Flussdiagramm Eskalation von Auditfeststellungen (überfällig)

Was ist flussdiagramm eskalation von auditfeststellungen (überfällig)?

Die meisten Auditfeststellungen schließen still und ohne Aufhebens. Dieses Diagramm handelt von denen, die es nicht tun. Auslöser ist eine im Auditbericht erhobene Feststellung, und der Prozess ist das, was hinaufgestiegen wird, wenn die vereinbarte Korrekturmaßnahme ausbleibt: eine Mahnung und ein Endtermin, die Eskalation an den Prozesseigner, der tatsächlich über die Mittel verfügt, und danach die Managementbewertung, in der die Organisation die Maßnahme entweder finanziert oder das Risiko förmlich akzeptiert. Das Diagramm verfolgt eine Feststellung von Anfang bis Ende: vom Bericht über Einstufung, Zuweisung und den Einspruchsweg, die vereinbarte Maßnahme und ihren Termin, den Überfälligkeitszweig und beide Eskalationsstufen bis zur Prüfung der Nachweise und zum Abschluss, bei dem der Ausschuss erfährt, wo eine geprüfte Feststellung gelandet ist.

Dies ist weder das Audit selbst noch die routinemäßige Nachverfolgung. Das Programm aufzustellen, die Unabhängigkeit des Auditors zu prüfen, Aufzeichnungen stichprobenartig zu ziehen und Abweichungen zu formulieren gehört zum internen Auditprozess. Eine planmäßig laufende Maßnahme zu verfolgen, sie zu prüfen und zu testen, ob sie gewirkt hat, gehört zur Nachverfolgung von Korrekturmaßnahmen, die in einer Wirksamkeitsprüfung endet statt in einer Eskalation. Auch der allgemeine Weg der Risikoeskalation ist es nicht: Diese Leiter erreicht eine Risikoentscheidung erst auf ihrer obersten Stufe, während Projekt- und Unternehmensrisikoeskalation stattdessen im Risikoregister beginnen. Dieses Diagramm setzt dort an, wo eine Feststellung bereits besteht und ein Verantwortlicher bereits benannt ist, und es verdient seinen Platz genau dort, wo die routinemäßige Nachverfolgung aufhört zu wirken. Diese Grenze zählt, denn eine Eskalation, die als Nebenzweig in einem Nachverfolgungsdiagramm gezeichnet ist, ist immer der Zweig, den niemand pflegt. Nehmen Sie die Einstufungen, die Karenzzeit und die beiden Stufen hier als Ausgangspunkt, den Sie an Ihr eigenes Auditverfahren, die Forderungen Ihres Managementsystems und, wo ein Zertifizierungs- oder Regulierungsschema gilt, dessen eigene Regeln zum Schließen von Feststellungen anpassen.

Vier Entscheidungen tragen den Prozess. „Hauptabweichung, Nebenabweichung oder Hinweis?“ setzt die Reaktionsfrist und klärt, ob die oberste Leitung am ersten Tag oder erst beim nächsten Bericht von der Feststellung erfährt; sie liegt beim leitenden Auditor, weil die Einstufung ein Auditurteil ist und keine Verhandlung. „Feststellung vom Verantwortlichen bestritten?“ gibt dem Auditierten einen echten Weg, eine Feststellung anzufechten, und genau das verhindert, dass eine Meinungsverschiedenheit später als Schweigen wieder auftaucht. „Nachweis bis zum Termin eingereicht?“ ist der Auslöser für die gesamte Eskalationshälfte des Diagramms, und jede Stufe darunter hängt an genau dieser Prüfung. „Maßnahme durchsetzen oder Risiko akzeptieren?“ liegt bewusst in der Bahn der obersten Leitung und nicht beim Auditor: Der Auditor berichtet die Exposition, die Organisation entscheidet, was damit geschieht, und nur eine rechenschaftspflichtige Führungskraft kann eine Risikoakzeptanz unterschreiben.

