Flussdiagramm Nachverfolgung von Korrekturmaßnahmen (Auditfeststellungen)

Was ist flussdiagramm nachverfolgung von korrekturmaßnahmen (auditfeststellungen)?

Die Nachverfolgung von Korrekturmaßnahmen ist die Hälfte des Auditzyklus, die abläuft, nachdem alle den Raum verlassen haben. Die Feststellung ist geschrieben, die Ursache ist geklärt, und die Maßnahme hat einen Verantwortlichen und ein Datum; von da an geht es darum, ob die Zusage gehalten wird und ob das Halten etwas verändert hat. Das Diagramm folgt einer vereinbarten Maßnahme von Anfang bis Ende: Verantwortlicher und Termin, die beim Auditabschluss festgelegt werden, die nach der Bedeutung der Feststellung gewählte Art der Nachverfolgung, die Erfassung im Nachverfolgungsregister, Statusberichte gegen den Termin, die Wege bei verschobenem oder versäumtem Termin, der eingereichte und gegen das Vereinbarte geprüfte Nachweis, eine Wirksamkeitsprüfung nach einem festgelegten Zeitraum und der Abschluss mit Bericht in die Managementbewertung.

Dies ist weder das Audit noch die Untersuchung. Wie eine Feststellung über Stichproben gefunden, erhoben und berichtet wird, gehört in den internen Auditprozess; wie eine Grundursache ermittelt und ein Plan für Korrektur- und Vorbeugemaßnahmen geschrieben wird, gehört in den CAPA-Prozess, der gegen seinen eigenen CAPA-Vorgang schließt und nicht gegen eine Auditfeststellung. Dieses Diagramm beginnt, wo eine Maßnahme bereits existiert, und endet, wenn die Feststellung geschlossen oder das Risiko förmlich akzeptiert ist. Es endet auch vor einer vollständigen Eskalationsstufenleiter: Eine Führungsstufe gibt dem Überfälligkeitspfad ein Ziel, während Stufen, Fristen und Gremienberichte für eine schwerwiegende Feststellung in den Eskalationsprozess für Auditfeststellungen gehören. Die Grenze zählt: Ein Nachverfolgungsregister verrottet, sobald wieder geöffnete Punkte erneut zu ungeplanten Untersuchungen werden. Wurde die Maßnahme sauber umgesetzt und das Problem tritt trotzdem wieder auf, war die Grundursache vermutlich falsch, und das gehört zurück in die Untersuchung statt noch einmal durch dieses Diagramm. Nutzen Sie es als Ausgangspunkt, den Sie unter fachkundiger Prüfung an Ihr eigenes Auditverfahren und an die Anforderungen Ihres Managementsystems und Ihrer Behörde anpassen.

Sieben Entscheidungen liegen im Diagramm, vier davon tragen es. „Haupt- oder Nebenabweichung?“ legt fest, wie hart die Nachverfolgung arbeitet: Eine bedeutende Feststellung verdient zuerst einen Verifizierungsbesuch vor Ort, eine geringfügige geht direkt ins Register. Die Global Internal Audit Standards des IIA von 2024, gültig ab dem 9. Januar 2025, weisen in dieselbe Richtung und verlangen, Nachverfolgungsbewertungen risikobasiert durchzuführen und den Stand der Maßnahmenpläne des Managements in einem Verfolgungssystem zu aktualisieren. „Maßnahme zum Termin erledigt?“ ist das Prüftor der Nachverfolgung, und es hat drei statt zwei Ausgänge, weil ein Termin in der Praxis gehalten, verschoben oder versäumt wird. „Maßnahme wie vereinbart umgesetzt?“ liegt in der Bahn des Auditors und nicht beim Verantwortlichen, denn wer die Arbeit getan hat, bestätigt sie nicht selbst. Und „Maßnahme in der Praxis wirksam?“ steht bewusst ganz rechts: eine eigene Prüfung, später ausgeführt, gegen ein vorab vereinbartes Kriterium.

