Auditprogramm planen: So baut ihr euren Jahresauditplan nach ISO 9001

ISO 9001:2015 verlangt in Kapitel 9.2 kein bestimmtes Tool und kein bestimmtes Format - aber ein dokumentiertes, an Risiko und Bedeutung der Prozesse ausgerichtetes Auditprogramm. Genau das ist in der Praxis der Punkt, an dem viele Auditprogramme aus dem Ruder laufen: Sie entstehen als reine Terminliste statt als geplante, begründete Abdeckung der wichtigsten Prozesse und Anforderungen.

Was die Norm konkret verlangt

Nach ISO 9001:2015, Kapitel 9.2.2, muss eine Organisation ein Auditprogramm festlegen, umsetzen und pflegen, das Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung berücksichtigt - ausgerichtet an der Bedeutung der betroffenen Prozesse, an Veränderungen, die die Organisation betreffen, sowie an den Ergebnissen vorheriger Audits. Verlangt werden zwei Arten dokumentierter Information: das Auditprogramm selbst (Umfang, Kriterien, Häufigkeit, Methoden, Verantwortlichkeiten) und die Auditergebnisse (Feststellungen, Nichtkonformitäten, Korrekturmaßnahmen).

Als Orientierung für die Durchführung verweist die Norm auf ISO 19011, den Leitfaden zur Auditierung von Managementsystemen. Dort finden sich unter anderem Angaben zum Aufwand: Für ein vollständiges internes ISO-9001-Audit bei einer mittelgroßen Fertigungsorganisation werden in Anlehnung an ISO 19011:2018, Kapitel 5.4, in der Praxis häufig 2 bis 3 Auditorentage angesetzt - eine nützliche Hausnummer für die eigene Ressourcenplanung, auch wenn der tatsächliche Aufwand je nach Prozesskomplexität variiert.

Risikobasiert statt abteilungsbasiert planen

Ein verbreiteter, aber laut ISO-9001-Fachliteratur nicht optimaler Ansatz ist es, Auditpläne entlang der Organisationsstruktur (Abteilung für Abteilung) statt entlang der Normanforderungen aufzubauen. Ein anforderungsbasierter Auditplan - zuerst die ISO-9001-Anforderungen betrachten, dann die zuständigen Bereiche zuordnen - deckt eher Schnittstellenprobleme zwischen Abteilungen auf, die ein rein abteilungsbezogener Plan übersieht. ISO 19011 definiert Auditkriterien entsprechend breit: Sie können neben der Norm selbst auch Leistungskennzahlen, gesetzliche und regulatorische Anforderungen sowie Anforderungen relevanter interessierter Parteien umfassen.

Für die Priorisierung, welche Prozesse wie oft auditiert werden, hat sich ein risikobasierter Ansatz etabliert: Prozesse mit höherem Risiko oder jüngeren Änderungen werden häufiger auditiert als stabile, unkritische Bereiche. Das deckt sich mit der expliziten Normanforderung, frühere Auditergebnisse und Veränderungen der Organisation in die Planung einzubeziehen.

Schritt für Schritt zum Auditprogramm

1. Geltungsbereich festlegen: Welche Prozesse, Standorte und Normanforderungen deckt das Programm im Planungszeitraum ab?
2. Kriterien definieren: Norm, interne Verfahrensanweisungen, ggf. Kundenanforderungen - das wird zur Referenz für jedes Einzelaudit.
3. Risikobasiert priorisieren: Prozesse mit Vorjahresfeststellungen, Änderungen oder hoher Auswirkung auf Produkt-/Servicequalität erhalten höhere Frequenz.
4. Ressourcen und Auditorinnen/Auditoren zuweisen: Unabhängigkeit sicherstellen - niemand auditiert den eigenen Verantwortungsbereich.
5. Termine und Methoden festlegen: Dokumentenprüfung, Beobachtung, Interviews - je nach Prozess unterschiedlich gewichtet.
6. Freigabe durch die Leitung einholen und das Programm als dokumentierte Information ablegen.
7. Nach Abschluss auswerten: Ergebnisse fließen in die nächste Programmplanung und in das Management-Review ein.

Typische Fehler in der Praxis

Ein wiederkehrender Schwachpunkt: Das Auditprogramm wird isoliert von der Nachverfolgung der Korrekturmaßnahmen geführt. Feststellungen aus einem Audit landen in einer separaten Liste, ohne klare Verbindung zum ursprünglichen Auditplan - wie eine strukturierte Übergabe von Feststellung zu Korrekturmaßnahme aussehen kann, behandeln wir im Detail im Beitrag zum Findings- und CAPA-Prozess. Ebenso häufig: Auditorinnen und Auditoren werden nicht ausreichend im Auditprozess selbst geschult, obwohl ISO 19011 hierfür explizit Kompetenzanforderungen formuliert - Wissen über die Norm allein reicht nicht aus.

Warum ein digitales Auditprogramm den Unterschied macht

Ein Auditprogramm in einer Excel-Tabelle erfüllt formal die Normanforderung, macht aber zwei Dinge schwer nachvollziehbar: erstens, ob die Priorisierung tatsächlich risikobasiert erfolgt und nicht einfach die Liste des Vorjahres kopiert wurde, und zweitens, wie viele der geplanten Audits tatsächlich zu abgeschlossenen, wirksamen Korrekturmaßnahmen geführt haben. In qportal ist das Auditprogramm die strukturelle Klammer über allen Audits eines Zeitraums - jedes Einzelaudit, jede Feststellung und jede daraus resultierende Maßnahme bleibt sichtbar mit dem Programm verknüpft, statt in Einzeldokumenten zu verschwinden. Details zum Aufbau von Auditprogrammen und zur Rollenverteilung im Auditteam gibt es in der Dokumentation sowie im Abschnitt zum Auditteam.

Fazit

Ein Auditprogramm ist mehr als ein Terminkalender: Es ist der Nachweis, dass eine Organisation ihre wichtigsten Risiken und Prozesse systematisch im Blick behält. Wer Geltungsbereich, Kriterien und Priorisierung sauber trennt und das Programm durchgängig mit den Ergebnissen der Einzelaudits verknüpft, erfüllt nicht nur Kapitel 9.2 - sondern gewinnt tatsächlich verwertbare Erkenntnisse aus jedem Auditzyklus.

Quellen

• ISO 9001:2015, Kapitel 9.2 (Internes Audit) - Zusammenfassung u. a. via iso9001help.co.uk und davidbarker.consulting
• ISO 19011:2018 - Aufwandsangabe (2-3 Auditorentage, Kapitel 5.4) via m2yacademy.com
• Ecesis: ISO 9001 Clause 9.2: Internal Audit / QMS Audit Program (risikobasierte Priorisierung, Prozess- statt Klausel-Ansatz) - ecesis.net