Wie Sie ein internes Audit durchführen, das etwas findet

Die meisten internen Audits finden nichts, und genau das ist das Problem. Ein Programm, das in jedem Zyklus ein sauberes Ergebnis liefert, belegt kein gesundes System. Es belegt, dass niemand genau genug hingesehen hat. Das interne Audit ist der günstigste Ort im Unternehmen, um ein Problem zu finden. Eine hier festgestellte Abweichung kostet einen Bruchteil dessen, was dieselbe Abweichung kostet, wenn eine Zertifizierungsstelle oder ein Kunde sie aufdeckt.

Was Abschnitt 9.2 tatsächlich verlangt

ISO 9001 fordert vier Dinge, und diese sind weniger vorschreibend, als die meisten Programme annehmen:

• Ein Auditprogramm, das die Bedeutung der betroffenen Prozesse, die das Unternehmen betreffenden Änderungen und die Ergebnisse früherer Audits berücksichtigt. Also risikobasiert und nicht schlicht einmal im Jahr alles.
• Festgelegte Kriterien und ein festgelegter Anwendungsbereich für jedes Audit.
• Auditoren, die so ausgewählt werden, dass der Prozess objektiv und unparteiisch ist. Die Norm formuliert es so, dass Auditoren nicht ihre eigene Arbeit auditieren dürfen.
• Ergebnisse, die der zuständigen Leitung berichtet werden, wobei Korrektur und Korrekturmaßnahme ohne unangemessene Verzögerung erfolgen.

Es gibt keine vorgeschriebene Häufigkeit, keine vorgeschriebene Checklistenvorlage und keine Anforderung, dass ein Auditor ein Zertifikat besitzt. Was es gibt, ist die Erwartung, dass das Programm gestaltet und nicht einfach übernommen wird.

So planen Sie es, dass es etwas findet

Zwei Entscheidungen bestimmen, ob ein Audit nützlich ist, und beide fallen, bevor jemand durch den Betrieb geht.

Die erste betrifft den Gegenstand. Ein Programm, das reihum jeden Abschnitt der Norm auditiert, verbringt die meiste Zeit mit Dingen, die schon letztes Jahr in Ordnung waren. Ein Programm, das die Prozesse stärker gewichtet, in denen die Arbeit tatsächlich schiefgeht, tut das nicht. Sehen Sie sich Ihre Nichtkonformitäten, Ihre Kundenbeschwerden und Ihre Beinahe-Vorfälle aus dem letzten Zyklus an, und lassen Sie diese den Plan bestimmen.

Die zweite betrifft die Person, die auditiert. Unabhängigkeit ist die Anforderung, aber erst die Kompetenz macht die Sache lohnend. Jemand aus einer anderen Abteilung, der den Prozess gut genug versteht, um eine zweite Frage zu stellen, findet mehr als ein erfahrener Auditor, dem man erst die Grundlagen erklären muss.

Die Praxis auditieren, nicht das Verfahren

Am häufigsten scheitert ein internes Audit daran, dass es die Dokumentation mit sich selbst abgleicht. Jemand liest das Verfahren, fragt, ob es befolgt wird, hört ja, hakt die Zeile ab und geht weiter. Geprüft wurde nichts.

Die Alternative ist, einen echten Fall zu verfolgen. Wählen Sie einen Auftrag, eine Charge, einen Änderungsantrag oder einen Schulungsnachweis und verfolgen Sie ihn von Anfang bis Ende, wobei Sie an jedem Schritt den Nachweis verlangen. Wo die Spur vollständig ist, funktioniert der Prozess. Wo sie abbricht, haben Sie etwas gefunden, und meist ist es eines von drei Dingen: Das Verfahren beschreibt Arbeit, die niemand tut, die Arbeit findet statt, hinterlässt aber keine Aufzeichnung, oder die Aufzeichnung existiert, und niemand hat sie geprüft.

Das ist auch der schnellste Weg, um festzustellen, dass das gelenkte Dokument und das benutzte Dokument unterschiedliche Versionen sind, die häufigste Abweichung bei der Dokumentenlenkung.

Eine Abweichung so formulieren, dass jemand damit arbeiten kann

Eine Abweichung braucht drei Teile, und beim mittleren scheitern die meisten Berichte:

1. Die Anforderung. Welcher Abschnitt, welches Verfahren, welche Vertragsklausel.
2. Der Nachweis. Was Sie gesehen haben, mit so viel Detail, dass eine andere Person es wiederfinden könnte: die Dokumentennummer, das Datum, die Charge, die Funktion der Person.
3. Die Lücke. Was der Nachweis zeigt, gemessen an dem, was die Anforderung verlangt.

Was eine Abweichung nicht enthalten sollte, ist eine Lösung. Die Entscheidung, wie behoben wird, gehört dem Prozessverantwortlichen, der Randbedingungen kennt, die der Auditor nicht kennt. Ein Auditbericht, der die Lösung vorschreibt, bekommt in der Regel die vorgeschriebene Lösung, ob diese die Ursache trifft oder nicht.

Machen Sie auch die Schwere deutlich. Eine Nichtkonformität ist eine nicht erfüllte Anforderung. Eine Beobachtung ist etwas, das dazu wird, wenn man es unbeachtet lässt. Wer alles zur Beobachtung erklärt, damit der Bericht angenehm bleibt, nimmt der Leitung das einzige Signal, das sie hat.

Den Kreis schließen

Eine Abweichung ist nicht geschlossen, wenn jemand eine Korrekturmaßnahme aufschreibt. Sie ist geschlossen, wenn die Maßnahme durchgeführt ist und etwas zeigt, dass sie gewirkt hat. Das bedeutet ein Fälligkeitsdatum, einen benannten Verantwortlichen und eine anschließende Kontrolle, oft eine weitere Stichprobe desselben Prozesses einen Zyklus später.

Die Korrekturmaßnahme fragt nach der Ursache, nicht nach dem Vorfall. Fehlte eine Aufzeichnung, dann ist die Korrektur, die Aufzeichnung zu vervollständigen. Die Korrekturmaßnahme ist das, was erklärt, warum sie gefehlt hat, und das ist meist ein Schritt, der nie praktikabel war, eine Übergabe, für die niemand zuständig ist, oder eine Schulung, die nur einmal stattfand. Unsere QMS-Funktionalität ist an den ISO-9001-Abschnitten ausgerichtet, sodass Abweichung, Maßnahme und Nachweis am selben Prozess hängen bleiben, statt in drei Systemen zu liegen.

Ein Programm, das sich lohnt

Beurteilen Sie das Programm danach, was es Sie kostet, im Unrecht zu sein. Wenn ein Zertifizierungsaudit oder ein Kundenaudit Dinge findet, die Ihre internen Audits nicht gefunden haben, ist das Programm reine Dekoration. Der günstigste Ausweg ist meist, weniger Prozesse gründlich zu auditieren statt alle im Schnelldurchlauf. Siehe die drei Arten des Compliance-Audits dazu, wie das interne neben den anderen steht.