Ein internes Audit läuft in fünf Phasen nach ISO 19011 ab: Auditprogramm planen, Auditplan erstellen, Audit durchführen (Eröffnung, Interviews, Nachweisprüfung), Bericht schreiben und Maßnahmen nachverfolgen. Auditieren darf jede kompetente Person, die den geprüften Bereich nicht selbst verantwortet. Gefordert ist das interne Audit in allen ISO-Managementnormen nach Kapitel 9.2.
Das interne Audit ist die Pflichtübung, an der die meisten Managementsysteme kranken: zu spät geplant, mit heißer Nadel durchgeführt, ohne Konsequenzen abgeheftet. Dabei ist es das ehrlichste Instrument, das ein Unternehmen hat – nirgendwo sonst prüfen Sie unter realen Bedingungen, ob das System funktioniert, bevor es der externe Auditor tut.
Diese Anleitung führt durch alle fünf Phasen nach ISO 19011, dem internationalen Leitfaden für das Auditieren von Managementsystemen: vom Auditprogramm über den Auditplan und die Durchführung bis zu Bericht und Nachverfolgung. Dazu gibt es ein Checklisten-Grundgerüst, das Sie auf jede Norm anpassen können – ob ISO 9001, 14001, 45001 oder 27001.
Warum jede ISO-Norm interne Audits verlangt
Alle ISO-Managementnormen fordern in Kapitel 9.2 interne Audits „in geplanten Abständen“. Der Zweck ist doppelt: Erstens prüfen Sie die Konformität – erfüllt das System die Normanforderungen und die eigenen Vorgaben? Zweitens die Wirksamkeit – wird das System tatsächlich gelebt und bringt es messbare Ergebnisse?
Eine feste Frequenz schreibt die Norm nicht vor. Etabliert hat sich: Jeder Prozess und jede Normanforderung wird mindestens einmal innerhalb des dreijährigen Zertifizierungszyklus auditiert, risikoreiche oder auffällige Bereiche jährlich. Ein KMU mit einem Standort kommt typischerweise mit ein bis drei Audittagen pro Jahr aus.
Für die Zertifizierung ist das interne Audit die Eintrittskarte: Vor dem Stufe-2-Audit muss mindestens ein vollständiges internes Audit gelaufen sein – fehlt es, ist das regelmäßig eine Hauptabweichung. Externe Auditoren lesen interne Auditberichte außerdem genau. Ein Audit ohne einen einzigen Verbesserungsbefund gilt dabei als Alarmsignal, nicht als Gütesiegel: Es deutet auf ein Gefälligkeitsaudit hin.
Wer darf intern auditieren?
Die Norm stellt zwei Bedingungen: Kompetenz und Objektivität. Auditoren müssen das Auditverfahren beherrschen und die auditierte Norm kennen – eine formale Zertifizierung als Auditor ist für interne Audits nicht vorgeschrieben, eine zweitägige Auditorenschulung ist aber gut investiertes Geld. Und: Niemand auditiert die eigene Arbeit. Der QMB darf also das gesamte System auditieren, mit Ausnahme der Prozesse, die er selbst verantwortet – dort braucht es eine zweite Person oder externe Unterstützung.
Drei Modelle haben sich bewährt:
- Eigene Auditoren: Geschulte Mitarbeitende auditieren über Kreuz – der Vertrieb auditiert die Produktion, die Produktion den Einkauf. Günstig und wissensbildend, verlangt aber Schulung und freigeschaufelte Zeit.
- Externer Dienstleister: Ein erfahrener Auditor führt das interne Audit als Dienstleistung durch. Üblich sind Tagessätze von etwa 800 bis 1.400 Euro. Objektiv und normfest – das Wissen bleibt aber außer Haus.
- Mischmodell: Extern moderiert, interne Mitarbeitende laufen mit und übernehmen schrittweise. Ein guter Kompromiss für KMU.
