Remote-Audits sind zulässig, wenn Zertifizierungsstelle und Unternehmen zustimmen, eine Risikobewertung die Machbarkeit bestätigt und die Auditnachweise gleichwertig zu einem Vor-Ort-Audit erhoben werden können – so die Logik des IAF-Dokuments MD 4. Gut geeignet sind Stufe-1-Audits, Dokumentationsprüfungen und reine Büro- oder IT-Prozesse; Produktionsumgebungen erfordern meist weiterhin Präsenz vor Ort.
Bis 2020 waren Audits per Videokonferenz die Ausnahme, seitdem sind sie Alltag: Dokumentenprüfungen laufen über Bildschirmfreigabe, Interviews per Video, und selbst Lagerhallen werden per Smartphone-Kamera begangen. Doch zwischen „technisch machbar“ und „zulässig und sinnvoll“ liegt ein Stück Weg – nicht jedes Audit darf, und nicht jedes sollte remote stattfinden.
Dieser Artikel erklärt, welcher Rahmen für Remote-Audits gilt, wie die Zulässigkeitslogik des IAF-Dokuments MD 4 funktioniert, welche Auditarten sich eignen und welche nicht, was Sie an Technik und Datenschutz vorbereiten müssen – und wo die ehrlichen Grenzen des Formats liegen.
Was ist ein Remote-Audit?
Ein Remote-Audit ist ein Audit, bei dem der Auditor nicht physisch im Unternehmen ist, sondern Informations- und Kommunikationstechnik (ICT) nutzt: Videokonferenzen für Interviews, Bildschirmfreigabe für die Einsicht in Dokumente und Systeme, mobile Kameras für virtuelle Begehungen von Hallen, Lagern oder Serverräumen.
In der Praxis gibt es drei Formen:
- Vollständiges Remote-Audit: Der komplette Audittermin läuft online – üblich bei Dokumentationsprüfungen und bei Organisationen ohne physische Prozesse.
- Hybrides Audit: Teile laufen remote (etwa Dokumentenprüfung und Interviews mit der Verwaltung), Teile vor Ort (Begehung der Produktion). Das häufigste Modell.
- Remote-Unterstützung: Der Auditor ist vor Ort, zieht aber Fachexperten oder weitere Standorte per Video hinzu.
Wichtig zur Einordnung: Ein Remote-Audit ist kein vereinfachtes Audit. Auditumfang, Auditzeit, Stichproben und Bewertungsmaßstäbe bleiben identisch – nur der Übertragungsweg ändert sich. Wer sich von einem Online-Termin ein „Audit light“ verspricht, wird enttäuscht.
Sind Remote-Audits zulässig? Der Rahmen
Ja – unter Bedingungen. Den Rahmen für akkreditierte Zertifizierungsstellen setzt das International Accreditation Forum (IAF) mit dem verbindlichen Dokument IAF MD 4, das den Einsatz von Informations- und Kommunikationstechnik in Audits regelt. Es gilt für alle akkreditierten Stellen weltweit; die DAkkS überwacht in Deutschland die Einhaltung. Auch seriöse nicht akkreditierte Zertifizierungsstellen orientieren sich an dieser Logik, weil sie schlicht gutes Audithandwerk beschreibt.
Der Grundsatz des IAF MD 4 lässt sich in einem Satz zusammenfassen: Remote-Technik darf eingesetzt werden, wenn sie die Auditziele genauso gut erreicht wie die Präsenz vor Ort – und das muss vorab geprüft und dokumentiert werden, nicht hinterher behauptet.
Die Corona-Jahre haben gezeigt, dass das für viele Auditsituationen funktioniert: Zehntausende Zertifizierungen wurden remote aufrechterhalten. Sie haben aber auch die Grenzen sichtbar gemacht – etwa bei Erstzertifizierungen von Produktionsbetrieben, bei denen Auditoren Arbeitsumgebungen nie mit eigenen Augen gesehen hatten. Die heutige Praxis ist deshalb differenzierter: Remote ist Standard, wo es passt, und tabu, wo es die Aussagekraft des Audits untergräbt.