Was dieses Flussdiagramm abdeckt

In dieser Vorlage

• Fünf Swimlanes (Leitender Auditor, Feststellungsverantwortlicher, Prozesseigner, Oberste Leitung und Qualitätsmanager / Auditausschuss) über sechs Phasen: Feststellung erhoben, Zuweisen und vereinbaren, Reaktion verfolgen, Erste Eskalationsstufe, Managementbewertung sowie Prüfen und schließen
• Eine dreiwertige Einstufungsentscheidung, „Hauptabweichung, Nebenabweichung oder Hinweis?“, setzt die Reaktionsfrist: Eine Hauptabweichung durchläuft „Oberste Leitung über die Hauptabweichung informieren“, bevor überhaupt ein Verantwortlicher benannt ist, und ein Hinweis verlässt die Leiter ins Verbesserungsregister und wird periodisch dem Ausschuss berichtet, statt gegen einen Termin gemahnt zu werden
• Ein Einspruchsweg, den die meisten Eskalationsdiagramme weglassen: „Feststellung vom Verantwortlichen bestritten?“ leitet sie an den Qualitätsmanager weiter, um den „Einspruch gegen die Nachweise prüfen“ zu lassen, und „Feststellung nach Prüfung aufrechterhalten?“ bringt sie entweder zurück auf die Leiter oder zieht sie mit dokumentierter Begründung zurück
• Die Aufteilung zwischen Prüfung und Überfälligkeit: „Nachweis bis zum Termin eingereicht?“ gibt eine Reaktion an „Nachweis schließt die Feststellung?“ weiter, wo unzureichende Nachweise die Maßnahme wieder öffnen, und schickt eine überfällige an „Verantwortlichen mahnen, Endtermin setzen“
• Die Karenzzeit und die erste Stufe: „Antwort innerhalb der Karenzzeit?“ entscheidet zwischen weiterer Arbeit und „Mit der Vorgeschichte an den Prozesseigner eskalieren“, wohin auch ein Plan gelangt, der zweimal an „Maßnahmenplan ausreichend?“ scheitert, und wo „Durch Ressourcen oder Befugnis blockiert?“ einen langsamen Verantwortlichen von einer nicht finanzierten Maßnahme trennt
• Zwei ehrliche Auswege an der Spitze der Leiter: „Maßnahme durchsetzen oder Risiko akzeptieren?“ finanziert entweder die Maßnahme und schickt den Plan zur erneuten Vereinbarung zurück oder dokumentiert eine unterschriebene Risikoakzeptanz, die mit einem Überprüfungstermin schließt

Wann Sie diese Vorlage verwenden sollten

• Aus dem letzten Audit sind Feststellungen noch offen, und niemand kann sagen, auf welcher Stufe der Eskalationsleiter jede einzelne gerade steht
• Sie schreiben den Eskalationsabschnitt eines Auditverfahrens und brauchen Mahnung, Karenzzeit und die beiden Stufen ausformuliert statt nur mitgemeint
• Auditoren haben gefragt, wie überfällige Feststellungen eskaliert werden, und die ehrliche Antwort lautet heute: Das hängt davon ab, wer gerade mahnt
• In der Managementbewertung tauchen immer wieder dieselben Feststellungen auf, und Sie müssen zeigen, wo sie stecken geblieben sind, bevor sie auf die Tagesordnung kamen
• Sie führen eine förmliche Risikoakzeptanz ein und wollen Unterschrift, Geltungsbereich und Überprüfungstermin als Schritt gezeichnet sehen statt in einer E-Mail belassen

So funktioniert es

1. Benennen Sie die Bahnen nach Ihren Rollen um

   Ersetzen Sie Leitender Auditor, Feststellungsverantwortlicher, Prozesseigner, Oberste Leitung und Qualitätsmanager / Auditausschuss durch die Rollen, die es bei Ihnen wirklich gibt. In einer kleinen Qualitätsfunktion sind der leitende Auditor und der Qualitätsmanager dieselbe Person: Führen Sie diese Bahnen zusammen, statt eine Übergabe zu zeichnen, die nie stattfindet.

2. Schreiben Sie Ihre Einstufungsdefinitionen an die erste Entscheidung

   „Hauptabweichung, Nebenabweichung oder Hinweis?“ bleibt wirkungslos, solange jede Stufe keinen geschriebenen Prüfmaßstab und keine Reaktionsfrist hat. ISO 9001 spricht nur von Nichtkonformität; die Aufteilung in Haupt- und Nebenabweichung, die die meisten Auditprogramme nutzen, stammt aus ISO/IEC 17021-1, der Norm für Stellen, die Managementsysteme zertifizieren, wo eine Hauptabweichung die Fähigkeit des Managementsystems beeinträchtigt, die beabsichtigten Ergebnisse zu erreichen. Halten Sie danach die Tage fest, die jede Stufe zulässt.

3. Legen Sie Termin, Mahnung und Karenzzeit fest

   Setzen Sie echte Zahlen an „Verantwortlichen mahnen, Endtermin setzen“ und „Antwort innerhalb der Karenzzeit?“. Entscheiden Sie, wer mahnt, wie lange die Karenzzeit läuft und ob sie für jede Einstufung gleich ist. Eine nie festgeschriebene Karenzzeit wird still zu einer unbefristeten, und genau so altert eine Feststellung ein Jahr lang, ohne dass jemand eine Regel bricht.

