Interne Audits: Ablauf, Ziele und Vorbereitung im Überblick

Was ist ein internes Audit?

Ein internes Audit (auch 1st Party Audit genannt) ist eine systematische, unabhängige, objektive und dokumentierte Selbstprüfung Ihres Managementsystems, die von den eigenen Mitarbeitenden der Organisation durchgeführt wird. Dabei prüfen Sie basierend auf klaren Kriterien, ob Ihr Unternehmen oder Ihre Organisation Auditkriterien erfüllt, um sich auf externe Zertifizierungsaudits vorzubereiten. Dadurch können Sie Risiken und Schwachstellen frühzeitig aufdecken und Verbesserungsmaßnahmen einleiten.

Interne Audits vs. externe Audits – der Unterschied

Warum interne Audits wichtig sind

Interne Audits zeigen, ob das Managementsystem in der Praxis funktioniert und im Arbeitsalltag seine Ziele erreicht. Dafür prüfen interne Auditoren, ob Vorgaben und Normanforderungen in Ihrem Unternehmen erfüllt werden. Abweichungen, Risiken und Handlungsbedarf werden sichtbar. So befähigen interne Audits Sie dazu, bei Verbesserungspotenzial frühzeitig einzugreifen und Verbesserungsmaßnahmen einzuleiten.

Regelmäßige interne Audits regen Ihr Unternehmen dazu an, Prozesse, Abläufe und Ergebnisse zu hinterfragen und zu optimieren. So treiben sie Ihren kontinuierlichen Verbesserungsprozess an und stärken das Risikomanagement Ihres Unternehmens.

Sind interne Audits Pflicht?

Eine allgemeine gesetzliche Pflicht, interne Audits durchzuführen, gibt es nicht. Allerdings sind interne Audits Teil der Normanforderungen für zertifizierte Managementsysteme, wie die ISO 9001 und 27001.

Für Sie bedeutet das: Interne Audits sind für Ihr Unternehmen Pflicht, wenn Sie nach einem zertifizierten Managementsystem, wie zum Beispiel der ISO 9001 für Qualitätsmanagement und der ISO 27001 für Informationssicherheit, zertifiziert sind oder eine Zertifizierung anstreben. Denn die Norm ISO 9001 selbst verlangt, dass interne Audits regelmäßig durchgeführt werden. Ihr Unternehmen muss also durch ein internes Audit nach ISO 9001 die Normkonformität Ihres Qualitätsmanagementsystems prüfen. Nach den Ergebnissen der ISO Survey 2024 sind in Deutschland rund 45.000 Zertifikate nach der ISO 9001 vergeben. Diese zertifizierten Unternehmen müssen somit regelmäßig interne Audits durchführen.

Außerdem sind interne Audits in einigen regulierten Branchen Pflicht. Dazu zählen Unternehmen aus dem Finanz-, Pharma- und Gesundheitswesen. Im Gesundheitswesen sind beispielsweise Vertragsärzte, Vertragszahnärzte, Krankenhäuser und Rehabilitationskliniken zu regelmäßigen internen Audits verpflichtet.

Ohne eine Zertifizierung oder die entsprechenden branchenspezifischen Vorgaben ist ein internes Audit für Sie freiwillig, aber empfohlen. Denn auch ohne eine Verpflichtung profitiert Ihr Unternehmen davon, Verbesserungspotenziale frühzeitig zu heben.

Ablauf eines internen Audits – Schritt für Schritt

Ihr internes Audit sollte einer klaren Struktur folgen – zum Beispiel entlang dieser sieben Schritte:

1. Auditprogramm festlegen

Im ersten Schritt legen Sie das Auditprogramm fest. Dieses definiert, wie viele Audits Sie durchführen. Es benennt außerdem Umfang, Bereiche und Zeitpunkt. Das Auditprogramm ist also die Audit-Planung Ihres Unternehmens für einen bestimmten Zeitraum. Die oberste Leitung Ihres Unternehmens genehmigt dieses Auditprogramm.

