Checkliste internes Audit nach ISO 9001: was 9.2 verlangt und was der Zertifizierungsauditor prüft

Aktualisiert am 30. September 2026. Dieser Beitrag wurde überarbeitet: Er nennt jetzt für jede Anforderung die Fundstelle in ISO 9001:2015 und in ISO 9001:2026, stützt sich auf die Leitlinie der ISO 9001 Auditing Practices Group zu internen Audits und korrigiert eine frühere Zuordnung der Wirksamkeitsprüfung zu 10.2.2 (richtig: 10.2.1 d).

Die meisten Checklisten für interne Audits im Netz sind Projektmanagement-Ratschläge mit einer aufgeklebten Normnummer. Diese hier geht von zwei Fragen aus: Was verlangt ISO 9001 in Abschnitt 9.2 tatsächlich — und worauf schaut ein Zertifizierungsauditor, wenn er Ihr internes Audit prüft? Für die zweite Frage gibt es eine Erstquelle, die kaum jemand zitiert: die Leitlinie der Auditing Practices Group von ISO/TC 176 und IAF zu internen Audits [4].

Am Ende steht eine Checkliste, an der Sie Ihr eigenes Programm spiegeln können.

Was 9.2 verlangt — in beiden Fassungen

9.2.1 beschreibt den Zweck: Interne Audits sollen Informationen darüber liefern, ob das QM-System den eigenen Anforderungen der Organisation und ISO 9001 entspricht und ob es wirksam verwirklicht und aufrechterhalten wird [1]. 9.2.2 beschreibt das Vorgehen. Mit ISO 9001:2026 bleibt der Inhalt im Kern gleich, aber die Gliederung folgt der Harmonized Structure, und damit verschieben sich die Buchstaben [2]:

Pflicht	ISO 9001:2015 [1]	ISO 9001:2026 (DIS) [2]	Nachweis, der im Audit trägt
Auditprogramm mit Häufigkeit, Methoden, Verantwortlichkeiten, Planung und Berichterstattung	9.2.2 a)	9.2.2, erster Absatz	Programm mit Begründung, nicht nur Terminliste
Programm berücksichtigt Bedeutung der Prozesse, Änderungen, Ergebnisse vorheriger Audits	9.2.2 a)	9.2.2, zweiter Absatz	Nachvollziehbare Ableitung der Häufigkeit je Prozess
Je Audit festlegen: Kriterien und Umfang	9.2.2 b)	9.2.2 a) — zusätzlich Auditziele	Auditplan mit Ziel, Kriterien, Umfang
Auditoren so auswählen, dass Objektivität und Unparteilichkeit gesichert sind	9.2.2 c)	9.2.2 b)	Auditorenzuordnung ohne Eigenprüfung
Ergebnisse an die zuständige Leitung berichten	9.2.2 d)	9.2.2 c)	Verteiler, Bericht, Eingang in die Managementbewertung
Korrekturen und Korrekturmaßnahmen ohne ungerechtfertigte Verzögerung	9.2.2 e)	9.2.2 d)	Maßnahmen mit Termin und Status
Dokumentierte Information als Nachweis von Programmumsetzung und Ergebnissen	9.2.2 f)	9.2.2, Schlusssatz	Aufbewahrte Programme, Pläne, Berichte

Die einzige inhaltliche Ergänzung ist das Auditziel je Audit. Was ein Audit klären soll — etwa „Wirksamkeit der Wareneingangsprüfung nach dem Lieferantenwechsel“ —, stand in vielen Auditplänen ohnehin; künftig ist es Pflicht. Die Angaben zur Fassung 2026 sind gegen die Entwurfsfassung ISO/DIS 9001:2025 geprüft [2]; die Global-ACI-Übersicht der wesentlichen Änderungen nennt 9.2 nicht [5].