4. Benennen Sie die beiden Stufen und ihre Besetzung

   Entscheiden Sie, wer die erste Stufe tatsächlich ist. Meist ist es die Führungskraft des Feststellungsverantwortlichen, bei einer bereichsübergreifenden Feststellung jedoch der Prozesseigner, der über die Mittel verfügt, und so zeichnet es das Diagramm. Benennen Sie danach das Gremium der zweiten Stufe, ob Managementbewertung, Auditausschuss oder Risikoausschuss, und legen Sie fest, wie eine Feststellung zwischen den Sitzungen auf dessen Tagesordnung kommt.

5. Definieren Sie die Anforderungen an eine Risikoakzeptanz

   „Risikoakzeptanz mit Unterschrift der Leitung“ braucht ein Formular dahinter: wer unterschreiben darf, welchen Geltungsbereich die Akzeptanz abdeckt, welche kompensierenden Maßnahmen in der Zwischenzeit greifen und wann sie abläuft. Legen Sie fest, wo das akzeptierte Risiko danach geführt wird, in der Regel im Risikoregister, und wer es zum gesetzten Überprüfungstermin erneut ansehen soll.

6. Einigen Sie sich, was eine Feststellung schließt

   „Nachweis schließt die Feststellung?“ ist die Stelle, an der die meisten späten Meinungsverschiedenheiten landen. Halten Sie fest, was der Auditor je Maßnahmenart akzeptiert: ein überarbeitetes Verfahren mit Revisionsstand, ein Schulungsnachweis, eine Stichprobe von Vorgängen nach der Änderung. Entscheiden Sie außerdem, ob der Abschluss allein beim Auditor liegt und ob später eine Wirksamkeitsprüfung nach Ihrem Nachverfolgungsprozess folgt.

7. Gehen Sie es an drei echten Feststellungen durch

   Nehmen Sie drei Feststellungen aus dem vergangenen Jahr: eine, die fristgerecht geschlossen wurde, eine, die überfällig wurde, und eine, die in einem akzeptierten Risiko endete. Verfolgen Sie jede davon durch das Diagramm. Jede Stufe, die die Beteiligten beschreiben und die nicht gezeichnet ist, oder die gezeichnet, aber in der Praxis übersprungen wird, ist die Änderung, die sich lohnt, bevor Sie den Prozess veröffentlichen und daran zu messen beginnen.

Häufig gestellte Fragen

Welche Schritte umfasst die Eskalation einer Auditfeststellung?

Eine Feststellung wird im Auditbericht als Hauptabweichung, Nebenabweichung oder Hinweis eingestuft; eine Hauptabweichung geht an die oberste Leitung, ein Hinweis ins Verbesserungsregister. Sie wird einer benannten Person zugewiesen, die sie akzeptiert oder bestreitet; eine bestrittene Feststellung wird geprüft und entweder aufrechterhalten oder mit dokumentierter Begründung zurückgezogen. Der Verantwortliche vereinbart Korrekturmaßnahme und Termin, der Auditor prüft, ob der Plan ausreicht, und die Maßnahme wird umgesetzt, während der Fortschritt gemeldet wird. Kommt der Nachweis bis zum Termin, geht er in die Prüfung; kommt er nicht, wird der Verantwortliche mit einem Endtermin gemahnt, und nach Ablauf der Karenzzeit eskaliert die Sache an den Prozesseigner, der einen Wiederherstellungsplan mit festem Termin vereinbart. Eine Blockade durch Ressourcen oder Befugnis erreicht die Managementbewertung, die die Maßnahme finanziert oder eine unterschriebene Risikoakzeptanz dokumentiert. Geprüfte Nachweise gehen mit dem Status der Feststellung an den Auditausschuss, und die Feststellung wird geschlossen, der Nachweis aufbewahrt.

Was unterscheidet die Eskalation einer Feststellung von ihrer Nachverfolgung?

