„Pflicht oder echter Mehrwert?“ So wird die Frage nach dem internen Audit meist gestellt. Sie führt in die falsche Richtung. Interne Audits sind Pflicht: Die DIN EN ISO 9001:2015 verlangt sie in Kapitel 9.2. Der Mehrwert entsteht aber nicht durch die Pflicht. Er entsteht durch die Art der Durchführung.

In vielen Betrieben gilt das Audit als notwendiges Übel. Termine werden gebündelt, Checklisten wiederverwendet, Berichte abgelegt. Danach ändert sich nichts. Die Norm ist formal erfüllt und der Aufwand verloren.

Dieser Beitrag zeigt den anderen Weg: von der risikobasierten Planung über die Durchführung bis zur belegten Wirksamkeit.

1 Pflicht oder Mehrwert: die Frage aus der falschen Richtung

Ein internes Audit ist eine geplante, unabhängige und dokumentierte Prüfung. Es klärt drei Dinge: Erfüllt das Qualitätsmanagementsystem die Normanforderungen? Wird es im Alltag wirksam umgesetzt? Trägt es zu den Zielen des Unternehmens bei?

Der dritte Punkt ist der entscheidende. Wer nur Konformität prüft, bekommt eine Konformitätserklärung. Wer Wirksamkeit prüft, bekommt Steuerungswissen: Transparenz über Schnittstellen, früh erkannte Risiken und eine Entscheidungsgrundlage für die Geschäftsleitung.

Was Kapitel 9.2 verlangt

Die Anforderung ist kürzer, als viele annehmen. Sie hat sieben Bestandteile:

• ein Auditprogramm planen und aufrechterhalten, mit Häufigkeit, Methoden, Verantwortlichkeiten und Berichterstattung
• dabei die Bedeutung der betroffenen Prozesse berücksichtigen
• Änderungen im Betrieb einbeziehen
• die Ergebnisse früherer Audits einbeziehen
• für jedes Audit Kriterien und Umfang festlegen
• Auditoren so einsetzen, dass Objektivität und Unparteilichkeit gesichert sind
• Ergebnisse an die zuständige Leitung berichten und Korrekturmaßnahmen einleiten

Dazu kommt die Pflicht, Programm und Ergebnisse aufzubewahren. Methodische Hinweise liefert die ISO 19011. Was sich dort für Ihr Programm ändert, lesen Sie im Beitrag zur ISO 19011:2026.

Was die Norm nicht verlangt

Drei verbreitete Annahmen stehen nicht in der Norm. Jeder Prozess jedes Jahr: nein, gefordert ist eine geplante Häufigkeit nach Bedeutung und Risiko. Eine externe Auditorenzertifizierung: nein, gefordert sind Kompetenz und Objektivität. Eine eigene Verfahrensanweisung: auch nicht, ein Programm und Aufzeichnungen genügen.

2 Das Auditprogramm: risikobasiert statt gleichmäßig

Ein Audit ohne Planung ist eine Reise ohne Ziel. Der häufigste Planungsfehler ist die Gleichverteilung: alle Prozesse, jedes Jahr, gleiche Tiefe. Das kostet viel und findet wenig.

Risikobasiert heißt: Die Auditzeit fließt dorthin, wo der größte Nutzen entsteht. Kritische Prozesse kommen zweimal jährlich an die Reihe, stabile alle zwei Jahre. Der Gesamtaufwand bleibt gleich, die Trefferquote steigt.

Fünf Kriterien für die Einstufung

Fünf Fragen je Prozess genügen. Sie lassen sich in einer Sitzung mit der Geschäftsleitung beantworten. Externe Einflüsse wie neue Vorschriften oder eine angespannte Lieferkette gehören ebenfalls hinein.

