Internes Audit: Ein Auditprogramm zu haben ist nicht dasselbe, wie es durchzuführen

Mitte November, das Überwachungsaudit ist für den 20. Januar angesetzt. Sie öffnen „Auditprogramm_2026.xlsx“, um die Unterlagen zusammenzustellen. Neun Bereiche untereinander, zwölf Monate nebeneinander, in jeder Zeile ein Kreuz für den geplanten Monat. Rechts daneben eine Spalte „durchgeführt am“. Bei vier Bereichen steht dort ein Datum. Bei Einkauf (März), Produktion (Juni), Versand (September), Personal und Entwicklung steht nichts.

Keines dieser Audits wurde abgesagt. Sie sind einfach nicht passiert: Im März war Inventur, im Juni ein Großauftrag, im September Urlaubszeit. Jetzt bleiben sechs Wochen für fünf Audits, und der Einzige mit Auditorenschulung, der im Dezember Zeit hat, ist der Produktionsleiter. Er würde also seinen eigenen Bereich auditieren. Und während Sie das durchrechnen, fällt Ihnen auf, dass Sie auch bei den vier durchgeführten Audits nicht sicher sagen können, was aus den Feststellungen geworden ist. Die stehen in vier Word-Berichten, und keiner davon hat ein Feld „erledigt“.

Warum ein Auditprogramm in Excel so leicht zur Absichtserklärung wird

Das Programm aufzustellen ist der leichte Teil. Es entsteht im Januar, alle sind sich einig, die Kreuze sind schnell gesetzt. Schwierig wird es danach, und das liegt weniger an mangelnder Disziplin als an drei Eigenschaften der Datei:

• Ein Kreuz meldet sich nicht. Wenn der März vorbei ist und das Einkaufsaudit nicht stattgefunden hat, ändert sich in der Tabelle nichts. Rot wird die Zelle erst, wenn jemand sie rot färbt, und dafür muss er die Datei öffnen und nachzählen.
• Programm, Bericht und Maßnahme leben getrennt. Das Programm steht in Excel, die Feststellungen im Word-Bericht, die Korrekturmaßnahmen in einer dritten Liste oder nirgends. Ob ein Audit wirklich „fertig“ ist, also mit erledigten Maßnahmen, sieht man in keiner der drei Dateien.
• Welche Kapitel geprüft wurden, weiß niemand auf einen Blick. Neun Bereiche heißen nicht, dass auch alle Normanforderungen abgedeckt sind. Ob 8.4 oder 7.1.5 in diesem Zyklus überhaupt jemand angesehen hat, steht verteilt in den Berichten.

Das Ergebnis ist der Dezember-Endspurt aus der Szene oben. Er hat zwei Nebenwirkungen, die oft schwerer wiegen als die verspäteten Termine: Audits unter Zeitdruck werden zu Abhak-Runden ohne Erkenntnis, und wer kurzfristig einspringt, ist nicht immer unabhängig vom geprüften Bereich.

Was Kapitel 9.2 der ISO 9001 verlangt

Die Norm unterscheidet bewusst zwei Dinge. Nach 9.2.1 muss die Organisation in geplanten Abständen interne Audits durchführen, um zu erfahren, ob das Qualitätsmanagementsystem die eigenen Anforderungen und die der Norm erfüllt und wirksam verwirklicht ist. Nach 9.2.2 a) muss sie dafür ein Auditprogramm planen, aufbauen, verwirklichen und aufrechterhalten, und zwar mit Blick auf die Bedeutung der Prozesse, auf Änderungen und auf die Ergebnisse vorheriger Audits.

Dazu kommen ein paar Anforderungen, an denen ein Excel-Programm regelmäßig vorbeigeht: Für jedes Audit sind Kriterien und Umfang festzulegen (9.2.2 b). Auditoren sind so auszuwählen, dass Objektivität und Unparteilichkeit sichergestellt sind (9.2.2 c), was praktisch heißt, dass niemand seine eigene Arbeit auditiert. Die Ergebnisse gehen an die zuständige Leitung (d), Korrekturen und Korrekturmaßnahmen sind ohne ungerechtfertigte Verzögerung umzusetzen (e), und als Nachweis ist dokumentierte Information über die Verwirklichung des Programms und die Ergebnisse aufzubewahren (f).

Wichtig ist das Wort „verwirklichen“. Die Norm verlangt nicht, jeden Bereich jedes Jahr zu auditieren, das Programm darf nach Bedeutung und Risiko gewichtet sein. Aber was im Programm steht, gilt als Plan, und ein externer Auditor prüft genau das: Er nimmt Ihr Programm und hakt ab. Ein Programm, das zur Hälfte nicht umgesetzt wurde, gehört deshalb zu den häufigsten Feststellungen unter 9.2. Wie das Kapitel in die übrige Norm eingebettet ist, zeigt der Überblick „ISO 9001 einfach erklärt„.