Wichtig für die Unabhängigkeit: Wer das Managementsystem als Berater aufgebaut hat, sollte es nicht als Einziger intern auditieren. Die eigene Zertifizierungsstelle darf es ohnehin nicht sein – Beratung, interne Auditdienstleistung und Zertifizierung müssen getrennt bleiben.
Die fünf Phasen nach ISO 19011 im Überblick
ISO 19011 ist der Leitfaden für das Auditieren von Managementsystemen – keine Zertifizierungsnorm, sondern eine Arbeitsanleitung. Auf KMU-Verhältnisse übersetzt ergibt sich dieser Ablauf:
| Phase | Kernaktivitäten | Ergebnis |
|---|---|---|
| 1. Auditprogramm | Auditthemen, Frequenz und Auditoren für den Zyklus festlegen, risikobasiert priorisieren | Auditprogramm (Jahres- oder 3-Jahres-Plan) |
| 2. Auditplan | Einzelnes Audit vorbereiten: Ziel, Kriterien, Umfang, Agenda festlegen, Dokumente sichten | Auditplan und angepasste Checkliste |
| 3. Durchführung | Eröffnungsgespräch, Interviews, Begehung, Nachweise sammeln, Abschlussgespräch | Auditaufzeichnungen und Feststellungen |
| 4. Bericht | Feststellungen bewerten (Abweichung, Hinweis, Stärke), Bericht erstellen und verteilen | Auditbericht |
| 5. Nachverfolgung | Korrekturmaßnahmen vereinbaren, Umsetzung und Wirksamkeit prüfen, Feststellungen schließen | Abgeschlossene Maßnahmen |
Die Phasen 1 und 2 entscheiden über die Qualität des Audits – wer hier schludert, produziert am Audittag nur Smalltalk mit Checkliste. Die Phase 5 entscheidet über den Nutzen: Ohne Nachverfolgung bleibt jedes noch so gute Audit folgenlos.
Phase 1 und 2: Auditprogramm und Auditplan
Das Auditprogramm ist die Übersicht über alle geplanten Audits eines Zeitraums – meist ein Jahr oder der volle Dreijahreszyklus. Es legt fest, welche Prozesse, Standorte und Normkapitel wann von wem auditiert werden. Priorisieren Sie risikobasiert: Prozesse mit Reklamationen, Unfällen, hoher Fluktuation oder vielen Änderungen kommen häufiger an die Reihe als stabile Routinen. Auch die Ergebnisse des letzten externen Audits gehören eingearbeitet.
Der Auditplan konkretisiert das einzelne Audit. Bewährter Inhalt:
- Auditziel – zum Beispiel Konformität mit ISO 9001 Kapitel 8.5 und Wirksamkeit der Produktionsprozesse
- Auditkriterien – die Norm, eigene Prozessbeschreibungen, relevante rechtliche Vorgaben
- Umfang – welche Bereiche, Standorte und Zeiträume geprüft werden
- Agenda mit Zeitfenstern und Ansprechpersonen je Bereich
Versenden Sie den Plan mindestens ein bis zwei Wochen vorher. Ein Audit soll den Alltag prüfen, nicht die Generalprobe – aber Überraschungsbesuche vergiften die Auditkultur. Zur Vorbereitung sichtet der Auditor die relevanten Unterlagen: Prozessbeschreibungen, letzte Auditberichte, Kennzahlen und den Stand offener Maßnahmen. So bleibt am Audittag Zeit für die Praxis statt für das Blättern in Ordnern.
Phase 3: Das Audit durchführen
Der Audittag folgt einer festen Dramaturgie. Das Eröffnungsgespräch – 15 Minuten reichen – klärt Ziel, Ablauf und Spielregeln: Geprüft wird das System, nicht die Person. Danach folgen Interviews und Begehungen entlang der Agenda. Drei Techniken machen den Unterschied zwischen einem echten Audit und einer Abhak-Runde:
- Offene Fragen stellen: „Zeigen Sie mir, wie ein Auftrag bei Ihnen ankommt“ statt „Halten Sie die Prozessbeschreibung ein?“. Wer mit Ja/Nein-Fragen auditiert, bekommt Ja/Nein-Antworten – und lernt nichts.
