ISO 19011

Er unterstützt Organisationen dabei, Auditprogramme sowie interne Audits und Audits bei externen Anbietern strukturiert zu planen, durchzuführen und auszuwerten. Der Leitfaden ist insbesondere relevant, wenn Sie Managementsysteme nach Normen wie ISO 9001, ISO 14001, ISO 45001 oder ISO/IEC 27001 überprüfen möchten.

Anders als zertifizierbare Managementsystemnormen enthält ISO 19011 keine verbindlichen Anforderungen an Ihr Unternehmen. Sie formuliert Empfehlungen für eine professionelle, nachvollziehbare, objektive und risikoorientierte Auditpraxis. Sie können den Leitfaden beispielsweise nutzen, um interne Auditoren zu entwickeln, Lieferantenaudits einheitlich auszurichten oder die Umsetzung festgelegter Managementsystemanforderungen zu bewerten.

Im Normenmanagement schafft ISO 19011 eine Verbindung zwischen externen und internen Anforderungen sowie deren praktischer Anwendung. Normen, Gesetze oder Kundenanforderungen werden dabei nur dann zum Gegenstand eines Audits, wenn sie als Auditkriterien festgelegt wurden. ISO 19011 ersetzt daher weder eine Rechtsprüfung noch begründet sie eigenständig gesetzliche Prüfpflichten.

Was ist ISO 19011?

Die aktuelle Ausgabe ist ISO 19011:2018 einschließlich der Änderung ISO 19011:2018/Amd 1:2024. Der deutsche Titel lautet üblicherweise „Leitfaden für Audits von Managementsystemen“. Die Änderung von 2024 ergänzt Aspekte zu Klimaauswirkungen, die bei der Betrachtung von Kontext und Anforderungen eines Managementsystems relevant sein können.

ISO 19011 richtet sich an Organisationen jeder Größe und Branche sowie an Personen, die Audits planen, leiten, durchführen oder auswerten. Der Leitfaden ist für Audits eines einzelnen Managementsystems ebenso nutzbar wie für Audits, die mehrere Managementsystemdisziplinen einbeziehen. Die Empfehlungen lassen sich an Größe, Komplexität, Risiken, Auditziele und verfügbare Ressourcen Ihrer Organisation anpassen.

ISO 19011 behandelt unter anderem folgende Themen:

• Grundsätze der Auditierung
• Steuerung von Auditprogrammen
• Vorbereitung, Durchführung und Berichterstattung einzelner Audits
• Auditziele, Auditumfang, Auditkriterien und Auditmethoden
• Risiken und Chancen des Auditprogramms und der Auditdurchführung
• Auswahl, Kompetenz und Bewertung von Auditoren
• Kommunikation, Vertraulichkeit und Unparteilichkeit im Audit
• kombinierte Audits mehrerer Managementsysteme
• Einsatz von Remote-Auditmethoden und virtuellen Auditorten
• Umgang mit Auditnachweisen, Auditfeststellungen und Auditberichten

Für welche Audits ist ISO 19011 geeignet?

ISO 19011 ist vor allem für Audits der ersten und zweiten Partei vorgesehen. Audits der ersten Partei sind interne Audits, bei denen Ihre Organisation ihr eigenes Managementsystem oder einzelne Prozesse überprüft. Audits der zweiten Partei finden bei externen Anbietern statt, etwa bei Lieferanten, Dienstleistern, Lohnfertigern oder Logistikpartnern.

Typische Anwendungsfälle sind:

• interne Audits von Managementsystemen und Prozessen
• Lieferanten- und Dienstleisteraudits
• Audits zur Bewertung vertraglich vereinbarter Anforderungen
• Audits im Rahmen eines integrierten Managementsystems
• kombinierte Audits zu mehreren Managementsystemnormen
• Audits mit Vor-Ort- und Remote-Auditmethoden

Ein kombiniertes Audit betrachtet zwei oder mehr Managementsysteme oder Disziplinen in einem Audit. Beispielsweise können Sie gemeinsam bewerten, wie ein Produktionsprozess Anforderungen aus ISO 9001, ISO 14001 und ISO 45001 erfüllt. Ein integriertes Managementsystem beschreibt hingegen die organisatorische Verknüpfung mehrerer Managementsysteme, etwa durch gemeinsame Prozesse für Dokumentenlenkung, Schulung oder Risikomanagement.