Alles andere — Stichprobentechnik, Interviewstil, Checklistenformat, Software — ist gute Praxis, keine Anforderung. Den Unterschied zu kennen hilft, wenn ein externer Auditor fragt, woran Sie festmachen, dass 9.2 erfüllt ist.

Worauf der Zertifizierungsauditor schaut

Die Auditing Practices Group ist eine gemeinsame Arbeitsgruppe von ISO/TC 176 und dem International Accreditation Forum. Ihre Leitlinie zu internen Audits beschreibt, was Zertifizierungsauditoren am internen Auditprozess bewerten sollen [4]:

• die für das Audit benötigte und tatsächlich eingesetzte Kompetenz,
• Objektivität und Unparteilichkeit des Prozesses,
• das risikobasierte Denken bei der Planung,
• den Grad der Einbindung der Leitung,
• die Orientierung an ISO 19011 — mit dem ausdrücklichen Hinweis, dass ISO 9001 deren Anwendung nicht verlangt,
• und wie die Organisation die Ergebnisse nutzt, um die Wirksamkeit ihres QM-Systems zu bewerten und Verbesserungen zu finden.

Dazu eine Empfehlung an die externen Auditoren, die man kennen sollte: Das interne Audit eher gegen Ende des Zertifizierungsaudits zu prüfen, um die eigenen Feststellungen mit denen des internen Audits zu vergleichen [4]. Findet der externe Auditor in drei Tagen, was das interne Audit in einem Jahr nicht gefunden hat, ist das die eigentliche Feststellung.

Die Leitlinie trägt den Hinweis, dass sie kein Freigabeverfahren bei ISO, ISO/TC 176 oder IAF durchlaufen hat; sie ist Auslegung, keine Anforderung [4]. Als Beschreibung dessen, worauf geschaut wird, ist sie trotzdem die belastbarste frei verfügbare Quelle.

Das Auditprogramm: Risiko statt Kalender

ISO 9001 legt weder Häufigkeit noch Dauer noch Umfang interner Audits fest; die APG-Leitlinie sagt das ausdrücklich und verlangt, dass die Organisation beides risikobasiert ableitet [4]. Als Bereiche, die besondere Aufmerksamkeit brauchen, nennt sie unter anderem [4]:

• Prozesse, die für die Produktqualität kritisch sind, komplexe Prozesse und solche, die validiert werden müssen,
• Prozesse, die qualifiziertes Personal oder eine enge Überwachung von Prozessparametern erfordern,
• Überwachungs- und Messtätigkeiten mit häufigem Kalibrier- oder Verifizierungsbedarf,
• Tätigkeiten über mehrere Standorte oder mit hohem Personalanteil,
• Prozesse, in denen Probleme aufgetreten sind oder drohen.

Die Leitlinie fragt dann, ob die Organisation diese Informationen tatsächlich nutzt, um die Häufigkeit festzulegen, und ob frühere Auditergebnisse in die Planung eingehen [4]. ISO 19011 widmet Risiken und Chancen des Auditprogramms einen eigenen Abschnitt 5.3 [3].

Einschätzung: Ein Programm, in dem jeder Prozess einmal im Jahr auditiert wird, ist nicht falsch — aber es beantwortet die Frage nach der risikobasierten Ableitung nicht. Eine einfache Spalte „Begründung der Häufigkeit“ je Prozess, mit Verweis auf Feststellungen, Änderungen oder Kundenreklamationen, beantwortet sie. Wie ein Programm systematisch aufgebaut wird, beschreibt der Leitfaden zur Auditprogramm-Planung.

Unabhängigkeit und Kompetenz

Auditoren dürfen ihre eigene Arbeit nicht auditieren; ISO 9001 verlangt Objektivität und Unparteilichkeit ohne Einschränkung [1][2]. Das Muster, das in kleinen QM-Teams immer wieder auftaucht: Wer den CAPA-Prozess betreut, auditiert auch den CAPA-Prozess. Das ist selten Absicht, meist ist es die einzige geschulte Person mit Zeit.