- Nachweise verlangen: Jede Aussage wird am Objekt geprüft – am konkreten Auftrag, am Prüfprotokoll, an der Unterweisungsliste. Eine Stichprobe genügt, aber sie muss real sein.
- Am Prozess entlanggehen: Auditieren Sie einen echten Vorgang von der Anfrage bis zur Auslieferung quer durch die Abteilungen. So werden Schnittstellenprobleme sichtbar, die kein isoliertes Abteilungsaudit findet.
Notieren Sie Feststellungen sofort und mit Fundstelle: welches Dokument, welcher Auftrag, welche Aussage. Im Abschlussgespräch stellen Sie alle Feststellungen vor – im Bericht darf später nichts stehen, was nicht am Audittag angesprochen wurde. Strittige Punkte werden dort geklärt, nicht per E-Mail-Pingpong in den Wochen danach.
Das Checklisten-Grundgerüst
Eine gute Auditcheckliste ist Gedankenstütze, kein Abhakformular. Bewährt hat sich ein Grundgerüst mit fünf Spalten, das Sie je Prozess oder Normkapitel füllen:
- Referenz: Normkapitel oder Prozessschritt – zum Beispiel 8.5.1 Steuerung der Produktion
- Leitfrage: eine offene Frage an den Bereich – „Wie stellen Sie sicher, dass …?“
- Erwarteter Nachweis: was eine gelebte Umsetzung belegt – Prüfprotokoll, Freigabevermerk, Schulungsnachweis, Wartungsplan
- Beobachtung: was tatsächlich vorgefunden wurde, mit konkreter Fundstelle
- Bewertung: konform, Hinweis oder Abweichung
Für ein vollständiges internes Audit nach ISO 9001 reichen erfahrungsgemäß 40 bis 60 solcher Zeilen, gegliedert nach den Normkapiteln 4 bis 10 plus den unternehmenseigenen Kernprozessen. Wichtig: Die Checkliste wird pro Audit angepasst – Vorjahresergebnisse, aktuelle Änderungen und bekannte Schwachstellen bekommen eigene Zeilen. Eine seit fünf Jahren unveränderte Checkliste ist selbst ein Auditbefund.
Phase 4: Der Auditbericht
Der Bericht macht aus dem Audittag ein Arbeitsdokument. Mehr als drei bis fünf Seiten braucht ein internes Audit im KMU selten. Bewährter Aufbau:
- Kopfdaten: Auditdatum, Auditor, auditierte Bereiche, Auditkriterien, Teilnehmende
- Zusammenfassung: der Gesamteindruck in drei bis fünf Sätzen – funktioniert das System, wo liegen die Schwerpunkte?
- Feststellungen: nummeriert, mit Fundstelle und Normbezug, klassifiziert als Abweichung (Anforderung nicht erfüllt), Hinweis (Verbesserungspotenzial) oder Stärke
- Maßnahmenempfehlungen: ohne fertige Lösungen vorzuschreiben – die Ursachenanalyse gehört den Prozessverantwortlichen
- Verteiler und Fristen: wer den Bericht erhält und bis wann Maßnahmen definiert sein müssen
Formulieren Sie Feststellungen als überprüfbare Tatsachen, nicht als Urteile: „Bei 3 von 10 geprüften Aufträgen fehlte der Freigabevermerk nach Prozess VA-05“ statt „Die Produktion arbeitet unsauber“. Der Bericht geht an die Geschäftsführung und die auditierten Bereiche – und er ist Pflicht-Input für die nächste Managementbewertung.
Phase 5: Nachverfolgung – und die häufigsten Fehler
Ohne Nachverfolgung war das Audit Zeitverschwendung. Zu jeder Abweichung gehört eine Korrekturmaßnahme mit Ursachenanalyse (etwa per 5-Why-Methode), einer verantwortlichen Person und einer Frist. Der Auditor oder QMB prüft anschließend zweistufig: Wurde die Maßnahme umgesetzt? Und wirkt sie – tritt das Problem nachweislich nicht mehr auf? Erst dann wird die Feststellung geschlossen.
