Kombinierte Auditprogramme risikobasiert planen nach ISO 19011

Ausgangslage: Integrierte Managementsysteme brauchen smarte Auditplanung

Unternehmen mit zertifizierten Managementsystemen nach ISO 9001, ISO 14001 und ISO 45001 kennen das Problem: Drei separate Auditprogramme binden unnötig Ressourcen, erzeugen Redundanzen und erschweren die ganzheitliche Risikobetrachtung. Die DIN EN ISO 19011:2018 liefert in Kapitel 5 bis 7 den methodischen Rahmen, um Auditprogramme für mehrere Normen zusammenzuführen – risikobasiert, ressourcenschonend und auditorisch sauber dokumentierbar. Der folgende Walkthrough führt durch die Planungsschritte in der Reihenfolge, in der sie in der Praxis bewährt sind.

1. Auditprogrammziele und -umfang verbindlich festlegen (Kap. 5.2)

Bevor ein einziger Termin steht, muss die oberste Leitung die Ziele des kombinierten Auditprogramms schriftlich freigeben. Das umfasst: Welche Normen (9001, 14001, 45001, ggf. 50001) sind in Scope? Welche Standorte, Schichten und Prozesse werden abgedeckt? Welche Zeiträume (meist 3-Jahres-Zyklus) gelten? Die Ziele müssen messbar sein – etwa "Reduktion der Audit-Tage um 20 % gegenüber Einzelaudits bei gleichbleibender Abdeckung aller risikorelevanten Prozesse". Ohne diese schriftliche Freigabe fehlt die Legitimation für spätere Ressourcenentscheidungen.

2. Risikobasierte Prozessbewertung durchführen (Kap. 5.3, 6.2)

Der Kern der ISO 19011:2018 ist die risikobasierte Ausrichtung. Für jedes Kombinationsaudit wird eine Risikomatrix erstellt, die zwei Dimensionen abbildet: Eintrittswahrscheinlichkeit von Abweichungen (basierend auf Vorjahresergebnissen, KVP-Meldungen, Beschwerden, Änderungen) und Auswirkungsschwere auf Konformität, Umweltleistung, Arbeitssicherheit. Prozesse mit hoher Bewertung erhalten kürzere Auditintervalle (z. B. jährlich), niedrig bewertete Prozesse können auf 24 oder 36 Monate gestreckt werden. Die Bewertungskriterien und Gewichte sind im Auditprogrammhandbuch zu dokumentieren – Auditoren der Zertifizierungsstelle fordern diesen Nachweis bei der Akkreditierungsüberwachung durch die DAkkS regelmäßig ein.

3. Auditkriterien und -methoden für die Mehrnormen-Abdeckung definieren (Kap. 6.1)

Kombinierte Audits erfordern eine abgestimmte Kriterienmatrix: Jede Normforderung wird den relevanten Prozessen zugeordnet. Wo sich Forderungen überlappen (z. B. Führungskommitment in 9001:5.1, 14001:5.1, 45001:5.1), wird ein gemeinsamer Auditpfad definiert. Wo Forderungen divergieren (z. B. Gefährdungsbeurteilung nur 45001, Aspektebewertung nur 14001), werden separate Prüfschritte im Auditplan ausgewiesen. Die Methode "Prozessorientiert mit Normenquerverweis" hat sich in der DACH-Praxis durchgesetzt: Der Auditor folgt dem Prozessfluss und prüft an jeder Station die zutreffenden Normforderungen. Das vermeidet das "Springen" zwischen Normkapiteln und reduziert Auditzeit.

4. Ressourcen und Kompetenzen sicherstellen (Kap. 7)

Ein kombiniertes Audit verlangt Auditoren mit Mehrfachkompetenz. Das Auditprogramm muss für jeden geplanten Einsatz nachweisen: Welche Normenkompetenzen (ISO 9001, 14001, 45001) liegen vor? Welche branchenspezifischen Kenntnisse (z. B. Chemie, Metallverarbeitung, Gesundheitswesen) sind erforderlich? Welche Sprachkenntnisse für Standorte in AT/CH? Die Kompetenzmatrix wird vor jedem Planungszyklus aktualisiert. Fehlende Kompetenzen werden durch Co-Auditoren oder technische Experten geschlossen – das ist im Auditplan namentlich auszuweisen. Die DAkkS prüft bei Akkreditierungsaudits regelmäßig, ob die Zertifizierungsstelle ausreichend qualifizierte Auditoren für alle kombinierten Normenkombinationen vorhält.

