auditor nutzt, nur zuerst von Ihnen erstellt.

Achten Sie besonders auf die Abschnitte, die Erstauditierte unterschätzen. Abschnitt 6.1 zu Risiken und Chancen verlangt Nachweise, wie Sie diese ermitteln und darauf reagieren. Abschnitt 9 verlangt vor Stufe 2 einen abgeschlossenen internen Auditzyklus und mindestens eine Managementbewertung. Abschnitt 7.5 regelt Ihre dokumentierte Information, einschließlich Versionskontrolle und Aufbewahrung.

Sehen Sie sich auch unseren ISO 9001 Überblick an.

Checkliste für die Dokumentation

Halten Sie diese Unterlagen vor Stufe 1 bereit und aktuell:

• Beschreibung des Anwendungsbereichs, die festlegt, was das QMS abdeckt.
• Qualitätspolitik und messbare Qualitätsziele.
• Prozessbeschreibungen für die Tätigkeiten im Anwendungsbereich.
• Ein Verzeichnis der Risiken und Chancen.
• Rollen und Verantwortlichkeiten.
• Verfahren zur Lenkung der dokumentierten Information, mit Versionshistorie.
• Internes Auditprogramm, Zeitplan und Berichte.
• Protokolle der Managementbewertung mit Eingaben und Ergebnissen.
• Nachweise über Korrekturmaßnahmen.
• Nachweise zu Kompetenz und Schulung der Mitarbeiter im Anwendungsbereich.
• Lenkung von Lieferanten und ausgegliederten Prozessen.
• Nachweise über Überwachung, Messung und etwaige Kalibrierung.

Schulungsnachweise sind bei einem ersten Audit oft der schwächste Ordner. Der Auditor fragt, wer wann worin geschult wurde, und erwartet datierte Nachweise. Wenn Sie diese Nachweise an einem Ort führen und jeder Rolle zuordnen, entfällt eine ganze Kategorie von Feststellungen.

Nach der Zertifizierung: Überwachung und Rezertifizierung

Ein Zertifikat ist keine einmalige Sache. Es läuft drei Jahre, mit einem Überwachungsaudit in jedem der beiden Zwischenjahre und einem Rezertifizierungsaudit vor Ablauf. Überwachungsaudits prüfen das System stichprobenartig, es kann also jeder Prozess drankommen. Der Auditor fragt, was sich seit dem letzten Besuch geändert hat und wie Sie die vorigen Feststellungen geschlossen haben.

Leicht fällt die Überwachung den Organisationen, die das System zwischen den Besuchen weiter betrieben haben: interne Audits nach Plan, durchgeführte Managementbewertungen, geschlossene Korrekturmaßnahmen. Schwer fällt sie denen, die im Jahr nach der Zertifizierung nicht hingeschaut haben.

Wie ComplyTrain hineinpasst

Das QMS von ComplyTrain ist an der ISO 9001 ausgerichtet. Ihre dokumentierte Information, das interne Auditprogramm, die Managementbewertungen und die Schulungsnachweise liegen so in einem System und nicht verstreut auf verschiedenen Laufwerken. Es zeigt, wo jede Norm steht, von der Gap-Analyse über Stufe 1 und Stufe 2 bis zu Überwachung und Rezertifizierung, und Sie übergeben der Zertifizierungsstelle ein zusammengestelltes Nachweispaket. Jeder Kunde läuft in einem isolierten Mandanten (Schema, Bucket und User Pool pro Mandant), gehostet in der EU auf AWS eu-central-1 in Frankfurt. Zur Klarstellung: Die Nutzung von ComplyTrain zertifiziert Sie nicht. Das tut die Zertifizierungsstelle. Die Plattform hilft Ihnen, die geforderten Nachweise zu erstellen und abzurufen.

Sehen Sie auf der Seite Auditmanagement, wie sie ein Auditprogramm steuert, und vereinbaren Sie dann einen Termin mit unserem Team, um Ihr erstes Audit zu planen.