Was dieses Flussdiagramm abdeckt

In dieser Vorlage

• Fünf Swimlanes (Auditor / Nachverfolgungsverantwortlicher, Maßnahmenverantwortlicher, Prozesseigner, Qualität und Geschäftsleitung) über sechs Phasen: Maßnahme vereinbart, Nachverfolgung und Status, Überfälligkeit und Eskalation, Nachweis und Verifizierung, Wirksamkeitsprüfung sowie Abschluss und Bericht
• Ein risikobasierter Einstieg: Die Entscheidung „Haupt- oder Nebenabweichung?“ terminiert bei einer Hauptabweichung einen Verifizierungsbesuch vor Ort und schickt eine Nebenabweichung direkt ins Register, sodass der Aufwand der Nachverfolgung von der Bedeutung der Feststellung bestimmt wird und nicht von Gewohnheit
• Nachverfolgung mit drei ehrlichen Ausgängen, denn „Maßnahme zum Termin erledigt?“ verzweigt nach Erledigt, Verlängerung und Überfällig, und der Verlängerungspfad läuft über die Entscheidung „Verlängerung begründet?“ des Nachverfolgungsverantwortlichen und genau eine dokumentierte Terminverschiebung, bevor er wieder in die Statusberichte mündet
• Ein Eskalationspfad, der enden kann, ohne dass die Maßnahme je umgesetzt wird: Nachfassen bei einem überfälligen Punkt, die Entscheidung „Überfällig über der Eskalationsschwelle?“, die Eskalation an die zuständige Leitung und die Wahl der Geschäftsleitung „Neu planen oder Risiko akzeptieren?“ mit einem dokumentierten akzeptierten Risiko als eigenem Endpunkt
• Verifizierung als eigener Schritt in der Bahn des Auditors: Der Verantwortliche reicht den Nachweis ein, der Auditor prüft ihn gegen die vereinbarte Maßnahme, und „Maßnahme wie vereinbart umgesetzt?“ führt die Maßnahme entweder in das Wirksamkeitsfenster oder gibt die Lücken zurück an „Die vereinbarten Maßnahmenschritte umsetzen“
• Wirksamkeit als spätere Prüfung behandelt: „Wirksamkeitskriterium und Prüftermin festlegen“, bevor das Fenster öffnet, Verfolgung durch den Prozesseigner, danach eine Stichprobe aus den Aufzeichnungen, und „Maßnahme in der Praxis wirksam?“, das die Feststellung entweder für eine neue Maßnahme wieder öffnet, wo die Ursache fortbesteht, oder sie an Abschluss und Managementbewertung übergibt

Wann Sie diese Vorlage verwenden sollten

• Sie haben ein Nachverfolgungsregister voller als erledigt markierter Maßnahmen und keinen Nachweis, dass jemand geprüft hat, ob sie umgesetzt wurden, geschweige denn, ob sie gewirkt haben
• Auditmaßnahmen laufen regelmäßig über ihren Termin hinaus, und Sie können nicht sagen, ab wann eine verspätete Maßnahme das Problem eines anderen wird
• Sie bauen die Nachverfolgung für ein neues Auditprogramm auf und wollen Verfolgung, Verifizierung und Wirksamkeitsprüfung abgestimmt haben, bevor Sie ein Werkzeug einrichten
• Ein externer Auditor oder eine Zertifizierungsstelle hat gefragt, wie Sie Korrekturmaßnahmen verifizieren und woran Sie entscheiden, dass eine Feststellung geschlossen werden darf
• Qualität und interne Revision fassen bei denselben Maßnahmen nach, deshalb brauchen Sie ein Diagramm, das sagt, wer verifiziert, wer eine Verlängerung genehmigt und wer eskaliert

So funktioniert es

1. Benennen Sie die Bahnen nach Ihren Rollen um

   Ersetzen Sie Auditor / Nachverfolgungsverantwortlicher, Maßnahmenverantwortlicher, Prozesseigner, Qualität und Geschäftsleitung durch die Rollen, die es bei Ihnen wirklich gibt. In einer kleinen Organisation sind der Nachverfolgungsverantwortliche und die Qualität meist dieselbe Person: Führen Sie diese Bahnen zusammen, statt eine Übergabe zu zeichnen, die nie stattfindet. Trennen Sie Maßnahmenverantwortlichen und Prozesseigner nur dort, wo sie sich wirklich unterscheiden.

2. Legen Sie die Art der Nachverfolgung nach Bedeutung fest

   Schreiben Sie Ihre eigene Regel an die erste Entscheidung: Welche Feststellungen verdienen einen Verifizierungsbesuch vor Ort und einen kurzen Termin, und welche lassen sich beim nächsten geplanten Audit anhand von Unterlagen verifizieren. Halten Sie fest, wer die Feststellung einstuft und wann, denn eine Einstufung, die erst nach dem Verzug erfolgt, ist keine Einstufung, sondern eine Rechtfertigung.

