IATF 16949 Audits: Was zusätzlich zur ISO 9001 gilt

Aktualisiert am 30. September 2026. Dieser Beitrag wurde vollständig überarbeitet und stützt sich jetzt ausschließlich auf Erstquellen von IATF, VDA und Herstellern. Dabei wurden mehrere frühere Angaben korrigiert: Der 12-Monats-Rhythmus der Überwachungsaudits ist eine Option, keine Pflicht; die Prozentgrenzen für die VDA-6.3-Einstufung sind entfernt, weil sie sich frei nicht belegen lassen; und 1999 entstand ISO/TS 16949, nicht IATF 16949.

Wer von ISO 9001 in die Automobilzulieferung wechselt, unterschätzt regelmäßig, wie viel zusätzliche Auditarbeit IATF 16949 bedeutet. Das liegt nicht an einem anderen Managementsystem, sondern daran, dass die Automobilnorm dort verschärft, wo es im Werk darauf ankommt: welche Audits es gibt, wie oft, auf welchen Schichten — und nach wessen Methode.

Was IATF 16949 ist

IATF 16949 ist keine eigenständige Norm, sondern ergänzt ISO 9001 und wird nur zusammen mit ihr angewendet. Die International Automotive Task Force hat 1999 zunächst ISO/TS 16949 geschaffen, um die unterschiedlichen Bewertungs- und Zertifizierungssysteme der Automobilzulieferkette weltweit zu harmonisieren; nach Ausgaben 2002 und 2009 hat IATF 16949:2016 diese Spezifikation abgelöst [1]. Die erste Ausgabe erschien im Oktober 2016 [3] und nahm eine Reihe vorher kundenspezifischer Anforderungen in den Normtext auf [1].

Die zweite Ausgabe ist für Mitte 2027 angekündigt; ihre Übergangszeit endet mit der der ISO 9001 [9]. Was das für die Planung heißt, steht im Beitrag zur IATF 16949, 2. Ausgabe.

Drei Audittypen statt einem

ISO 9001 kennt das interne Audit als einen Typ. IATF 16949 unterscheidet in 9.2.2.2 bis 9.2.2.4 drei, jeweils mit eigenem Rhythmus [2][3][10]:

Drei Präzisierungen der IATF sind in der Praxis besonders relevant:

• Schichten müssen nicht in jedem Audit vollständig abgedeckt werden. Ein Prozess kann in einem Jahr auf der ersten und zweiten Schicht einschließlich Übergabe, im nächsten auf der dritten auditiert werden — solange über drei Jahre alle Schichten erfasst sind [3].
• Drei Jahre sind nicht der Normalfall, sondern das Minimum. Wird bei einem Fertigungsprozess irgendeine relevante Anforderung nicht eingehalten — gesetzlich, kundenseitig, prozessbezogen oder intern —, ist er häufiger als alle drei Jahre zu auditieren [3].
• Die Frequenz braucht eine Begründung. Für das Systemaudit verlangt die IATF ausdrücklich, dass die Organisation die zugewiesene Auditfrequenz ihrer Prozesse begründen kann [2].

Ein Produktaudit ist dabei mehr als eine Maßprüfung: Es kann Maß-, Funktions- und Werkstoffanforderungen umfassen, an fertigen oder teilfertigen Produkten, einschließlich Verpackung und Kennzeichnung [3]. Eine Layout-Prüfung nach 8.6.2 — die vollständige Vermessung aller Maße der Konstruktionsvorgabe — beschränkt sich dagegen auf die Maße [3].

Das Zertifizierungsaudit nach Regelwerk Ausgabe 6

Wie Zertifizierungsstellen IATF 16949 auditieren, regelt nicht die Norm, sondern das IATF-Regelwerk. Die 6. Ausgabe wurde im April 2024 veröffentlicht und gilt seit dem 1. Januar 2025 [4]. Die frei zugänglichen Erläuterungen der IATF dazu enthalten mehrere Punkte, die Zulieferer direkt betreffen [5]:

• Mindestens 30 Prozent der Auditzeit in der Fertigung. Laufen während des geplanten Audits nicht genügend Fertigungsprozesse, um das zu erfüllen, ist das Audit zu verschieben — nicht zu verkürzen.
• Überwachungsintervall. Neben den bisherigen Intervallen ist ein 12-Monats-Rhythmus möglich, wenn Zertifizierungsstelle und Organisation das vereinbaren; die Summe der Überwachungsaudittage muss dann weiterhin den Tagen des Erstaudits entsprechen.
• Vorlaufzeiten. Der Audittermin wird mindestens 90 Kalendertage vorher bestätigt, der Auditplan mindestens 14 Kalendertage vorher übermittelt; zwischen Stufe-1- und Stufe-2-Audit liegen mindestens 20 Kalendertage.

Einschätzung: Die 30-Prozent-Regel ist der Punkt, an dem sich die Vorbereitung am meisten ändert. Wer das Zertifizierungsaudit in eine Woche mit Anlagenstillstand oder Inventur legt, riskiert eine Verschiebung.

VDA 6.3: der Standard für das Prozessaudit

IATF 16949 schreibt für das Prozessaudit keine Methode vor, sondern verlangt die des Kunden [3]. Im deutschen Umfeld ist das meist VDA 6.3. Der Band erschien erstmals 1998, wurde 2010 und 2016 überarbeitet; aktuell ist die 4. Ausgabe vom Januar 2023 [6]. Laut VDA sind über die Ausgaben hinweg gleich geblieben [6]:

• die Gliederung in Prozesselemente, von denen P2 bis P7 je nach Audit anwendbar sind, und das Turtle-Modell zur Beschreibung der Prozesse,
• das Bewertungsmodell für die Einzelfrage mit 10, 8, 6, 4 oder 0 Punkten,
• die Einstufung des Gesamtergebnisses in A, B und C sowie die Abstufungsregeln.

Neu in der Ausgabe 2023 sind unter anderem Softwareaspekte im Fragenkatalog, Anforderungen an Beschaffungsaktivitäten in P3 und P4, eine präzisierte Auditorenqualifikation und Hinweise zu Remote-Audits; die Fragen mit besonderer Bedeutung (die „*-Fragen“) wurden teilweise neu definiert. Das Kapitel zum Auditprozess ist entfallen, weil ISO 19011 ihn abdeckt [6]. Ein wichtiger Hinweis des VDA für Mehrjahresvergleiche: Ergebnisse nach der Ausgabe 2023 sind mit denen nach der Ausgabe 2016 nicht direkt vergleichbar [6].

Einschätzung: Wer Prozessaudit-Ergebnisse als Kennzahl über mehrere Jahre führt, sollte den Wechsel der VDA-Ausgabe im Verlauf kennzeichnen — sonst sieht ein Methodenwechsel aus wie eine Leistungsänderung.

Layered Process Audits: Pflicht über den Kunden

Layered Process Audits (LPA) — kurze, wiederkehrende Prüfungen standardisierter Abläufe durch mehrere Hierarchieebenen — stehen nicht in IATF 16949. Verbindlich werden sie über Kundenanforderungen. General Motors verlangt in seinen kundenspezifischen Anforderungen zu 9.2.2.3 einen internen LPA-Prozess, geführt von kompetenten Führungskräften, mit unter anderem [7]:

• einem Plan mit Häufigkeit und Orten,
• Ebenen, die verschiedene Mitarbeitergruppen bis zur obersten Leitung einschließen,
• einer Auslösung durch Kundenreklamationen auf dem verursachenden Prozess,
• Feststellungen, die aufgezeichnet und zur Verbesserung ausgewertet werden, und einem Maßnahmenplan für alles, was im Audit nicht sofort korrigiert werden kann,
• regelmäßig überarbeiteten Fragen, die auf die Schwächen der Organisation zielen,
• LPA als Teil der Verifizierung von Korrekturmaßnahmen.

