So erstellen Sie einen Prozess für interne Audits
So gestalten Sie den internen Auditprozess als Zyklus statt als Projekt: ein risikobasiertes Auditprogramm entscheidet, was auditiert wird, jede Zuweisung wird auf Unabhängigkeit geprüft, und der Abschluss zieht eine neue Stichprobe.
Ein interner Auditprozess läuft auf zwei Ebenen: ein risikobasiertes Programm entscheidet, welche Prozesse wie oft auditiert werden, und das Audit selbst: planen, Stichproben ziehen, berichten, abstellen, verifizieren.
Kurz gesagt
- Das Programm entscheidet, was wann auditiert wird; ein einzelnes Audit ist eine Iteration davon.
- Die Häufigkeit folgt Risiko, Änderungen und der Feststellungshistorie, nie einem gleichmäßigen Kalender.
- Unabhängigkeit ist eine Eigenschaft der Zuweisung, und damit eine Frage der Bahnen.
- Der Abschluss ist Feldarbeit: Der Auditor zieht eine neue Stichprobe aus der Grundgesamtheit, aus der die Feststellung stammt.
- Abweichungen verpflichten zur Korrekturmaßnahme, Hinweise nicht: die Einstufung ist also eine Budgetentscheidung.
Das Programm ist der Prozess, nicht das Audit
Fast jede Darstellung des internen Audits dokumentiert ein einzelnes Audit und lässt das Programm implizit. So sammelt eine Organisation drei Jahre Berichte über dieselben drei Bereiche: die, die sich leicht terminieren lassen und in denen der Auditierte entgegenkommend ist. Das Programm ist der Prozess: ein Plan, abgeleitet aus Risiko, aus kürzlichen Änderungen und aus den Feststellungen früherer Audits, der jeden Prozess über einen festgelegten Zeitraum abdeckt. Ein einzelnes Audit ist eine Iteration davon.
Die zweite Entscheidung betrifft, woraus ein Abschluss besteht. Eine Feststellung zu verifizieren ist keine Statusänderung: es heißt, zu der Grundgesamtheit zurückzukehren, aus der die Stichprobe stammte, und gegen dieselbe Anforderung eine neue zu ziehen, mit Umfang und Stichprobengröße erfasst wie bei jeder anderen Prüfung. Das ist Feldarbeit, und deshalb liegt die Verifizierungszeile in der Bahn des Auditors: Wer die Maßnahme umgesetzt hat, kann nicht derjenige sein, der misst, ob die Nachweise jetzt bestehen.
Das Beispiel unten ist eine Runde des Zyklus über sechs Phasen und vier Rollen. „Auditor unabhängig vom Bereich?“ wird gestellt, bevor irgendeine Planung beginnt, denn Unabhängigkeit ist eine Eigenschaft der Zuweisung und nicht des Auditors. Am anderen Ende trägt „Korrekturmaßnahme wirksam?“ einen Zweig „Wieder öffnen“ zurück auf „Ursache und Korrekturmaßnahme vereinbaren“, einer von nur zwei Wegen in diesem Diagramm, die nach oben zeigen, und der, der eine Feststellung in einen zweiten Versuch schickt statt ins Register.
Vier Rollen, eine geschlossene Feststellung
Achten Sie darauf, dass das Programm vor dem ersten Audit steht und ein Zweig „Wieder öffnen“ eine Feststellung in einen zweiten Versuch ihrer Korrekturmaßnahme zurückschickt.
Mit dem Programm beginnen
Das Diagramm beginnt mit „Risiken und frühere Feststellungen sichten“ und nicht mit einem Audit, baut danach das Jahresprogramm und weist jedem Eintrag darin einen Auditor zu. Drei Zeilen, und keine davon ist ein Audit: genau die Hälfte, die die meisten Darstellungen des internen Audits weglassen.
Unabhängigkeit vor der Planung
„Auditor unabhängig vom Bereich?“ leitet ein Nein zu „Anderen Auditor benennen“, das auf das Tor zurückzeigt, um erneut gefragt zu werden. Erst danach beginnt die Planung: eine Checkliste, mit dem Auditierten bestätigte Termine und „Verfahren und Nachweise bereitstellen“ in der eigenen Bahn des Auditierten.
