Audit

Diese normnahe Beschreibung orientiert sich an ISO 19011, dem Leitfaden für Audits von Managementsystemen. Ziel ist es festzustellen, in welchem Umfang Anforderungen erfüllt werden, welche Abweichungen bestehen und wo Verbesserungen oder weitere Prüfungen sinnvoll sind.

Im Unternehmenskontext werden Audits häufig eingesetzt, um Managementsysteme, Prozesse, Dokumentationen, IT-Systeme, Datenschutzmaßnahmen, Informationssicherheit oder Compliance-Anforderungen zu überprüfen. Für Ihr Informationsmanagement sind Audits besonders relevant, weil viele Anforderungen nur dann belegbar sind, wenn Informationen nachvollziehbar gelenkt, geschützt, versioniert, freigegeben, archiviert und bei Bedarf wiedergefunden werden können.

Was bedeutet Audit?

Der Begriff Audit stammt aus dem Lateinischen und bedeutet sinngemäß „Anhörung“ oder „Prüfung“. In der modernen Unternehmenspraxis bezeichnet er eine strukturierte Überprüfung nach festgelegten Anforderungen. Ein Audit ist damit keine beliebige Kontrolle, sondern folgt einem definierten Vorgehen mit klaren Prüfkriterien, dokumentierten Nachweisen und nachvollziehbaren Feststellungen.

Wichtig ist der Aspekt der Unabhängigkeit beziehungsweise Unparteilichkeit. Auditorinnen und Auditoren sollten ihre eigene Arbeit nicht auditieren und keine Interessenkonflikte haben, die ihre Bewertung beeinflussen könnten. Objektivität entsteht nicht nur durch sachliche Bewertung, sondern auch durch eine angemessene organisatorische Trennung zwischen prüfender und geprüfter Tätigkeit.

Ein Audit bedeutet nicht, dass ausschließlich Fehler gesucht werden. Es soll ein verlässliches Bild darüber liefern, ob definierte Anforderungen erfüllt sind. Gleichzeitig kann es Schwachstellen, Risiken, Verbesserungspotenziale und bewährte Praktiken sichtbar machen. Der konkrete Schwerpunkt hängt jedoch immer vom Auditauftrag ab: Manche Audits dienen vor allem der Konformitätsbewertung, andere stärker der Prozessverbesserung oder Zertifizierungsvorbereitung.

Typische Anforderungen, gegen die auditiert wird, sind:

• gesetzliche Vorgaben
• Normen und Standards
• interne Richtlinien
• Prozessbeschreibungen
• vertragliche Vereinbarungen
• Datenschutzanforderungen
• Informationssicherheitsanforderungen
• Qualitätsanforderungen
• technische Spezifikationen
• branchenspezifische Regularien
• Kundenanforderungen
• Anforderungen von Behörden oder Aufsichtsstellen

Audit und Informationsmanagement

Der Begriff [Informationsmanagementsysteme] wird in der Praxis unterschiedlich verwendet. In der Normenwelt sind Begriffe wie Qualitätsmanagementsystem, Informationssicherheitsmanagementsystem, Datenschutzmanagement, Dokumentenmanagementsystem, Enterprise-Content-Management-System oder Managementsystem stärker etabliert. Wenn hier von Informationsmanagementsystemen die Rede ist, sind damit organisatorische und digitale Strukturen gemeint, mit denen Informationen erfasst, gelenkt, geschützt, genutzt, archiviert und nachgewiesen werden.

Ein Audit im Informationsmanagement prüft daher nicht nur, ob eine Software technisch funktioniert. Entscheidend ist, ob Informationen im Arbeitsalltag zuverlässig gesteuert werden. Dazu gehören klare Verantwortlichkeiten, aktuelle Dokumente, nachvollziehbare Versionen, angemessene Berechtigungen, wirksame Freigabeprozesse, geregelte Aufbewahrung und kontrollierte Löschung.

Typische Prüffragen in diesem Umfeld sind:

• Sind relevante Informationen vollständig, aktuell und auffindbar?
• Ist eindeutig erkennbar, welche Dokumentenversion gültig ist?
• Werden Änderungen, Freigaben und Löschungen nachvollziehbar protokolliert?
• Sind Zugriffsrechte rollenbasiert und angemessen beschränkt?
• Werden vertrauliche oder personenbezogene Daten ausreichend geschützt?
• Sind Aufbewahrungsfristen, Löschfristen und Archivierungsregeln umgesetzt?
• Sind Verantwortlichkeiten für Dokumente, Daten und Prozesse dokumentiert?
• Können Nachweise bei Audits, Kundenanfragen oder Behördenprüfungen kurzfristig bereitgestellt werden?

Für Unternehmen mit digitalisierten Prozessen ist diese Nachvollziehbarkeit zentral. Falsch versionierte Dokumente, unklare Freigaben oder unkontrollierte Zugriffe können zu Compliance-Verstößen, Qualitätsproblemen, Datenschutzrisiken und ineffizienten Abläufen führen. Ein Audit macht solche Risiken sichtbar und hilft Ihnen, Anforderungen nachweisbar zu steuern.

Ziele eines Audits

Ein Audit prüft primär die Erfüllung definierter Auditkriterien. Es soll nicht pauschal bewerten, ob ein Unternehmen insgesamt „effizient“ oder „korrekt“ arbeitet, sofern Effizienz oder bestimmte Leistungskennzahlen nicht ausdrücklich Teil der Prüfkriterien sind. Dennoch können Audits Hinweise liefern, wo Prozesse verbessert, Risiken reduziert oder Kontrollen wirksamer gestaltet werden sollten.