Die IAF-MD-4-Logik: Vier Prüffragen vor jedem Remote-Audit
Verständlich übersetzt verlangt die IAF-MD-4-Logik, dass vier Fragen positiv beantwortet werden, bevor ein Audit (ganz oder teilweise) remote stattfindet:
- Sind beide Seiten einverstanden? Der Einsatz von Remote-Technik wird zwischen Zertifizierungsstelle und Unternehmen vereinbart – keine Seite kann ihn einseitig erzwingen. Das Einverständnis umfasst auch die eingesetzten Werkzeuge.
- Bestätigt eine Risikobewertung die Machbarkeit? Die Zertifizierungsstelle prüft vorab: Was kann remote nicht gesehen werden – und gefährdet das die Auditziele? Bewertet werden unter anderem die Art der Prozesse (Büro oder Werkhalle), die Vorgeschichte des Unternehmens und die Auditart.
- Sind Technik, Vertraulichkeit und Datenschutz gesichert? Stabile Verbindung, funktionierende Werkzeuge und klare Regeln: Wer nimmt teil, was wird geteilt, wird aufgezeichnet (in der Regel: nein), wie werden personenbezogene und vertrauliche Daten geschützt?
- Sind die Auditnachweise gleichwertig? Der Auditor muss remote dieselben Nachweise erheben können wie vor Ort – Dokumente einsehen, Personen unabhängig befragen, Prozesse beobachten. Wo das nicht geht, braucht es Vor-Ort-Anteile.
Das Ergebnis dieser Prüfung wird dokumentiert, und die Entscheidung fließt in den Auditplan ein. Remote verbrachte Auditzeit zählt dabei als vollwertige Auditzeit – vorausgesetzt, die Gleichwertigkeit ist gegeben. Genau daran hängt auch die Grenze: Ein Audit, das nur deshalb remote läuft, weil es bequemer ist, obwohl wesentliche Bereiche unsichtbar bleiben, verstößt gegen diese Logik.
Welche Audits sich remote eignen – und welche nicht
Die Eignung hängt von zwei Faktoren ab: Was wird geprüft, und wie viel davon ist physisch? Die Übersicht:
| Auditsituation | Remote-Eignung | Begründung |
|---|---|---|
| Stufe-1-Audit (Dokumentationsprüfung) | Hoch | Prüfgegenstand sind Dokumente und Systemreife – vollständig digital möglich; bei KCERT etwa läuft Stufe 1 standardmäßig remote |
| Überwachungsaudit bei Büro- und IT-Organisationen | Hoch | Stichprobenprüfung bekannter Prozesse, keine physische Arbeitsumgebung |
| Stufe-2-Audit bei reinen Dienstleistungs- oder Softwareunternehmen | Mittel bis hoch | Gelebte Praxis ist digital beobachtbar; erste Zertifizierung profitiert dennoch von Präsenzanteilen |
| Rezertifizierung bei stabiler Vorgeschichte | Mittel | Organisation ist der Stelle bekannt; hybride Modelle üblich |
| Stufe-2-Audit in Produktion, Werkstatt, Baustelle | Niedrig | Arbeitsbedingungen, Maschinen und Verhalten lassen sich per Kamera nur ausschnitthaft beurteilen |
| ISO-45001-Audits mit Arbeitsschutzfokus | Niedrig | Gefährdungen, Verhalten und Sicherheitskultur erfordern eigene Wahrnehmung vor Ort |
Als Faustregel: Je mehr das Audit von physischer Beobachtung lebt, desto größer muss der Vor-Ort-Anteil sein. Für ein ISO-27001-Audit eines Cloud-Unternehmens ist remote oft sogar das natürlichere Format – die geprüften Systeme sind ohnehin nur am Bildschirm sichtbar.