Die fünf häufigsten Fehler aus der Praxis:
- Das interne Audit findet drei Wochen vor dem externen Termin statt – zu spät, um Maßnahmen noch umzusetzen. Planen Sie zwei bis drei Monate Vorlauf.
- Symptome werden korrigiert, Ursachen nicht – dieselbe Abweichung taucht jedes Jahr wieder auf.
- Feststellungen ohne Fundstelle – weder nachvollziehbar noch überprüfbar.
- Nur Dokumente werden geprüft, nicht die gelebte Praxis am Arbeitsplatz.
- Der Bericht verschwindet im Ordner, statt in Managementbewertung und Maßnahmenverfolgung einzufließen.
Wer diese Punkte im Griff hat, verwandelt die Pflichtübung in ein Frühwarnsystem – und geht deutlich entspannter in jedes externe Audit, weil es keine Überraschungen mehr gibt, die das eigene Audit nicht längst gefunden hätte.
Häufige Fragen
Die Normen verlangen Audits „in geplanten Abständen“, ohne feste Frequenz vorzugeben. Etablierter Standard: Jeder Prozess und jedes Normkapitel wird mindestens einmal im dreijährigen Zertifizierungszyklus auditiert, kritische Bereiche jährlich. Vor dem Stufe-2-Audit der Erstzertifizierung muss mindestens ein vollständiges internes Audit abgeschlossen sein, und zwischen den externen Terminen erwarten Auditoren in der Regel mindestens ein internes Audit pro Jahr.
Für ein Unternehmen mit 10 bis 25 Mitarbeitenden und einer Norm: ein halber bis ein ganzer Tag Durchführung, dazu je ein halber Tag Vorbereitung und Berichterstellung. Mit mehreren Normen oder Standorten entsprechend mehr – in einem integrierten Managementsystem aber deutlich weniger als die Summe der Einzelaudits. Kalkulieren Sie insgesamt zwei bis drei Personentage pro Jahr.
Ja, mit einer Einschränkung: Der QMB darf keine Prozesse auditieren, die er selbst verantwortet – typischerweise die Dokumentenlenkung oder das Auditprogramm selbst. Für diese Bereiche braucht es eine zweite geschulte Person, eine Führungskraft aus einem anderen Bereich oder einen externen Auditor. Alle übrigen Prozesse kann der QMB objektiv prüfen.
Nein, die Normen verlangen Kompetenz, kein bestimmtes Zertifikat. Nachweisen lässt sich Kompetenz über Schulungen, Auditerfahrung und Normkenntnis. Empfehlenswert ist eine Schulung zum internen Auditor von zwei bis drei Tagen; solche Kurse kosten häufig zwischen 500 und 1.500 Euro. Der externe Auditor prüft im Zertifizierungsaudit, ob die Kompetenz der internen Auditoren plausibel belegt ist.
Das interne Audit (Erstparteien-Audit) führt das Unternehmen selbst oder in seinem Auftrag durch – als Selbstprüfung mit Lerneffekt. Das externe Audit führt eine unabhängige Zertifizierungsstelle durch (Drittparteien-Audit); es entscheidet über Erteilung und Aufrechterhaltung des Zertifikats. Das interne Audit darf Schwächen offenlegen und experimentieren, das externe bewertet Konformität mit formalen Konsequenzen.
Der externe Auditor prüft das Auditprogramm, die Berichte und die daraus abgeleiteten Maßnahmen – sie sind Pflichtnachweise für Kapitel 9.2. Er bewertet, ob alle Bereiche abgedeckt wurden, ob Feststellungen nachvollziehbar dokumentiert sind und ob Korrekturmaßnahmen wirksam umgesetzt wurden. Interne Audits ganz ohne Feststellungen wecken dabei eher Misstrauen als Vertrauen.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT