Interne Audits nach ISO 9001 vorbereiten: Die ultimative Checkliste

Die meisten “Checklisten für interne Audits” im Netz sind generische Projektmanagement-Ratschläge mit einer aufgeklebten Normnummer. Diese hier nicht. Sie geht entlang dessen, was ISO 9001:2015 Kapitel 9.2 und ISO 19011:2018 tatsächlich fordern, trennt “Anforderung” von “guter Praxis” und endet mit einer verdichteten Checkliste, an der Sie Ihr eigenes Auditprogramm spiegeln können.

Was 9.2 wirklich fordert - und was nicht

9.2.1 beschreibt das Warum: interne Audits bestätigen, dass das QMS den eigenen Anforderungen und ISO 9001 entspricht und wirksam verwirklicht und aufrechterhalten wird. 9.2.2 beschreibt das Wie: ein Auditprogramm planen, festlegen, verwirklichen und aufrechterhalten - mit Häufigkeit, Methoden, Verantwortlichkeiten, Planungsanforderungen und Berichterstattung; Auditkriterien und -umfang für jedes einzelne Audit festlegen; Auditoren auswählen, die Objektivität und Unparteilichkeit sicherstellen; Ergebnisse an das relevante Management berichten; Korrektur und Korrekturmaßnahmen unverzüglich veranlassen; und dokumentierte Information als Nachweis aufbewahren.

Alles darüber hinaus - Stichprobentechnik, Interviewstil, Software - ist gute Praxis, keine Klausel-Anforderung. Diesen Unterschied zu kennen zählt genau dann, wenn ein externer Auditor fragt “woher wissen Sie, dass das 9.2 erfüllt” - denn “das machen wir schon immer so” ist darauf keine Antwort.

Das Auditprogramm aufbauen

• Risiko- und änderungsbasierte Häufigkeit (ISO 19011, Kapitel 5.2). Ein Prozess mit einer jüngeren Abweichung, neuer Ausrüstung, einer neu besetzten kritischen Rolle oder einem Lieferantenwechsel sollte häufiger auditiert werden als “einmal im Jahr, unabhängig davon.” Eine rein kalenderbasierte Häufigkeit ist die häufigste Feststellung, die Auditoren gegen 9.2.2 schreiben.
• Abdeckungsmatrix. Halten Sie fest, welche Kapitel und Prozesse im laufenden Zertifizierungszyklus bereits auditiert wurden. Wenn die Zertifizierungsstelle fragt “woher wissen Sie, dass Ihr Programm alles abdeckt”, ist diese Matrix die Antwort - nicht eine mündliche Zusicherung.
• Programmkriterien vs. Auditkriterien. Das Programm legt Umfang und Häufigkeit über das gesamte QMS fest; jedes einzelne Audit engt die Kriterien dann auf die konkreten Kapitel, Verfahren und rechtlichen/kundenseitigen Anforderungen dieses Prozesses ein.

Unabhängigkeit und Kompetenz der Auditoren (9.2.2c)

Auditoren dürfen ihre eigene Arbeit nicht auditieren. Das Muster, das in kleinen QM-Teams immer wieder auftaucht: Der oder die QMB, der/die den CAPA-Prozess selbst betreut, auditiert auch den CAPA-Prozess. Das ist nicht böswillig - meist die einzige Person mit Zeit und Schulung -, aber genau die Objektivitätslücke, die 9.2.2c schließen soll. Ist das Team zu klein, um das vollständig zu vermeiden, dokumentieren Sie die Kompensation (z. B. eine Zweitprüfung dieses konkreten Audits), statt den Konflikt zu ignorieren.

Kompetenz nach ISO 19011 Kapitel 7 ist zweidimensional: Normkenntnis und Kenntnis des auditierten Prozesses bzw. Fachgebiets. Ein Auditor, der ISO 9001 gut kennt, aber nie im Einkauf gearbeitet hat, übersieht Dinge, die ein einkaufserfahrener Auditor sofort erkennt - und umgekehrt. Auditoren fachübergreifend zu paaren ist eine günstige Maßnahme, die die meisten Programme auslassen.

Das einzelne Audit vorbereiten (ISO 19011, Kapitel 6.3)

• Auditkriterien präzise festlegen: welche Kapitel, welche internen Verfahren, welche Kunden- oder Rechtsanforderungen gelten für diesen Prozess - nicht fürs QMS im Allgemeinen.
• Kriterien in Arbeitsdokumente übersetzen - eine Checkliste und einen Fragenkatalog. Einen Katalog zu bauen, der tatsächlich belastbare Nachweise statt Ja/Nein-Antworten liefert, ist eine eigene Disziplin; siehe unseren Leitfaden zum Auditfragenkatalog für die prozessbasierte Methode.
• Logistik vor dem Termin klären: Agenda für das Eröffnungsgespräch, wer verfügbar sein muss, Stichprobenplan und Zeitbudget je Prozess nach Risiko - nicht gleichmäßig verteilt unabhängig vom Risiko.

qportal verknüpft Kriterien direkt mit einem hierarchischen Katalog der Auditkriterien, sodass jedes geplante Audit die passenden Kapitel und verknüpften Fragen erbt, statt dass jemand die Liste jeden Zyklus neu zusammenstellt.