Einschätzung: Lässt sich das nicht vermeiden, gehört die Kompensation in die Akte — etwa eine Zweitprüfung des Berichts durch eine andere Person oder ein Tauschaudit mit einem Partnerstandort. Ein dokumentierter Umgang mit dem Konflikt ist verteidigbar, ein ignorierter nicht.

Zur Kompetenz erwartet die APG-Leitlinie Nachweise, dass die Organisation Kompetenzanforderungen an interne Auditoren festgelegt hat, geschulte Auditoren einsetzt, deren Leistung überwacht und Personen mit Fachkenntnis im geprüften Bereich in die Teams nimmt [4]. Normkenntnis allein reicht also nicht. ISO 19011 behandelt Kompetenz und Bewertung von Auditoren in Abschnitt 7 [3]; die Grundsätze, darunter die Unabhängigkeit als eigener Abschnitt 4.6, stehen in Abschnitt 4. Mehr dazu auf der Seite zu ISO 19011.

Das einzelne Audit vorbereiten

• Ziel, Kriterien, Umfang festlegen. Welche Frage soll dieses Audit beantworten, gegen welche Anforderungen wird geprüft (Normabschnitte, eigene Verfahren, Kunden- und Rechtsanforderungen), welche Bereiche, Standorte, Zeiträume? Die Auditziele sind mit ISO 9001:2026 ausdrücklich gefordert [2].
• Kriterien in Arbeitsdokumente übersetzen. Ein Fragenkatalog, der Nachweise statt Ja/Nein-Antworten erzeugt, ist eine eigene Disziplin — der Leitfaden zum Auditfragenkatalog beschreibt die prozessbasierte Methode.
• Stichprobe und Zeitbudget nach Risiko. Nicht gleich verteilt, sondern dort mehr Zeit, wo die Programmplanung das Risiko sieht.

ISO 19011 beschreibt die Vorbereitung von Audittätigkeiten in Abschnitt 6.3 [3].

Während des Audits: Nachweise, nicht Eindrücke

ISO 19011 behandelt das Sammeln und Verifizieren von Informationen in 6.4.7 und das Erarbeiten von Feststellungen in 6.4.8 [3]. Die Praxisregel dahinter: Eine einzelne Aussage im Interview ist kein objektiver Nachweis. Sagt ein Prozessverantwortlicher „das machen wir immer so“, braucht es eine Aufzeichnung, eine Beobachtung oder eine zweite, unabhängige Bestätigung, bevor daraus in die eine oder andere Richtung eine Feststellung wird.

Jede Feststellung gehört an ein konkretes Kriterium. Das ist keine Formsache: Erst mit Klauselbezug lassen sich Feststellungen über mehrere Jahre auswerten — und genau das braucht die Managementbewertung, die nach 9.3.2 Entwicklungen bei Auditergebnissen verlangt. Wie die Kette vom Audit zur Bewertung funktioniert, beschreibt der Beitrag vom Audit zur Managementbewertung.

Feststellungen und Nachverfolgung

• Klassifizierung mit Maß. Alles als Hauptabweichung einzustufen, um gründlich zu wirken, entwertet die Einstufung.
• Ursache statt Symptom. „Korrekturmaßnahme festgelegt“ ist nicht dasselbe wie „Ursache ermittelt“. ISO 9001 verlangt in 10.2.1 b), die Ursachen zu bestimmen [1]; Methoden dafür sind die 5-Why-Analyse und bei komplexen Fällen der 8D-Report.
• Wirksamkeit prüfen. 10.2.1 d) verlangt, die Wirksamkeit ergriffener Korrekturmaßnahmen zu überprüfen [1]. Ein Audit ist nicht erledigt, wenn die Maßnahme auf „erledigt“ steht, sondern wenn nach einer festgelegten Frist belegt ist, dass die Abweichung nicht wieder aufgetreten ist. Die Mechanik dahinter beschreibt der Beitrag zu Feststellungen und CAPA.

