ISO 9001 Internal Audit Programme: Aufbau, Risikobasierte Planung Und Nachweise

Ein internes Auditprogramm ist das Steuerungsinstrument, mit dem eine Organisation belegt, dass ihr QM-System wirksam arbeitet. Die ISO 9001 fordert es in Abschnitt 9.2 – nicht als einmalige Aktion, sondern als geplanten, wiederkehrenden Prozess. Dieser Leitfaden zeigt, wie ein ISO 9001 internal audit programme aufgebaut, dokumentiert und überprüft wird, welche Nachweise Prüfer erwarten und an welchen Stellen Auditoren in der Praxis die häufigsten Lücken finden.

Normative Grundlage: Abschnitt 9.2 der ISO 9001

Abschnitt 9.2.1 verlangt, dass die Organisation Audits in geplanten Abständen durchführt. Sie muss ein Auditprogramm aufstellen, umsetzen, aufrechterhalten und fortlaufend weiterentwickeln. Der Begriff „Programm“ bezieht sich dabei auf die Gesamtheit aller Audits eines Planungszeitraums – nicht auf ein einzelnes Audit.

Abschnitt 9.2.2 konkretisiert die Planung. Zu berücksichtigen sind die Bedeutung der betroffenen Prozesse, wesentliche Änderungen der Organisation sowie Ergebnisse früherer Audits. Festzulegen sind Auditkriterien und Auditumfang, Häufigkeit und Methoden, Verantwortlichkeiten sowie Anforderungen an Planung und Berichterstattung. Ergänzend fordert die Norm, Auditoren so auszuwählen, dass Objektivität und Unparteilichkeit gewahrt bleiben. Wer eine Tätigkeit selbst ausführt, darf sie nicht auditieren.

Auditergebnisse sind der zuständigen Leitung zu berichten. Die Organisation muss dokumentierte Informationen als Nachweis der Programmumsetzung und der Ergebnisse aufbewahren. Wie solche Nachweise gelenkt werden, beschreibt der Leitfaden zu den Dokumentationsanforderungen der ISO 9001.

Aufbau und Steuerung des Auditprogramms

Ein belastbares Programm besteht aus vier Bausteinen: Planung, Ressourcen, Durchführung und Auswertung. Verantwortlich ist in der Regel eine benannte Auditprogramm-Managerin oder ein Qualitätsmanagementbeauftragter. Diese Rolle legt den Jahresplan fest, koordiniert Auditteams und verfolgt offene Maßnahmen. Ein schriftlich fixiertes Verfahren ist die Grundlage eines jeden ISO 9001 internal audit programme.

Zum Programm gehören mindestens: eine Liste aller zu auditierenden Prozesse und Standorte, ein Zeitplan mit Intervallen, die Zuordnung qualifizierter Auditoren, Muster für Auditplan, Checkliste und Bericht sowie ein Verfahren zur Nachverfolgung von Abweichungen.

Risikobasierte Festlegung der Intervalle

Die Norm nennt keine festen Fristen. In der Praxis haben sich rollierende Zyklen zwischen zwölf und sechsunddreißig Monaten etabliert. Kürzere Intervalle sind sinnvoll für Prozesse mit hohem Risiko, hoher Änderungsrate, wiederkehrenden Reklamationen oder sicherheitsrelevanten Tätigkeiten. Längere Intervalle lassen sich für stabile, gut beherrschte Unterstützungsprozesse begründen.

Entscheidend ist die Herleitung: Ein Prüfer beanstandet nicht die Zahl der Monate, sondern eine fehlende nachvollziehbare Begründung. Die Risikoeinschätzung sollte deshalb dokumentiert und jährlich aktualisiert werden.

Auditkriterien, Nachweise und Dokumentation

Auditkriterien sind die Anforderungen, gegen die geprüft wird: Normabschnitte, interne Verfahren, Kundenanforderungen, gesetzliche Vorgaben. Sie müssen vor dem Audit feststehen und im Auditplan genannt sein.

Nachweise können Dokumente, Datensätze, Beobachtungen oder Aussagen von Mitarbeitenden sein. Entscheidend ist die Nachvollziehbarkeit: Aus dem Bericht muss hervorgehen, welche Anforderung geprüft wurde, welcher Nachweis vorlag und zu welchem Ergebnis der Auditor kam. Eine Checkliste für Dokumentationsanforderungen hilft, die notwendigen Nachweise systematisch zu erfassen.

Werden integrierte Managementsysteme auditiert, kommen weitere Kriterien hinzu. Für Umweltaspekte etwa liefert das Umweltaspekte-Register nach ISO 14001 eine zentrale Prüfgrundlage.

Durchführung: Von der Planung bis zum Bericht

Ein Audit folgt einem festen Ablauf: Auditplanung mit Termin und Umfang, Vorbereitung der Checklisten, Eröffnungsgespräch, Interviews und Stichproben vor Ort, Abschlussbesprechung, Bericht. Der Bericht enthält Auditumfang, Kriterien, Feststellungen, Klassifizierung und benannte Verantwortliche.

Für die Methodik lohnt der Blick auf ISO 19011. Der Leitfaden beschreibt Auditprogramme, Kompetenzanforderungen an Auditoren und die Bewertung von Feststellungen. Er ist nicht zertifizierungsrelevant, wird aber als Auslegungshilfe herangezogen.

Abweichungen, Korrekturmaßnahmen und Wirksamkeitsprüfung

Feststellungen werden üblicherweise in Haupt- und Nebenabweichungen sowie Verbesserungspotenziale unterteilt. Jede Abweichung braucht eine Ursachenanalyse, eine Korrekturmaßnahme, einen Verantwortlichen und ein Fälligkeitsdatum. Nach Umsetzung ist die Wirksamkeit zu bewerten – ein Schritt, der in vielen Programmen fehlt.

Die Ergebnisse fließen in die Managementbewertung nach Abschnitt 9.3 ein. Dort werden Auditresultate, Maßnahmenstatus und Ressourcenbedarf zusammen betrachtet. Das schließt den Regelkreis und macht das ISO 9001 internal audit programme zu einem Steuerungsinstrument statt zu einer Pflichtübung.

Typische Schwachstellen und Prüffragen

Häufige Befunde betreffen unvollständige Programme, fehlende Auditorqualifikation, nicht nachverfolgte Maßnahmen und Audits ohne Bezug zum Risiko. Prüffragen für die interne Kontrolle:

• Deckt der Plan alle Prozesse und Standorte im definierten Zyklus ab?
• Ist die Intervallwahl risikobasiert begründet und dokumentiert?
• Sind Auditoren qualifiziert und frei von Interessenkonflikten?
• Werden Ergebnisse der Leitung berichtet und in der Managementbewertung behandelt?
• Wird die Wirksamkeit jeder Korrekturmaßnahme bewertet?

Wer diese fünf Punkte belegen kann, erfüllt die Anforderungen aus Abschnitt 9.2 in der Regel ohne Nachbesserung.