5. Detaillierten Auditzeitplan erstellen (Kap. 6.3)

Der Zeitplan ist das operative Herzstück. Er enthält für jedes Audit: Zeitraum (KW/Monat), Dauer in Auditor-Tagen (aufgeschlüsselt nach Vor-Ort, Remote, Berichterstellung), Auditteam (Leitauditor, Co-Auditoren, Experten), zu prüfende Prozesse und Normenbereiche, besondere Risiken (z. B. Saisonbetrieb, Schichtwechsel). Für Kombinierte Audits 9001/14001/45001 hat sich folgende Faustformel bewährt: Basis-Tage für das größte System (meist 9001) plus 30–40 % Zusatztage für die weiteren Normen, abzüglich 10–15 % Synergieeffekt durch gemeinsame Prozesse. Ein Beispiel: 9001-Einzeaudit 6 Tage → Kombi-Audit ca. 6 + 2,4 + 2,4 – 1,1 ≈ 9,7 Tage, aufgerundet 10 Auditor-Tage. Der Zeitplan wird mit den Fachbereichen abgestimmt und von der obersten Leitung freigegeben – spätestens 8 Wochen vor Auditbeginn.

6. Auditprogramm im PDCA-Zyklus überwachen und verbessern (Kap. 5.5, 5.6)

Nach der Freigabe ist der Plan kein starres Dokument. Kennzahlen zur Überwachung: Plan-Ist-Abweichung bei Auditterminen (Ziel < 10 %), Abdeckungsgrad risikorelevanter Prozesse (Ziel 100 %), Auditor-Auslastung (Ziel 70–80 % fakturierbare Tage), Anzahl Nachaudits wegen offener Abweichungen. Diese Kennzahlen werden vierteljährlich im Managementreview (ISO 9001:9.3) besprochen. Abweichungen lösen Korrekturmaßnahmen aus – z. B. Nachschärfung der Risikobewertung, Anpassung der Auditorenzuordnung, Änderung der Auditintervalle. Die Dokumentation der PDCA-Schleife für das Auditprogramm selbst ist ein häufiges Auditfinding bei DAkkS-Überwachungen.

Praktische Checkliste für die Erstplanung

1. Schriftliche Freigabe der Auditprogrammziele durch oberste Leitung einholen
2. Risikomatrix für alle Prozesse aller drei Normen erstellen und gewichten
3. Kriterienmatrix mit Normenquerverweisen für jeden Prozess aufbauen
4. Kompetenzmatrix der verfügbaren Auditoren gegen Planbedarf abgleichen
5. Zeitplan mit Puffer (mind. 10 %) und Fachbereichsabstimmung finalisieren
6. Kommunikationsplan für betroffene Bereiche (Termine, Ansprechpartner, Unterlagen) erstellen
7. Kennzahlen-Cockpit für PDCA-Überwachung im Managementsystem hinterlegen

Häufige Stolpersteine und Gegenmaßnahmen

Stolperstein 1: Zu optimistische Synergieannahmen. Die Praxis zeigt: Der Synergieeffekt liegt oft nur bei 5–10 %, nicht bei 15 %. Gegenmaßnahme: Erfahrungswerte aus Vorjahren nutzen, konservativ planen.

Stolperstein 2: Auditoren fehlen für 45001-spezifische Themen (Gefährdungsbeurteilung, Arbeitsmedizin). Gegenmaßnahme: Frühzeitig technische Experten einplanen, nicht versuchen, alles über Leitauditor abzudecken.

Stolperstein 3: Remote-Anteile zu hoch angesetzt bei Prozessen mit hoher physischer Relevanz (Produktion, Lager, Baustellen). Gegenmaßnahme: Remote nur für Dokumentenprüfung, Interviews, Managementgespräche – Vor-Ort-Anteil mind. 60 % bei produzierenden Betrieben.

Abschluss: Vom Plan zur gelebten Praxis

Ein risikobasiertes, kombiniertes Auditprogramm nach DIN EN ISO 19011 ist kein einmaliges Projekt, sondern ein kontinuierlicher Steuerungsprozess. Wer die sechs Schritte diszipliniert durchläuft, die Kennzahlen im Managementreview lebt und die Auditorenkompetenzen systematisch weiterentwickelt, erreicht die gewünschte Effizienzsteigerung im Mehrnormen-System – und liefert der Zertifizierungsstelle sowie der DAkkS die erwartete Nachweisführung. Der Aufwand für die Erstplanung amortisiert sich meist bereits im zweiten Auditzyklus.