Nicht jedes Audit eines integrierten Managementsystems ist automatisch ein kombiniertes Audit. Entscheidend ist, ob im konkreten Auditauftrag und in den Auditkriterien tatsächlich mehrere Managementsysteme gemeinsam betrachtet werden. Diese Unterscheidung hilft Ihnen, Auditziele, Kompetenzen und Berichterstattung eindeutig festzulegen.

Für Zertifizierungsaudits durch akkreditierte Zertifizierungsstellen ist ISO 19011 nicht die maßgebliche Grundlage. Hier gilt insbesondere ISO/IEC 17021-1 mit Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren. Ergänzend können weitere Teile der ISO/IEC-17021-Reihe sowie sektorspezifische Zertifizierungsregeln anwendbar sein.

Abgrenzung zu Inspektion, Überwachung und Prüfung

Ein Managementsystemaudit bewertet anhand von Auditkriterien und Auditnachweisen, ob ein Managementsystem oder ein Teil davon die festgelegten Anforderungen erfüllt und wirksam umgesetzt wird. Dabei stehen Prozesse, Verantwortlichkeiten, dokumentierte Informationen, Steuerungsmechanismen und deren Zusammenwirken im Mittelpunkt. Ein Audit liefert auf Basis von Stichproben eine fundierte Bewertung, jedoch keine absolute Sicherheit über die vollständige Konformität aller Bereiche.

Eine Inspektion untersucht üblicherweise ein Produkt, eine Anlage, einen Zustand oder eine konkrete Tätigkeit. Eine Prüfung kann je nach Fachgebiet technische, rechtliche, finanzielle oder fachliche Bewertungen umfassen. Überwachung bezeichnet häufig die fortlaufende Beobachtung, Messung oder Kontrolle von Zuständen und Kennzahlen.

Diese Begriffe können sich in der Praxis überschneiden, sind aber nicht gleichbedeutend. Ein Audit nach ISO 19011 ist beispielsweise keine technische Produktprüfung und keine vollumfängliche Rechtsberatung. Gesetzliche Anforderungen können jedoch als Auditkriterium berücksichtigt werden, wenn sie für das Audit ausdrücklich festgelegt wurden.

Zentrale Begriffe im Audit nach ISO 19011

Klare Begriffe erleichtern die Kommunikation zwischen Auditteam, auditierten Bereichen und Verantwortlichen für das Auditprogramm. Sie helfen außerdem, Auditberichte, Maßnahmen und Entscheidungen nachvollziehbar zu strukturieren. Besonders bei Lieferanten- und Dienstleisteraudits sollten die wesentlichen Begriffe und Kriterien vorab eindeutig vereinbart sein.

• Auditauftrag: Die Beauftragung eines Audits mit Rahmenbedingungen wie Zweck, Zuständigkeiten, Umfang und erwarteter Berichterstattung.
• Auditziele: Die angestrebten Ergebnisse eines Audits, etwa die Bewertung der Konformität, Wirksamkeit oder Umsetzung einer Änderung.
• Auditumfang: Grenzen und Reichweite des Audits, beispielsweise Standorte, Prozesse, Organisationseinheiten, Produkte, Dienstleistungen und Zeiträume.
• Auditkriterien: Anforderungen, gegen die Auditnachweise bewertet werden. Dazu können Normen, Gesetze, Verträge, Kundenanforderungen, interne Richtlinien oder Prozessvorgaben gehören.
• Auditnachweise: Überprüfbare Informationen, die für die Bewertung herangezogen werden, etwa Aufzeichnungen, Interviews, Beobachtungen, Kennzahlen oder Systemdaten.
• Auditfeststellung: Ergebnis der Bewertung von Auditnachweisen gegenüber Auditkriterien. Eine Auditfeststellung kann Konformität oder Nichtkonformität anzeigen.
• Nichtkonformität: Nichterfüllung einer Anforderung. Im Auditalltag wird häufig auch der Begriff Abweichung verwendet, ISO 19011 verwendet jedoch den Begriff Nichtkonformität.
• Verbesserungspotenzial: Hinweis auf eine mögliche Optimierung, ohne dass zwingend eine Anforderung nicht erfüllt wurde. Es ist kein eigenständiger, normativ definierter Typ einer Auditfeststellung.
• Auditprogramm: Gesamtheit von Audits für einen festgelegten Zeitraum einschließlich deren Planung, Ressourcen, Steuerung, Überwachung und Verbesserung.
• Auditplan: Konkrete Planung eines einzelnen Audits mit Zeitablauf, Bereichen, Methoden, Ansprechpartnern und Prüfschwerpunkten.
• Auditteam: Eine oder mehrere Personen, die ein Audit durchführen. Bei Bedarf können technische Experten das Auditteam unterstützen.
• Auditteamleiter: Person, die das Auditteam im Rahmen des Auditauftrags koordiniert und für die Leitung der Audittätigkeiten sowie den Auditbericht verantwortlich ist.
• Auditierter: Organisation oder Teil einer Organisation, der oder die auditiert wird.
• Auditkunde: Organisation oder Person, die ein Audit anfordert oder beauftragt.

