Interner Auditor: Pflicht und Praxis

Der interne Auditor prüft das Managementsystem des eigenen Arbeitgebers und berichtet der Leitung, was er gefunden hat. Diese Rolle ist in jeder ISO-Managementsystemnorm vorausgesetzt, weil interne Audits dort verbindlich gefordert werden. Anders als beim externen Auditor, dessen Zulassung eine Zertifizierungsstelle erteilt, schreibt die Norm aber nicht vor, wer die Rolle ausfüllt oder welche Ausbildung dafür nötig ist. Sie stellt zwei Bedingungen: Die Auditoren müssen kompetent sein, und sie dürfen nicht ihre eigene Arbeit bewerten. An der zweiten Bedingung scheitern die meisten internen Auditprogramme.

Was die Norm verlangt

Die Anforderungen an interne Audits sind in den Managementsystemnormen nach gemeinsamer Grundstruktur weitgehend gleich formuliert. Verlangt wird:

Ein Auditprogramm. Nicht ein einzelnes Audit, sondern eine Planung über einen Zeitraum: Welche Prozesse werden wann geprüft, in welcher Häufigkeit, mit welchem Verfahren und von wem. Die Häufigkeit richtet sich nach der Bedeutung der Prozesse, nach Änderungen und nach Ergebnissen vorheriger Audits.

Prüft ein Team statt einer Einzelperson, übernimmt eine Person die Leitung — mit denselben Aufgaben, die der Auditteamleiter im externen Audit hat.

Auditkriterien und Auditumfang je Audit. Also: Wogegen wird geprüft — Norm, interne Vorgaben, Kundenanforderungen, gesetzliche Pflichten — und welcher Bereich ist Gegenstand.

Eine Auswahl der Auditoren, die Objektivität und Unparteilichkeit sicherstellt. Der Satzteil, um den es geht.

Berichterstattung an die zuständige Leitung und Ableitung von Korrekturen. Ergebnisse, die nirgends ankommen, erfüllen die Anforderung nicht.

Dokumentierte Nachweise über Programm, Durchführung und Ergebnisse.

Ein Unterschied, der oft durcheinandergeht: Das Auditprogramm ist die Jahresplanung über alle Audits. Der Auditplan ist der Ablauf eines einzelnen Audits mit Uhrzeiten, Bereichen und Gesprächspartnern. Externe Auditoren fragen nach beidem, und zwar getrennt.

Unabhängigkeit: die Regel, an der es kippt

„Auditoren dürfen nicht ihre eigene Arbeit auditieren“ klingt selbstverständlich und wird in der Praxis ständig verletzt — meist ohne Absicht, weil in kleinen Organisationen dieselbe Person das System aufgebaut hat, betreut und prüft.

Typisch ist dieser Fall: Der Qualitätsmanagementbeauftragte hat die Dokumentenlenkung eingeführt, pflegt die Verfahrensanweisungen, betreut das Abweichungsmanagement und bereitet die Managementbewertung vor. Anschließend auditiert er die Dokumentenlenkung, das Abweichungsmanagement und die Managementbewertung. Formal liegt ein Auditbericht vor. Inhaltlich hat niemand geprüft.

Vier Wege führen daraus heraus:

1. Kreuzauditierung. Mehrere Mitarbeiter aus verschiedenen Bereichen werden geschult und prüfen jeweils fremde Prozesse. Der Einkauf auditiert die Instandhaltung, die Instandhaltung den Vertrieb. Das ist die verbreitetste Lösung und die günstigste.
2. Auditoren aus einem anderen Standort derselben Unternehmensgruppe. Fachlich nah, organisatorisch unabhängig.
3. Ein externer Dienstleister. Zulässig und in kleinen Organisationen oft der einzige gangbare Weg. Die Verantwortung für Programm und Maßnahmen bleibt bei Ihnen.
4. Gegenseitigkeit mit einem anderen Unternehmen, das nicht im Wettbewerb steht. Setzt eine Vertraulichkeitsvereinbarung voraus und funktioniert nur bei vergleichbaren Prozessen.

Eine Grenze gilt für Weg drei: Ihre eigene Zertifizierungsstelle darf die internen Audits nicht durchführen. Das wäre Beratung am eigenen Prüfgegenstand und verstößt gegen die Trennung von Beratung und Zertifizierung, an die akkreditierte Stellen gebunden sind. Ein beliebiger anderer Dienstleister darf es.

Welche Kompetenz nötig ist

Die Organisation legt die Anforderungen selbst fest — und muss diese Festlegung begründen und die Erfüllung nachweisen können. Vier Bausteine gehören in jede Festlegung:

Normkenntnis. Der Auditor muss die Anforderung kennen, gegen die er prüft, und sie von internen Gewohnheiten unterscheiden können. Der häufigste Anfängerfehler ist die Feststellung gegen etwas, das die Norm gar nicht verlangt.

