So erstellen Sie einen Prozess für interne Audits
So gestalten Sie den internen Auditprozess als Zyklus statt als Projekt: ein risikobasiertes Auditprogramm entscheidet, was auditiert wird, jede Zuweisung wird auf Unabhängigkeit geprüft, und der Abschluss zieht eine neue Stichprobe.
So funktioniert es
Listen Sie jeden Prozess, bevor Sie ein Audit terminieren
Das Programm braucht einen Nenner. Schreiben Sie jeden Prozess im Geltungsbereich mit seinem Verantwortlichen auf und notieren Sie dann, wann er zuletzt auditiert wurde und was dabei herauskam. Die Lücken in dieser Liste sind das Argument für den Terminplan, und sie überzeugen die Leitung zuverlässiger, als es der Plan allein je tut.
Leiten Sie jedes Intervall aus einer Risikobewertung ab
Bewerten Sie jeden Prozess nach Auswirkung, kürzlichen Änderungen und Feststellungshistorie und lassen Sie die Bewertung das Intervall setzen: vierteljährlich für einen, der zweimal versagt hat, einmal je Zyklus für einen, der seit Jahren stabil läuft. Schreiben Sie den Grund neben das Intervall, denn ein Auditor, der gefragt wird, warum der Versand nur alle drei Jahre auditiert wird, braucht eine Antwort.
Bauen Sie zuerst die Zeilen des Programms
In QueryChart sind die ersten Zeilen das Programm und nicht das Audit: eine Start-Form auf „Risiken und frühere Feststellungen sichten“, danach die Zeilen, die den Plan aufbauen und jedem Eintrag einen Auditor zuweisen. Sie im selben Diagramm wie die Durchführung zu halten, macht den Zyklus für den sichtbar, der ihm folgt.
Ergänzen Sie das Unabhängigkeitstor als Entscheidung
Formulieren Sie die Zeile zur Zuweisung als Frage, setzen Sie die Spalte Form auf Entscheidung und geben Sie Linie zu zwei Zeilennummern, mit den Antworten in Linientext in derselben Reihenfolge. Der Weg zur Neuzuweisung zeigt auf das Tor zurück, um erneut geprüft zu werden — seine Nummer ist also kleiner als die der Zeile, in der er steht.
Legen Sie jeden Schritt in die Bahn seines Verantwortlichen
Vertikale Bahn trägt die Rolle — Qualitätsmanager, interner Auditor, Auditierter, oberste Leitung — und Horizontale Bahn die Phase. Bahnen machen Unabhängigkeit auf einen Blick prüfbar: Wenn Zeilen der Durchführung in derselben Bahn liegen wie der auditierte Prozess, zeigt Ihnen das Diagramm eine Feststellung.
Schließen Sie den Zyklus in der Bahn des Auditors
Legen Sie die Verifizierungszeile in die Bahn des Auditors, geben Sie ihr einen Umfang — welche Grundgesamtheit, wie viele Nachweise, nach welcher Frist — und führen Sie ihren Fehlschlag zurück auf „Ursache und Korrekturmaßnahme vereinbaren“. Teilen Sie den Link danach mit dem Auditierten und nicht nur mit dem Auditteam: Wer diese Zeile sieht, weiß, dass die Feststellung an der neuen Stichprobe schließt und nicht am Maßnahmenbericht.
Häufig gestellte Fragen
Wie oft sollten interne Audits durchgeführt werden?
In geplanten Abständen nach Risiko, was für die meisten Managementsysteme jeden Prozess mindestens einmal je Zertifizierungszyklus bedeutet und die exponierten deutlich häufiger. Die ISO 9001 verlangt geplante Abstände und nennt bewusst keine Häufigkeit — alles einmal im Jahr zu auditieren ist also eine Wahl und keine Vorgabe, meist eine schlechte, weil sie identischen Aufwand über Prozesse mit sehr unterschiedlichen Folgen verteilt. Die Häufigkeit sollte sich außerdem bewegen: Ein Prozess mit zwei offenen Feststellungen hat einen früheren Besuch verdient.
Wer darf ein internes Audit durchführen?
Jeder, der im Auditieren geschult und vom auditierten Bereich unabhängig ist — die Einschränkung ist Unabhängigkeit, nicht Dienstalter. Ein Auditor aus einer anderen Abteilung, von einem anderen Standort oder ein beauftragter Externer erfüllt das jeweils. Der Prozesseigner nicht, und wer das geprüfte Verfahren geschrieben hat, ebenfalls nicht. Kleine Organisationen lösen das, indem sie Auditoren zwischen Funktionen tauschen, statt auf die Anforderung zu verzichten — und der Zuweisungsschritt ist der Ort für die Prüfung, denn bei der Zuweisung entsteht der Konflikt.
Wann darf eine interne Auditfeststellung geschlossen werden?
Wenn ein Auditor zu der Grundgesamtheit zurückgekehrt ist, aus der die Feststellung stammte, erneut Stichproben gezogen hat und festgestellt hat, dass sie die Anforderung nun erfüllt. Der Abschluss ist ein Stück Feldarbeit mit Umfang, Stichprobengröße und Datum, kein Feld, das von offen auf geschlossen wechselt — und genau deshalb wartet er auf einen vereinbarten Abstand und nicht auf die Folgewoche: Eine Stichprobe vom Tag nach der Abstellung zeigt, dass sie eingebaut wurde, nicht dass sie hält. Ob die Maßnahme gut gewählt war, ist die Frage des Korrekturmaßnahmenprozesses.
Was ist der Unterschied zwischen Abweichung und Hinweis?
Eine Abweichung — in der Sprache der ISO 9000 eine Nichtkonformität — ist die Nichterfüllung einer festgelegten Anforderung und verpflichtet zur Korrekturmaßnahme; ein Hinweis ist eine Schwäche oder ein aufkommendes Risiko, das nichts verletzt und keine solche Verpflichtung trägt. Die Einstufung ist damit eine Budgetentscheidung und keine Formulierungsfrage: Stufen Sie zu hoch ein, trägt das Register eine Verpflichtung, für die niemand Mittel eingeplant hat; stufen Sie zu niedrig ein, wurde eine geschuldete Maßnahme stillschweigend erledigt. Entscheiden Sie im Abschlussgespräch, mit zitiertem Abschnitt und erfasster Stichprobe.