Der Bericht ist nicht das Ziel
Die Durchführung zieht Stichproben aus den Nachweisen und stuft ein, was sie findet. „Nachweis erfüllt die Anforderung?“ schickt eine „Lücke“ zu „Abweichung oder Hinweis erfassen“, beide Wege laufen im Abschlussgespräch zusammen, und der Bericht wird ausgestellt. Die meisten Darstellungen enden auf dieser Zeile.
Eine Feststellung schließt, wenn sie verifiziert ist
Die Ursache wird mit dem Prozesseigner vereinbart, die Maßnahme fristgerecht umgesetzt, und dann entscheidet „Korrekturmaßnahme wirksam?“. „Wieder öffnen“ führt zurück auf Zeile 16 statt weiter, und nur der bestätigte Weg erreicht die Managementbewertung und einen aufbewahrten Nachweis.
So funktioniert es
Listen Sie jeden Prozess, bevor Sie ein Audit terminieren
Das Programm braucht einen Nenner. Schreiben Sie jeden Prozess im Geltungsbereich mit seinem Verantwortlichen auf und notieren Sie dann, wann er zuletzt auditiert wurde und was dabei herauskam. Die Lücken in dieser Liste sind das Argument für den Terminplan, und sie überzeugen die Leitung zuverlässiger, als es der Plan allein je tut.
Leiten Sie jedes Intervall aus einer Risikobewertung ab
Bewerten Sie jeden Prozess nach Auswirkung, kürzlichen Änderungen und Feststellungshistorie und lassen Sie die Bewertung das Intervall setzen: vierteljährlich für einen, der zweimal versagt hat, einmal je Zyklus für einen, der seit Jahren stabil läuft. Schreiben Sie den Grund neben das Intervall, denn ein Auditor, der gefragt wird, warum der Versand nur alle drei Jahre auditiert wird, braucht eine Antwort.
Bauen Sie zuerst die Zeilen des Programms
In QueryChart sind die ersten Zeilen das Programm und nicht das Audit: eine Start-Form auf „Risiken und frühere Feststellungen sichten“, danach die Zeilen, die den Plan aufbauen und jedem Eintrag einen Auditor zuweisen. Sie im selben Diagramm wie die Durchführung zu halten, macht den Zyklus für den sichtbar, der ihm folgt.
Ergänzen Sie das Unabhängigkeitstor als Entscheidung
Formulieren Sie die Zeile zur Zuweisung als Frage, setzen Sie die Spalte Form auf Entscheidung und geben Sie Linie zu zwei Zeilennummern, mit den Antworten in Linientext in derselben Reihenfolge. Der Weg zur Neuzuweisung zeigt auf das Tor zurück, um erneut geprüft zu werden: seine Nummer ist also kleiner als die der Zeile, in der er steht.
Legen Sie jeden Schritt in die Bahn seines Verantwortlichen
Vertikale Bahn trägt die Rolle (Qualitätsmanager, interner Auditor, Auditierter, oberste Leitung) und Horizontale Bahn die Phase. Bahnen machen Unabhängigkeit auf einen Blick prüfbar: Wenn Zeilen der Durchführung in derselben Bahn liegen wie der auditierte Prozess, zeigt Ihnen das Diagramm eine Feststellung.
Schließen Sie den Zyklus in der Bahn des Auditors
Legen Sie die Verifizierungszeile in die Bahn des Auditors, geben Sie ihr einen Umfang (welche Grundgesamtheit, wie viele Nachweise, nach welcher Frist) und führen Sie ihren Fehlschlag zurück auf „Ursache und Korrekturmaßnahme vereinbaren“. Teilen Sie den Link danach mit dem Auditierten und nicht nur mit dem Auditteam: Wer diese Zeile sieht, weiß, dass die Feststellung an der neuen Stichprobe schließt und nicht am Maßnahmenbericht.
Häufige Fehler
Den Kalender Monat für Monat füllen
Zwölf Audits, eines pro Monat, ausgewählt, weil sie sich bequem organisieren lassen. Die Abdeckung sieht vollständig aus, und Risiko kommt darin nirgends vor. Hinterlegen Sie zu jeder Häufigkeit eine Risikobewertung, und die unbequemen Bereiche lassen sich nicht länger verschieben.