Aus Auditfeststellungen können neben Nichtkonformitäten auch Hinweise auf Stärken, gute Praktiken, Risiken, Chancen oder Verbesserungspotenziale hervorgehen. Ob solche ergänzenden Informationen im Bericht dokumentiert werden, sollte mit Auditauftrag, Auditprogramm und Berichtsformat vereinbar sein. Wichtig ist, dass die Unterscheidung zwischen festgestellten Anforderungen und freiwilligen Empfehlungen klar erkennbar bleibt.

Die sieben Grundsätze der Auditierung nach ISO 19011

ISO 19011 beschreibt sieben Grundsätze, die zu glaubwürdigen und nützlichen Audits beitragen sollen. Sie gelten unabhängig davon, ob Sie interne Audits, Lieferantenaudits oder kombinierte Audits durchführen. Die Grundsätze unterstützen Auditoren und Programmverantwortliche dabei, Audits professionell und vertrauenswürdig auszurichten.

Integrität

Auditoren sollten ihre Aufgaben verantwortungsvoll, ehrlich und sorgfältig wahrnehmen. Dazu gehört, vertrauliche Informationen zu schützen, Tatsachen nicht zu verfälschen und mögliche Interessenkonflikte offenzulegen. Integrität zeigt sich beispielsweise darin, dass Feststellungen nicht abgeschwächt oder verschwiegen werden, weil sie unangenehm sein könnten.

Faire Darstellung

Auditberichte sollten wahrheitsgemäß, vollständig, verständlich und angemessen sein. Wesentliche Hindernisse während des Audits, unterschiedliche Auffassungen oder nicht abschließend klärbare Sachverhalte können im Bericht berücksichtigt werden. Eine faire Darstellung vermeidet sowohl Übertreibungen als auch Verharmlosungen.

Angemessene berufliche Sorgfalt

Auditoren sollten mit der erforderlichen Aufmerksamkeit, Fachkenntnis und Umsicht handeln. Die Prüftiefe kann sich an Auditrisiken, der Komplexität des Bereichs, den vereinbarten Kriterien und der Bedeutung der Prozesse orientieren. Fachliche Risiken, etwa für Produktsicherheit oder Informationssicherheit, ergeben sich dabei aus den jeweiligen Kriterien und der Risikobewertung, nicht unmittelbar aus ISO 19011.

Vertraulichkeit

Auditinformationen sollten zweckgebunden und geschützt verwendet werden. Dies betrifft beispielsweise personenbezogene Daten, Geschäftsgeheimnisse, Vertragsunterlagen, Entwicklungsinformationen und sicherheitsrelevante Daten. Regeln zu Zugriff, Speicherung, Weitergabe und Aufbewahrung von Auditinformationen sollten vor dem Audit geklärt sein.

Unabhängigkeit

Auditoren sollten unabhängig von der zu auditierenden Tätigkeit sein, damit sie objektiv bewerten können. Bei internen Audits bedeutet dies üblicherweise, dass Mitarbeitende nicht ihre eigene Arbeit oder Entscheidungen auditieren, für die sie selbst verantwortlich sind. Wenn vollständige organisatorische Unabhängigkeit nicht möglich ist, können transparente Interessenkonfliktregelungen, bereichsübergreifende Auditoren oder externe Unterstützung die Objektivität stärken.

Evidenzbasierter Ansatz

Auditfeststellungen sollten auf überprüfbaren Auditnachweisen beruhen. Dazu gehören Interviews, Beobachtungen, dokumentierte Informationen, Kennzahlen, Systemauswertungen und Stichproben. Interviewaussagen können Auditnachweise sein, ihre Verlässlichkeit sollte jedoch angemessen verifiziert werden, etwa durch weitere Informationen oder ergänzende Stichproben.

