Integriertes internes Audit aufbauen: So geht es

Drei Managementsysteme führen schnell zu drei Auditplänen, ähnlichen Interviews und mehrfach angeforderten Nachweisen. Ein integriertes internes Audit setzt stattdessen bei einem realen Prozess an und betrachtet ihn aus mehreren fachlichen Perspektiven. Dieser Beitrag zeigt einen praktikablen Aufbau: gemeinsames Programm, klar abgegrenzte Kriterien, geeignete Stichproben und eine nachvollziehbare Nachverfolgung.

Was ein integriertes internes Audit zusammenführt

Integration bedeutet nicht, drei Fragenkataloge hintereinander am selben Termin abzuarbeiten. Gemeinsame Prozessschritte, Ansprechpartner und Nachweise werden sinnvoll gebündelt. Die Bewertung bleibt dagegen an die jeweils zutreffenden Anforderungen gebunden: Ein ordnungsgemäß freigegebener Lieferant ist nicht automatisch auch hinsichtlich seiner Umweltleistung oder seines Umgangs mit vertraulichen Daten ausreichend geprüft.

Der folgende Aufbau ist eine organisatorische Arbeitshilfe, keine vollständige Normcheckliste. Für verbindliche Auditkriterien sind die im eigenen Managementsystem geltenden Normausgaben, internen Regelungen und einschlägigen Verpflichtungen maßgeblich. Die öffentlich verfügbare Anleitung der ISO 9001 Auditing Practices Group zu internen Audits unterstützt einen risiko- und prozessorientierten Ansatz. Sie ist eine erläuternde Hilfe, keine zusätzliche normative Anforderung.

1. Auditprogramm und einzelnen Auditplan trennen

Das Auditprogramm beschreibt, welche Prozesse und Bereiche über einen gewählten Zeitraum geprüft werden, mit welcher Priorität und mit welchen Ressourcen. Es berücksichtigt die Bedeutung der Prozesse, Änderungen, relevante Risiken und frühere Ergebnisse. Der Auditplan konkretisiert dagegen einen einzelnen Termin: Ziel, Umfang, Kriterien, beteiligte Personen, Ablauf und vorgesehene Stichproben.

Beginnen Sie mit einer Übersicht der Prozesse und ihrer fachlichen Berührungspunkte. Die vorhandene Prozesslandkarte ist dafür geeigneter als drei isolierte Listen von Normkapiteln. Prüfen Sie außerdem, welche Standorte, Schichten und ausgelagerten Tätigkeiten berücksichtigt werden müssen. Nicht jede dieser Einheiten muss im gleichen Termin vorkommen; die Abdeckung über das Programm muss aber nachvollziehbar sein.

Ein neuer risikoreicher Dienstleister, wiederholte Reklamationen oder veränderte Umweltbedingungen können andere Schwerpunkte erfordern als ein unveränderter, stabiler Ablauf. Ein starres Schema „alles einmal jährlich“ ist deshalb keine ausreichende Begründung der eigenen Planung. Häufigkeit, Tiefe und Methoden sollten zur konkreten Situation passen.

2. An einem Prozess die drei Perspektiven verbinden

Als Pilot eignet sich ein Prozess mit klaren Schnittstellen, etwa die Beschaffung. Verfolgen Sie einen konkreten Vorgang von der Bedarfsbeschreibung über Auswahl und Beauftragung bis zur Leistungsbewertung. Ergänzen Sie die folgenden beispielhaften Fragen nur dort, wo sie tatsächlich relevant sind.

Die Tabelle ist ein Einstieg, kein Ersatz für die Kriterienmatrix. Darin wird jede verwendete Frage mit der konkreten Anforderung und ihrer Quelle verbunden. Bei Informationssicherheit sind beispielsweise die Risikobehandlung und die für das Unternehmen ausgewählten Maßnahmen relevant. Umweltfragen richten sich nach den tatsächlichen Umweltaspekten und Verpflichtungen, nicht danach, ob eine Frage allgemein nachhaltig klingt.

3. Kriterien, Nachweise und Abdeckung vorab festlegen

Eine kompakte Arbeitsstruktur kann aus sechs Feldern bestehen: Prozessschritt, Prüfziel, zutreffende Anforderung, Auditfrage, vorgesehener Nachweis und fachliche Zuordnung. Die genaue Gestaltung ist frei. Wichtig ist, dass sich später erkennen lässt, was tatsächlich geprüft und was lediglich erwähnt wurde.