Den Bericht als das Ergebnis behandeln
Ihn auszustellen fühlt sich wie das Ende der Arbeit an, und nahezu der gesamte Nutzen liegt danach. In einer Darstellung gehört das Gewicht hinter den Bericht: Ursache, Maßnahme, Verifizierung und was das nächste Programm anders macht.
Den Prozess auditieren, den man selbst leitet
Bequem, und es entwertet das Ergebnis: Niemand zieht Stichproben aus seinen eigenen Nachweisen gegen sein eigenes Verfahren und findet dabei viel. Tauschen Sie Auditoren zwischen Abteilungen oder leihen Sie einen geschulten von einem anderen Standort, statt die Prüfung zu überspringen.
Feststellungen ohne zitierten Abschnitt
Eine Feststellung, die die verletzte Anforderung nicht benennt, ist eine Meinung, und im Abschlussgespräch wird sie weggeredet. Zitieren Sie den Abschnitt oder das Verfahren, und die Diskussion verlagert sich auf die Nachweise, wo sie hingehört.
Bauen Sie Ihren eigenen internen Auditzyklus
Öffnen Sie das Beispiel zum internen Audit als eigenes Diagramm, setzen Sie Ihre eigenen Audithäufigkeiten und benennen Sie, wer eine Feststellung verifiziert, bevor sie geschlossen wird.
Verwandte Anleitungen
Häufig gestellte Fragen
Wie oft sollten interne Audits durchgeführt werden?
In geplanten Abständen nach Risiko, was für die meisten Managementsysteme jeden Prozess mindestens einmal je Zertifizierungszyklus bedeutet und die exponierten deutlich häufiger. Die ISO 9001 verlangt geplante Abstände und nennt bewusst keine Häufigkeit: alles einmal im Jahr zu auditieren ist also eine Wahl und keine Vorgabe, meist eine schlechte, weil sie identischen Aufwand über Prozesse mit sehr unterschiedlichen Folgen verteilt. Die Häufigkeit sollte sich außerdem bewegen: Ein Prozess mit zwei offenen Feststellungen hat einen früheren Besuch verdient.
Wer darf ein internes Audit durchführen?
Jeder, der im Auditieren geschult und vom auditierten Bereich unabhängig ist: die Einschränkung ist Unabhängigkeit, nicht Dienstalter. Ein Auditor aus einer anderen Abteilung, von einem anderen Standort oder ein beauftragter Externer erfüllt das jeweils. Der Prozesseigner nicht, und wer das geprüfte Verfahren geschrieben hat, ebenfalls nicht. Kleine Organisationen lösen das, indem sie Auditoren zwischen Funktionen tauschen, statt auf die Anforderung zu verzichten, und der Zuweisungsschritt ist der Ort für die Prüfung, denn bei der Zuweisung entsteht der Konflikt.
Wann darf eine interne Auditfeststellung geschlossen werden?
Wenn ein Auditor zu der Grundgesamtheit zurückgekehrt ist, aus der die Feststellung stammte, erneut Stichproben gezogen hat und festgestellt hat, dass sie die Anforderung nun erfüllt. Der Abschluss ist ein Stück Feldarbeit mit Umfang, Stichprobengröße und Datum, kein Feld, das von offen auf geschlossen wechselt, und genau deshalb wartet er auf einen vereinbarten Abstand und nicht auf die Folgewoche: Eine Stichprobe vom Tag nach der Abstellung zeigt, dass sie eingebaut wurde, nicht dass sie hält. Ob die Maßnahme gut gewählt war, ist die Frage des Korrekturmaßnahmenprozesses.
Was ist der Unterschied zwischen Abweichung und Hinweis?
Eine Abweichung (in der Sprache der ISO 9000 eine Nichtkonformität) ist die Nichterfüllung einer festgelegten Anforderung und verpflichtet zur Korrekturmaßnahme; ein Hinweis ist eine Schwäche oder ein aufkommendes Risiko, das nichts verletzt und keine solche Verpflichtung trägt. Die Einstufung ist damit eine Budgetentscheidung und keine Formulierungsfrage: Stufen Sie zu hoch ein, trägt das Register eine Verpflichtung, für die niemand Mittel eingeplant hat; stufen Sie zu niedrig ein, wurde eine geschuldete Maßnahme stillschweigend erledigt. Entscheiden Sie im Abschlussgespräch, mit zitiertem Abschnitt und erfasster Stichprobe.