1. Kundenwirkung. Merkt der Kunde einen Fehler unmittelbar? Fertigung und Reklamationsbearbeitung ja, die Dokumentenlenkung nicht.
2. Reklamationshistorie. Kamen aus diesem Prozess in den letzten zwölf Monaten Beanstandungen? Zahlen schlagen Einschätzungen.
3. Änderungen im Prozess. Neue Maschine, neues ERP-Modul, neuer Lieferant? Jede Änderung hebt das Risiko für ein Jahr.
4. Erfahrung des Personals. Ist die Stelle neu besetzt, ist die Vertretung ungeübt? Dann steigt die Fehlerwahrscheinlichkeit unabhängig vom Prozess.
5. Frühere Auditbefunde. Gab es beim letzten Mal eine Nichtkonformität, wird früher und tiefer nachgesehen.

Häufigkeit, Umfang, Termin

Aus der Einstufung entsteht das Jahresprogramm. Es nennt je Audit den Prozess, den Monat, den Auditor, die Kriterien und den Umfang. Verteilen Sie die Termine über das Jahr: Ein Audit im Februar findet Dinge, die im November niemand mehr rekonstruieren kann.

Der Umfang gehört schriftlich fest. „Wareneingang“ ist kein Umfang. „Wareneingangsprüfung von der Anlieferung bis zur ERP-Buchung, Stichprobe aus Kalenderwoche 12 bis 16″ ist einer. Und stimmen Sie das Programm mit der Geschäftsleitung ab. Ein Programm, das die Leitung nicht kennt, bekommt keine Ressourcen.

3 Objektivität im kleinen Betrieb

Hier liegt das eigentliche Problem. Die Norm fordert Objektivität und Unparteilichkeit. Wer prüft, wenn drei Personen alles machen? Die naheliegende Lösung scheidet aus: Niemand sollte den eigenen Prozess auditieren. Ein Prüfer, der seine eigene Arbeit bewertet, findet keine Befunde.

Gegenseitige Auditierung zwischen Bereichen. Der Fertigungsleiter auditiert den Einkauf, der Einkäufer die Fertigung. Beide kennen den Betrieb, keiner bewertet sich selbst. Ohne Einweisung in die Methodik wird daraus allerdings ein Fachgespräch.

Auditor aus einem anderen Prozess. Ein Pool von drei bis vier geschulten Personen reicht. Wer für einen Prozess eingeteilt ist, ist dort nicht tätig.

Externe Auditoren auf Honorarbasis. Für kritische Prozesse ist das oft der schnellere Weg. Ein externer Auditor bringt Vergleichsmaßstäbe mit und hat keine Rücksichten zu nehmen. Solche Audits übernehmen wir im Rahmen der internen und externen Audits und schulen parallel Ihre eigenen Auditoren in QM-Workshops.

Objektivität hängt an der Zuordnung, nicht an der Betriebsgröße. Mehr dazu im Beitrag zum Qualitätsmanagement im Mittelstand.

4 Der Ablauf eines internen Audits

Ein Prozessaudit dauert selten länger als einen halben Tag. Jeder Schritt hat eine Funktion.

Vorbereitung mit Turtle und Checkliste

Die Vorbereitung entscheidet über die Qualität. Grundlage ist ein ausgefülltes Turtle-Diagramm. Aus jedem seiner sechs Felder entsteht eine Frage, die auf einen Nachweis zielt. Damit liegt die Checkliste vor, bevor der Termin steht.

Dazu kommen das letzte Protokoll mit offenen Punkten, die Kennzahlen der letzten Monate und die Reklamationen aus dem Bereich. Zwei Stunden Vorbereitung sind realistisch.

Eröffnung, Begehung, Abschluss

Das Eröffnungsgespräch dauert zehn Minuten und klärt Umfang, Kriterien und Zeitrahmen. Mitarbeitende erleben Audits häufig als Kontrolle. Wer den Zweck erklärt, bekommt bessere Auskünfte.