Nachverfolgung ist der Normalzustand: Die Maßnahme hat einen Verantwortlichen und einen Termin, der Fortschritt ist sichtbar, der Nachweis kommt, der Auditor prüft ihn und kontrolliert nach einer festgelegten Frist, ob die Änderung tatsächlich gehalten hat. Nichts ist schiefgelaufen, also muss niemand informiert werden. Eskalation ist das, was passiert, wenn die Nachverfolgung keine Bewegung mehr erzeugt, und sie ist ein anderer Prozess mit anderen Rollen. Sie fragt, wer die Befugnis hat, die Maßnahme freizumachen, reicht die Feststellung eine benannte Leiter hinauf und erzwingt eine Entscheidung statt einer weiteren Erinnerung. Beides zusammen zu zeichnen ist verlockend, versteckt die Stufen aber in einem Diagramm, dessen Hauptlinie annimmt, dass alles nach Plan läuft. Nutzen Sie ein Diagramm zur Nachverfolgung von Korrekturmaßnahmen für den Routinezyklus und dieses für die Ausnahme, und machen Sie die Naht sichtbar: Die Überfälligkeitsprüfung hier ist dieselbe Prüfung, mit der das Routinediagramm endet.

Wer entscheidet, dass eine Auditfeststellung eskaliert wird?

Die Eskalation wird von der Auditfunktion ausgelöst, nicht vom Verantwortlichen. Der leitende Auditor führt die Fristen und die Mahnungen, und die Leitung der Internen Revision oder der Qualitätsmanager entscheidet, eine Feststellung an die oberste Leitung zu tragen. Die Global Internal Audit Standards 2024 des IIA, in Kraft seit dem 9. Januar 2025, weisen dies der Leitung der Internen Revision zu: Kommt sie zu dem Schluss, dass das Management ein Risiko oberhalb der Risikobereitschaft oder Risikotoleranz der Organisation akzeptiert hat, muss die Sache mit der obersten Leitung besprochen und, wenn sie dort nicht gelöst wird, an das Aufsichtsorgan eskaliert werden. Dieselben Standards sagen ausdrücklich, dass die Bewältigung des Risikos nicht Aufgabe der Internen Revision ist. In einem Qualitätsmanagementsystem ist der entsprechende Weg die Managementbewertung nach Abschnitt 9.3 der ISO 9001:2015. Was auch immer gilt: Schreiben Sie den Namen ins Diagramm, statt es dem zu überlassen, der sich gerade berufen fühlt.

Wie lange sollte ein Verantwortlicher Zeit haben, bevor eskaliert wird?

Eine allgemeingültige Zahl gibt es nicht, und das Diagramm trägt bewusst keine: Termin, Karenzzeit und der Zeitpunkt jeder Stufe sind Platzhalter, die Sie durch Ihre eigenen Werte ersetzen. Leiten Sie sie aus der Einstufung ab statt aus einer einzigen organisationsweiten Zahl, damit eine Hauptabweichung auf einer kurzen Uhr läuft und ein Hinweis nicht dieselbe Aufmerksamkeit verbraucht. Sind Sie zertifiziert, greifen hier die Regeln Ihrer Zertifizierungsstelle, und die stehen nicht zu Ihrer Disposition: Nach ISO/IEC 17021-1 müssen Korrektur und Korrekturmaßnahme zu einer Hauptabweichung geprüft, akzeptiert und verifiziert sein, bevor eine Zertifizierungsentscheidung getroffen wird, während eine Nebenabweichung einen akzeptierten Korrekturmaßnahmenplan braucht und beim folgenden Audit verifiziert wird. Eine interne Karenzzeit, die über diese Fristen hinausläuft, ist nichts wert.

Welche Nachweise braucht eine eskalierte Feststellung?

Eine eskalierte Feststellung wird an ihrer Spur gemessen. Dokumentieren Sie also die Feststellung gegen die Anforderung und den Nachweis, den benannten Verantwortlichen und die vereinbarte Maßnahme mit Termin, jede Mahnung und wann sie verschickt wurde, jede Eskalation und wer sie erhalten hat, die Entscheidung der Managementbewertung und die beim Abschluss akzeptierten Nachweise. Wurde ein Risiko akzeptiert, bewahren Sie die unterschriebene Akzeptanz mit Geltungsbereich, kompensierenden Maßnahmen und Ablaufdatum auf und vermerken Sie, wo das Risiko danach geführt wird. ISO 9001:2015 Abschnitt 10.2 verlangt, die Nichtkonformitäten, die ergriffenen Maßnahmen und die Ergebnisse jeder Korrekturmaßnahme als dokumentierte Information aufzubewahren, und ISO 19011:2018, die Leitfadennorm für Audits, führt die Nachverfolgung als eigenen Schritt in Abschnitt 6.7, wo Umsetzung und Wirksamkeit verifiziert werden — oft im Rahmen des nächsten Audits. In der Praxis entscheidet der langweiligste Nachweis den Streit: wer wann informiert wurde.