Das interne Audit ist eine der wenigen Tätigkeiten, die ISO 9001 ausdrücklich und ohne Interpretationsspielraum verlangt. Wer zertifiziert werden will, muss vor dem Zertifizierungsaudit mindestens einmal das eigene System selbst geprüft haben. Für viele KMU wirkt das zunächst wie eine lästige Pflichtübung – ist aber in Wahrheit das wirksamste Werkzeug, um böse Überraschungen im Zertifizierungsaudit zu vermeiden.
Dieser Artikel zeigt, was Kapitel 9.2 wirklich fordert, wer ein internes Audit durchführen darf und wie ein Audit in einem kleinen Betrieb praktisch abläuft.
Was die Norm verlangt
ISO 9001:2015 fordert in Kapitel 9.2, dass Sie in geplanten Abständen interne Audits durchführen. Ziel ist herauszufinden, ob das Qualitätsmanagementsystem zwei Dinge erfüllt: Erstens die Anforderungen der Norm und Ihre eigenen Vorgaben, zweitens die tatsächliche wirksame Umsetzung im Alltag. Es geht also nicht nur um die Frage «Steht es im Handbuch?», sondern um «Wird es auch gelebt?».
Konkret verlangt die Norm, dass Sie:
- ein Auditprogramm planen, umsetzen und aufrechterhalten – unter Berücksichtigung der Bedeutung der Prozesse, von Änderungen im Betrieb und den Ergebnissen früherer Audits;
- Kriterien und Umfang für jedes einzelne Audit festlegen;
- Auditoren so auswählen, dass Objektivität und Unparteilichkeit des Auditprozesses gewährleistet sind;
- sicherstellen, dass die Ergebnisse der zuständigen Leitung berichtet werden;
- ohne unangemessene Verzögerung Korrekturen und Korrekturmassnahmen einleiten;
- dokumentierte Information als Nachweis über die Umsetzung des Programms und die Ergebnisse aufbewahren.
Bemerkenswert ist, was nicht gefordert wird: Die Norm nennt keine feste Anzahl Audits pro Jahr, verlangt kein bestimmtes Auditoren-Zertifikat und schreibt keine Vorlage vor. In der Praxis hat sich eingebürgert, dass alle wesentlichen Prozesse mindestens einmal pro Jahr auditiert werden – zwingend ist das aber nicht. Entscheidend ist, dass Ihr Auditprogramm risikobasiert und nachvollvollziehbar ist.
Wer darf ein internes Audit durchführen?
Das ist die Frage, an der kleine Betriebe am häufigsten hängenbleiben. Die Norm kennt genau eine harte Regel: Ein Auditor darf nicht seine eigene Arbeit prüfen. Wer den Einkauf verantwortet, kann den Einkaufsprozess nicht selbst auditieren – das wäre keine unabhängige Prüfung.
Was die Norm ausdrücklich nicht verlangt: einen externen Auditor, eine formale «Auditoren-Ausbildung» oder ein Zertifikat. Gefordert ist Kompetenz (im Sinne von Kapitel 7.2) und Unparteilichkeit. Ein interner Auditor muss die Norm-Grundlagen und die Audittechnik beherrschen – eine ein- bis zweitägige Schulung reicht dafür in der Regel aus. Orientierung zur Auditdurchführung gibt die Norm ISO 19011, die aber nur ein Leitfaden und nicht verbindlich ist.
Für KMU haben sich drei Modelle bewährt:
| Modell | Wie es funktioniert | Passt für |
|---|---|---|
| Cross-Audit intern | Mitarbeitende auditieren wechselseitig fremde Bereiche | Betriebe ab ca. 15–20 Personen mit mehreren Bereichen |
| Geschäftsleitung als Auditor | Die Leitung auditiert Bereiche, die sie nicht selbst operativ führt | Kleinstbetriebe mit wenigen Prozessen |
| Externer Auditor | Ein Berater oder freier Auditor führt das interne Audit durch | Sehr kleine Teams ohne unabhängige Person |
Der externe Weg ist für den Kleinstbetrieb oft der pragmatischste – wichtig ist nur: Der externe interne Auditor darf nicht derselbe sein, der später das Zertifizierungsaudit macht. Die akkreditierte Zertifizierungsstelle (etwa SQS oder SGS) muss ihre Unabhängigkeit wahren und darf ihr eigenes Beratungsergebnis nicht zertifizieren.
Das Auditprogramm: die Jahresplanung
Bevor Sie das erste Gespräch führen, brauchen Sie einen Überblick über das Jahr. Das Auditprogramm ist ein einfaches Dokument – oft nur eine Tabelle –, das festhält, welcher Prozess wann von wem auditiert wird. Für ein KMU genügt eine Seite:
- Welche Prozesse werden auditiert? Als Grundlage dient Ihre Prozesslandkarte – jeder Kernprozess sollte im Programm auftauchen.
- Wann finden die Audits statt? Verteilen Sie sie übers Jahr, statt alles in eine Woche zu quetschen.
- Wer auditiert? Und ist die Unparteilichkeit gewahrt?
- Wo liegt der Schwerpunkt? Prozesse mit hohem Risiko, viele Reklamationen oder frühere Abweichungen verdienen mehr Aufmerksamkeit.