Typische Ziele eines Audits sind:

• Konformität mit Normen, Gesetzen, Richtlinien oder Verträgen prüfen
• objektive Nachweise für erfüllte Anforderungen sammeln
• Abweichungen und Risiken identifizieren
• die Wirksamkeit von Prozessen oder Managementsystemen bewerten
• Zertifizierungen vorbereiten oder aufrechterhalten
• Nachweisfähigkeit gegenüber Kunden, Partnern, Behörden oder Zertifizierungsstellen stärken
• Verbesserungspotenziale erkennen
• Maßnahmen aus früheren Audits überprüfen

Besonders bei Managementsystemaudits ist auch die Einbindung der obersten Leitung wichtig. Die Leitung muss Ziele, Verantwortlichkeiten, Ressourcen, Risiken und Managementbewertungen angemessen steuern. Ein Audit betrachtet deshalb nicht nur operative Tätigkeiten, sondern auch, ob Führung, Steuerung und kontinuierliche Verbesserung wirksam miteinander verbunden sind.

Zentrale Begriffe im Audit

In der Praxis werden Auditprogramm, Auditplan, Auditumfang, Auditkriterien, Auditnachweise und Auditfeststellungen häufig verwechselt. Eine klare Abgrenzung hilft Ihnen, Audits besser vorzubereiten und Ergebnisse korrekt einzuordnen.

Das Auditprogramm umfasst mehrere Audits über einen bestimmten Zeitraum. Es legt fest, welche Themen, Standorte, Prozesse oder Managementsysteme wann und mit welcher Priorität auditiert werden. Ein gutes Auditprogramm ist risikobasiert: Kritische Prozesse, sensible Daten, frühere Abweichungen, neue regulatorische Anforderungen oder größere organisatorische Änderungen führen in der Regel zu höherer Auditfrequenz oder größerer Prüftiefe.

Der Auditplan beschreibt ein einzelnes Audit. Er enthält typischerweise Termin, Ablauf, beteiligte Bereiche, Auditoren, Gesprächspartner, Prüfschwerpunkte und Methoden. Der Auditumfang legt fest, was genau Gegenstand des Audits ist, zum Beispiel bestimmte Standorte, Systeme, Prozesse, Organisationseinheiten, Dokumentenarten oder Zeiträume.

Auditkriterien sind die Maßstäbe, gegen die geprüft wird. Dazu können Normanforderungen, Gesetze, interne Richtlinien, Prozessbeschreibungen oder Vertragsanforderungen gehören. Auditnachweise sind überprüfbare Informationen, die zeigen, ob diese Kriterien erfüllt sind. Auditfeststellungen sind die Ergebnisse der Bewertung dieser Nachweise gegenüber den Kriterien.

Auditprinzipien nach ISO 19011

ISO 19011 beschreibt grundlegende Prinzipien, die Audits verlässlich und glaubwürdig machen. Diese Prinzipien sind besonders wichtig, weil Auditergebnisse oft Grundlage für Managemententscheidungen, Zertifizierungen, Kundenbewertungen oder regulatorische Nachweise sind.

Zu den wichtigsten Auditprinzipien gehören:

• Integrität und professionelles Verhalten
• sachliche und wahrheitsgemäße Darstellung
• angemessene berufliche Sorgfalt
• Vertraulichkeit im Umgang mit Informationen
• Unabhängigkeit und Unparteilichkeit
• evidenzbasierter Ansatz
• risikobasierter Ansatz

Der evidenzbasierte Ansatz bedeutet, dass Feststellungen auf überprüfbaren Nachweisen beruhen. Gleichzeitig ist ein Audit häufig stichprobenbasiert. Auditorinnen und Auditoren können daher in der Regel keine absolute Sicherheit geben, sondern bewerten anhand ausgewählter Nachweise, Interviews, Beobachtungen und Systemprüfungen. Der risikobasierte Ansatz sorgt dafür, dass kritische Themen angemessen priorisiert werden.

Arten von Audits

Audits können nach Auftraggeber, Zweck, Prüftiefe und Gegenstand unterschieden werden. Besonders wichtig ist die Unterscheidung zwischen First-Party-, Second-Party- und Third-Party-Audits, weil sie die Unabhängigkeit und Zielsetzung des Audits verdeutlicht.

First-Party-Audit

Ein First-Party-Audit ist ein internes Audit. Es wird von der Organisation selbst durchgeführt oder in ihrem Auftrag beauftragt. Ziel ist meist die Selbstbewertung, Risikofrüherkennung, Vorbereitung auf externe Audits oder kontinuierliche Verbesserung. Auch wenn externe Dienstleister ein internes Audit durchführen, bleibt es ein First-Party-Audit, sofern es im Auftrag der Organisation zur internen Bewertung erfolgt.

Interne Audits sind ein zentrales Element vieler Managementsysteme. Sie helfen Ihnen, Anforderungen regelmäßig zu überprüfen, bevor Zertifizierungsstellen, Kunden oder Behörden auf Schwachstellen aufmerksam werden. Wichtig ist, dass interne Auditoren unabhängig vom auditierten Bereich sind und nicht ihre eigene Arbeit prüfen.

Second-Party-Audit

Ein Second-Party-Audit wird von einer interessierten Partei oder in deren Auftrag durchgeführt. Typische Beispiele sind Kundenaudits bei Lieferanten oder Lieferantenaudits durch ein Unternehmen. Diese Audits sind nicht vollständig unabhängig im Sinne eines neutralen Dritten, weil sie im Interesse des Auftraggebers erfolgen.