Wie ein Auditprogramm aussieht, das tatsächlich abgearbeitet wird

Das Prinzip gilt mit und ohne Software. Erstens: Ein geplanter Termin, der verstreicht, muss von selbst auffallen, im selben Monat und nicht im November. Zweitens: Programm, Feststellungen und Maßnahmen gehören zusammen. Ein Audit ist erst dann erledigt, wenn jede Abweichung eine Maßnahme hat. Drittens: Die Abdeckung der Normkapitel ist sichtbar, damit Lücken bei der Planung auffallen und nicht beim Zertifizierer. Viertens: Die Auswahl der Auditoren ist eine dokumentierte Entscheidung, mit Qualifikation und ohne Prüfung des eigenen Bereichs.

So macht es die QVM-Software

Im Modul „Interne Audits“ der QVM Audit-Software ist das Auditprogramm ein Jahresraster aus Bereichen und Monaten. Jedes Audit darin ist ein echter Datensatz mit Termin, Lead-Auditor, Umfang und Normkapiteln, kein Kreuz. Das Programm hat einen eigenen Status, Entwurf oder freigegeben, und lässt sich als PDF exportieren. Unter dem Raster zählt die Software mit, wie viele Audits geplant, abgeschlossen und überfällig sind, und rechnet den Fortschritt in Prozent.

Der entscheidende Unterschied zum Kreuz in Excel: Ein Audit, dessen geplanter Termin verstrichen ist, ohne dass es begonnen wurde, wechselt von selbst auf „überfällig“. Es erscheint rot im Programm und in den Benachrichtigungen. Die Auditbereitschaft führt solche Audits als Blocker zu Kapitel 9.2 und nennt sie mit Nummer und Bereich. Genauso meldet sie, wenn für das laufende Jahr kein Programm angelegt ist, wenn es noch nicht freigegeben ist oder wenn das letzte abgeschlossene interne Audit mehr als zwölf Monate zurückliegt. Sie erfahren es also im März und nicht im November.

Unter dem Raster zeigt die Software zudem, welche Normkapitel die Audits des Jahres abdecken, je Norm als Zahl der abgedeckten Kapitel und Kapitel für Kapitel markiert. Wer die ISO 27001 mit auditiert, sieht dort auch die Abdeckung von Anhang A. Damit wird die Frage „Haben wir 8.4 dieses Jahr überhaupt angesehen?“ zu einem Blick statt zu einer Suche in Berichten.

Im einzelnen Audit hängt alles zusammen. Aus den gewählten Normkapiteln entsteht eine Checkliste mit Prüffragen, die sich ergänzen und als Vorlage für das nächste Mal speichern lässt. Wer bei einer Frage eine Abweichung oder einen Verbesserungsvorschlag einträgt, erzeugt damit automatisch die Feststellung, ohne sie ein zweites Mal abzutippen. Zu jeder Feststellung lässt sich direkt im Audit eine Maßnahme anlegen, die anschließend im gemeinsamen Maßnahmenplan verfolgt wird (wie das läuft, steht in „Maßnahmenmanagement„). Und der Abschluss ist an eine Bedingung geknüpft: Solange eine Abweichung oder ein Verbesserungsvorschlag noch keine Maßnahme hat, lässt sich das Audit nicht abschließen. Die Software nennt dann die betroffenen Feststellungen. Der Auditbericht entsteht als PDF aus denselben Daten.

Auch bei der Auswahl der Auditoren hilft das System mit. Jeder Auditor hat ein Profil mit seinen Normschulungen, und ein Audit lässt sich nur speichern, wenn der Lead-Auditor für die geprüften Normen geschult ist. Andernfalls verlangt die Software einen qualifizierten Auditor oder die Ergänzung der Schulung. Die Unabhängigkeit vom geprüften Bereich prüft sie dagegen nicht. Ob der Produktionsleiter die Produktion auditieren darf, bleibt eine Entscheidung, die Sie treffen und begründen müssen. Durch das Jahresraster fällt die Engpasslage aber deutlich früher auf, und dann ist meistens noch Zeit, einen unabhängigen Auditor einzuplanen.

Fazit

Ein Auditprogramm beweist nur, dass Sie geplant haben. Kapitel 9.2 verlangt außerdem, dass Sie es umsetzen, unabhängig auditieren und die Ergebnisse ohne Verzögerung in Maßnahmen überführen. In Excel scheitert das selten am Willen, sondern daran, dass ein verpasster Termin nicht auffällt und Programm, Bericht und Maßnahme nichts voneinander wissen. Was mit den Feststellungen danach geschieht, beschreibt der Beitrag zum Maßnahmenmanagement. Warum diese Lücken in einer Dateisammlung strukturell entstehen, zeigt der Grundlagenbeitrag „Warum ein Qualitätsmanagement aus Excel Sie das Zertifikat kosten kann„.

Wenn Sie beim Blick auf Ihr diesjähriges Auditprogramm nicht sicher sagen können, wie viele der geplanten Audits stattgefunden haben: In einem kostenlosen Erstgespräch zeigen wir Ihnen an der QVM Audit-Software, wie ein Programm aussieht, das selbst meldet, was noch fehlt.