ISO 9001 Internal Audit Programme Requirements: Leitfaden Für Planung Und Nachweise

Ein internes Auditprogramm ist mehr als eine Terminliste. Abschnitt 9.2 der ISO 9001 verlangt, dass Organisationen Audits planen, durchführen und auswerten – risikobasiert, nachvollziehbar und unabhängig von der auditierten Tätigkeit. Wer die ISO 9001 Internal Audit Programme Requirements als reine Pflichtübung abhakt, verschenkt das wirksamste Instrument zur Selbsterkenntnis des Managementsystems. Der folgende Leitfaden beschreibt Aufbau, Nachweise und typische Schwachstellen.

Normativer Rahmen: Abschnitt 9.2 und ISO 19011

Abschnitt 9.2.1 der ISO 9001 fordert ein oder mehrere Auditprogramme. Darin sind Häufigkeit, Methoden, Verantwortlichkeiten, Planungsvorgaben und Berichterstattung festzulegen. Ebenso verlangt die Norm, dass Kriterien und Umfang jedes einzelnen Audits definiert werden, dass die Auswahl der Auditoren Objektivität und Unparteilichkeit gewährleistet und dass die Ergebnisse an die zuständige Leitung berichtet werden. Der Nachweis erfolgt über dokumentierte Information.

Abschnitt 9.2.2 ergänzt die prozessuale Seite: Das Programm muss die Bedeutung der betroffenen Prozesse, Änderungen an der Organisation und die Ergebnisse früherer Audits berücksichtigen. Ein Jahresplan, der Jahr für Jahr unverändert wiederholt wird, erfüllt diese Anforderung nicht. Ausdrücklich verlangt die Norm außerdem, die Leistungsfähigkeit des Auditprogramms zu überwachen – also zu bewerten, ob die Audits die richtigen Fragen gestellt haben.

Für die Methodik liefert ISO 19011 einen Leitfaden zu Auditgrundsätzen, Programmmanagement und Auditorenkompetenz. Die Norm ist nicht zertifizierbar, gilt aber als anerkannte Referenz für Nachweisführung und Auditpraxis.

Aufbau eines risikobasierten Auditprogramms

Häufigkeit, Umfang und Risikobewertung

Die Häufigkeit folgt dem Risiko, nicht dem Kalender. Ein Prozess mit hoher Fehlerquote, neuen Lieferanten oder kürzlich geänderter Software wird häufiger auditiert als ein stabiler, unveränderter Ablauf. Bewährt hat sich eine dreistufige Bewertung: Relevanz des Prozesses für die Kundenzufriedenheit, Reifegrad des Prozesses, Ergebnisse vorheriger Audits. Aus der Summe lässt sich ein Intervall ableiten – beispielsweise zwölf Monate für kritische, 24 Monate für stabile und 36 Monate für unterstützende Prozesse.

Der Umfang jedes Audits gehört schriftlich fixiert: auditierte Organisationseinheit, Prozesse, Standorte, Schnittstellen und anwendbare Normabschnitte. Ebenso gehören die Auditkriterien in die Planung – Norm, interne Verfahren, Kundenanforderungen, gesetzliche Vorgaben.

Wer die ISO 9001 Internal Audit Programme Requirements systematisch ableitet, unterscheidet zusätzlich zwischen System-, Prozess- und Produktaudits. Die Norm schreibt keine Klassifizierung vor, doch die Unterscheidung erleichtert die Ableitung von Kriterien und Kompetenzanforderungen erheblich.

Kompetenz, Unparteilichkeit und Auswahl der Auditoren

Auditoren dürfen nicht ihre eigene Arbeit bewerten. In kleinen Organisationen ist die fehlende Unparteilichkeit eine der häufigsten Abweichungen in Zertifizierungsaudits. Zulässige Lösungen sind ein externer Auditor, ein Cross-Audit mit einem Schwesterstandort oder eine geschulte Person aus einem anderen Bereich mit dokumentierter Unparteilichkeitsbewertung.

Kompetenz umfasst mehr als eine Schulungsbescheinigung: Kenntnis der Norm, Branchen- und Prozesswissen, Auditpraxis sowie Kommunikationsfähigkeit. ISO 19011 beschreibt in Abschnitt 7, wie Kompetenzkriterien aufgebaut und bewertet werden. Als Nachweise eignen sich Zertifikate, protokollierte Audits, Beobachtungen und eine Kompetenzmatrix, die den Bedarf je Auditart abbildet.

Durchführung, Nachweise und Berichterstattung

Ein Audit beginnt mit Auditplan und Eröffnungsgespräch, arbeitet mit Interviews, Dokumentenprüfung und Stichproben und endet mit Abschlussgespräch und Bericht. Feststellungen müssen auf objektiven Nachweisen beruhen und nach dem Muster Kriterium – Nachweis – Bewertung dokumentiert werden. Der Bericht enthält Zweck, Umfang und Kriterien, Termine und Auditoren, Ergebnisse, Abweichungen, Beobachtungen und Verbesserungspotenziale.

Welche dokumentierte Information tatsächlich erforderlich ist, erläutert der Leitfaden zu den ISO 9001 Dokumentationsanforderungen. Eine Checkliste für die Dokumentationsanforderungen hilft, Auditprogramm, Auditpläne, Berichte und Kompetenznachweise vollständig abzulegen. Checklisten für die Durchführung sind übrigens nicht vorgeschrieben – sie sind Arbeitsmittel, kein Nachweis.

Abweichungen, Korrekturmaßnahmen und Wirksamkeitsprüfung

Auditfeststellungen sind nicht automatisch Abweichungen im Sinne der Norm. Erst wenn eine Anforderung nicht erfüllt ist, greift Abschnitt 10.2 der ISO 9001 mit den Schritten Reaktion, Ursachenanalyse, Korrekturmaßnahme und Wirksamkeitsbewertung. Die Korrektur beseitigt den unmittelbaren Fehler, die Korrekturmaßnahme dessen Ursache – diese Unterscheidung wird in Audits regelmäßig geprüft.

Fristen und Verantwortlichkeiten gehören in einen Maßnahmenplan mit Statusverfolgung. Die Wirksamkeitsprüfung darf nicht mit dem Nachweis der Umsetzung verwechselt werden: Ein überarbeitetes Verfahren ist umgesetzt, aber erst nach einer Wirksamkeitskontrolle – etwa durch ein Folgeaudit oder eine Prozesskennzahl – als wirksam bewertet.

Dokumentation und Verknüpfung mit anderen Managementsystemen

ISO 14001 und ISO 45001 enthalten in Abschnitt 9.2 strukturgleiche Anforderungen. Ein integriertes Auditprogramm kann daher Umwelt-, Arbeitsschutz- und Qualitätsaspekte in einem Plan bündeln, sofern Umfang und Kriterien je Norm getrennt ausgewiesen bleiben. Für die Umweltseite zeigt die Checkliste zum ISO 14001 Umweltaspekte-Register, welche Nachweise auditiert werden; die Anforderungen an das ISO 14001 Umweltaspekte-Register beschreiben die zugrunde liegende Methodik.

Die ISO 9001 Internal Audit Programme Requirements gelten damit nicht isoliert. Ein Programm, das Qualitäts-, Umwelt- und Arbeitsschutzanforderungen zusammenführt, senkt den Aufwand und erhöht die Aussagekraft – vorausgesetzt, die Ergebnisse werden getrennt berichtet und die Unparteilichkeit bleibt gewahrt.

Ein belastbares Programm erkennt man daran, dass es sich ändert, wenn sich Risiken ändern. Wer Häufigkeit, Umfang und Kriterien jährlich begründet überprüft, erfüllt Abschnitt 9.2 nicht nur formal, sondern nutzt die Audits als Steuerungsinstrument der obersten Leitung.