Zusätzlich verlangt GM jährliche Bewertungen bestimmter Spezialprozesse nach den jeweils aktuellen AIAG-CQI-Standards und eine jährliche Lückenbewertung des QM-Systems je Fertigungsstandort [7].

Kundenspezifische Anforderungen: die eigentliche Verschärfung

Die IATF veröffentlicht die kundenspezifischen Anforderungen (Customer Specific Requirements, CSR) der beteiligten Hersteller zentral [8]. Sie konkretisieren einzelne Normabschnitte oder gehen darüber hinaus — die LPA-Pflicht bei GM ist ein Beispiel, die 8D-Vorgaben von Ford mit Reaktion in 24 Stunden und 8D nach 15 Kalendertagen ein anderes [8]. Die Systemaudits nach 9.2.2.2 müssen diese Anforderungen stichprobenartig mit abdecken [2].

Ob der 8D-Report vorgeschrieben ist, entscheidet deshalb ebenfalls der Kunde; IATF 16949 verlangt in 10.2.3 einen Problemlösungsprozess, keine bestimmte Methode. Die Details stehen im Beitrag zum 8D-Report nach VDA Band 8D.

Was das für das Auditprogramm bedeutet

Aus ISO-9001-Sicht wächst das Programm in drei Richtungen:

1. Drei Audittypen, drei Zyklen. System-, Prozess- und Produktaudit brauchen je eine eigene Planung und eine Abdeckungsübersicht über den Dreijahreszyklus.
2. Schichten und Übergaben als Planungsgröße. Je Fertigungsprozess muss nachvollziehbar sein, welche Schichten wann auditiert wurden.
3. Begründete Frequenz statt Kalender. Für jeden Prozess die Begründung der Häufigkeit dokumentieren — die IATF verlangt sie ausdrücklich [2], und drei Jahre sind nur für risikoarme, konforme Prozesse zulässig [3].

Dazu kommt je Kunde eine gepflegte Liste der geltenden CSR mit Stand, weil sich diese Dokumente unabhängig von der Norm ändern. Wie ein Auditprogramm grundsätzlich aufgebaut wird, beschreibt der Leitfaden zur Auditprogramm-Planung; die Anforderungen aus ISO 9001 9.2 fasst die Checkliste internes Audit zusammen.

Wie qportal ansetzt

In qportal sind Audittypen und Bewertungsschemata Stammdaten: Ein Prozess- oder Produktaudit lässt sich als eigener Audittyp mit eigenem Fragenkatalog führen, und Bewertungsoptionen können Punktwerte tragen. Jedes Audit hängt an einem Programm, jede Feststellung an einem Auditkriterium, und Feststellungen führen über 5-Why oder 8D zu Maßnahmen mit Wirksamkeitsprüfung. Offen gesagt: Ein vorgefertigter VDA-6.3-Katalog mit A/B/C-Einstufung und Abstufungsregeln sowie eine Schichtplanung im Auditprogramm gehören heute nicht zum Lieferumfang. Mehr auf der Seite zur IATF 16949 und zum Auditmanagement.

Fazit

IATF 16949 verändert nicht das Prinzip des Audits, aber Takt und Tiefe: drei Audittypen mit Dreijahreszyklus als Untergrenze, alle Schichten, begründete Frequenzen, ein Zertifizierungsaudit mit mindestens 30 Prozent Fertigungszeit — und darüber die Kundenanforderungen, die Methoden wie VDA 6.3, 8D oder Layered Process Audits erst verbindlich machen. Wer die Norm liest, ohne die CSR seiner Kunden zu kennen, kennt nur die Hälfte.

Quellen

1. IATF: IATF 16949:2016 — About. Angaben zur Entstehung von ISO/TS 16949 (1999, 2002, 2009) und zur Ablösung durch IATF 16949:2016. https://www.iatfglobaloversight.org/iatf-169492016/about/ (abgerufen am 30.09.2026)
2. IATF: IATF 16949:2016 — Sanctioned Interpretations (SIs). Stand November 2025, darin SI 14 zu Abschnitt 9.2.2.2. https://www.iatfglobaloversight.org/wp/wp-content/uploads/2025/11/IATF-16949-SIs-Nov-2025.pdf (abgerufen am 30.09.2026)
3. IATF: IATF 16949:2016 — Frequently Asked Questions (FAQs). Stand Juni 2026, darin FAQ 19 und 28 zu 9.2.2.3, FAQ 20 und 22 zu 9.2.2.4, FAQ 21 zu 8.6.2. https://www.iatfglobaloversight.org/wp/wp-content/uploads/2026/06/IATF-16949-FAQs_June-2026.pdf (abgerufen am 30.09.2026)
4. IATF: Rules for achieving and maintaining IATF recognition, 6th Edition — Sanctioned Interpretations. Stand Juni 2026; Angaben zu Veröffentlichung (April 2024) und Gültigkeit (1. Januar 2025). https://www.iatfglobaloversight.org/wp/wp-content/uploads/2026/06/IATF-Rules-6th-Edition_Sanctioned-Interpretations-June-2026.pdf (abgerufen am 30.09.2026)
5. IATF: Rules 6th Edition — Certification Body Q&A Session, 19 November 2024. Q&A-Dokument, Dezember 2024; darin Abschnitte 5.1.1, 5.2, 5.7.2 und 6.2.9. https://www.iatfglobaloversight.org/wp/wp-content/uploads/2024/12/Rules-6th-QA-Document_English-December-2024.pdf (abgerufen am 30.09.2026)
6. VDA QMC: Band 6 Teil 3 — Prozessaudit. 4., überarbeitete Auflage, Januar 2023; Produktseite mit Änderungsübersicht. https://webshop.vda.de/QMC/de/band-06-teil-03_ausgabe-2023_de (abgerufen am 30.09.2026). Der Band selbst ist kostenpflichtig.
7. General Motors: Customer Specific Requirements for IATF 16949. Gültig ab 30.10.2025, Abschnitte 9.2.2.2 und 9.2.2.3. https://www.iatfglobaloversight.org/wp/wp-content/uploads/2025/10/IATF-16949-GM-Customer-Specific-Requirements-October-2025.pdf (abgerufen am 30.09.2026)
8. IATF Global Oversight: Customer Specific Requirements (Übersicht), darin Ford Motor Company, Customer Specific Requirements for IATF 16949:2016, gültig ab Juni 2026. https://www.iatfglobaloversight.org/oem-requirements/customer-specific-requirements/ (abgerufen am 30.09.2026)
9. IATF Global Oversight: IATF Stakeholder Communiqué, REF 005: IATF 16949 2nd edition update information. Juli 2026. https://www.iatfglobaloversight.org/wp/wp-content/uploads/2026/07/Stakeholder-Communique-SC-2026-005_IATF-16949-2nd-Edition-status.pdf (abgerufen am 24.08.2026)
10. IATF: IATF 16949:2016 — Automotive Quality Management System Standard. 1. Ausgabe, Oktober 2016, vertrieben in Deutschland über den VDA QMC. Kostenpflichtig; herangezogen für die Abschnitte 9.2.2.2 bis 9.2.2.4 und 10.2.3, in eigenen Worten wiedergegeben.

Nicht zitiert werden Beratungs-, Zertifizierungs- und Content-Marketing-Seiten. IATF 16949 und das IATF-Regelwerk sind kostenpflichtig; Anforderungen sind hier über die frei veröffentlichten Interpretationen, FAQs und Q&A-Dokumente der IATF belegt und in eigenen Worten wiedergegeben. Wo dieser Text über die belegte Quellenlage hinausgeht, ist das als Einschätzung gekennzeichnet.