Während des Audits: Stichprobe und Nachweis, nicht Anklage

Objektiver Nachweis muss verifizierbar sein (ISO 19011, Kapitel 6.4.4) - Aufzeichnungen, direkte Beobachtung oder durch eine unabhängige Quelle bestätigte Aussagen. Eine einzelne Interviewaussage ist allein kein Nachweis; sagt ein Prozessverantwortlicher “das machen wir immer so”, braucht es eine Aufzeichnung oder eine zweite, unabhängige Bestätigung, bevor daraus in die eine oder andere Richtung eine Feststellung wird.

Jede Feststellung sollte sich auf ein konkretes Kapitel oder Kriterium zurückführen lassen. Das ist keine Bürokratie um ihrer selbst willen - es macht die Feststellung belastbar, wenn dieselbe Abweichung im externen Audit wieder auftaucht und jemand fragt “wussten wir das schon.”

Feststellungen klassifizieren und abschließen

• Abweichung vs. Beobachtung/Verbesserungshinweis. Alles als “Hauptabweichung” zu klassifizieren, um gründlich zu wirken, untergräbt die Glaubwürdigkeit der Klassifikation - und macht es schwerer, echte Hauptabweichungen zu erkennen.
• Ursache vs. Symptom. Ein Checklistenpunkt “Korrekturmaßnahme geschrieben” ist nicht dasselbe wie “Ursache dokumentiert.” Siehe unseren Beitrag zum CAPA-Prozess für die Unterscheidung und die Methoden (5-Why, Ishikawa, FMEA), die tatsächlich zur systemischen Ursache führen.
• Wirksamkeitsprüfung ist nicht optional (Kapitel 10.2.2). Ein Audit ist nicht abgeschlossen, wenn die Maßnahme als “erledigt” markiert ist - sondern wenn nach einer festgelegten Frist bestätigt ist, dass die Abweichung nicht wieder aufgetreten ist.

Das Auditprogramm selbst bewerten

Sowohl 9.2.2 als auch ISO 19011 Kapitel 6.6 fordern, das Programm periodisch zu bewerten - nicht nur einzelne Audits: Ist die Abdeckung tatsächlich vollständig, arbeiten Auditoren konsistent, tauchen dieselben Feststellungen trotz Korrekturmaßnahmen zyklusübergreifend wieder auf. Die meisten QM-Teams machen diesen Schritt nie - unglücklicherweise, denn er ist eine der günstigsten Möglichkeiten, einem externen Auditor, der gezielt danach fragt, Programmreife zu demonstrieren.

Die Checkliste

Planung

• Auditprogramm deckt Häufigkeit, Methoden, Verantwortlichkeiten und Berichterstattung ab
• Häufigkeit ist risiko- und änderungsbasiert, nicht rein kalenderbasiert
• Abdeckungsmatrix zeigt jedes im Zyklus auditierte Kapitel/Prozess

Vorbereitung

• Auditkriterien je Audit festgelegt: Kapitel, Verfahren, Kunden-/Rechtsanforderungen
• Zugewiesener Auditor hat keinen Interessenkonflikt mit dem auditierten Prozess
• Auditorenkompetenz passt zu Norm und Fachgebiet
• Fragenkatalog und Checkliste aus den Kriterien abgeleitet, nicht generisch
• Agenda Eröffnungsgespräch und Stichprobenplan vorab festgelegt

Durchführung

• Nachweise durch Aufzeichnungen oder unabhängige Quellen bestätigt, nicht einzelne Aussagen
• Jede Feststellung mit konkretem Kapitel/Kriterium verknüpft

Berichterstattung

• Feststellungen konsistent klassifiziert (Abweichung / Beobachtung / Verbesserungshinweis)
• Ursache von Symptom unterschieden bei jeder Abweichung
• Verantwortlicher und Termin der Korrekturmaßnahme dokumentiert

Nachverfolgung

• Wirksamkeit nach festgelegter Frist geprüft, nicht nur “Maßnahme erledigt”
• Offene Maßnahmen aus dem letzten Audit vor Auditbeginn nachweislich geschlossen

Programmbewertung

• Abdeckung, Auditorenleistung und wiederkehrende Feststellungen mindestens jährlich bewertet

Fazit

Eine Checkliste funktioniert nur, wenn sie an dem hängt, was die Klausel tatsächlich verlangt. Programme, die Anforderung von guter Praxis trennen, Auditoren bewusst statt nach Verfügbarkeit einsetzen und Wirksamkeit statt nur Maßnahmenabschluss prüfen, gehen mit bereits organisierten Nachweisen ins externe Audit - nicht mit Nachweisen, die erst unter Zeitdruck während des Audits zusammengesucht werden.