IATF 16949 Audits: Was zusätzlich zur ISO 9001 gilt

Wer von einer reinen ISO-9001-Zertifizierung in den Automotive-Bereich wechselt, unterschätzt regelmäßig, wie viel zusätzliche Auditarbeit die IATF 16949 tatsächlich mit sich bringt. Das liegt nicht an einem grundlegend anderen Managementsystem-Ansatz, sondern daran, dass die Norm genau an den Stellen verschärft, an denen dokumentenbasierte Lösungen ohnehin brechen: Auditabdeckung, Prozessbewertung und Wirksamkeitsnachweis.

Was IATF 16949 ist - und was nicht

Die IATF 16949 ersetzt die ISO 9001 nicht, sondern ergänzt sie und wird ausschließlich zusammen mit ihr angewendet. Die Norm entstand 1999 aus der International Automotive Task Force - einem Zusammenschluss großer Automobilhersteller und nationaler Branchenverbände - mit dem erklärten Ziel, die bis dahin fragmentierten regionalen Standards zu harmonisieren: QS-9000 in Nordamerika, VDA 6.1 in Deutschland, EAQF in Frankreich und AVSQ in Italien. Statt vier unterschiedlicher Zertifizierungen pro Lieferant gibt es seither einen gemeinsamen Standard. Zertifiziert wird dabei grundsätzlich standortbezogen, nicht unternehmensweit - reine Verwaltungsstandorte ohne Fertigungsbezug fallen in der Regel nicht unter den Geltungsbereich.

Mehr Audits, öfter, mit mehr Abdeckung

Der auffälligste Unterschied zeigt sich schon im Zertifizierungsaudit selbst. Die 6. Ausgabe der IATF-Regeln, veröffentlicht im März 2024 und verbindlich seit Januar 2025, schreibt für reguläre Audits mindestens 1,5 Tage am Hauptfertigungsstandort vor - mit der Vorgabe, dass mindestens 30 Prozent der gesamten Auditzeit auf den Fertigungsprozess selbst entfallen müssen, nicht auf Dokumentenprüfung. Zusätzlich führt die 6. Ausgabe feste 12-Monats-Auditzyklen ein, wo frühere Fassungen mehr Spielraum ließen.

Diese Zeit fließt in zwei Audittypen, die eine reine ISO-9001-Zertifizierung so nicht kennt:

Prozessaudit (Kapitel 9.2.2.3). Die Norm verlangt ausdrücklich, alle Fertigungsprozesse und alle Schichten - inklusive Schichtwechsel - in das interne Auditprogramm aufzunehmen. Das Prozessaudit prüft dabei nicht nur, ob ein Verfahren dokumentiert ist, sondern ob die zugehörige PFMEA und der Kontrollplan tatsächlich wirksam umgesetzt werden.

Produktaudit (Kapitel 9.2.2.4). Ergänzend verlangt die Norm ein Produktaudit anhand eines kundenspezifisch vorgegebenen Ansatzes, an geeigneten Stufen von Produktion und Auslieferung - wahlweise an fertigen oder teilfertigen Produkten.

Der Prozessaudit-Standard dahinter: VDA 6.3

Für das eigentliche Prozessaudit hat sich in der Praxis die Methodik des VDA 6.3 durchgesetzt - kein Zertifizierungsstandard wie IATF 16949 selbst, sondern ein praktisches Auditwerkzeug, das die geforderten Prozessaudits methodisch mit Leben füllt. VDA 6.3 gliedert die Lieferantenprozesse in sieben Prozesselemente P1 bis P7, von der Potenzialanalyse (P1) über Projektmanagement (P2) und Produktentwicklung (P3) bis zur eigentlichen Serienproduktion (P6) und Kundenzufriedenheit (P7). Kernstück von P6 ist das Turtle-Diagramm, das jeden Teilprozess entlang von Input, Output, Ressourcen, Methoden und Kennzahlen bewertet - dieselbe Struktur, die sich auch für die Fragenkatalog-Erstellung in internen Audits bewährt.

Bewertet wird punktbasiert - jede Frage erhält ausschließlich 0, 4, 6, 8 oder 10 Punkte, keine Zwischenwerte -, das Gesamtergebnis wird als Prozentsatz in die Klassen A (100-90 %), B (89-75 %) oder C (unter 75 %) übersetzt. Entscheidend ist eine Durchschlagsregel: Eine einzelne Null-Bewertung bei einer sogenannten K.-o.-Frage kann das Gesamtergebnis unabhängig vom Durchschnitt auf B oder C herabstufen - ein einzelner schwerwiegender Mangel lässt sich also nicht durch viele gute Einzelbewertungen ausgleichen.