Die Begehung findet dort statt, wo der Prozess läuft, nicht im Besprechungsraum. Gearbeitet wird mit Nachweisen, nicht mit Meinungen. „Das läuft gut“ ist kein Nachweis. Das Prüfprotokoll von vorgestern ist einer.

Das Abschlussgespräch gehört auf denselben Tag. Der Auditierte kann Sachfehler sofort korrigieren. Der Bericht folgt innerhalb einer Woche, mit klarem Empfänger: dem Prozessverantwortlichen und der Geschäftsleitung.

5 Die Qualität der Fragen entscheidet

Der größte Unterschied zwischen einem schwachen und einem starken Audit liegt in der Fragetechnik. Geschlossene Fragen bringen nichts. „Haben Sie eine Arbeitsanweisung?“ wird mit Ja beantwortet, und das Audit ist an dieser Stelle beendet.

Besser ist die Kombination aus offener Frage und Nachweis: „Zeigen Sie mir die Anweisung, die heute an diesem Platz gilt.“ Dann sieht man, ob sie vorhanden ist, ob sie den freigegebenen Stand hat und ob die Person sie kennt. Drei Erkenntnisse aus einer Frage. Immer erst erzählen lassen, dann den Nachweis erbitten.

6 Befunde einordnen: Nichtkonformität, Potenzial, Beobachtung

Drei Kategorien genügen. Ihre Trennung ist wichtig, weil daraus unterschiedliche Pflichten folgen.

Eine Nichtkonformität ist eine nachgewiesene Abweichung von einer Anforderung: aus der Norm, aus einer eigenen Vorgabe oder von einem Kunden. Sie braucht eine Korrekturmaßnahme. Beispiel: Die gültige Prüfanweisung liegt nicht am Arbeitsplatz.

Ein Verbesserungspotenzial ist konform, aber nicht wirksam genug. Es braucht eine Entscheidung, keine Pflichtmaßnahme. Beispiel: Die Kennzahl existiert, wird aber nur jährlich bewertet.

Eine Beobachtung ist ein Hinweis ohne Bewertung, oft ein Frühzeichen. Beispiel: Zwei Prüfer erklären denselben Schritt unterschiedlich, ohne dass ein Fehler aufgetreten ist.

Ein Bericht, der nur Lob enthält, ist kein gutes Ergebnis. Er ist ein Zeichen für ein schwaches Audit. Ein sauber geführtes Prozessaudit findet in jedem Betrieb etwas. Wenn nicht, war die Vorbereitung zu dünn.

7 Vom Befund zur Wirksamkeit

Der Bericht ist nicht das Ergebnis, sondern der Anfang. Drei Schritte folgen. Der letzte wird am häufigsten übersprungen.

Ursache ermitteln. Nicht das Symptom abstellen, sondern fragen, warum es entstanden ist. Für einfache Fälle genügen fünf Warum-Fragen, für verzweigte ein Ishikawa-Diagramm. Eine Einordnung der Methoden finden Sie in der Übersicht der QM-Tools.

Maßnahme festlegen. Jede Maßnahme braucht einen Verantwortlichen mit Namen und einen Termin mit Datum. „Wird geprüft“ ist keine Maßnahme. Sie gehört in dieselbe Liste wie alle anderen Korrekturmaßnahmen, nicht in eine Auditakte.

Wirksamkeit prüfen. Nach Ablauf der Frist wird nachgesehen, ob der Fehler ausgeblieben ist. Ohne diesen Schritt ist das Audit ein Termin ohne Wirkung. Welche Kennzahlen dafür taugen, zeigt die Prozess- und Kennzahlenoptimierung.