Ein Lieferantenvertrag kann mehreren Prüfungen dienen. Dass er vorliegt, beweist jedoch noch nicht, dass Qualitätsanforderungen, Umweltbedingungen und Informationssicherheitsvereinbarungen jeweils angemessen geregelt sind. Dokumentieren Sie deshalb die konkrete Aussage des Nachweises und die zugehörige Bewertung.

Legen Sie Stichproben begründet fest, beispielsweise einen neuen Anbieter, einen Vorgang mit Reklamation und eine kürzlich geänderte Leistung. Diese Auswahl ist ein Beispiel, keine vorgeschriebene Stichprobengröße. Ein Audit arbeitet mit begrenzten Nachweisen; aus einem unauffälligen Einzelfall folgt keine lückenlose Konformitätsaussage für den gesamten Prozess.

4. Das Auditteam passend zum Prüfauftrag zusammenstellen

Ein gemeinsamer Termin verlangt nicht, dass eine einzelne Person alle Fachgebiete gleichermaßen beherrscht. Planen Sie eine geeignete Leitung und die benötigte Fachkompetenz. Je nach Umfang können mehrere Auditorinnen und Auditoren oder ergänzende Fachexperten sinnvoll sein.

Objektivität und Unparteilichkeit müssen bei Auswahl und Durchführung abgesichert werden. Wer den geprüften Ablauf selbst verantwortet, sollte nicht allein seine eigene Arbeit bewerten. Gerade in kleinen Unternehmen sind mögliche Interessenkonflikte offen zu prüfen und durch geeignete Aufgabenverteilung oder externe Unterstützung zu begrenzen. Ein Schulungsnachweis allein beantwortet noch nicht, ob das Team für einen konkreten Prozess ausreichend kompetent ist.

5. Feststellungen aus dem Prozess heraus dokumentieren

Führen Sie Interviews entlang des tatsächlichen Ablaufs und gleichen Sie Aussagen mit Dokumenten, Aufzeichnungen und Beobachtungen ab. Eine Feststellung braucht einen nachvollziehbaren Zusammenhang zwischen Kriterium, beobachtetem Sachverhalt und Beleg. „Lieferantenbewertung schlecht“ ist dafür zu ungenau.

Ein fiktives Beispiel: Für einen ausgewählten Dienstleister fehlt die intern vorgeschriebene dokumentierte Freigabe vor Beauftragung. Halten Sie fest, welche interne Vorgabe gilt, welcher Vorgang geprüft wurde und welcher Nachweis fehlt. Ergänzen Sie weitere fachliche Bezüge nur, wenn sie belegt sind. Aus einer fehlenden Freigabe folgt nicht automatisch eine Abweichung in jedem Managementsystem.

Ein gemeinsamer Bericht kann Ergebnisse bündeln und dennoch getrennte fachliche Schlussfolgerungen enthalten. Sorgen Sie dafür, dass die zuständige Leitung sowohl das Gesamtbild als auch relevante Lücken je Prüfbereich erkennt.

6. Umsetzung und Wirksamkeit getrennt nachverfolgen

Nach einer Abweichung ist zunächst zu klären, was unmittelbar korrigiert werden muss. Anschließend werden Ursachen betrachtet und angemessene Korrekturmaßnahmen festgelegt. Verantwortliche, Termine und erwartete Ergebnisse müssen eindeutig sein.

Ein aktualisiertes Formular belegt eine Änderung, noch nicht deren Wirkung. Prüfen Sie beispielsweise an späteren Beschaffungsvorgängen, ob die erforderliche Freigabe nun tatsächlich vorliegt. Umfang und Zeitpunkt dieser Prüfung richten sich nach dem Risiko und der Maßnahme. Nehmen Sie verbleibende Lücken und relevante Erkenntnisse in die weitere Auditplanung und die Managementbewertung auf.

Fazit

Ein integriertes internes Audit braucht einen gemeinsamen organisatorischen Rahmen und fachlich eindeutige Bewertungen. Starten Sie mit einem geeigneten Prozess, prüfen Sie die Abdeckung und erweitern Sie den Ansatz anhand der gewonnenen Erfahrung. Gemeinsame Nachweise dürfen mehrfach genutzt werden; die jeweilige Schlussfolgerung muss trotzdem begründet sein.

IMScollect unterstützt Auditprogramme, Audits mit getrennten Normbereichen, die Dokumentation von Feststellungen und die Berichterstattung. Korrekturmaßnahmen werden gesondert nachverfolgt. In einer Demo mit Ihrem eigenen Auditablauf lässt sich prüfen, wie dieser Aufbau zu Ihrer Organisation passt.