Second-Party-Audits sind besonders relevant, wenn Lieferanten Zugriff auf vertrauliche Informationen, personenbezogene Daten, technische Dokumente oder kritische Systeme haben. Geprüft werden können unter anderem Datenschutz, Informationssicherheit, Qualität, Lieferfähigkeit, Dokumentation, Nachhaltigkeit oder vertraglich vereinbarte Anforderungen.

Third-Party-Audit

Ein Third-Party-Audit wird von einer unabhängigen externen Stelle durchgeführt. Typische Beispiele sind Zertifizierungsaudits durch akkreditierte Zertifizierungsstellen. Diese Audits haben häufig eine hohe formale Bedeutung, weil ihre Ergebnisse als Nachweis gegenüber Kunden, Partnern, Behörden oder Märkten genutzt werden können.

Nicht jede externe Prüfung ist jedoch automatisch ein Audit im engeren Sinne. Behördenprüfungen, Aufsichtsprüfungen oder Inspektionen können auditähnliche Methoden nutzen, sind fachlich aber oft Kontrollen, Untersuchungen oder regulatorische Prüfungen mit eigener Rechtsgrundlage.

Zertifizierungsaudit

Ein Zertifizierungsaudit prüft, ob ein Managementsystem die Anforderungen einer bestimmten Norm erfüllt. Bekannte Beispiele sind ISO 9001 für Qualitätsmanagementsysteme, ISO 27001 für Informationssicherheitsmanagementsysteme, ISO 14001 für Umweltmanagementsysteme, ISO 45001 für Managementsysteme für Sicherheit und Gesundheit bei der Arbeit, ISO 50001 für Energiemanagementsysteme und ISO 37301 für Compliance-Managementsysteme.

Ein Zertifikat wird nicht allein durch das Auditgespräch erteilt. Nach dem Audit bewertet die Zertifizierungsstelle die Ergebnisse, fordert bei Bedarf Korrekturmaßnahmen an und trifft anschließend eine formale Zertifizierungsentscheidung. Das Zertifikat bezieht sich zudem immer auf einen definierten Geltungsbereich, etwa bestimmte Standorte, Prozesse, Organisationseinheiten oder Leistungen.

Viele Zertifizierungsaudits zur Erstzertifizierung laufen zweistufig ab. Im Stufe-1-Audit wird geprüft, ob das Unternehmen grundsätzlich bereit für die Zertifizierung ist, ob der Geltungsbereich plausibel ist und ob zentrale Dokumente vorliegen. Im Stufe-2-Audit wird anschließend bewertet, ob das Managementsystem wirksam umgesetzt wurde. Nach der Erstzertifizierung folgen in der Regel jährliche Überwachungsaudits und nach einem Zertifizierungszyklus, häufig nach drei Jahren, ein Rezertifizierungsaudit.

Prozessaudit

Ein Prozessaudit konzentriert sich auf einen bestimmten Ablauf im Unternehmen. Geprüft wird, ob der Prozess die definierten Anforderungen erfüllt, ob Verantwortlichkeiten klar sind und ob die vorgesehenen Ergebnisse erreicht werden. Beispiele sind Audits von Vertragsfreigaben, Beschwerdemanagement, Lieferantenbewertung, Änderungsmanagement, Datenschutz-Auskunftsprozessen oder Dokumentenfreigaben.

Für Informationsmanagement sind Prozessaudits besonders nützlich, wenn Schnittstellen zwischen Abteilungen fehleranfällig sind. Ein Audit kann etwa zeigen, ob technische Dokumente rechtzeitig geprüft, eindeutig versioniert und nur in freigegebenem Status verwendet werden.

Systemaudit

Ein Systemaudit betrachtet ein gesamtes Managementsystem oder ein größeres Teilsystem. Dabei geht es um das Zusammenspiel von Zielen, Prozessen, Rollen, Risiken, Dokumentation, Kennzahlen, Kontrollen, internen Audits und Managementbewertung. Systemaudits sind typisch für Qualitätsmanagement, Informationssicherheit, Umweltmanagement oder Compliance-Management.

Im Informationsmanagement kann ein Systemaudit prüfen, ob Dokumentenmanagement, Archivierung, Datenschutz, Informationssicherheit und Workflow-Steuerung zusammenwirken. Entscheidend ist nicht nur, ob einzelne Regeln existieren, sondern ob das Gesamtsystem geeignet, umgesetzt und wirksam ist.

Compliance-Audit

Ein Compliance-Audit prüft, ob rechtliche, regulatorische, vertragliche oder interne Anforderungen eingehalten werden. Prüfthemen können Datenschutz nach DSGVO, Aufbewahrungspflichten, Zugriffsrechte, Löschkonzepte, Dokumentationspflichten, Verhaltensrichtlinien, Vertragsanforderungen oder branchenspezifische Vorgaben sein.

Compliance-Audits sind eng mit Informationsmanagement verbunden, weil Nachweise häufig in Dokumenten, Systemprotokollen, Freigaben, Berechtigungslisten oder Archivsystemen liegen. Ohne strukturierte Informationsverwaltung wird es schwierig, Anforderungen nicht nur umzusetzen, sondern auch nachvollziehbar zu belegen.

Ablauf eines Audits

Ein Audit folgt in der Regel einem strukturierten Ablauf. Dadurch wird sichergestellt, dass die Prüfung nachvollziehbar, fair, vergleichbar und dokumentiert ist. Der genaue Ablauf hängt von Auditart, Norm, Organisation und Risikoprofil ab.

Auditplanung

In der Planung werden Auditziele, Auditumfang, Auditkriterien, Termine, Methoden und Verantwortlichkeiten festgelegt. Außerdem wird entschieden, welche Standorte, Systeme, Prozesse, Organisationseinheiten oder Dokumentenarten betrachtet werden. Eine klare Planung verhindert, dass das Audit zu breit, zu oberflächlich oder zu unklar wird.