Risikobasierter Ansatz

Ein risikobasierter Ansatz unterstützt Sie dabei, Auditressourcen gezielt einzusetzen. Relevante Faktoren können Prozessänderungen, frühere Nichtkonformitäten, Beschwerden, Kennzahlen, neue externe Anbieter oder Änderungen gesetzlicher und normativer Anforderungen sein. Neben Risiken des Managementsystems sollten Sie auch Risiken für die Auditdurchführung berücksichtigen, etwa fehlende Zugänge, Sprachbarrieren, Interessenkonflikte oder technische Ausfälle bei Remote-Auditmethoden.

Auditprogramm planen und steuern

Ein Auditprogramm umfasst mehrere Audits innerhalb eines definierten Zeitraums und deren systematische Steuerung. Es kann beispielsweise jährliche interne Audits, anlassbezogene Audits nach wesentlichen Änderungen und Audits bei kritischen Lieferanten beinhalten. Der Auditplan beschreibt dagegen ausschließlich die konkrete Durchführung eines einzelnen Audits.

Die Person, die das Auditprogramm managt, sollte Programmziele, Risiken und Chancen, Ressourcen, Terminierung und Berichtswege festlegen oder koordinieren. Sie sollte außerdem sicherstellen, dass geeignete Auditoren verfügbar sind und Unabhängigkeit sowie notwendige Kompetenzen berücksichtigt werden. Die Überwachung und Weiterentwicklung des Auditprogramms kann sich auf Erkenntnisse aus durchgeführten Audits, Prozesskennzahlen und Veränderungen im Unternehmensumfeld stützen.

Bei der Planung eines Auditprogramms können Sie insbesondere berücksichtigen:

• Ziele und Anforderungen des Managementsystems
• interne und externe Themen mit Einfluss auf die Organisation
• Risiken und Chancen relevanter Prozesse
• Ergebnisse früherer Audits und Managementbewertungen
• offene Nichtkonformitäten sowie vereinbarte Folgemaßnahmen
• Änderungen bei Standorten, Produkten, Dienstleistungen oder Technologien
• Änderungen von Normen, Gesetzen und Kundenanforderungen
• Reklamationen, Fehlerquoten, Vorfälle und Prozesskennzahlen
• Leistungsfähigkeit und Bedeutung externer Anbieter
• Kompetenz, Verfügbarkeit und Unabhängigkeit der Auditoren

Digitale Werkzeuge können die organisatorische Steuerung eines Auditprogramms unterstützen, etwa durch Terminplanung, Aufgabenverfolgung und strukturierte Ablage von Nachweisen. ISO 19011 schreibt jedoch weder den Einsatz einer bestimmten Software noch ein digitales System vor. Die gewählte Lösung sollte zu Ihren Anforderungen an Vertraulichkeit, Nachvollziehbarkeit und Informationsschutz passen.

Audit vorbereiten und die Machbarkeit beurteilen

Vor einem einzelnen Audit sollten Auditziele, Auditumfang, Auditkriterien, Methoden und Zuständigkeiten eindeutig festgelegt werden. Bei Audits externer Anbieter empfiehlt es sich besonders, die Kriterien vorab vertraglich, organisatorisch oder im Auditauftrag zu vereinbaren. Dies verhindert Missverständnisse darüber, welche Anforderungen und Nachweise bewertet werden.

Vor Beginn kann außerdem beurteilt werden, ob das Audit sinnvoll durchführbar ist. Dafür sollten ausreichende Informationen, Zugänge, Ressourcen, kompetente Ansprechpartner, Kommunikationsmöglichkeiten und geeignete Rahmenbedingungen vorhanden sein. Bestehen erhebliche Einschränkungen, etwa fehlende Systemzugriffe oder ungeklärte Vertraulichkeitsfragen, sollten Auditteam und Auditkunde das weitere Vorgehen abstimmen.

Ein Auditplan kann beispielsweise folgende Inhalte enthalten:

• Auditziele, Umfang und Kriterien
• Auditorte und gegebenenfalls virtuelle Auditorte
• Termine, Zeitfenster und Reihenfolge der Tätigkeiten
• Rollen im Auditteam und Ansprechpartner
• eingesetzte Auditmethoden
• Regelungen zur Kommunikation und Vertraulichkeit
• geplante Berichterstattung und Verteilung des Berichts
• Hinweise auf besondere Risiken oder Einschränkungen

Checklisten sind bei der Vorbereitung hilfreich, sollten jedoch nicht zu einem bloßen Abhaken führen. Sie dienen als Orientierung und können an Prozessrisiken, bisherigen Erkenntnissen und tatsächlichen Abläufen ausgerichtet werden. Ein wirksames Audit prüft nicht nur, ob Dokumente vorhanden sind, sondern auch, ob Vorgaben im Prozess verstanden, angewendet und angemessen gesteuert werden.

Auditmethoden und Stichproben

ISO 19011 beschreibt unterschiedliche Auditmethoden, die Sie abhängig von Zielen, Risiken, Zugänglichkeit und verfügbaren Informationen kombinieren können. Auditmethoden können vor Ort, remote oder in einer Kombination beider Ansätze eingesetzt werden. Remote-Auditmethoden und virtuelle Auditorte sind dabei keine eigenständigen, normativ definierten Auditarten, sondern Formen der methodischen Durchführung.

Häufig eingesetzte Methoden sind:

• Interviews mit Mitarbeitenden und Führungskräften
• Prüfung von Dokumenten, Aufzeichnungen und Freigaben
• Beobachtung von Tätigkeiten und Prozessabläufen
• Analyse von Kennzahlen, Fehlerdaten und Beschwerden
• Rückverfolgung eines Vorgangs entlang von Prozessschnittstellen
• Stichproben in IT-Systemen oder elektronischen Archiven
• Begehungen von Standorten, Arbeitsplätzen oder Anlagen
• Bildschirmfreigaben, Videokonferenzen und sichere Systemzugriffe

Audits beruhen regelmäßig auf verfügbaren Informationen und Stichproben. Deshalb können sie keine vollständige Sicherheit darüber geben, dass jede Anforderung zu jedem Zeitpunkt erfüllt wird. Die Auswahl der Stichproben sollte sich an Auditkriterien, Risiken, Prozessleistung, Änderungen und der Aussagekraft der verfügbaren Informationen orientieren.

Bei Remote-Auditmethoden sollten Sie technische und organisatorische Risiken besonders sorgfältig berücksichtigen. Dazu gehören die Qualität der Verbindung, Berechtigungen für Systemzugriffe, die Vertraulichkeit von Bildschirmfreigaben sowie der Umgang mit personenbezogenen Daten. Foto-, Video- oder Bildschirmaufzeichnungen sollten nur unter klaren Regeln sowie unter Beachtung von Datenschutz, Sicherheitsvorgaben und gegebenenfalls erforderlichen Zustimmungen verwendet werden.

Audit durchführen und kommunizieren

Ein Audit beginnt üblicherweise mit einer Abstimmung oder einem Eröffnungsgespräch. Das Auditteam erläutert dabei Auditziele, Umfang, Kriterien, Methoden, Kommunikationswege und zeitliche Planung. Auch besondere Rahmenbedingungen, Vertraulichkeitsanforderungen und mögliche Anpassungen des Auditplans sollten angesprochen werden.

Während des Audits sammelt und bewertet das Auditteam Informationen anhand der festgelegten Kriterien. Es kann sinnvoll sein, wesentliche Feststellungen, Hindernisse oder Änderungen des Auditplans zeitnah mit dem Auditierten und gegebenenfalls dem Auditkunden zu kommunizieren. Die konkrete Kommunikation sollte dabei den Vereinbarungen des Auditauftrags sowie den Anforderungen an Vertraulichkeit entsprechen.

Ein prozessorientiertes Vorgehen hilft, Schnittstellen sichtbar zu machen. Auditoren können beispielsweise einen Kundenauftrag, eine Reklamation oder einen Beschaffungsvorgang von der Auslösung bis zum Abschluss verfolgen. Dadurch wird erkennbar, ob Informationen, Verantwortlichkeiten und Nachweise über Bereichsgrenzen hinweg wirksam zusammenwirken.

Nichtkonformitäten sollten klar, sachlich und nachvollziehbar formuliert werden. Eine belastbare Beschreibung verweist auf das betroffene Auditkriterium und die zugrunde liegenden Auditnachweise. Sie sollte außerdem erkennen lassen, welcher Prozess, Standort, Zeitraum oder Vorgang betroffen ist.

Ein Beispiel für eine nachvollziehbare Nichtkonformität lautet: „Die interne Verfahrensanweisung verlangt einen dokumentierten Nachweis der Einweisung vor Aufnahme qualitätsrelevanter Tätigkeiten. In drei geprüften Personalakten fehlte dieser Nachweis vor dem jeweiligen Tätigkeitsbeginn.“ Diese Formulierung trennt Anforderung, objektive Nachweise und Bewertung eindeutig voneinander.

Auditbericht und Umgang mit Ergebnissen

Die Durchführung eines einzelnen Audits endet grundsätzlich mit der Berichterstattung oder einer anderen vereinbarten Kommunikation der Ergebnisse. Inhalt, Form, Freigabe und Verteilung des Auditberichts sollten im Auditprogramm, Auditplan oder Auditauftrag festgelegt sein. Vertraulichkeitsanforderungen können begrenzen, wer einzelne Informationen oder den vollständigen Bericht erhält.

Ein Auditbericht kann abhängig von Zweck und Umfang folgende Inhalte enthalten:

• Auditziele, Umfang und Kriterien
• Auditdaten, Auditorte und auditierte Bereiche
• Mitglieder des Auditteams und relevante Ansprechpartner
• angewandte Auditmethoden
• Zusammenfassung der Ergebnisse
• Auditfeststellungen einschließlich Nichtkonformitäten
• positive Feststellungen, Stärken oder gute Praktiken, sofern vereinbart
• Verbesserungspotenziale, Risiken oder Chancen, sofern vorgesehen
• Einschränkungen, Hindernisse oder Abweichungen vom Auditplan
• nicht aufgelöste unterschiedliche Auffassungen zwischen Auditteam und Auditiertem
• Hinweise auf vereinbarte Folgeschritte

Unterschiedliche Auffassungen zwischen Auditteam und auditiertem Bereich sollten möglichst während des Audits geklärt werden. Gelingt dies nicht, können sie im Auditbericht sachlich dokumentiert werden. Das Auditteam sollte dabei weder Ursachen noch Maßnahmen verbindlich vorgeben, sofern dies nicht ausdrücklich Teil des Auditauftrags ist.

Korrektur, Korrekturmaßnahme und Wirksamkeitsprüfung

Für die Behandlung von Nichtkonformitäten ist grundsätzlich die auditierte Organisation oder der auditierte Bereich verantwortlich. Das Auditteam stellt die Nichtkonformität fest und berichtet darüber. Ob und wie eine Nachverfolgung erfolgt, wird im Auditprogramm, Auditplan, Auditauftrag oder in anderen internen Regelungen festgelegt.

Eine Korrektur beseitigt einen festgestellten Fehler oder dessen unmittelbare Auswirkung. Eine Korrekturmaßnahme zielt darauf ab, die Ursache einer Nichtkonformität zu beseitigen und ein Wiederauftreten zu verhindern. Die Wirksamkeitsprüfung bewertet, ob die festgelegte Maßnahme das angestrebte Ergebnis tatsächlich erreicht hat.

Ein Beispiel verdeutlicht den Unterschied: Ein fehlender Schulungsnachweis wird nachträglich ergänzt, das ist eine Korrektur. Wird zusätzlich die Ursache untersucht und ein verbindlicher Freigabeschritt im Schulungsprozess eingerichtet, handelt es sich um eine Korrekturmaßnahme. Eine spätere Stichprobe kann zeigen, ob Schulungsnachweise künftig vor Tätigkeitsbeginn vollständig vorliegen, das wäre eine Wirksamkeitsprüfung.

Eine Maßnahmenverfolgung ist nicht automatisch Bestandteil jedes Audits nach ISO 19011. Sie kann jedoch sinnvoll sein, wenn Risiken, Schwere oder Häufigkeit einer Nichtkonformität dies nahelegen. Eine transparente Zuordnung von Verantwortlichkeiten, Fristen, Nachweisen und Bewertungsmaßstäben unterstützt die spätere Beurteilung.

Anforderungen an Auditoren und Auditteamleiter

ISO 19011 empfiehlt, Auditoren anhand ihrer Kompetenz auszuwählen und weiterzuentwickeln. Kompetenz ergibt sich nicht allein aus einer Schulungsbescheinigung. Sie beruht auf einer Kombination aus persönlichem Verhalten, Ausbildung, Auditwissen, fachlichem Wissen, Erfahrung und der Fähigkeit, dieses Wissen im Audit angemessen anzuwenden.

Zu den wichtigen Kompetenzen gehören insbesondere:

• Verständnis der Auditgrundsätze und Auditmethoden
• Kenntnisse relevanter Managementsystemnormen und Auditkriterien
• Prozess-, Branchen- und gegebenenfalls Fachwissen
• Fähigkeit zur objektiven Bewertung von Auditnachweisen
• klare, respektvolle und adressatengerechte Kommunikation
• analytisches Denken und risikoorientierte Priorisierung
• sorgfältige und nachvollziehbare Dokumentation
• sicheres Verhalten bei vertraulichen oder konfliktbehafteten Themen
• Fähigkeit zum Einsatz geeigneter digitaler Auditmethoden

Die Kompetenz von Auditoren kann durch beobachtete Audits, Überprüfung von Auditberichten, Rückmeldungen, Wissensbewertungen und dokumentierte Auditpraxis beurteilt werden. Regelmäßige Weiterentwicklung ist sinnvoll, weil sich Normen, Prozesse, Technologien und rechtliche Rahmenbedingungen ändern können. ISO 19011 verlangt keine bestimmte Auditorenzertifizierung, allerdings können Organisationen, Kunden oder Branchenregelungen formale Nachweise verlangen.

Auditteamleiter übernehmen zusätzliche Koordinationsaufgaben. Sie leiten das Auditteam im Rahmen des Auditauftrags, unterstützen die Abstimmung des Auditablaufs und sorgen für eine konsistente Bearbeitung der Ergebnisse. Die weitergehende interne Kommunikation, Entscheidungen über Maßnahmen und Eskalationen liegen regelmäßig bei den Verantwortlichen des Auditprogramms oder bei der Leitung der auditierten Organisation.

Neutralität und Interessenkonflikte bei Lieferantenaudits

Bei Lieferantenaudits ist Unabhängigkeit besonders wichtig, weil wirtschaftliche Beziehungen die Objektivität beeinflussen können. Interessenkonflikte können beispielsweise durch persönliche Beziehungen, frühere operative Verantwortung, Beratungsleistungen oder starke wirtschaftliche Abhängigkeiten entstehen. Solche Situationen sollten frühzeitig erkannt, transparent gemacht und angemessen behandelt werden.

Mögliche Maßnahmen sind die Auswahl unabhängiger Auditoren, eine zusätzliche fachliche Prüfung von Feststellungen oder die Einbindung externer Experten. Auch eine klare Trennung zwischen Beratung und Auditierung kann die Glaubwürdigkeit des Audits stärken. Welche Maßnahmen geeignet sind, hängt von Auditrisiken, Vertragsbeziehungen und der Bedeutung des auditierten Anbieters ab.

ISO 19011 im Normenmanagement

ISO 19011 unterstützt Sie dabei, Anforderungen aus Normen, internen Vorgaben, Verträgen oder gegebenenfalls gesetzlichen Regelungen in überprüfbare Auditaktivitäten zu überführen. Ändert sich beispielsweise eine Normanforderung, sollten Sie zunächst deren Relevanz für Ihre Organisation bewerten. Anschließend können betroffene Prozesse, Dokumente, Verantwortlichkeiten, Schulungen und Nachweise identifiziert und in einem Audit gezielt betrachtet werden.

Ein Beispiel ist die Lenkung dokumentierter Informationen. Ein Audit kann prüfen, ob Vorlagen aktualisiert wurden, Mitarbeitende Zugriff auf gültige Informationen haben und veraltete Dokumente angemessen behandelt werden. Dabei ist nicht das bloße Vorhandensein einer Verfahrensanweisung entscheidend, sondern die nachvollziehbare Umsetzung in den betroffenen Prozessen.

Digitale Informationsmanagementsysteme können die praktische Organisation von Normenmanagement und Audits unterstützen. Beispielsweise lassen sich Anforderungen mit Prozessen, Auditfragen, Verantwortlichkeiten und Maßnahmen verknüpfen. Solche Funktionen sind jedoch organisatorische oder technische Hilfsmittel und keine ausdrückliche Vorgabe der ISO 19011.

Praktische Hinweise für die Anwendung

Wenn Sie ISO 19011 anwenden, sollten Sie Auditziele konkret formulieren. Statt pauschal die „Normkonformität“ zu prüfen, können Sie beispielsweise die Umsetzung einer Normenänderung, die Wirksamkeit eines Beschwerdeprozesses oder die Behandlung von Lieferantenrisiken in den Mittelpunkt stellen. Konkrete Ziele erleichtern die Auswahl passender Kriterien, Methoden und Auditoren.

Planen Sie Audits risikoorientiert und passen Sie Ihr Auditprogramm regelmäßig an. Prozessänderungen, Reklamationen, Vorfälle, neue Anbieter oder wiederkehrende Nichtkonformitäten können Anlass für eine höhere Auditfrequenz oder vertiefte Stichproben sein. Gleichzeitig sollten Sie Risiken der Auditdurchführung berücksichtigen, damit die Ergebnisse ausreichend belastbar bleiben.

Achten Sie auf eine klare Trennung zwischen Auditfeststellung, Empfehlung und Maßnahme. Das Auditteam bewertet Nachweise gegenüber den Kriterien und berichtet die Ergebnisse. Die auditierten Bereiche entscheiden im Rahmen der geltenden Regelungen über Korrekturen und Korrekturmaßnahmen.

Quellen und weiterführende Normen

• ISO 19011:2018 einschließlich ISO 19011:2018/Amd 1:2024, Leitfaden für Audits von Managementsystemen
• ISO 9000, Qualitätsmanagementsysteme - Grundlagen und Begriffe
• ISO/IEC 17021-1, Konformitätsbewertung - Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren

Häufige Fragen zu ISO 19011

Ist ISO 19011 eine zertifizierbare Norm?

Nein. ISO 19011 ist ein Leitfaden mit Empfehlungen für die Auditierung von Managementsystemen. Sie enthält keine Anforderungen, nach denen ein Unternehmen oder Managementsystem zertifiziert werden kann.

Was ist die aktuelle Ausgabe von ISO 19011?

Die aktuelle Grundlage ist ISO 19011:2018 einschließlich ISO 19011:2018/Amd 1:2024. Die Änderung von 2024 ergänzt Hinweise zu Klimaauswirkungen im Zusammenhang mit Managementsystemen. Bei der Anwendung sollten Sie prüfen, welche Fassung und Sprachversion für Ihren Zweck maßgeblich ist.

Für welche Managementsysteme kann ISO 19011 genutzt werden?

ISO 19011 kann für Audits unterschiedlicher Managementsysteme verwendet werden, etwa für Qualitätsmanagement, Umweltmanagement, Arbeits- und Gesundheitsschutz oder Informationssicherheit. Sie eignet sich auch, wenn mehrere Disziplinen innerhalb eines Audits betrachtet werden. Die jeweils geltenden Normen, Verträge oder internen Vorgaben müssen dafür als Auditkriterien festgelegt werden.

Was ist der Unterschied zwischen einem kombinierten Audit und einem integrierten Managementsystem?

Ein kombiniertes Audit prüft zwei oder mehr Managementsysteme oder Disziplinen innerhalb eines Audits. Ein integriertes Managementsystem verbindet mehrere Managementsysteme organisatorisch, beispielsweise durch gemeinsame Prozesse und Verantwortlichkeiten. Ein Audit in einem integrierten Managementsystem ist daher nicht automatisch ein kombiniertes Audit.

Wer darf ein internes Audit nach ISO 19011 durchführen?

Interne Auditoren sollten über angemessene Auditkenntnisse, Fachwissen zu den Kriterien und Verständnis für die auditierten Prozesse verfügen. Zudem sollten sie möglichst unabhängig von der zu auditierenden Tätigkeit sein. ISO 19011 verlangt keine bestimmte Personenzertifizierung, Ihre Organisation kann jedoch eigene Kompetenzanforderungen festlegen.

Können Audits nach ISO 19011 remote durchgeführt werden?

Ja. ISO 19011 behandelt den Einsatz von Remote-Auditmethoden, etwa Videokonferenzen, Bildschirmfreigaben, digitale Dokumentenprüfungen und sichere Systemzugriffe. Ob diese Methoden ausreichend geeignet sind, hängt von Auditrisiken, Informationsschutz, technischen Möglichkeiten und der erforderlichen Aussagekraft der Nachweise ab.

Wie oft sollten interne Audits stattfinden?

ISO 19011 schreibt keinen festen Auditturnus vor. Die Häufigkeit kann sich an Risiken, Prozessleistung, Änderungen, früheren Auditfeststellungen und der Bedeutung des jeweiligen Bereichs orientieren. Viele Organisationen erstellen ein jährliches Auditprogramm und ergänzen es bei Bedarf durch anlassbezogene Audits.

Gehört die Wirksamkeitsprüfung von Maßnahmen immer zum Audit?

Nein. Die Auditdurchführung endet grundsätzlich mit der vereinbarten Berichterstattung oder Kommunikation der Ergebnisse. Eine Nachverfolgung von Korrekturen, Korrekturmaßnahmen oder deren Wirksamkeit erfolgt nur, wenn dies im Auditprogramm, Auditplan, Auditauftrag oder in anderen Regelungen vorgesehen ist.

Ersetzt ISO 19011 eine rechtliche Compliance-Prüfung?

Nein. ISO 19011 liefert eine Methodik für Managementsystemaudits und ist keine Rechtsberatung. Gesetze oder Vorschriften können nur dann im Audit bewertet werden, wenn sie als Auditkriterien festgelegt wurden und die erforderliche fachliche Kompetenz vorhanden ist.