Vorlage internes Audit: Flussdiagramm für den Auditprozess
Vorlage für den internen Auditprozess als Flussdiagramm: risikobasiertes Auditprogramm, Unabhängigkeit des Auditors, Durchführung, Abweichungen, Korrekturmaßnahmen und Wirksamkeitsprüfung.
So funktioniert es
Benennen Sie die Bahnen nach Ihren tatsächlichen Rollen
Ersetzen Sie „Qualitätsmanager“ durch die Rolle, die das Auditprogramm verantwortet — das kann eine Compliance-Verantwortliche, ein HSE-Manager oder ein ISMS-Beauftragter sein — und passen Sie „Auditierter / Prozesseigner“ an die bei Ihnen übliche Bezeichnung an. Behalten Sie die Oberste Leitung als eigene Bahn, auch wenn dahinter nur eine Person steht: Der Berichtsweg in die Managementbewertung muss sichtbar bleiben.
Schreiben Sie auf, was die Auditfrequenz bestimmt
Ergänzen Sie Ihre Regel am Schritt zum Auditprogramm: Welche Prozesse werden in jedem Zyklus auditiert, was löst ein zusätzliches Audit aus (eine Hauptabweichung, eine Prozessänderung, ein neuer Lieferant, eine Häufung von Kundenreklamationen) und welche Mindestabdeckung gilt über einen Zertifizierungszyklus. Ein Programm ohne dargelegte Begründung ist selbst eine häufige Feststellung.
Definieren Sie den Unabhängigkeitstest
Halten Sie an der Unabhängigkeitsentscheidung fest, was einen Auditor ausschließt: die eigene Arbeit auditieren, einen Prozess auditieren, den er führt oder an den er berichtet, oder das zu auditierende Verfahren selbst geschrieben zu haben. Dokumentieren Sie die Alternative für einen kleinen Auditorenpool — Tausch zwischen Abteilungen, ein geschulter Auditor von einem anderen Standort oder ein beauftragter externer Auditor.
Legen Sie Ihre Feststellungskategorien und deren Folgen fest
Entscheiden Sie, wie Sie Hauptabweichung, Nebenabweichung und Hinweis voneinander abgrenzen, und dokumentieren Sie das am Schritt zur Erfassung der Abweichung. Schreiben Sie ausdrücklich hin, dass Hinweise keine Korrekturmaßnahme erfordern — sonst berichten Auditoren weniger, um sich keine Arbeit zu schaffen.
Setzen Sie Fristen für Korrekturmaßnahmen
Tragen Sie an den Schritten zur Korrekturmaßnahme echte Zahlen ein: wie lange der Prozesseigner Zeit hat, Ursache und Maßnahme vorzuschlagen, wie lange die Umsetzung dauern darf und wann die Wirksamkeit geprüft wird. Zehn Arbeitstage für die Rückmeldung und sechzig für die Umsetzung sind verbreitet — wählen Sie aber, was Ihre Organisation tatsächlich einhalten kann.
Benennen Sie, wo die Nachweise liegen
Vermerken Sie an den Schritten zu Bericht und Abschluss den tatsächlichen Ablageort und die Aufbewahrungsfrist für Checklisten, Stichprobennotizen, Berichte und Maßnahmennachweise. Nachweise zum Auditprogramm und zu seinen Ergebnissen müssen aufbewahrt werden, und „im Postfach des Auditors“ genügt einem Zertifizierungsauditor nicht.
Häufig gestellte Fragen
Aus welchen Phasen besteht der interne Auditprozess?
Aus sechs, wie in diesem Diagramm. Zuerst wird aus Prozessrisiko und früheren Feststellungen ein risikobasiertes Jahresauditprogramm aufgebaut. Dann wird ein Auditor zugewiesen und seine Unabhängigkeit vom Bereich bestätigt. Es folgen Planung des Audits, Information des Auditierten und die Vorabprüfung der Unterlagen. Danach die Durchführung vor Ort: Eröffnungsgespräch, Stichproben aus Aufzeichnungen und Befragungen, Abschlussgespräch. Anschließend wird berichtet, wobei Abweichungen und Hinweise getrennt erfasst werden. Zuletzt werden Korrekturmaßnahmen mit Verantwortlichem und Frist vereinbart, ihre Wirksamkeit bestätigt und die Ergebnisse in die Managementbewertung gegeben, bevor das Audit geschlossen und die Nachweise aufbewahrt werden.
Wie sichert man die Unabhängigkeit der Auditoren in einer kleinen Organisation?
Gefordert ist, dass Auditoren nicht ihre eigene Arbeit auditieren — nicht, dass Sie eine eigene Auditabteilung beschäftigen. In der Praxis heißt das: Auditoren zwischen Abteilungen tauschen, sodass die Person aus dem Einkauf das Lager auditiert und umgekehrt; Mitarbeitende außerhalb der Qualitätsfunktion zu Auditoren ausbilden; einen geschulten Auditor von einem anderen Standort oder aus einer Schwestergesellschaft ausleihen; oder für die Bereiche, in denen intern niemand unparteiisch ist, einen externen Auditor beauftragen. Das Diagramm macht daraus einen Entscheidungspunkt mit Rücksprung, damit die Prüfung vor der Planung stattfindet und nicht erst, wenn der Bericht angezweifelt wird.
Wie oft sollten interne Audits durchgeführt werden?
Keine Managementsystemnorm setzt ein festes Intervall. ISO 9001, ISO 14001 und ISO 27001 sagen übereinstimmend, dass Audits in geplanten Abständen durchgeführt werden und dass das Programm die Bedeutung der betroffenen Prozesse, Veränderungen in der Organisation und die Ergebnisse früherer Audits berücksichtigt. In der Praxis decken die meisten Organisationen jeden Prozess mindestens einmal je dreijährigem Zertifizierungszyklus ab, auditieren risikoreiche oder zuvor auffällige Prozesse jährlich oder häufiger und ergänzen ungeplante Audits nach wesentlichen Änderungen oder Vorfällen.
Was ist der Unterschied zwischen einer Abweichung und einem Hinweis?
Eine Abweichung ist die Nichterfüllung einer festgelegten Anforderung — eines Normabschnitts, Ihres eigenen Verfahrens oder einer gesetzlichen oder kundenseitigen Anforderung — und verpflichtet Sie dazu, sie zu korrigieren, die Ursache zu untersuchen und eine Korrekturmaßnahme zu ergreifen. Ein Hinweis ist etwas, das der Auditor angemerkt hat, ohne dass eine Anforderung verletzt wäre: eine schwache Regelung, eine Inkonsistenz oder eine Praxis, die zum Problem wird, wenn sie so bleibt. Er erfordert keine Korrekturmaßnahme. Die klare Trennung ist wichtig, denn wenn Hinweise wie Feststellungen behandelt werden, hören Auditoren stillschweigend auf, sie überhaupt zu notieren.