Bei risikobasierten Auditprogrammen fließen zusätzliche Faktoren ein. Dazu gehören frühere Abweichungen, Sicherheitsvorfälle, Kundenreklamationen, regulatorische Änderungen, neue Systeme, Outsourcing, organisatorische Umstrukturierungen oder hohe Datenkritikalität. Je höher das Risiko, desto intensiver sollte die Prüfung sein.

Vorbereitung

In der Vorbereitung werden relevante Unterlagen gesichtet und die auditierten Bereiche informiert. Dazu können Prozessbeschreibungen, Richtlinien, Risikoanalysen, frühere Auditberichte, Maßnahmenpläne, Rollen- und Berechtigungskonzepte, Schulungsnachweise, Systemprotokolle, Verfahrensdokumentationen sowie Aufbewahrungs- und Löschkonzepte gehören.

Die Beteiligten sollten verstehen, dass ein Audit keine persönliche Schuldzuweisung ist. Eine gute Auditkultur verbindet offene Kommunikation mit klarer Verbindlichkeit. Schwachstellen sollen sichtbar werden dürfen, müssen anschließend aber konsequent bewertet und bearbeitet werden.

Durchführung

Während des Audits sammelt der Auditor überprüfbare Informationen. Typische Methoden sind Interviews, Dokumentenprüfung, Beobachtung von Tätigkeiten, Stichproben, Systemeinsicht, Protokollanalyse, Workflow-Prüfung und Abgleich von Soll- und Ist-Zustand. Bei Remote- oder Hybrid-Audits kommen Videointerviews, Bildschirmfreigaben, digitale Nachweisräume und kontrollierte Remote-Systemzugriffe hinzu.

Remote-Audits erfordern besondere Aufmerksamkeit für Datenschutz, Vertraulichkeit und Zugriffskontrolle. Sie sollten vorab regeln, welche Dokumente geteilt werden dürfen, ob Aufzeichnungen zulässig sind, wie Identitäten geprüft werden und wie sensible Informationen geschützt werden.

Bewertung

Die gesammelten Nachweise werden mit den Auditkriterien verglichen. Daraus entstehen Auditfeststellungen. Eine Feststellung sollte sachlich, nachvollziehbar und auf Nachweisen beruhen. Sie darf keine unbelegte Meinung sein und sollte klar zwischen Konformität, Nichtkonformität, Beobachtung, Verbesserungspotenzial und Empfehlung unterscheiden.

Eine schlechte Feststellung wäre: „Die Dokumentation ist mangelhaft.“ Eine bessere Feststellung lautet: „Kriterium: Prozessanweisung PA-12 verlangt eine jährliche Prüfung freigegebener Arbeitsanweisungen. Nachweis: Stichprobe von fünf Arbeitsanweisungen im Dokumentenmanagementsystem. Feststellung: Drei Dokumente wurden seit mehr als 24 Monaten nicht geprüft. Risiko: Mitarbeitende könnten veraltete Vorgaben verwenden.“

Auditbericht

Der Auditbericht dokumentiert Ziel, Umfang, Kriterien, Methoden, geprüfte Bereiche, Gesprächspartner, Nachweise, Feststellungen, Abweichungen und vereinbarte Maßnahmen. Er sollte klar genug sein, damit Verantwortliche verstehen, welche Anforderung betroffen ist, welche Nachweise geprüft wurden und welche Korrekturen erforderlich sind.

Auditberichte enthalten häufig auch positive Beobachtungen und Best Practices. Das ist sinnvoll, weil Audits nicht nur Mängel zeigen, sondern auch wirksame Verfahren sichtbar machen können. Gleichzeitig sollten Empfehlungen klar als Empfehlungen gekennzeichnet werden, damit sie nicht mit verbindlichen Nichtkonformitäten verwechselt werden.

Maßnahmenverfolgung

Ein Audit ist erst wirksam, wenn Abweichungen und relevante Verbesserungspotenziale bearbeitet werden. Dazu gehören Sofortkorrekturen, Ursachenanalyse, Korrekturmaßnahmen, Fristen, Verantwortlichkeiten, Nachweise und Wirksamkeitsprüfung. In Qualitätsmanagement, regulierten Branchen und Informationssicherheit wird dafür häufig das CAPA-Konzept verwendet: Corrective Action and Preventive Action.

Eine schwache Maßnahme wäre: „Mitarbeitende werden sensibilisiert.“ Eine bessere Maßnahme lautet: „Bis zum 30. Juni prüft die Prozessverantwortliche alle Arbeitsanweisungen der Abteilung, aktualisiert überfällige Dokumente, richtet eine automatische jährliche Wiedervorlage ein und weist die Wirksamkeit durch eine Stichprobe nach drei Monaten nach.“ Zur Ursachenanalyse eignen sich Methoden wie 5-Why, Ishikawa-Diagramm oder Root-Cause-Analysis.

Auditfeststellungen und Abweichungen

Auditfeststellungen sind bewertete Ergebnisse aus Auditnachweisen im Vergleich zu Auditkriterien. Nicht jede Feststellung ist eine Abweichung. Ein formales Audit sollte präzise unterscheiden, damit Maßnahmen angemessen priorisiert werden können.