Layered Process Audits: Qualität als Linienaufgabe

Zwischen den turnusmäßigen Voll-Prozessaudits setzt die Branche zusätzlich auf Layered Process Audits (LPA) nach der AIAG-Richtlinie CQI-8 - kurze, geschichtete Prüfungen, die dieselben kritischen Prozessmerkmale auf mehreren Organisationsebenen und in deutlich höherer Frequenz abfragen. Typischerweise prüfen Werker oder Schichtführer täglich die unmittelbaren Prozessgrundlagen, Vorarbeiter oder Qualitätspersonal wöchentlich tiefere Kontrollen, während Führungskräfte in monatlichem oder quartalsweisem Rhythmus die systemische Stabilität verifizieren. Der Grundgedanke: Rund drei Viertel der Fertigungsfehler lassen sich auf Abweichungen von definierten Prozessen zurückführen - LPAs sollen genau diese Abweichungen zwischen zwei Vollaudits abfangen, bevor sie sich zu einer Reklamation auswachsen.

Kundenspezifische Anforderungen: die eigentliche Verschärfung

Der am meisten unterschätzte Hebel liegt jedoch nicht im Normtext selbst, sondern in den kundenspezifischen Anforderungen (Customer Specific Requirements, CSR). Jeder große Automobilhersteller veröffentlicht eigene, ergänzende Anforderungen an die IATF 16949, die für seine Lieferanten verbindlich sind - Ford, General Motors und Stellantis etwa stellen ihre jeweils aktuellen CSR-Dokumente öffentlich über die IATF-Global-Oversight-Plattform bereit. Diese Dokumente können einzelne Normkapitel konkretisieren oder verschärfen: Welches Problemlösungsformat verbindlich ist, welche PPAP-Stufe gilt, welche zusätzlichen Freigaben nötig sind. Wer nur den IATF-16949-Normtext kennt, kennt damit erst einen Teil der tatsächlich geltenden Anforderungen seines Kunden.

Ist ein 8D-Report vorgeschrieben?

Ein Beispiel für genau diesen Mechanismus: Die IATF 16949 selbst schreibt in Kapitel 10.2.3 lediglich einen dokumentierten, strukturierten Problemlösungsprozess mit Ursachenanalyse und Wirksamkeitsnachweis vor - keine bestimmte Methode namentlich. Die meisten Automobilhersteller fordern jedoch in ihren CSR einen 8D-Report, wodurch er faktisch, aber nicht durch die Norm selbst, zum Standard wird. Eine ausführliche Anleitung zur Methode und ihrer VDA-spezifischen Ausprägung gibt unser Beitrag zum 8D-Report nach VDA Band 8D.

Was das für die praktische Auditarbeit bedeutet

Für ein Auditprogramm, das von ISO 9001 auf IATF 16949 erweitert wird, ergeben sich daraus konkrete Konsequenzen: Das interne Auditprogramm muss Prozess- und Produktaudits als eigene Audittypen führen, nicht nur das klassische Systemaudit. Die Schichtabdeckung muss im Programm sichtbar geplant sein, nicht dem Zufall überlassen. Und weil CSR sich mit jeder Kundenüberarbeitung ändern können, muss erkennbar sein, welche Version zuletzt geprüft wurde - eine Anforderung, die eine statische Excel-Liste kaum zuverlässig abbildet.

Wie qportal ansetzt

qportal bildet Auditkriterien hierarchisch nach ISO 19011 ab und verknüpft sie direkt mit Fragenkatalogen und Feststellungen - dieselbe Struktur lässt sich für Prozess- und Produktaudits ebenso nutzen wie für klassische Systemaudits, inklusive der Ursachenanalyse nach 5-Why oder 8D für die daraus entstehenden Feststellungen. Details zum Aufbau von Auditkriterien und Fragenkatalogen zeigt unser Beitrag zum Auditfragekatalog.

Fazit

IATF 16949 verändert nicht das Grundprinzip eines Managementsystem-Audits, aber sie erhöht Taktung, Abdeckung und Detailtiefe spürbar - mehr Audittage, verpflichtende Prozess- und Produktaudits über alle Schichten, ein etabliertes Bewertungsraster über VDA 6.3 und zusätzliche, kundenspezifische Anforderungen, die über den Normtext hinausgehen. Wer diese Struktur im eigenen Auditprogramm nicht sauber abbildet, verliert genau dort an Übersicht, wo Automobilhersteller am genauesten hinsehen.

Quellen

• Wikipedia-Autoren: IATF 16949 - en.wikipedia.org
• NSF: IATF Rule 6th Edition: 8 Important Changes You Need to Know - nsf.org
• Biswas, P.: IATF 16949:2016 Clause 9.2.2.3 Manufacturing process audit - preteshbiswas.com
• Biswas, P.: IATF 16949:2016 Clause 9.2.2.4 Product audit - preteshbiswas.com
• mobile2b: VDA 6.3 Process Audit: P1-P7, Scoring & Checklist Guide - mobile2b.com
• Tervene: What Is the CQI-8 Layered Process Audit Guideline? - tervene.com
• IATF Global Oversight - Customer Specific Requirements - iatfglobaloversight.org