3. Vereinbaren Sie die Regel für Termine und Verlängerungen

   Entscheiden Sie, wie Termine beim Auditabschluss gesetzt werden, wie oft eine Maßnahme verschoben werden darf, wer das genehmigen darf und was ein Antrag enthalten muss. Eine dokumentierte Verschiebung mit benanntem Genehmiger und schriftlicher Begründung ist eine belastbare Voreinstellung. Unbegrenzte stille Verlängerungen füllen ein Register mit Maßnahmen, die dauerhaft fast fertig sind.

4. Schreiben Sie Ihre Eskalationsschwellen ins Diagramm

   Ersetzen Sie den Platzhaltertext an der Eskalationsentscheidung durch Ihren eigenen Auslöser: Tage nach dem Termin, ein zweiter versäumter Termin oder die Risikoeinstufung der Feststellung. Benennen Sie die Rolle, an die eskaliert wird, und halten Sie fest, was diese Person tatsächlich entscheiden kann, sei es ein neuer Plan, mehr Ressourcen oder eine förmliche Risikoakzeptanz.

5. Definieren Sie, welchen Nachweis die Verifizierung akzeptiert

   Listen Sie auf, was der Auditor für Ihre üblichen Maßnahmenarten prüfen wird: ein überarbeitetes Verfahren mit Ausgabedatum, Schulungsnachweise, ein genehmigtes Änderungsticket, eine Stichprobe der seit der Änderung entstandenen Aufzeichnungen. Das beim Auditabschluss statt erst bei der Nachverfolgung zu vereinbaren, verhindert, dass das Verifizierungsgespräch zur Verhandlung darüber wird, was zählt.

6. Wählen Sie Wirksamkeitskriterium und Zeitraum

   Halten Sie für jede Maßnahme fest, woran sich zeigen würde, dass das Problem aufgehört hat, und wie lange der Prozess laufen muss, bevor Sie nachsehen: eine Zahl erneuter Fälle, eine Fehlerquote, eine Stichprobe von Vorgängen, ein erneutes Audit derselben Anforderung. Legen Sie beides fest, bevor das Fenster öffnet. Das Diagramm nennt bewusst keinen Zeitraum, denn der richtige ergibt sich daraus, wie oft die Tätigkeit läuft.

7. Gehen Sie es an einer geschlossenen Feststellung durch

   Nehmen Sie zwei oder drei bereits geschlossene Feststellungen, idealerweise eine, die sauber geschlossen hat, und eine, die zurückkam, und verfolgen Sie sie durch das Diagramm. Jeder Schritt, den die Beteiligten beschreiben und der nicht gezeichnet ist, und jedes Kästchen, das gezeichnet, in der Praxis aber übersprungen wird, ist die Feststellung, die Sie vor der Veröffentlichung bearbeiten sollten.

Häufig gestellte Fragen

Welche Schritte umfasst die Nachverfolgung von Korrekturmaßnahmen?

Eine vereinbarte Korrekturmaßnahme kommt mit Verantwortlichem und Termin aus dem Auditabschluss. Der Nachverfolgungsverantwortliche stuft sie ein: Eine Hauptabweichung erhält einen Verifizierungsbesuch vor Ort, eine Nebenabweichung geht direkt ins Nachverfolgungsregister, und erfasst wird sie in beiden Fällen. Der Verantwortliche arbeitet die vereinbarten Schritte ab und gibt Statusberichte. Zum Termin ist die Maßnahme erledigt, einmalig mit dokumentierter Begründung verlängert oder überfällig und wird nachgefasst; ein Nachfassen über der Eskalationsschwelle geht an die zuständige Leitung, die neu plant oder das Risiko akzeptiert. Eine erledigte Maßnahme geht in den Nachweis: Der Verantwortliche reicht ihn ein, der Auditor prüft ihn gegen das Vereinbarte, Lücken gehen zurück. Ist die Umsetzung bestätigt, werden Wirksamkeitskriterium und Prüftermin festgelegt, der Prozess läuft, Aufzeichnungen werden stichprobenartig geprüft, und die Maßnahme wird mit Nachweis geschlossen oder wieder geöffnet. Offene und geschlossene Maßnahmen werden in der Managementbewertung berichtet.

Was ist der Unterschied zwischen Verifizierung und Wirksamkeitsprüfung?