Typische Kategorien sind:

• Konformität: Die Anforderung ist erfüllt.
• Nichtkonformität: Eine definierte Anforderung ist nicht erfüllt.
• Nebenabweichung: Eine einzelne oder begrenzte Nichtkonformität ohne unmittelbares gravierendes Systemversagen.
• Hauptabweichung: Eine schwerwiegende oder systematische Nichtkonformität mit erheblichem Risiko oder fehlender Wirksamkeit.
• Beobachtung: Ein sachlicher Hinweis ohne eindeutige Nichtkonformität.
• Verbesserungspotenzial: Eine Chance, Prozesse oder Kontrollen wirksamer zu gestalten.
• Best Practice: Ein besonders wirksames Vorgehen, das als positives Beispiel dienen kann.

Die Bewertung hängt vom Auditkontext ab. Eine fehlende Freigabe kann eine Nebenabweichung sein, wenn es sich um einen Einzelfall ohne kritische Auswirkung handelt. Sie kann aber eine Hauptabweichung sein, wenn systematisch ungeprüfte Dokumente in sicherheitskritischen Prozessen verwendet werden.

Rollen im Audit

Ein Audit benötigt klare Rollen. Diese Rollenklarheit unterstützt Unabhängigkeit, Nachvollziehbarkeit und effiziente Kommunikation. Besonders bei größeren Audits sollten Verantwortlichkeiten vor Beginn eindeutig festgelegt werden.

Auditorinnen und Auditoren führen die Prüfung durch. Sie benötigen fachliche Kompetenz, Normkenntnis, Auditmethodik, Branchenverständnis, analytisches Denken, Kommunikationsfähigkeit, Vertraulichkeit und die Fähigkeit, Nachweise objektiv zu bewerten. Sie sollten Interessenkonflikte vermeiden und ihre eigene Arbeit nicht auditieren.

Bei größeren Audits koordiniert häufig ein Lead Auditor das Auditteam. Diese Person plant den Ablauf, verteilt Prüfschwerpunkte, führt Eröffnungs- und Abschlussgespräche, stellt die Konsistenz der Bewertungen sicher und verantwortet meist den Auditbericht. Die auditierten Bereiche stellen Informationen bereit, erläutern Prozesse und zeigen Nachweise.

Die oberste Leitung spielt bei Managementsystemaudits eine zentrale Rolle. Sie muss zeigen können, dass Ziele, Ressourcen, Verantwortlichkeiten, Risiken, Chancen, Kennzahlen und Managementbewertungen angemessen gesteuert werden. Ein Audit betrachtet daher auch, ob das Managementsystem tatsächlich von der Leitung getragen wird.

Auditkriterien und Beispiele

Auditkriterien müssen vor dem Audit klar definiert sein. Ohne eindeutige Kriterien werden Bewertungen subjektiv und schwer nachvollziehbar. Kriterien sollten relevant, aktuell und überprüfbar sein.

Beispiele für Auditkriterien sind:

• ISO 9001-Anforderungen an Qualitätsmanagementsysteme
• ISO 27001-Anforderungen an Informationssicherheitsmanagementsysteme
• ISO 14001-Anforderungen an Umweltmanagementsysteme
• ISO 19011 als Leitfaden für Audits von Managementsystemen
• DSGVO-Anforderungen an Datenschutz und Betroffenenrechte
• GoBD-Anforderungen an Nachvollziehbarkeit und Ordnungsmäßigkeit steuerlich relevanter Aufzeichnungen
• HGB- und AO-Aufbewahrungspflichten
• interne Richtlinien und Prozessbeschreibungen
• Rollen- und Berechtigungskonzepte
• Service-Level-Agreements
• branchenspezifische Anforderungen
• Kundenverträge und Lieferantenanforderungen

Besonders hilfreich sind Kriterien, die eindeutig überprüfbar sind. Statt „Dokumente müssen aktuell sein“ sollte festgelegt sein, wer Dokumente prüft, in welchem Intervall die Prüfung erfolgt, welcher Freigabestatus verbindlich ist und wie Änderungen dokumentiert werden.

Auditnachweise und Audit Trail

Auditnachweise sind überprüfbare Informationen, die eine Bewertung ermöglichen. Sie können aus Dokumenten, Systemen, Beobachtungen, Interviews, Protokollen oder Stichproben stammen. Mündliche Aussagen können Auditnachweise sein, sollten aber verifizierbar sein und idealerweise durch weitere Nachweise gestützt werden.

Typische Auditnachweise sind:

• freigegebene Dokumente
• Versionen und Änderungsverläufe
• Systemprotokolle
• Berechtigungslisten
• Schulungsnachweise
• Workflow-Protokolle
• Risikoanalysen
• Freigabehistorien
• Maßnahmenpläne
• Sitzungsprotokolle
• Archivierungsnachweise
• Nachweise zur Wirksamkeitsprüfung

Ein Audit Trail ist eine nachvollziehbare Aufzeichnung von Aktivitäten in einem System. Er kann zeigen, wer ein Dokument erstellt, geändert, geprüft, freigegeben, exportiert oder gelöscht hat. Ob auch unberechtigte Zugriffsversuche sichtbar sind, hängt davon ab, ob das System solche Ereignisse protokolliert, die Protokollierung aktiviert ist und die Protokolle angemessen geschützt sind.

Dokumentation, Archivierung und GoBD

Eine gute Dokumentation ist für Audits wichtig, aber nicht der einzige zulässige Nachweis. Audits können auch Beobachtungen, Interviews und technische Systemnachweise berücksichtigen. Dennoch gilt: Wenn wichtige Entscheidungen, Freigaben, Prüfungen oder Änderungen nicht dokumentiert sind, lassen sie sich im Audit oft nur eingeschränkt belegen.

Im deutschen Kontext wird häufig der Begriff revisionssichere Archivierung verwendet. Er ist kein einzelner gesetzlich definierter technischer Standard, sondern beschreibt üblicherweise eine Archivierung, die Anforderungen an Ordnungsmäßigkeit, Nachvollziehbarkeit, Vollständigkeit, Unveränderbarkeit, Wiederauffindbarkeit und Aufbewahrung erfüllt. Relevante Bezugspunkte sind unter anderem GoBD, Handelsgesetzbuch und Abgabenordnung.