Prozesskenntnis. Wer die geprüfte Tätigkeit nicht versteht, bekommt keine belastbaren Antworten. Deshalb funktioniert Kreuzauditierung zwischen fachlich zu weit entfernten Bereichen schlecht.

Audittechnik. Auditplanung, Fragetechnik, Stichprobenbildung, Bewertung von Nachweisen, Formulierung von Feststellungen. Das ist der Teil, den eine Schulung liefert.

Verhalten. Sachlich bleiben, nicht beraten, nicht in die Verteidigung gehen. Der interne Auditor arbeitet mit Kollegen zusammen, die er morgen wieder braucht — das ist schwerer als es klingt und der Grund, warum interne Audits ins Freundliche abgleiten.

Als fachliche Grundlage dient ISO 19011, der Leitfaden zur Auditierung von Managementsystemen. Er beschreibt Auditprinzipien, das Vorgehen beim Auditprogramm und die Kompetenzbewertung von Auditoren — und ist genau für interne Audits gedacht. Für Zertifizierungsaudits gilt dagegen ISO/IEC 17021-1; wer den Unterschied kennt, argumentiert gegenüber der Zertifizierungsstelle sauberer.

Was eine Ausbildung leisten muss

Der Markt bietet Schulungen zum internen Auditor über wenige Tage an, meist getrennt nach Norm. Sinnvoll ist ein Aufbau in drei Teilen: Norminhalte, Audittechnik und ein geübtes Audit mit Auswertung. Fehlt der dritte Teil, haben die Teilnehmer die Norm gehört und nie ein Gespräch geführt.

Nach der Schulung folgt der wichtigere Teil: die Einarbeitung. Zwei bis drei Audits als Begleiter eines erfahrenen Auditors, dann ein eigenes Audit unter Beobachtung. Wer das überspringt, bekommt Auditberichte, die aus abgehakten Checklisten bestehen.

Halten Sie die Kompetenz je Auditor nach — Schulungsnachweis, begleitete Audits, eigene Audits, Bewertung. Diese Übersicht ist im Zertifizierungsaudit regelmäßig Thema, weil sie die einfachste Möglichkeit ist, die geforderte Kompetenz zu belegen. Wer Auditoren nach der Ausbildung nie wieder bewertet, hat einen Nachweis über den ersten Tag und keinen über den heutigen.

Was externen Auditoren am internen Auditprogramm auffällt

Interne Audits gehören zu den ersten Dingen, die eine Zertifizierungsstelle prüft, weil sie zeigen, wie ernst das System genommen wird. Diese Punkte führen regelmäßig zu Feststellungen:

1. Das Programm deckt den Geltungsbereich nicht ab. Ein Standort, ein Prozess oder eine Schicht fehlt über den ganzen Zyklus.
2. Die Unabhängigkeit ist verletzt. Der Auditor ist im Bericht als Verantwortlicher des geprüften Prozesses erkennbar.
3. Alle Audits enden ohne Feststellung. Über Jahre kein einziger Verbesserungsbedarf ist kein Qualitätsmerkmal, sondern ein Hinweis auf ein Scheinverfahren.
4. Feststellungen ohne Nachverfolgung. Korrekturmaßnahmen sind vereinbart, aber niemand hat die Wirksamkeit geprüft.
5. Ergebnisse fehlen in der Managementbewertung. Die Norm verlangt interne Audits ausdrücklich als Eingangsgröße.
6. Alle Audits liegen in derselben Woche vor dem externen Audit. Damit ist offensichtlich, dass sie für das externe Audit erzeugt wurden und nicht für die Steuerung.
7. Der Auditbericht ist eine ausgefüllte Checkliste ohne Angabe der eingesehenen Nachweise. Ein Bericht muss erkennen lassen, was der Auditor gesehen hat.

Punkt sechs kostet nichts zu vermeiden und ist trotzdem der Klassiker. Verteilen Sie die internen Audits über das Jahr — schon deshalb, weil ein Befund im Januar noch zu beheben ist und einer im Oktober nicht mehr.

Der eigentliche Nutzen

Ein internes Audit, das gut gemacht ist, findet die Abweichungen vor dem externen Auditor und vor dem Kunden. Das ist der ganze Zweck. Wer dieselbe Sorgfalt auf interne Audits verwendet, mit der er sich auf ein Kundenaudit vorbereitet, verschiebt Feststellungen aus dem externen Verfahren in das eigene — dorthin, wo sie keine Frist und keine Eskalation auslösen, sondern nur Arbeit.