Technik und Datenschutz: Das brauchen Sie im Haus
Die technischen Anforderungen sind überschaubar, entscheiden aber über den Auditverlauf:
- Stabile Verbindung überall dort, wo auditiert wird: Im Besprechungsraum reicht das WLAN, in der Halle oder im Lager braucht es Mobilfunkabdeckung oder mobile Hotspots – vorher testen, nicht am Audittag.
- Videokonferenz mit Bildschirmfreigabe: ein gängiges System genügt; wichtig sind funktionierende Kameras, Headsets gegen Hallenlärm und ein zweiter Bildschirm für die Person, die Dokumente zeigt.
- Klare Freigaberegeln: Gezeigt wird im Termin, was der Auditor sehen will – per Bildschirmfreigabe aus den eigenen Systemen. Massenhafte Dokumenten-Uploads vorab sind weder nötig noch ratsam; die Datenhoheit bleibt so im Unternehmen.
- Vertraulichkeit und DSGVO: keine Aufzeichnung ohne ausdrückliche Zustimmung beider Seiten, Vertraulichkeitsvereinbarung wie beim Präsenzaudit, sensible personenbezogene Daten (etwa in Personalakten) nur soweit erforderlich zeigen und gegebenenfalls abdecken.
Bewährt hat sich ein 15-minütiger Technik-Check einige Tage vor dem Audit: Verbindung, Kamera, Bildschirmfreigabe und der Kamera-Rundgang durch kritische Bereiche werden einmal durchgespielt. Das kostet wenig und verhindert die zähe erste Auditstunde, in der sonst Technik statt Managementsystem geprüft wird.
So läuft ein Remote-Audit ab
Der Ablauf entspricht dem Präsenzaudit – mit angepasster Logistik. Der Auditplan legt zusätzlich fest, welche Teile remote laufen, welche Werkzeuge genutzt werden und wer wann zugeschaltet wird. Der Tag beginnt mit dem Eröffnungsgespräch per Video, danach folgen die Auditblöcke: Interviews mit den Prozessverantwortlichen, Einsicht in Dokumente und Systeme per Bildschirmfreigabe, bei Bedarf virtuelle Begehungen per Smartphone oder Tablet – der Mitarbeitende vor Ort führt die Kamera, der Auditor dirigiert („Zeigen Sie mir bitte das Prüfmittel an Platz 3“).
Drei Unterschiede zum Präsenztermin sollten Sie einplanen:
- Straffere Taktung, mehr Pausen: Videotermine ermüden schneller. Blöcke von 60 bis 90 Minuten mit kurzen Pausen halten die Qualität hoch – ein Remote-Audittag wird deshalb oft auf zwei halbe Tage verteilt.
- Disziplinierte Gesprächsführung: Ohne Körpersprache reden Menschen leichter aneinander vorbei. Eine Person spricht, Rückfragen werden explizit gestellt, Ergebnisse am Blockende zusammengefasst.
- Ansprechpersonen auf Abruf: Statt alle Beteiligten den ganzen Tag zu binden, werden sie nach Plan zugeschaltet – das spart intern erheblich Zeit.
Das Abschlussgespräch mit allen Feststellungen läuft wie gewohnt, der Auditbericht folgt auf demselben Weg wie beim Präsenzaudit. Für die Gültigkeit des Zertifikats macht es keinen Unterschied, ob das Audit remote oder vor Ort stattgefunden hat.
Vor- und Nachteile ehrlich abgewogen
Die Vorteile sind real: keine Reisekosten und Anfahrtszeiten, flexiblere Terminfindung (auch kurzfristig und über Standorte hinweg), weniger Störung des Tagesgeschäfts, und Fachleute können punktgenau zugeschaltet werden statt den ganzen Tag bereitzustehen. Für Unternehmen mit mehreren Standorten oder internationalen Teams ist remote oft die einzige praktikable Form, alle Beteiligten einzubinden.