Für steuerlich relevante Dokumente ist entscheidend, dass Aufzeichnungen während der Aufbewahrungsfrist nachvollziehbar, verfügbar und gegen unzulässige Veränderung geschützt sind. Im Audit kann daher geprüft werden, ob Archivierungsregeln dokumentiert sind, ob Löschungen kontrolliert erfolgen, ob Zugriffe protokolliert werden und ob die Verfahrensdokumentation die tatsächlichen Abläufe beschreibt.

Audit und Informationssicherheit

Informationssicherheit ist ein häufiges Auditthema, weil Unternehmen Informationen vor Verlust, Manipulation, Offenlegung und unberechtigtem Zugriff schützen müssen. Audits prüfen, ob technische und organisatorische Maßnahmen den definierten Anforderungen entsprechen und wirksam umgesetzt wurden.

Typische Prüfpunkte sind:

• Informationsklassifizierung
• Rollen- und Berechtigungsmanagement
• Zugriffskontrollen und Authentifizierung
• Protokollierung sicherheitsrelevanter Ereignisse
• Schutz vertraulicher Dokumente
• Backup- und Wiederherstellungsverfahren
• Umgang mit Sicherheitsvorfällen
• Schulung und Sensibilisierung
• Lieferanten- und Dienstleistersteuerung
• sichere Archivierung und Löschung

Ein Praxisbeispiel ist ein Audit eines Informationssicherheitsmanagementsystems nach ISO 27001. Dabei kann geprüft werden, ob Risiken bewertet, Maßnahmen ausgewählt, Verantwortlichkeiten festgelegt, Zugriffskonzepte umgesetzt und Sicherheitsvorfälle ausgewertet werden. Zusätzlich wird betrachtet, ob die gewählten Kontrollen im Alltag tatsächlich funktionieren.

Audit und Datenschutz

Datenschutz-Audits prüfen, ob personenbezogene Daten rechtmäßig, zweckgebunden, transparent und sicher verarbeitet werden. Für Unternehmen ist dies besonders relevant, weil Datenschutzverstöße rechtliche, finanzielle und reputationsbezogene Folgen haben können.

Typische Prüffragen sind:

• Welche personenbezogenen Daten werden verarbeitet?
• Gibt es dokumentierte Rechtsgrundlagen und Zwecke?
• Sind Zugriffsrechte angemessen beschränkt?
• Werden Löschfristen umgesetzt?
• Gibt es Prozesse für Auskunfts-, Berichtigungs- und Löschanfragen?
• Sind Auftragsverarbeiter dokumentiert und geprüft?
• Werden Datenschutzvorfälle korrekt behandelt?
• Sind Mitarbeitende ausreichend sensibilisiert?

Ein Praxisbeispiel ist ein Audit des Auskunftsprozesses nach DSGVO. Dabei wird geprüft, ob Anfragen fristgerecht erkannt, zuständige Personen eingebunden, Identitäten geprüft, Datenquellen vollständig berücksichtigt und Antworten dokumentiert werden. Ein Informationsmanagementsystem kann dabei helfen, relevante Nachweise strukturiert bereitzustellen.

Audit eines Dokumentenmanagementsystems

Ein Audit eines Dokumentenmanagementsystems untersucht, ob Dokumente gelenkt, versioniert, geprüft, freigegeben, archiviert und geschützt werden. Der Fokus liegt auf der Verbindung zwischen technischer Systemnutzung und organisatorischen Regeln. Ein System allein erfüllt keine Auditkriterien, wenn Verantwortlichkeiten, Freigaben oder Aufbewahrungsregeln in der Praxis nicht funktionieren.

Typische Prüfpunkte sind gültige Dokumentenversionen, Freigabeworkflows, Berechtigungskonzepte, Änderungsverläufe, Metadaten, Lösch- und Archivierungsregeln sowie Auffindbarkeit. In einer Stichprobe kann der Auditor beispielsweise prüfen, ob fünf qualitätsrelevante Arbeitsanweisungen einen Verantwortlichen, einen Freigabestatus, ein Prüfdatum, eine aktuelle Version und eine nachvollziehbare Änderungshistorie haben.

Digitale Unterstützung von Audits

Digitale Systeme können Auditmanagement deutlich erleichtern. Sie unterstützen Auditplanung, Checklisten, Nachweisräume, Feststellungen, Maßnahmenverfolgung, Verantwortlichkeiten, Fristen, Dashboards und Berichte. Besonders hilfreich ist dies, wenn viele Standorte, Prozesse, Normen oder Maßnahmen parallel gesteuert werden müssen.

Für Informationsmanagement sind Funktionen wie zentrale Ablage, Versionierung, Freigabeworkflows, Berechtigungsmanagement, Audit Trail, Suchfunktionen, Aufbewahrungsregeln und Protokollierung besonders relevant. Dadurch können Sie Nachweise schneller bereitstellen und vermeiden, dass auditrelevante Informationen in E-Mails, Netzlaufwerken oder Papierordnern verstreut liegen.

Auch KI-gestützte Unterstützung gewinnt an Bedeutung. Sie kann große Dokumentenmengen analysieren, fehlende Nachweise identifizieren, Muster in Abweichungen erkennen oder Auditberichte strukturieren. Die fachliche Bewertung bleibt jedoch Aufgabe qualifizierter Menschen. KI-Ergebnisse müssen überprüft werden, insbesondere bei sensiblen Daten, normativen Anforderungen und rechtlich relevanten Feststellungen.