• Sie legen im Auditprogramm konkret fest: die Anzahl und den Umfang der Audits über den Zeitraum, die Rollen der Verantwortlichen, die zu auditierenden Organisationseinheiten, den Ort und Zeitpunkt der Audits und die Priorisierung nach Risiko.
• Achten Sie besonders darauf, das Auditprogramm laufend zu überwachen, zu bewerten und bei Bedarf zu verbessern. Außerdem ist es wichtig, dass Sie sich an Ihren priorisierten Unternehmenszielen orientieren, nicht nur an Normkapiteln.

2. Auditplan erstellen

Im zweiten Schritt erstellen Sie einen konkreten Auditplan für das einzelne interne Audit. Hierfür ist meistens der interne Auditor verantwortlich. Dieser spricht sich mit den betroffenen Abteilungen und den Prozessverantwortlichen ab.

• In diesem Schritt werden die betroffenen Prozessverantwortlichen, der beteiligte Auditor, die Dauer und der Ort des Audits und ein klares Auditziel festgelegt.
• Achten Sie besonders darauf, feste Daten zu planen und Auditkriterien eindeutig zu benennen, damit das Audit nachvollziehbar bleibt.

3. Audit vorbereiten

Im nächsten Schritt bereiten Sie sich inhaltlich auf das Audit vor. Sie können Interviews mit Mitarbeitenden führen, um ein besseres Verständnis für Prozesse zu bekommen. Die interne Auditabteilung sammelt Informationen und der Auditor erstellt eine Auditcheckliste bzw. einen Fragenkatalog auf Basis der Auditkriterien.

• Hier sammeln Sie Dokumente und legen auf Basis der Auditkriterien eine Auditcheckliste fest. Gegebenenfalls führen und dokumentieren Sie Interviews mit Mitarbeitenden.
• Achten Sie darauf, dass der Fragenkatalog übergreifende Fragen enthält, sofern mehrere Managementsysteme betroffen sind.

4. Audit durchführen

Im eigentlichen Audit starten Sie mit einem Eröffnungsgespräch, in dem Sie den Ablauf klären und die Beteiligten sich vorstellen. Die Prüfung erfolgt dann in Auditblöcken, bei denen Sie Konformität und Nichtkonformität feststellen. Abschließend führt der Auditor ein Abschlussgespräch durch.

• In diesem Schritt dokumentieren Sie konkrete Konformitäten und Nichtkonformitäten und halten Abweichungen fest. Außerdem ziehen Sie ein abschließendes Fazit im Abschlussgespräch.
• Achten Sie darauf, Fragen möglichst offen zu stellen und bei der Prüfung nach Nachweisen zu fragen, anstatt nach Meinungen.

5. Feststellungen dokumentieren

Der Auditor hält alle Beobachtungen strukturiert fest. Zu jeder Feststellung notiert er, wie schwer sie wiegt. In der Praxis nutzen Auditoren dafür vier Abstufungen: Eine Hauptabweichung bezeichnet eine kritische Abweichung, die Sie sofort beheben müssen. Eine Nebenabweichung ist eine geringfügige Abweichung ohne akute Folgen. Ein Hinweis oder Verbesserungsvorschlag benennt ein Potenzial, das Sie nutzen können. Eine positive Feststellung hält eine Stärke fest, die Sie sichern sollten. So sortieren Sie Ihre Feststellungen klar nach Schweregrad und sehen sofort, wo Sie zuerst handeln.

• Zu jeder Feststellung dokumentieren Sie Ort, Datum und Nachweis sowie die Einordnung nach Schweregrad.
• Achten Sie darauf, die Fakten und die Bewertung sauber voneinander zu trennen.

6. Auditbericht erstellen

Im Anschluss an das Audit erstellt der Auditor einen zusammenfassenden Auditbericht und verteilt diesen an die relevanten Empfänger.