Die Verifizierung fragt, ob die vereinbarte Maßnahme tatsächlich umgesetzt wurde. Das ist eine enge, dokumentarische Frage, die nahe am Erledigungstermin beantwortet wird: Ist das Verfahren überarbeitet und in Kraft, wurden die benannten Personen geschult, wurde die Änderung genehmigt, existiert die neue Maßnahme. Die Wirksamkeitsprüfung fragt, ob das Problem aufgehört hat, und sie lässt sich nicht am selben Tag beantworten, weil der Prozess laufen und Nachweise erzeugen muss. Deshalb liegen beide in getrennten Phasen dieses Diagramms, mit einem Prüfzeitraum dazwischen. Der Unterschied zählt, weil eine Maßnahme vollständig umgesetzt und dennoch völlig unwirksam sein kann: Das Verfahren wurde aktualisiert, die Schulung wurde gehalten, und dieselbe Abweichung wird im nächsten Audit erneut erhoben. ISO 9001:2015 macht den zweiten Punkt ausdrücklich und verlangt, dass die Organisation die Wirksamkeit jeder ergriffenen Korrekturmaßnahme bewertet und nicht nur festhält, dass sie ergriffen wurde.

Wer sollte eine Korrekturmaßnahme verifizieren, und welche Nachweise braucht der Abschluss?

Verifizieren sollte jemand, der von der Arbeit unabhängig ist, in der Regel der Auditor, der die Feststellung erhoben hat, oder wer das Nachverfolgungsprogramm führt, und nicht der Maßnahmenverantwortliche. Deshalb liegt die Entscheidung „Maßnahme wie vereinbart umgesetzt?“ in diesem Diagramm in der Bahn des Auditors. Für den Abschluss bewahren Sie so viel auf, dass ein Fremder die Entscheidung ein Jahr später rekonstruieren kann: die Feststellung und ihre vereinbarte Maßnahme, den Verantwortlichen und den ursprünglichen Termin, jede Verschiebung samt Begründung, den geprüften Nachweis und durch wen, das Wirksamkeitskriterium, den Prüfzeitraum und sein Ergebnis sowie den Freigebenden des Abschlusses. ISO 9001:2015 verlangt, dokumentierte Information über die Art der Abweichung, die ergriffenen Maßnahmen und die Ergebnisse jeder Korrekturmaßnahme aufzubewahren, und in der Nachverfolgung entsteht die letzte dieser drei überhaupt erst.

Wie lange sollte man bis zur Wirksamkeitsprüfung warten?

Lange genug, dass der geänderte Prozess oft genug läuft, um etwas aussagen zu können. Ein täglicher Transaktionsprozess liefert innerhalb eines Monats eine faire Stichprobe; ein Quartalsabschluss, eine saisonale Tätigkeit oder eine jährliche Lieferantenbewertung nicht, und eine Prüfung nach vier Wochen sagt dort nur, dass noch nichts passiert ist. Leiten Sie den Zeitraum daraus ab, wie oft die Tätigkeit läuft und wie viele Daten Sie brauchen, nicht aus einem Standardintervall, das dem Register passt. Halten Sie das Kriterium gleichzeitig fest, ob Zahl erneuter Fälle, Fehlerquote, Stichprobengröße oder ein erneutes Audit derselben Anforderung, denn ein nach dem Prüfzeitraum gewähltes Kriterium ist meist jenes, das die Daten zufällig stützen. ISO 19011:2018 merkt an, dass die Prüfung von Umsetzung und Wirksamkeit der Korrekturmaßnahmen Teil eines späteren Audits sein kann, was bei langem Fenster oft die praktische Antwort ist.

Darf eine Auditfeststellung geschlossen werden, wenn die Maßnahme nie umgesetzt wird?

Ja, aber nur als ausdrückliche Entscheidung, nicht durch Ermüdung. Entscheidet die Geschäftsleitung, eine vereinbarte Maßnahme nicht umzusetzen, ist das ehrliche Ergebnis eine dokumentierte Risikoakzeptanz, die festhält, wer akzeptiert hat, auf welcher Grundlage und wann erneut geprüft wird, und kein Registereintrag, der zwei Jahre offen steht und dann still weggeräumt wird. Dieses Diagramm zeichnet das als eigenen Endpunkt, damit beide nie verwechselt werden. Die Standards der internen Revision sehen es genauso: Die Global Internal Audit Standards des IIA von 2024 machen die Leitung der internen Revision dafür verantwortlich zu beurteilen, ob die oberste Leitung durch Verzögerung oder Untätigkeit ein Risiko akzeptiert hat, das die Risikotoleranz der Organisation übersteigt, und verlangen, ein nicht akzeptables Risikoniveau mit der obersten Leitung zu erörtern und an den Aufsichtsrat zu eskalieren, wenn es dort nicht gelöst wird. Das Risiko zu lösen ist nicht Aufgabe der internen Revision; sicherzustellen, dass die richtigen Personen darüber entschieden haben, schon.