ISO 9001 Internal Audit Programme Guide: Planung, Durchführung Und Nachverfolgung Im QMS

Warum ISO 9001:2015 ein Auditprogramm verlangt

Abschnitt 9.2 der ISO 9001:2015 verlangt von jeder Organisation ein internes Auditprogramm – nicht nur einzelne Audits. Der Unterschied ist praktischer Natur: Ein Programm regelt Planung, Häufigkeit, Methoden, Verantwortlichkeiten, Anforderungen an Auditoren und Berichterstattung über einen definierten Zeitraum. Das Einzel­audit ist lediglich ein Baustein darin.

Die Norm fordert in 9.2.1, Audits in geplanten Abständen durchzuführen. Abschnitt 9.2.2 legt fest, was das Programm mindestens enthalten muss. Ein ISO 9001 internal audit programme guide muss daher beides leisten: die Normforderung vollständig abbilden und den Alltag der Organisation berücksichtigen.

Wer die Struktur einmal aufgebaut hat, kann sie für ISO 14001 und ISO 45001 mitnutzen. In integrierten Managementsystemen sinkt der Aufwand dadurch deutlich. Wie die zugehörige Dokumentation sauber aufgebaut wird, beschreibt der Leitfaden zu den ISO 9001-Dokumentationsanforderungen.

Was Abschnitt 9.2.2 konkret fordert

Abschnitt 9.2.2 verlangt, dass das Auditprogramm geplant wird – unter Berücksichtigung von:

• der Bedeutung der Prozesse,
• Änderungen in der Organisation,
• Ergebnissen früherer Audits,
• Ergebnissen der Risiko- und Chancenbewertung nach Abschnitt 6.1.

Zusätzlich fordert die Norm, dass für jedes Audit Auditkriterien und Auditumfang festgelegt werden, dass Auditoren objektiv und unparteiisch ausgewählt werden, dass Ergebnisse berichtet werden, dass Korrekturmaßnahmen ohne unangemessene Verzögerung eingeleitet werden und dass die Ergebnisse als dokumentierte Information erhalten bleiben.

Auditkriterien und Auditumfang festlegen

Auditkriterien sind die Bezugspunkte der Prüfung: Normforderungen, interne Verfahren, Kundenanforderungen, gesetzliche Vorgaben. Der Auditumfang beschreibt die Grenzen – Standorte, Organisationseinheiten, Prozesse, Zeitraum. Beides gehört schriftlich in den Auditplan, nicht in die mündliche Absprache.

In der Praxis hat sich eine Matrix bewährt: Prozess, Kriterien, Häufigkeit, Methode, verantwortliche Auditoren, Ergebnis des letzten Audits. Diese Matrix ist selbst dokumentierte Information und damit prüfbar. Beim Abgleich der Nachweise hilft die Checkliste zu den ISO 9001-Dokumentationsanforderungen.

Risikobasierte Planung des Auditprogramms

Ein ISO 9001 internal audit programme guide, der alle Prozesse gleich häufig prüft, verschenkt Ressourcen. Abschnitt 6.1 verlangt die Bewertung von Risiken und Chancen; Abschnitt 9.2.2 greift dieses Ergebnis ausdrücklich auf.

Sinnvoll ist eine dreistufige Gewichtung:

1. Hohes Risiko oder hohe Kundenwirkung: jährlich, in kritischen Fällen halbjährlich.
2. Mittleres Risiko: alle 18 bis 24 Monate.
3. Geringes Risiko bei stabilen Prozessen: im dreijährigen Zyklus, solange keine Änderungen auftreten.

Änderungen wirken als Auslöser. Neue Anlagen, Standortverlagerungen, geänderte Software, Reklamationen oder Lieferantenwechsel gehören unabhängig vom Zyklus in die Planung. Dasselbe gilt für Prozesse mit Umweltbezug; ein Verzeichnis der Umweltaspekte nach ISO 14001 liefert dafür die Bewertungsgrundlage.

Kompetenz der Auditoren und ISO 19011

ISO 9001:2015 fordert in 9.2.2 ausdrücklich, dass Auditoren objektiv und unparteiisch sind. Wer den eigenen Bereich auditiert, erfüllt diese Anforderung nicht. Zusätzlich verlangt Abschnitt 7.2, dass Personen die für ihre Aufgabe erforderliche Kompetenz besitzen.

ISO 19011:2018 liefert die methodische Grundlage: Management eines Auditprogramms, Auswahl von Auditoren, Durchführung von Audits, Kompetenzanforderungen. Für die Praxis relevant sind:

• Kenntnis der Norm und der internen Verfahren,
• Schulung in Audittechnik und Gesprächsführung,
• Branchen- und Prozesskenntnis,
• Unabhängigkeit vom auditierten Bereich.

Kleine Organisationen lösen die Unabhängigkeit häufig über Cross-Audits zwischen Abteilungen oder über externe Auditoren. Beides ist zulässig, solange die Objektivität nachweisbar bleibt – etwa über Qualifikationsnachweise und eine nachvollziehbare Einsatzplanung.

Durchführung, Bericht und Nachverfolgung

Ein ISO 9001 internal audit programme guide endet nicht mit dem Auditbericht. Abschnitt 10.2 verlangt, auf Nichtkonformitäten zu reagieren: Sofortmaßnahme, Ursachenanalyse, Korrekturmaßnahme, Wirksamkeitsprüfung.

Der Ablauf in der Praxis:

1. Auditplanung mit Termin, Umfang und Kriterien.
2. Eröffnungsgespräch und Dokumentenprüfung.
3. Interviews und Begehung.
4. Bewertung der Feststellungen gegen die Kriterien.
5. Abschlussgespräch mit Bewertung.
6. Bericht mit Feststellungen, Klassifizierung und Fristen.
7. Nachverfolgung bis zum Wirksamkeitsnachweis.

Feststellungen sollten mit Nachweis, Kriterium und Bezug zur Normforderung dokumentiert werden. Eine Aussage wie „Verfahren nicht eingehalten“ genügt nicht; erforderlich sind Fundstelle, Datum, betroffener Prozess und der konkrete Normbezug. Nur so lässt sich die Wirksamkeit der Korrekturmaßnahme später belegen.

Typische Schwachstellen im Auditprogramm

Bei externen Audits fallen dieselben Punkte immer wieder auf:

• Das Programm existiert, wird aber nicht aktualisiert.
• Auditkriterien sind nicht je Audit festgelegt.
• Auditoren prüfen ihre eigenen Prozesse.
• Feststellungen werden berichtet, aber nicht nachverfolgt.
• Ergebnisse früherer Audits fließen nicht in die Planung ein.
• Die dokumentierte Information ist unvollständig.

Wer diese sechs Punkte abarbeitet, hat die Anforderungen aus Abschnitt 9.2 weitgehend erfüllt. Der Aufwand für die Nachbereitung sinkt, weil Feststellungen früher erkannt und Maßnahmen früher wirksam werden. Entscheidend bleibt, dass das Programm gelebt wird: Ein jährlich fortgeschriebener Plan mit nachvollziehbaren Ergebnissen ist belastbarer als ein formal vollständiges Dokument ohne Umsetzung.