• Der Auditbericht enthält die Zielsetzung des Audits, den Auditumfang, die Auditkriterien, die dokumentierten Feststellungen, die Schlussfolgerungen und ggf. Verbesserungsempfehlungen.
• Achten Sie im Auditbericht darauf, die Schlussfolgerungen und den Kontext leicht verständlich zu machen, damit er als Entscheidungsgrundlage taugt. Eine klare Struktur erleichtert es der Leitung Ihres Unternehmens, priorisierte Maßnahmen abzuleiten.

7. Korrekturmaßnahmen nachverfolgen

Aus den festgestellten Abweichungen leitet der auditierte Bereich Korrekturmaßnahmen ab, setzt diese um und überprüft ihre Wirksamkeit.

• Sie legen konkrete Maßnahmen zur Verbesserung fest, verteilen Verantwortlichkeiten und legen Fristen zur Umsetzung fest. Außerdem bestimmen Sie einen Folgetermin für das nächste Audit.
• Stellen Sie sicher, dass ein Audit nicht mit dem Bericht endet: Einer der häufigsten Fehler bei internen Audits sind fehlende Konsequenzen. Achten Sie auch darauf, gewonnene Erkenntnisse in das nächste Auditprogramm einfließen zu lassen.

Wer führt interne Audits durch? – Die Rolle des internen Auditors

Ein internes Audit wird von einem internen Auditor, also einer Person aus dem eigenen Unternehmen, durchgeführt. Damit die Ergebnisse aussagekräftig sind, muss diese Person unabhängig vom geprüften Bereich, fachlich kompetent sowie kommunikationsstark sein. Zum Beispiel sollte die Aufgabe nicht allein beim Qualitätsmanagement-Beauftragten liegen, wenn dieser Prozess geprüft werden soll.

Ein besonderer Unterschied zwischen externen und internen Auditoren liegt darin, dass interne Auditoren auch beraten dürfen und sollten. So decken sie nicht nur Fehler auf, sondern pflegen auch eine Kultur der fortlaufenden Verbesserung im Unternehmen.

Welche Qualifikationen braucht ein interner Auditor?

Damit ein internes Audit belastbare Ergebnisse liefert, muss ein interner Auditor einige wichtige Qualifikationen mitbringen. Dazu zählen umfassende Fachkenntnisse zu den geprüften Prozessen und Normen sowie die Fähigkeit, komplexe Daten zu interpretieren. Außerdem sollte ein interner Auditor einen objektiven Blick und kritisches Denkvermögen mitbringen, um Feststellungen nicht vorschnell zu bewerten. Zusätzlich ist eine ausgeprägte Kommunikationsfähigkeit wichtig und ein formaler Schulungsnachweis empfehlenswert, um Ergebnisse verständlich kommunizieren zu können.

Die genauen Anforderungen und fachlichen Schwerpunkte, mit denen sich interne Auditoren auseinandersetzen müssen, können vielfältig sein. Wer beispielsweise Informationssicherheits-Audits nach ISO 27001 durchführt, benötigt neben den allgemeinen Auditor-Kompetenzen auch spezifisches Wissen zu diesem Themenfeld.

Technologische Hilfsmittel unterstützen Ihre tägliche Auditarbeit jedoch zunehmend. Sie können künstliche Intelligenz bei der automatisierten Dokumentenprüfung, der Mustererkennung oder der Erstellung von Berichten als Unterstützung nutzen. Dadurch bleibt Ihnen als Auditor mehr Raum, sich auf die eigentliche Bewertung und die Ableitung von Verbesserungsmaßnahmen zu konzentrieren.

Arten interner Audits (System-, Prozess-, Produktaudit)

Ihre internen Audits können unterschiedliche Schwerpunkte haben. Um welche Audit-Art es sich handelt, hängt davon ab, ob Ihr gesamtes Managementsystem, ein einzelner Prozess oder ein konkretes Produkt geprüft wird. Die zentralen Arten interner Audits sind Systemaudits, Prozessaudits und Produktaudits.

Bei einem Systemaudit betrachten Sie Ihr gesamtes Managementsystem oder einen abgegrenzten Teil davon. Der interne Auditor prüft, ob Strukturen, Verantwortlichkeiten und Abläufe geeignet sind und in Ihrem Unternehmen wirksam umgesetzt werden.

Ein Prozessaudit stellt einen einzelnen Ablauf in den Mittelpunkt, wie zum Beispiel die Beschaffung oder die Produktion. Hier prüfen Sie im internen Audit, ob ein Prozess wie vorgesehen funktioniert, Zuständigkeiten klar geregelt sind und Sie die gewünschten Ergebnisse erreichen.

Bei einem Produktaudit prüft der interne Auditor ein einzelnes Produkt, eine einzelne Baugruppe oder eine konkrete Leistung. Im Audit prüft Ihr Unternehmen, ob festgelegte Anforderungen, Spezifikationen und Qualitätsmerkmale erfüllt sind.

Je nach Schwerpunkt können interne Audits auch spezielle Themen wie den Arbeitsschutz abdecken. In diesem Zusammenhang kann beispielsweise ein ISO-45001-Audit eingesetzt werden.

Strategieorientiert auditieren – Auditziele an Unternehmenszielen ausrichten

Ein internes Audit sollte nicht nur die Frage beantworten, ob Sie einzelne Normanforderungen erfüllen. Entscheidend ist, ob Ihre geprüften Prozesse die strategischen Ziele Ihres Unternehmens unterstützen. Dafür richten Sie den Auditumfang und die Prüftiefe an den aktuellen Prioritäten, Risiken und bisherigen Auditergebnissen aus.

Wenn Ihr Unternehmen besonderen Fokus auf die Verbesserung der Liefertermintreue legt, können Sie gezielt den Beschaffungs- oder Produktionsprozess betrachten. In diesem Fall prüfen Sie nicht nur, ob Ihre Abläufe dokumentiert sind, sondern auch, ob diese tatsächlich zur zuverlässigen Auslieferung beitragen. So können Sie Prozesse mit hoher strategischer Bedeutung oder erkennbaren Schwachstellen intensiver oder häufiger auditieren.

Typische Fehler bei internen Audits – und wie man sie vermeidet

Ihre internen Audits bringen Ihnen nur dann den erwarteten Mehrwert, wenn Sie sie sorgfältig planen und konsequent nachbereiten. Die Praxis sieht jedoch oft anders aus. Zu den typischen Stolpersteinen gehören:

• Fehlendes oder unzureichendes Auditprogramm: Ein strukturiertes Auditprogramm berücksichtigt Auditumfang, Häufigkeit, Risiken, Unternehmensziele und frühere Ergebnisse.
• Mangelnde Auditor-Kompetenz: Ihre internen Auditoren müssen fachlich geeignet sein und den geprüften Bereich möglichst unvoreingenommen bewerten.
• Zu geringe Auditfrequenz: Kritische oder veränderte Prozesse sollten abhängig von ihrem Risiko regelmäßig geprüft werden.
• Fehlende Konsequenz bei Abweichungen: Für jede Ihrer relevanten Feststellungen sollten Korrekturmaßnahmen, Verantwortliche und Fristen festgelegt werden.
• Unzureichende Dokumentation: Auditnachweise müssen klar festhalten, was geprüft wurde, welche Nachweise vorlagen und wie die Feststellung begründet ist.
• Audit ohne klares strategisches Ziel: Ohne konkretes Ziel besteht die Gefahr, dass das Audit auf ein reines Abarbeiten von Normkapiteln hinausläuft.
• Reines „Abhaken“ der Checkliste: Ein Fragenkatalog dient als Orientierung, ersetzt aber nicht aktives Zuhören, Nachfragen und die Prüfung von Nachweisen.