Das Programm selbst bewerten

ISO 9001 verlangt in 9.2 keine ausdrückliche Bewertung des Auditprogramms. ISO 19011 empfiehlt sie in 5.7 [3], und die APG-Leitlinie beschreibt, warum sie sich lohnt: Der externe Auditor soll sich ein Urteil bilden, ob das Programm wirksam ist und ob das interne Audit zu greifbaren Verbesserungen führt [4].

Einschätzung: Drei Fragen genügen für eine jährliche Bewertung: Hat das Programm abgedeckt, was geplant war? Tauchen dieselben Feststellungen trotz Maßnahmen wieder auf? Hat das interne Audit etwas gefunden, das der externe Auditor danach nicht mehr finden konnte?

Zeitplan für ein einzelnes Audit

Einschätzung, keine Normvorgabe:

Wann	Was
4 Wochen vorher	Ziel, Kriterien, Umfang; Auditor ohne Eigenprüfung; offene Maßnahmen aus dem letzten Audit prüfen
2 Wochen vorher	Auditplan an die Auditierten; Fragenkatalog aus den Kriterien ableiten; Stichprobe festlegen
Audittag	Eröffnung, Nachweise sammeln und verifizieren, Feststellungen mit Kriterium, Abschlussgespräch
bis 1 Woche danach	Bericht an die zuständige Leitung, Feststellungen bestätigt, Maßnahmen mit Verantwortlichem und Termin
nach festgelegter Frist	Wirksamkeitsprüfung, Abschluss der Feststellung

Die Checkliste

Programm

• Auditprogramm regelt Häufigkeit, Methoden, Verantwortlichkeiten, Planung und Berichterstattung
• Häufigkeit je Prozess begründet: Bedeutung, Änderungen, frühere Ergebnisse
• Kritische Bereiche identifiziert (Produktqualität, Validierung, Messmittel, mehrere Standorte)
• Abdeckung über den Zertifizierungszyklus nachvollziehbar

Vorbereitung

• Je Audit Ziel, Kriterien und Umfang festgelegt (Ziel: Pflicht ab ISO 9001:2026)
• Auditor prüft nicht die eigene Arbeit; Kompensation dokumentiert, wo unvermeidbar
• Kompetenzanforderungen an Auditoren festgelegt und erfüllt, einschließlich Fachkenntnis
• Fragenkatalog aus den Kriterien abgeleitet, nicht generisch
• Normfassung je Audit festgelegt (2015 oder 2026)

Durchführung

• Nachweise durch Aufzeichnung, Beobachtung oder unabhängige Bestätigung verifiziert
• Jede Feststellung einem konkreten Kriterium zugeordnet

Bericht und Maßnahmen

• Ergebnisse an die zuständige Leitung berichtet
• Feststellungen einheitlich eingestuft
• Bei jeder Abweichung Ursache ermittelt, nicht nur Symptom beschrieben
• Korrekturen und Korrekturmaßnahmen mit Verantwortlichem und Termin

Nachverfolgung

• Wirksamkeit nach festgelegter Frist geprüft (10.2.1 d)
• Offene Maßnahmen aus dem Vorjahresaudit vor dem nächsten Audit geprüft
• Ergebnisse als Entwicklung in der Managementbewertung

Programmbewertung

• Abdeckung, wiederkehrende Feststellungen und Auditorenleistung mindestens jährlich bewertet

2027: das Umstellungsjahr im Programm

Global ACI hat die Übergangsfrist auf ISO 9001:2026 festgelegt: Zertifikate nach der Fassung 2015 verlieren am 30. September 2029 ihre Gültigkeit, Erstzertifizierungen gibt es ab dem 31. März 2028 nur noch nach der neuen Fassung [5]. Für das Programm 2027 heißt das: die geänderten Abschnitte intern auditieren, bevor das Umstellungsaudit der Zertifizierungsstelle stattfindet, und je Audit festhalten, gegen welche Fassung geprüft wurde. Wie sich Fragenkatalog und Klauselzuordnung dabei versionieren lassen, beschreibt der Beitrag ISO 9001:2026 und das interne Audit.