Vertraulichkeit und Aufbewahrung von Auditinformationen

Audits können sensible Informationen offenlegen, etwa Sicherheitslücken, personenbezogene Daten, Geschäftsgeheimnisse, Vertragsinhalte, Lieferanteninformationen oder interne Schwachstellen. Deshalb sollten Vertraulichkeit, Zugriffsschutz und Weitergabe von Auditinformationen vorab geregelt sein. Auditorinnen und Auditoren müssen mit vertraulichen Informationen sorgfältig umgehen.

Auditberichte, Nachweise und Maßnahmenpläne sollten geordnet aufbewahrt werden. Die Aufbewahrungsdauer hängt von gesetzlichen Anforderungen, Normvorgaben, Zertifizierungsregeln, Vertragsanforderungen und internen Richtlinien ab. Wichtig ist, dass Auditinformationen auffindbar, vor unberechtigtem Zugriff geschützt und bei Bedarf nachvollziehbar bereitgestellt werden können.

Auditkultur und typische Auditrisiken

Eine gute Auditkultur fördert Offenheit, Lernbereitschaft und sachliche Bewertung. Mitarbeitende sollten Schwachstellen ansprechen können, ohne persönliche Schuldzuweisung befürchten zu müssen. Gleichzeitig müssen Abweichungen verbindlich bearbeitet werden, sonst verliert das Audit an Glaubwürdigkeit.

Typische Auditrisiken sind unvollständige Stichproben, Bestätigungsbias, unklare Kriterien, zu enger Auditumfang, mangelnde Unabhängigkeit, unzureichende Auditorenkompetenz, fehlende Nachweise oder zu oberflächliche Maßnahmen. Diese Risiken lassen sich reduzieren, wenn Audits sorgfältig geplant, risikobasiert priorisiert und von qualifizierten Auditorinnen und Auditoren durchgeführt werden.

Für Auditprogramme können Kennzahlen hilfreich sein. Beispiele sind Anzahl offener Abweichungen, Anteil fristgerecht abgeschlossener Maßnahmen, Wiederholabweichungen, Auditabdeckung kritischer Prozesse, durchschnittliche Bearbeitungsdauer von Maßnahmen und nachgewiesene Wirksamkeit. Solche Kennzahlen zeigen, ob das Auditprogramm nur formal existiert oder tatsächlich zur Steuerung beiträgt.

Best Practices für erfolgreiche Audits

Klären Sie frühzeitig Auditumfang, Auditziele und Auditkriterien. So wissen alle Beteiligten, was geprüft wird und welche Nachweise relevant sind. Ein klarer Umfang verhindert unnötige Diskussionen und reduziert Aufwand.

Halten Sie Nachweise laufend aktuell. Dokumente, Freigaben, Berechtigungen, Schulungsnachweise, Protokolle und Maßnahmen sollten nicht erst kurz vor dem Audit zusammengesucht werden. Je besser Ihre Informationsverwaltung gepflegt ist, desto einfacher wird die Auditdurchführung.

Schulen Sie Mitarbeitende in ihren Rollen und Prozessen. Sie müssen keine Auditexperten sein, sollten aber erklären können, welche Anforderungen für ihren Arbeitsbereich gelten und wie sie diese im Alltag umsetzen. Das verbessert die Qualität von Interviews und reduziert Unsicherheit.

Nutzen Sie Checklisten, aber verlassen Sie sich nicht ausschließlich darauf. Checklisten helfen bei der systematischen Prüfung, ersetzen jedoch keine fachliche Bewertung. Gute Audits kombinieren strukturierte Fragen mit Stichproben, Systemprüfungen, Beobachtungen und risikobasierter Vertiefung.

Verfolgen Sie Maßnahmen konsequent. Jede relevante Abweichung sollte eine klare Ursache, eine geeignete Maßnahme, eine verantwortliche Person, eine Frist und eine Wirksamkeitsprüfung haben. Wiederholabweichungen zeigen häufig, dass die Ursache nicht ausreichend verstanden oder behandelt wurde.

Abgrenzung zu Prüfung, Kontrolle, Inspektion, Revision und Due Diligence

Im Alltag werden Audit, Prüfung, Kontrolle, Inspektion, Revision und Due Diligence häufig ähnlich verwendet. Fachlich gibt es jedoch Unterschiede. Ein Audit ist in der Regel systematisch, kriterienbasiert, dokumentiert, unabhängig beziehungsweise unparteiisch angelegt und auf objektive Nachweise gestützt.

Eine Kontrolle ist oft enger und operativer, etwa die Prüfung einer Freigabe oder eines Buchungsvorgangs. Eine Inspektion bewertet häufig konkrete Zustände, Produkte, Anlagen oder gesetzlich relevante Sachverhalte. Eine behördliche Prüfung folgt meist einer eigenen rechtlichen Grundlage und ist nicht immer ein Audit im Sinne von ISO 19011.

Die interne Revision, auch Internal Audit genannt, ist eine unabhängige Prüfungs- und Beratungsfunktion innerhalb einer Organisation. Sie bewertet unter anderem Governance, Risikomanagement und interne Kontrollsysteme. Sie kann Audits durchführen, ist aber organisatorisch und methodisch nicht mit jedem Managementsystemaudit gleichzusetzen.

Eine Due Diligence ist eine sorgfältige Analyse, häufig im Rahmen von Unternehmenskäufen, Investitionen, Finanzierungen oder Lieferantenbewertungen. Sie kann auditähnliche Elemente enthalten, verfolgt aber meist einen transaktions- oder entscheidungsbezogenen Zweck.

Häufige Fragen zu Audit

Was ist ein Audit einfach erklärt?

Ein Audit ist eine strukturierte und dokumentierte Prüfung anhand festgelegter Kriterien. Dabei werden objektive Nachweise gesammelt und bewertet. Ziel ist festzustellen, ob Anforderungen erfüllt sind, welche Abweichungen bestehen und welche Maßnahmen sinnvoll sind.

Was ist die normnahe Definition eines Audits?

Nach dem Verständnis von ISO 19011 ist ein Audit ein systematischer, unabhängiger und dokumentierter Prozess zur Erlangung objektiver Nachweise und zu deren objektiver Bewertung. Dadurch wird bestimmt, inwieweit Auditkriterien erfüllt sind.

Warum ist Unabhängigkeit im Audit wichtig?

Unabhängigkeit schützt die Objektivität der Bewertung. Auditorinnen und Auditoren sollten keine eigene Arbeit auditieren und keine Interessenkonflikte haben. Bei internen Audits bedeutet das nicht zwingend externe Neutralität, aber eine angemessene Unparteilichkeit gegenüber dem geprüften Bereich.

Was ist der Unterschied zwischen Auditkriterium und Auditnachweis?

Ein Auditkriterium ist die Anforderung, gegen die geprüft wird, zum Beispiel eine Norm, Richtlinie oder Prozessbeschreibung. Ein Auditnachweis ist eine überprüfbare Information, die zeigt, ob diese Anforderung erfüllt ist, etwa ein freigegebenes Dokument, ein Systemprotokoll oder eine Stichprobe.

Was wird bei einem Audit geprüft?

Das hängt vom Auditumfang ab. Geprüft werden können Prozesse, Managementsysteme, Dokumente, Zugriffsrechte, Sicherheitsmaßnahmen, Datenschutzvorgaben, gesetzliche Anforderungen, interne Richtlinien, Workflows oder Nachweise in digitalen Informationssystemen.

Was ist der Unterschied zwischen internem und externem Audit?

Ein internes Audit ist ein First-Party-Audit und dient der Selbstbewertung oder Verbesserung. Externe Audits können Second-Party-Audits sein, etwa Kundenaudits, oder Third-Party-Audits durch unabhängige Zertifizierungsstellen. Der Grad der Unabhängigkeit unterscheidet sich je nach Auditart.

Kann ein internes Audit von externen Dienstleistern durchgeführt werden?

Ja. Ein internes Audit kann durch externe Dienstleister durchgeführt werden, wenn es im Auftrag Ihrer Organisation zur internen Bewertung erfolgt. Es bleibt dann ein First-Party-Audit. Wichtig ist, dass die beauftragten Personen qualifiziert, unparteiisch und frei von Interessenkonflikten sind.

Was ist eine Hauptabweichung und was ist eine Nebenabweichung?

Eine Nebenabweichung ist meist eine begrenzte Nichtkonformität ohne schwerwiegendes systematisches Versagen. Eine Hauptabweichung weist auf ein erhebliches Risiko, eine systematische Nichterfüllung oder eine fehlende Wirksamkeit zentraler Anforderungen hin. Die genaue Einstufung hängt von Norm, Zertifizierungsregeln und Auditkontext ab.

Was ist ein Audit Trail?

Ein Audit Trail ist eine nachvollziehbare Aufzeichnung von Aktivitäten in einem System. Er kann zeigen, wer eine Information erstellt, geändert, freigegeben, exportiert oder gelöscht hat. Welche Ereignisse sichtbar sind, hängt von der Systemkonfiguration, Protokollierung und Manipulationssicherheit ab.

Wie bereiten Sie sich auf ein Audit vor?

Klären Sie Auditumfang, Ziele und Kriterien, prüfen Sie relevante Dokumente, stellen Sie Nachweise bereit, informieren Sie beteiligte Personen und prüfen Sie offene Maßnahmen aus früheren Audits. Besonders wichtig sind aktuelle Freigaben, nachvollziehbare Versionen, klare Verantwortlichkeiten und vollständige Systemnachweise.

Wie lange ist ein Zertifikat nach einem Zertifizierungsaudit gültig?

Viele Managementsystemzertifikate haben einen Zertifizierungszyklus von drei Jahren. Innerhalb dieses Zeitraums finden in der Regel Überwachungsaudits statt. Am Ende des Zyklus ist ein Rezertifizierungsaudit erforderlich, damit das Zertifikat für den definierten Geltungsbereich fortgeführt werden kann.

Ist ein Audit dasselbe wie eine behördliche Prüfung?

Nicht unbedingt. Eine behördliche Prüfung kann auditähnliche Methoden nutzen, ist aber häufig eine Kontrolle, Inspektion oder Untersuchung auf gesetzlicher Grundlage. Ein Audit im engeren Sinne folgt einem definierten Auditprozess mit Auditkriterien, Nachweisen und Feststellungen.

Welche Rolle spielt ein Informationsmanagementsystem bei Audits?

Ein Informationsmanagementsystem unterstützt Audits, indem es Dokumente, Nachweise, Freigaben, Versionen, Workflows, Berechtigungen und Änderungsverläufe strukturiert verwaltet. Dadurch können Sie Anforderungen besser nachweisen und relevante Informationen schneller bereitstellen.

Was passiert nach einem Audit?

Nach dem Audit werden die Ergebnisse dokumentiert, bewertet und kommuniziert. Bei Abweichungen sollten Ursachen analysiert, Maßnahmen definiert, Verantwortliche festgelegt, Fristen gesetzt und die Wirksamkeit überprüft werden. Ohne konsequente Maßnahmenverfolgung bleibt der Nutzen eines Audits begrenzt.