Fragenkatalog für interne Audits

Ein Fragenkatalog für interne Audits kann Ihnen als Orientierung dienen und sicherstellen, dass Sie wichtige Themen systematisch betrachten. Die Fragen sollten zu Ihrem Audit- und Prozessziel passen, offen formuliert sein und immer auch auf konkrete Nachweise abzielen. Sie können allgemeine Fragen, aber auch norm- oder prozessspezifische Fragen in Ihren Fragenkatalog aufnehmen.

Dieser allgemeine Fragenkatalog kann Sie beim internen Audit unterstützen:

• „Wie stellen Sie sicher, dass der Prozess gemäß den geltenden Vorgaben durchgeführt wird?“
• „Zeigen Sie mir bitte den Nachweis für die Umsetzung dieses Prozessschritts.“
• „Wer ist für diesen Ablauf verantwortlich und wie werden die beteiligten Mitarbeitenden qualifiziert?“
• „Welche Risiken können in diesem Prozess auftreten und wie werden sie überwacht?“
• „Was tun Sie, wenn Sie eine Abweichung feststellen?“
• „Wie prüfen Sie, ob eingeleitete Korrekturmaßnahmen wirksam sind?“
• „Welche Verbesserungen wurden aufgrund früherer Auditergebnisse umgesetzt?“

Eine normspezifische Frage zur ISO 45001 könnte lauten:

• „Wie ermitteln und bewerten Sie Gefährdungen für Sicherheit und Gesundheit bei der Arbeit, und wie stellen Sie sicher, dass daraus geeignete Maßnahmen abgeleitet und umgesetzt werden?“

Eine normspezifische Frage zur ISO 50001 könnte lauten:

• „Wie ermitteln und überwachen Sie Ihre wesentlichen Energieeinsätze und Energieleistungskennzahlen, und wie nutzen Sie die Ergebnisse zur Verbesserung der energiebezogenen Leistung?“

Wichtig ist, dass interne Auditor den Fragenkatalog nicht als starres Skript nutzen, sondern Antworten aufmerksam aufnehmen, bei Unklarheiten nachfragen und die genannten Nachweise direkt prüfen.

Interne Audits über mehrere Normen hinweg

Wenn Ihr Unternehmen mit mehreren Managementsystemen arbeitet, müssen Sie nicht zwingend für jede Norm ein separates Audit durchführen. Bei einem integrierten Audit prüfen Sie gemeinsame Anforderungen verschiedener Normen in einem Durchgang. Insbesondere wenn inhaltliche Schnittstellen zwischen den Normkapiteln bestehen, beispielsweise zwischen ISO 9001 und ISO 14001, lassen sich Audits kombinieren. Das spart Ihnen Zeit und vermeidet doppelte Befragungen.

Damit Ihr integriertes Audit trotzdem aussagekräftige Ergebnisse liefert, sollten Sie Auditumfang, Fragenkatalog und Fachkompetenzen auf alle einbezogenen Normen abstimmen. Außerdem müssen Sie die Feststellungen eindeutig der jeweiligen Norm oder dem gemeinsamen Prozess zuordnen.

Fazit

Interne Audits sind mehr als eine formale Prüfung. Sie zeigen Ihrem Unternehmen, ob Ihre Prozesse wirksam funktionieren, Anforderungen erfüllt werden und wo Sie konkretes Verbesserungspotenzial noch ungenutzt lassen. Entscheidend sind eine gute Vorbereitung, unabhängige Auditoren, klare Auditziele und die konsequente Nachverfolgung von Feststellungen. Wenn Sie Audits zusätzlich an Ihren Unternehmenszielen ausrichten und über mehrere ISO-Normen hinweg denken, können Sie Ihr Managementsystem kontinuierlich und effektiv weiterentwickeln.