Risikobasiert zu planen heisst schlicht: Ein Prozess, in dem es letztes Jahr Probleme gab, wird gründlicher und früher geprüft als ein stabiler Nebenprozess.
Der Ablauf eines Audits in fünf Schritten
1. Vorbereitung. Der Auditor legt Umfang und Kriterien fest, sichtet die relevanten Dokumente und erstellt eine Checkliste. Die Kriterien sind die Massstäbe: die Norm-Anforderungen, Ihre eigenen Prozessvorgaben und gesetzliche Anforderungen.
2. Eröffnungsgespräch. Kurz und sachlich: Ziel, Umfang und Ablauf klären. Ein internes Audit ist keine Prüfung von Personen, sondern von Prozessen – dieser Ton entscheidet, ob Mitarbeitende offen antworten oder mauern.
3. Durchführung. Der Kern des Audits. Der Auditor sammelt Nachweise durch drei Techniken: Fragen («Zeigen Sie mir, wie Sie eine Reklamation erfassen»), Beobachten (was passiert tatsächlich am Arbeitsplatz?) und Belege prüfen (Aufzeichnungen, Formulare, Kennzahlen). Die goldene Regel lautet: Ein Auditor bewertet an Fakten, nicht an Meinungen. Jede Feststellung braucht einen konkreten Nachweis.
4. Abschlussgespräch. Die Feststellungen werden zusammengefasst und eingeordnet. Üblich sind drei Kategorien: Nichtkonformität (eine Anforderung ist nicht erfüllt), Verbesserungspotenzial (es funktioniert, liesse sich aber besser lösen) und positive Beobachtung. Halten Sie auch das Gute fest – ein Auditbericht, der nur Mängel listet, demotiviert.
5. Auditbericht und Nachverfolgung. Der schriftliche Bericht dokumentiert Umfang, Teilnehmende, Feststellungen und vereinbarte Massnahmen. Für jede Nichtkonformität folgt eine Korrekturmassnahme mit Verantwortlichem und Termin. Diese Nachverfolgung ist der Teil, der am häufigsten vergessen wird – und im Zertifizierungsaudit am ehesten auffällt.
Eine schlanke Audit-Checkliste
Sie müssen das Rad nicht neu erfinden. Eine brauchbare Checkliste je Prozess enthält typischerweise:
- Sind die Prozessziele und Kennzahlen definiert – und werden sie erhoben?
- Ist die Verantwortung eindeutig einer Person zugeordnet?
- Arbeiten die Beteiligten so, wie es die Prozessbeschreibung vorsieht?
- Sind die mitgeltenden Dokumente aktuell und die richtige Version im Einsatz?
- Wie wird mit Fehlern und Abweichungen umgegangen?
- Wurden Massnahmen aus dem letzten Audit umgesetzt?
- Werden die geforderten Aufzeichnungen tatsächlich geführt?
Diese sieben Fragen decken den Kern der meisten Prozesse ab. Ergänzen Sie sie um die spezifischen Norm-Anforderungen des jeweiligen Kapitels.
Häufige Fehler
- Das Audit als Alibi. Wer nur abhakt, um das Zertifikat zu bekommen, verschenkt den eigentlichen Nutzen – und Auditoren merken den Unterschied zwischen echten und geschönten Feststellungen sofort.
- Auditor prüft eigene Arbeit. Der klassische Formfehler. Achten Sie schon im Auditprogramm auf die Unabhängigkeit.
- Feststellungen ohne Nachweis. «Der Prozess läuft gut» ist keine Auditfeststellung. Ohne konkreten Beleg ist sie wertlos.
- Keine Nachverfolgung. Eine dokumentierte Nichtkonformität ohne umgesetzte Massnahme ist im nächsten Audit eine doppelte Abweichung.
- Alles auf einmal. Ein einziges Mammut-Audit über zwei Tage ist anstrengend und oberflächlich. Mehrere kurze Audits über das Jahr verteilt bringen mehr.
Einordnung und Aufwand
Das interne Audit gehört in die Betriebsphase Ihres Systems – nach dem Aufbau, aber vor dem Zertifizierungsaudit. Im 8-Schritte-Fahrplan zur Einführung ohne Berater ist es einer der letzten Bausteine vor der externen Zertifizierung. Zusammen mit der Managementbewertung liefert es die Grundlage, auf der die Geschäftsleitung die Wirksamkeit des Systems beurteilt.
Der Aufwand ist überschaubar: Für ein KMU mit sechs bis acht Kernprozessen sind ein bis zwei Tage Auditzeit pro Jahr plus die Berichtsarbeit realistisch. Wer die Audits klein und über das Jahr verteilt hält, verankert die Qualitätsarbeit im Alltag, statt sie einmal jährlich in einer Hauruck-Aktion nachzuholen.
Bei der Vorbereitung nimmt Ihnen heute Software einiges an Handarbeit ab. KI-gestützte Werkzeuge können aus Ihrer Prozesslandkarte einen Vorschlag für Auditprogramm und prozessspezifische Checklisten erzeugen, den Sie anschliessend an Ihren Betrieb anpassen. Die fachliche Bewertung im Audit bleibt Ihre Aufgabe – aber Sie starten mit einer Struktur statt mit einem leeren Blatt.