Die Nachteile sind genauso real: Der Auditor sieht nur, was die Kamera zeigt – das Ölfass hinter dem Regal, der abgeklebte Notausgang oder die improvisierte Verlängerungsschnur bleiben unsichtbar. Die informellen Nebengespräche an der Kaffeemaschine, aus denen erfahrene Auditoren viel über die gelebte Kultur lernen, entfallen. Und für das auditierte Team ist ein Videotag anstrengender, als viele erwarten.
Die ehrliche Einordnung: Remote-Audits sind ein vollwertiges Werkzeug, kein Ersatz für jede Präsenz. Die beste Praxis kombiniert beides – Dokumentation und Interviews remote, physische Bereiche vor Ort. Misstrauisch sollten Sie werden, wenn eine Zertifizierungsstelle pauschal alles remote anbietet, obwohl Ihr Betrieb aus Werkhallen besteht: Das spart der Stelle Reisekosten, entwertet aber Ihr Audit – und im Zweifel die Aussagekraft Ihres Zertifikats.
Häufige Fragen
Grundsätzlich ja, wenn die Risikobewertung ergibt, dass alle Auditziele remote erreichbar sind – realistisch ist das bei Organisationen ohne physische Prozesse, etwa Software- oder Beratungsunternehmen. Bei Betrieben mit Produktion, Lager oder Baustellen bestehen akkreditierte Stellen auf Vor-Ort-Anteilen, mindestens im Stufe-2-Audit. Üblich ist das hybride Modell: Stufe 1 remote, Stufe 2 ganz oder teilweise vor Ort.
Ja. Wenn die Gleichwertigkeit der Nachweiserhebung gegeben ist, wird remote verbrachte Auditzeit genauso angerechnet wie Präsenzzeit – der Auditumfang schrumpft durch das Format nicht. Ein Remote-Audit ist deshalb auch kein verkürztes Audit: Dieselben Prozesse werden mit denselben Stichproben geprüft, nur eben über Bildschirm und Kamera statt im Besprechungsraum.
Ein gängiges Videokonferenzsystem mit Bildschirmfreigabe, stabile Internetverbindung in allen auditierten Bereichen, Kameras und Headsets – für virtuelle Begehungen ein Smartphone oder Tablet mit Mobilfunkverbindung. Spezialsoftware ist nicht nötig. Entscheidend ist der Testlauf vorab: Verbindung in der Halle, Bildschirmfreigabe aus den relevanten Systemen und der Kamera-Rundgang sollten vor dem Audittag einmal durchgespielt sein.
Kurze Unterbrechungen werden schlicht nachgeholt – der Auditplan sollte dafür Pufferzeiten und einen Ausweichkanal (etwa Telefon) vorsehen. Lässt sich ein wesentlicher Auditteil dauerhaft nicht remote durchführen, wird er verschoben oder als Vor-Ort-Termin nachgeholt. Ein Audit scheitert nicht an zehn Minuten Verbindungsproblemen, wohl aber an Bereichen, die dauerhaft unsichtbar bleiben.
Die Auditzeit selbst kostet gleich viel, denn der Prüfumfang bleibt identisch. Gespart werden Reisekosten, Übernachtungen und Spesen des Auditors – bei tagessatzbasierter Abrechnung kann das mehrere Hundert Euro pro Termin ausmachen. Bei Festpreismodellen sind Reisekosten meist bereits einkalkuliert. Der größere Spareffekt liegt intern: weniger gebundene Mitarbeiterzeit und kein Organisationsaufwand für den Besuchstag.
Nur mit ausdrücklicher Zustimmung des Unternehmens – und die ist unüblich. Der Standard ist: keine Aufzeichnung. Der Auditor dokumentiert seine Feststellungen wie beim Präsenzaudit schriftlich mit Fundstellen; Screenshots oder Kopien vertraulicher Unterlagen werden nur im vereinbarten Rahmen erstellt. Die Vertraulichkeitspflichten der Zertifizierungsstelle gelten remote uneingeschränkt weiter, inklusive DSGVO-konformen Umgangs mit personenbezogenen Daten.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT