VDA 6.3 Prozessaudit 2026: Fragenkatalog in der Praxis anwenden

Der VDA 6.3 Prozessaudit ist in der Automobilindustrie das Standardwerkzeug, um Prozesse entlang der Lieferkette zu bewerten. Mit der Überarbeitung 2026 hat sich der Fragenkatalog in Detailfragen geändert – wer jetzt ein Audit plant, muss die neuen Anforderungen kennen, sonst drohen Abweichungen in der Bewertung. Dieser Beitrag zeigt Ihnen Schritt für Schritt, wie Sie den Fragenkatalog 2026 praktisch anwenden, typische Fallstricke vermeiden und Ihre Audits belastbar dokumentieren.

1. Ausgangslage: Was sich 2026 im Fragenkatalog geändert hat

Der VDA 6.3 Prozessaudit Fragenkatalog 2026 ersetzt die Version 2016. Die Grundstruktur mit den sieben Prozesselementen (P1 bis P7) bleibt erhalten, aber die Gewichtung hat sich verschoben. Neu sind insbesondere verschärfte Anforderungen an die Nachhaltigkeit in der Lieferkette, an Cybersecurity-Aspekte bei Software-bezogenen Prozessen und an die Datenintegrität bei der Prozesslenkung.

Konkret: Im Prozesselement P3 (Entwicklung des Prozesses) wurden zwei neue Fragen zur Absicherung von Software-Änderungen aufgenommen. In P5 (Lieferantenmanagement) gibt es jetzt eine Pflichtfrage zur Bewertung von Sublieferanten hinsichtlich IT-Sicherheit. Die Gesamtzahl der Fragen ist von 58 auf 62 gestiegen – davon sind 38 sogenannte „BG-Fragen“ (Bewertungs- und Gewichtungsfragen), die in die Endnote zwingend einfließen.

Wer den bisherigen Katalog auswendig kannte, muss umlernen. Die alten Formulierungen zu „Risikoanalysen“ wurden teilweise durch „Risikobewertungen inklusive IT-Risiken“ ersetzt. Das betrifft vor allem P2 (Potenzialanalyse) und P4 (Realisierung der Produktentwicklung).

2. Vorbereitung: Den Katalog richtig interpretieren

Bevor Sie das Audit starten, sollten Sie den aktuellen Fragenkatalog in der Version 2026 als PDF von der VDA-Seite oder über Ihren VDA-QMC-Zugang beziehen. Arbeiten Sie den Katalog einmal komplett durch und markieren Sie die neuen Formulierungen – das spart später Zeit bei der Befragung.

Die VDA 6.3 Prozessaudit Vorbereitung in der Automobilindustrie erfordert mehr als nur das Lesen der Fragen. Sie müssen die Verweise auf andere Normen kennen, z. B. auf ISO 9001:2015, IATF 16949:2016 und ISO/IEC 27001 für IT-Sicherheit. In der 2026er-Version wird bei Fragen zur Informationssicherheit ausdrücklich auf ISO/IEC 27001 Bezug genommen.

Erstellen Sie eine Audit-Checkliste, die den Fragenkatalog 1:1 abbildet, aber zusätzlich Platz für Notizen, Beobachtungen und Nachweise bietet. Nutzen Sie die offiziellen Formulare vom VDA – sie sind auf die neue Bewertungsskala abgestimmt.

3. Durchführung: Schritt für Schritt durch die Prozesselemente

3.1 Prozesselement P2 – Potenzialanalyse

Starten Sie mit P2, auch wenn es nicht in jedem Audit gefordert ist. Bei neuen Lieferanten oder Produkten ist die Potenzialanalyse Pflicht. Prüfen Sie hier besonders die neuen Fragen zur IT-Risikobewertung: Der Lieferant muss nachweisen, dass er seine IT-Infrastruktur bezüglich Angriffen auf die Produktionssysteme bewertet hat. Ein reines „Wir haben eine Firewall“ reicht nicht – verlangen Sie ein dokumentiertes Risikomanagement nach ISO/IEC 27001.

Bewertung: Nutzen Sie die Skala von 0 bis 10 (0 = nicht erfüllt, 10 = voll erfüllt). Bei P2 gibt es keine BG-Fragen, aber die Ergebnisse fließen in die Gesamtbewertung des Standorts ein.

3.2 Prozesselemente P3 und P4 – Entwicklung

In P3 und P4 liegt der Fokus auf der Prozess- und Produktentwicklung. Die neuen Fragen zu Software-Änderungen verlangen, dass Sie konkrete Änderungsprotokolle und Versionsstände prüfen. Fragen Sie nach dem Änderungsmanagement im ERP-System und verlangen Sie Beispiele aus den letzten sechs Monaten.

Ein häufiger Fehler: Auditoren akzeptieren ein „Wir machen das schon immer so“. Das genügt nicht. Der Fragenkatalog 2026 verlangt explizit, dass Risikobewertungen nach einem definierten Verfahren (z. B. FMEA nach AIAG/VDA) durchgeführt und dokumentiert werden. Verlangen Sie die aktuelle FMEA-Dokumentation und gleichen Sie die Maßnahmen mit dem Stand der Technik ab.

3.3 Prozesselement P5 – Lieferantenmanagement

Hier ist die wichtigste Neuerung die Pflichtfrage zur IT-Sicherheit von Sublieferanten. Sie müssen nachweisen, dass Ihr Lieferant seine Sublieferanten hinsichtlich Cybersecurity bewertet – z. B. durch vertragliche Vereinbarungen oder Audits. Fehlt dieser Nachweis, wird die Frage mit 0 bewertet, was die Gesamtnote erheblich senkt.

Nutzen Sie die Gelegenheit, um die Lieferantenbewertung selbst zu überprüfen: Sind die Kriterien in der Lieferantenrichtlinie aktuell? Wird die Bewertung mindestens jährlich durchgeführt? Der Katalog verlangt in P5.6 eine dokumentierte Bewertung, die auf Kennzahlen wie Termintreue, Qualität und Reklamationsquote basiert.

3.4 Prozesselemente P6 und P7 – Produktion und Kundenzufriedenheit

P6 ist das Herzstück des Prozessaudits. Die Fragen 6.1 bis 6.6 decken den gesamten Produktionsprozess ab, von der Personalqualifikation bis zur Materialverfolgung. Neu ist hier die Betonung der Datenintegrität: Sie müssen nachweisen, dass Messwerte manipulationssicher erfasst und gespeichert werden. Fragen Sie nach Zugriffsrechten auf das MES oder die SPS-Programmierung.

In P7 (Kundenzufriedenheit) geht es um die Analyse von Reklamationen und die Ableitung von Maßnahmen. Der Katalog 2026 verlangt, dass Sie die Wirksamkeit von Korrekturmaßnahmen anhand von Kennzahlen (z. B. ppm-Rate, Nacharbeitungsquote) belegen. Nicht nur die Maßnahme selbst, sondern auch der Zeitraum bis zur Wirksamkeit ist relevant.

4. Bewertung: So vermeiden Sie typische Fehler bei Abweichungen

Die VDA 6.3 Prozessaudit Bewertung Abweichungen folgt einem klaren Schema. Jede Frage wird einzeln bewertet, dann werden die BG-Fragen gewichtet. Die Endnote wird in Klassen eingeteilt: A (≥ 90 %), B (80–89 %), C (< 80 %). Eine Abweichung ist jede Bewertung unter 10 – selbst eine 9 ist eine Abweichung, die dokumentiert werden muss.

Typische Fehler: Auditoren bewerten oft zu wohlwollend, weil sie den Lieferanten nicht verärgern wollen. Oder sie bewerten zu streng, weil sie die neue Skala nicht verinnerlicht haben. Orientieren Sie sich an den Beispielfragen im Katalog – dort finden Sie konkrete Anforderungen für jede Bewertungsstufe.

Wenn Sie eine Abweichung feststellen, müssen Sie eine Maßnahme fordern. Die Frist ist in der Regel 90 Tage, aber bei sicherheitsrelevanten Punkten kann der VDA auch kürzere Fristen verlangen. Dokumentieren Sie jede Abweichung mit Nachweis (Foto, Protokoll, Messdaten) – das schützt Sie bei der Auditierung durch den Kunden.

5. Häufige Fehler und wie Sie sich absichern

Viele Auditoren scheitern nicht an den Fragen, sondern an der Vorbereitung. Ein häufiger Fehler ist, den Fragenkatalog erst am Vortag zu lesen. Planen Sie mindestens zwei Tage Vorbereitung ein: einen Tag für das Studium des Katalogs, einen Tag für die Erstellung der Auditfragen und Checklisten.

Ein weiterer Stolperstein ist die Interpretation der „soll“- und „muss“-Formulierungen. Im Katalog 2026 sind alle Pflichtanforderungen mit „muss“ gekennzeichnet. Wenn Sie hier eine Abweichung finden, ist das automatisch eine Hauptabweichung. Achten Sie auf diese Formulierung – sie ist rechtlich bindend.

Sichern Sie sich ab, indem Sie die Audit-Ergebnisse in einem Bericht zusammenfassen, der den Fragenkatalog als Anhang enthält. So können Sie nachvollziehen, welche Frage zu welcher Bewertung geführt hat. Das ist auch für die Re-Zertifizierung nach IATF 16949 wichtig.

6. Fazit und nächste Schritte

Der VDA 6.3 Prozessaudit Fragenkatalog 2026 ist keine Revolution, aber eine deutliche Evolution. Wer die neuen Schwerpunkte (IT-Sicherheit, Datenintegrität, Software) ignoriert, wird im Audit schlechter abschneiden. Nutzen Sie die Übergangszeit, die der VDA bis Ende 2026 gewährt – danach ist die 2016er-Version nicht mehr gültig.

Planen Sie jetzt die Schulung Ihrer internen Auditoren. Der VDA bietet offizielle Trainings zum neuen Katalog an, die Sie über die VDA-QMC buchen können. Investieren Sie in die Aktualisierung Ihrer Audit-Checklisten und Vorlagen – das zahlt sich bei der nächsten Kundenrevision aus.

Unsere Empfehlung: Führen Sie ein internes Pilotaudit mit dem neuen Katalog durch, bevor Sie das erste externe Audit starten. So identifizieren Sie Lücken im Verständnis, ohne dass es Konsequenzen für die Lieferantenbewertung hat.

FAQ

Frage: Was sind die wichtigsten Änderungen im VDA 6.3 Fragenkatalog 2026? Antwort: Die wichtigsten Änderungen betreffen neue Fragen zur IT-Sicherheit in P2 und P5, zur Datenintegrität in P6 und zu Software-Änderungen in P3/P4. Die Gesamtzahl der Fragen stieg von 58 auf 62.

Frage: Wie viele BG-Fragen gibt es im Katalog 2026? Antwort: Es gibt 38 BG-Fragen (Bewertungs- und Gewichtungsfragen), die zwingend in die Endnote einfließen. Die restlichen Fragen sind ohne Gewichtung.

Frage: Gilt die 2016er-Version noch? Antwort: Die 2016er-Version ist noch bis Ende 2026 gültig, danach ist die 2026er-Version verbindlich. Viele OEMs verlangen aber bereits jetzt die neue Version.

Frage: Wie wird eine Abweichung im VDA 6.3 bewertet? Antwort: Eine Abweichung liegt vor, wenn eine Frage mit weniger als 10 Punkten bewertet wird. Die Abweichung muss dokumentiert und mit einer Maßnahme innerhalb von 90 Tagen (Standardfrist) beantwortet werden.

Frage: Welche Normen sind im Katalog 2026 referenziert? Antwort: Der Katalog referenziert ISO 9001:2015, IATF 16949:2016, ISO/IEC 27001 für IT-Sicherheit und AIAG/VDA FMEA für Risikobewertungen.