Wie qportal das abbildet

In qportal hängt jedes Audit an einem Auditprogramm und ist auf genau eine Normfassung festgelegt. Fragen und Feststellungen verweisen auf einen hierarchischen Katalog von Auditkriterien statt auf Freitext, sodass jede Feststellung ihren Klauselbezug trägt. Stimmen Auditor und geprüfte Organisationseinheit überein, warnt das System. Maßnahmen tragen Verantwortlichen, Termin und eine eigene Wirksamkeitsprüfung, und eine Auswertung zeigt, bei welchem Anteil der abgeschlossenen Korrekturmaßnahmen die Prüfung tatsächlich stattgefunden hat. Mehr auf der Seite zum Auditmanagement.

Fazit

Eine Checkliste taugt nur so viel wie ihr Bezug zur Anforderung. Die Anforderungen aus 9.2 sind überschaubar und ändern sich mit ISO 9001:2026 kaum — neu ist im Kern nur das Auditziel. Worauf es im Zertifizierungsaudit ankommt, beschreibt die APG-Leitlinie deutlich: eine risikobasierte Begründung des Programms, Auditoren ohne Eigenprüfung und mit Fachkenntnis, und Ergebnisse, die tatsächlich zu Verbesserungen führen.

Quellen

1. DIN EN ISO 9001:2015-11: Qualitätsmanagementsysteme — Anforderungen (ISO 9001:2015); Deutsche und Englische Fassung EN ISO 9001:2015. Beuth Verlag, Berlin. Herangezogen: Abschnitte 9.2.1, 9.2.2, 10.2.1.
2. ISO/DIS 9001:2025(en): Quality management systems — Requirements. ISO/TC 176/SC 2, Komitee-Ballot 27.08.–19.11.2025. Nicht öffentlich zugänglich; geprüft anhand eines Exemplars am 30.09.2026 (Abschnitt 9.2) — nicht die veröffentlichte IS-Fassung.
3. ISO: ISO 19011:2026 — Guidelines for auditing management systems. Vierte Ausgabe, veröffentlicht 2026-05. Die Abschnitte 4 bis 7 sind kostenpflichtig und werden hier nur mit Nummer zitiert. https://www.iso.org/standard/19011 (abgerufen am 27.08.2026)
4. ISO 9001 Auditing Practices Group: Guidance on: Internal Audits. Edition 1, Amd 1, 19.07.2020, herausgegeben von ISO/TC 176 und dem International Accreditation Forum. Mit dem Hinweis, dass das Papier kein Freigabeverfahren bei ISO, ISO/TC 176 oder IAF durchlaufen hat. https://committee.iso.org/files/live/sites/tc176/files/PDF%20APG%20New%20Disclaimer%2012-2023/ISO-TC%20176-TF_APG-InternalAudit.pdf (abgerufen am 30.09.2026)
5. Global ACI: Global ACI-TECH-3-TR 2029-09-30 (M) — Transition Requirements for ISO 9001:2026. Verbindliches Dokument, Version 1.0, in Kraft seit 16.09.2026. https://sys.global-aci.org/uploads/documents/TECH-3-TR_2029-09-30_(M)_ISO_9001_2026_Transition_v1_03.pdf (abgerufen am 30.09.2026)

Nicht zitiert werden Beratungs-, Zertifizierungs- und Content-Marketing-Seiten. Normativer Text ist urheberrechtlich geschützt; Anforderungen sind mit Abschnittsbezug in eigenen Worten wiedergegeben. Wo dieser Text über die belegte Quellenlage hinausgeht, ist das als Einschätzung gekennzeichnet.