8 Fünf Fehler, die ein Auditprogramm entwerten

1. Alle Audits zwei Wochen vor dem Zertifizierungsaudit. Dann prüft niemand einen Prozess, sondern die Vorbereitung darauf. Befunde lassen sich in zwei Wochen nicht wirksam abstellen.
2. Immer dieselbe Checkliste. Sie führt zu denselben Antworten. Die Checkliste entsteht neu aus dem Turtle und den offenen Punkten des Vorjahres.
3. Der Auditor prüft seinen eigenen Bereich. Der häufigste Verstoß gegen die geforderte Objektivität, und er fällt im Zertifizierungsaudit sofort auf.
4. Befunde ohne Maßnahme. Ein Bericht mit sechs Feststellungen und ohne Termin ist eine Sammlung, kein Verbesserungsschritt.
5. Bericht ohne Empfänger. Wird er nur abgelegt, fehlt die von der Norm verlangte Berichterstattung an die Leitung und damit die Grundlage für die Managementbewertung. Bei der Pflege dieser Nachweise unterstützen wir in der QMS-Pflege.

9 Praxisbeispiel: ein Zulieferer im Landkreis Deggendorf

Ein Zulieferbetrieb mit 38 Beschäftigten hatte sein Programm gleichmäßig aufgebaut: neun Prozesse, jeder einmal im Oktober, ein Auditor für alles. Aufwand fünf Tage, Ergebnis zwei Beobachtungen je Bericht.

Wir haben neu eingeteilt. Drei Prozesse kamen in die Klasse hoch: Zerspanung, Wareneingangsprüfung und Reklamationsbearbeitung, letztere wegen elf Kundenbeanstandungen im Vorjahr. Vier blieben bei einem Audit im Jahr, zwei wechselten auf einen Zweijahrestakt. Die Termine wurden über das Jahr verteilt.

Zur Objektivität: Fertigungsleiter und Vertriebsleiterin wurden eingewiesen und auditieren sich gegenseitig. Die Reklamationsbearbeitung übernahm ein externer Auditor, weil dort die Prozessverantwortung beim QM-Beauftragten selbst lag.

Dieses erste Audit brachte vier Befunde, darunter zwei Nichtkonformitäten. Die 8D-Berichte waren gestartet, aber in sieben von elf Fällen ohne Wirksamkeitsprüfung geschlossen. Und die Antwortfrist von fünf Arbeitstagen war nirgends vereinbart, obwohl zwei Kunden sie forderten. Beides ließ sich in einem Quartal abstellen.

Nach zwölf Monaten lagen die Kundenbeanstandungen bei sechs, die Wiederholfehler unter zehn Prozent. Der Auditaufwand war dabei auf viereinhalb Tage gesunken.

Häufige Fragen zu internen Audits

Sind interne Audits nach ISO 9001 verpflichtend?
Ja. Kapitel 9.2 der DIN EN ISO 9001:2015 verlangt interne Audits in geplanten Abständen. Die Norm legt aber keine Häufigkeit fest. Sie fordert ein Programm, das sich an der Bedeutung der Prozesse, an Änderungen und an früheren Auditergebnissen orientiert.

Muss jeder Prozess jedes Jahr auditiert werden?
Nein. Diese Annahme steht nicht in der Norm. Kritische Prozesse können zweimal jährlich anstehen, stabile alle zwei Jahre. Entscheidend ist, dass die Einstufung begründet und dokumentiert ist und dass jeder Prozess innerhalb eines Zertifizierungszyklus vorkommt.

Wer darf im kleinen Betrieb interne Audits durchführen?
Jede kompetente Person, die den geprüften Prozess nicht selbst verantwortet. Bewährt haben sich gegenseitige Audits zwischen Bereichen, ein Auditor aus einem anderen Prozess oder ein externer Auditor auf Honorarbasis. Den eigenen Prozess zu auditieren scheidet aus.

Was passiert mit einer Nichtkonformität aus dem internen Audit?
Sie braucht drei Schritte: die Ursache ermitteln, eine Maßnahme mit Verantwortlichem und Termin festlegen und nach Ablauf der Frist die Wirksamkeit prüfen. Erst der dritte Schritt schließt den Befund.