Auditbericht: Ein Auditbericht dokumentiert schriftlich Ziel, Umfang, Kriterien, Ablauf und Ergebnisse eines Audits, einschließlich festgestellter Abweichungen, Stärken und gegebenenfalls Empfehlungen.
ISO 19011, der internationale Leitfaden für Auditierung von Managementsystemen, beschreibt typische Bestandteile eines Auditberichts, ohne selbst zertifizierbar zu sein. Er dient sowohl bei internen Audits als auch bei Zertifizierungsaudits als gemeinsame Struktur.
| Bestandteil | Inhalt |
|---|---|
| Auditziele und -umfang | Was und warum geprüft wurde |
| Auditkriterien | Zugrunde gelegte Norm(en) und Dokumente |
| Feststellungen | Abweichungen, Beobachtungen, Stärken mit Nachweisen |
| Schlussfolgerung | Bewertung der Konformität, ggf. Zertifizierungsempfehlung |
Bei einem Zertifizierungsaudit bildet der Auditbericht die Grundlage für die Entscheidung der Zertifizierungsstelle: Werden Nichtkonformitäten festgestellt, müssen diese innerhalb einer festgelegten Frist durch nachgewiesene Korrekturmaßnahmen geschlossen werden, bevor das Zertifikat ausgestellt oder verlängert wird. Beim internen Audit dient der Bericht zusätzlich als Nachweis eines funktionierenden internen Auditprogramms gegenüber dem externen Auditor und fließt in die Managementbewertung ein.
Ein guter Auditbericht bleibt sachlich und nachvollziehbar: Jede Feststellung sollte mit einem konkreten Nachweis – etwa einem eingesehenen Dokument oder einer beobachteten Tätigkeit – belegt sein, statt pauschale Formulierungen zu verwenden, die im Nachgang schwer nachvollziehbar sind.
Der Bericht wird üblicherweise nach Abschluss des Audit-Termins erstellt und der auditierten Organisation zur Kenntnisnahme und gegebenenfalls Stellungnahme vorgelegt, bevor über Zertifikatserteilung, -aufrechterhaltung oder -entzug entschieden wird. Bei Audits über mehrere Standorte werden häufig Teilberichte je Standort zu einem Gesamtbericht zusammengeführt.
Feststellungen werden dabei typischerweise abgestuft: Eine schwerwiegende Abweichung (Hauptabweichung) gefährdet die Wirksamkeit des gesamten Managementsystems oder verletzt eine bindende Verpflichtung und verhindert in der Regel die sofortige Zertifikatserteilung; eine geringfügige Abweichung (Nebenabweichung) betrifft einen Einzelfall ohne systemische Wirkung und kann meist mit einer nachträglich eingereichten Korrekturmaßnahme geschlossen werden. Ergänzend halten viele Auditberichte auch Verbesserungspotenziale fest – Hinweise ohne formale Nichtkonformität, die dennoch wertvolle Impulse für die nächste Managementbewertung liefern können. Bei KCERT müssen schwerwiegende Abweichungen typischerweise innerhalb weniger Wochen durch nachgewiesene Korrekturmaßnahmen geschlossen werden, bevor überhaupt über die Zertifikatserteilung entschieden wird.
Relevanz für die Zertifizierung
Für Unternehmen ist der Auditbericht der Zertifizierungsstelle die verbindliche Grundlage, um festgestellte Nichtkonformitäten gezielt und fristgerecht zu bearbeiten. Ein sauber dokumentierter interner Auditbericht wiederum ist selbst Gegenstand des externen Audits: Zertifizierungsauditoren prüfen, ob interne Audits regelmäßig stattfinden, nachvollziehbar dokumentiert sind und tatsächlich zu wirksamen Korrekturmaßnahmen führen – nicht nur zu abgehefteten Formularen ohne erkennbare Wirkung. Gerade wiederkehrende Feststellungen über mehrere Auditberichte hinweg deuten häufig auf eine strukturelle statt eine einmalige Ursache hin und verdienen eine genauere Analyse.
Häufige Fragen zu Auditbericht
Nach dem Leitfaden ISO 19011 gehören dazu mindestens Auditziele, -umfang und -kriterien, das Auditteam, Zeitraum und Ort, alle Feststellungen mit zugehörigen Nachweisen sowie eine zusammenfassende Bewertung der Konformität. Bei Zertifizierungsaudits kommt eine Empfehlung zur Zertifikatserteilung oder -verlängerung hinzu. Auch eine Einstufung jeder Feststellung nach Schwere, etwa als Haupt- oder Nebenabweichung, gehört regelmäßig dazu, damit das Unternehmen die Dringlichkeit der Korrekturmaßnahmen richtig priorisieren kann.
In erster Linie das auditierte Unternehmen selbst, meist Geschäftsführung und Qualitätsmanagement-beauftragte. Der Bericht ist nicht öffentlich; öffentlich nachprüfbar ist lediglich, ob ein gültiges Zertifikat besteht, üblicherweise über ein Register der Zertifizierungsstelle. Konzernmütter oder wichtige Kunden erhalten den vollständigen Bericht in der Regel nur, wenn das zertifizierte Unternehmen ihn freiwillig weiterreicht, etwa im Rahmen eines Lieferantenaudits oder einer vertraglichen Nachweispflicht.
Eine einheitliche gesetzliche Frist gibt es nicht. In der Praxis erhalten Unternehmen den Bericht meist innerhalb weniger Tage bis Wochen nach dem Audit-Termin, da Nichtkonformitäten zeitnah bearbeitet werden müssen, bevor über die Zertifizierung oder Verlängerung entschieden werden kann. Bei KCERT liegt der Berichtsentwurf üblicherweise zeitnah nach dem Abschlussgespräch vor Ort vor, damit Rückfragen zu Feststellungen noch mit frischer Erinnerung an den Audit-Tag geklärt werden können.