Von der Pflicht zur Chance: Interne Audits nach ISO 19011 richtig nutzen
Das nächste interne Audit steht an. Unterlagen werden aktualisiert, Termine abgestimmt und Checklisten vorbereitet. Doch welchen Nutzen hat der Aufwand für den Arbeitsalltag? Ein gut durchgeführtes Audit zeigt, ob vereinbarte Abläufe funktionieren, wo Risiken entstehen und welche Verbesserungen sich lohnen. Die ISO 19011 bietet dafür einen methodischen Rahmen. Entscheidend ist, wie Sie ihn in Ihrem Unternehmen anwenden.
Was die ISO 19011 für interne Audits leistet
Die ISO 19011 enthält Leitlinien zur Auditierung von Managementsystemen. Sie behandelt Auditprinzipien, die Steuerung von Auditprogrammen, die Durchführung einzelner Audits und die Kompetenz von Auditoren. Die aktuelle internationale Ausgabe ist die ISO 19011:2026; die deutsche Fassung liegt als DIN EN ISO 19011:2026-09 vor.
Die Verpflichtung zu internen Audits ergibt sich aus der jeweils angewendeten Managementsystemnorm, beispielsweise der ISO 9001. Die ISO 19011 unterstützt die methodische Umsetzung. Sie ist selbst keine Grundlage für die Zertifizierung eines Managementsystems.
Für Ihre Auditpraxis bedeutet das: Legen Sie fest, welche Anforderungen Sie prüfen und welche Erkenntnisse Sie gewinnen möchten. Eine ausgefüllte Checkliste allein sagt noch wenig darüber aus, ob ein Prozess im Alltag wirksam ist.
Audits an Risiken und Veränderungen ausrichten
Ein Auditprogramm steuert die Audits über einen festgelegten Zeitraum. Es sollte berücksichtigen, welche Prozesse besonders wichtig sind, wo Veränderungen anstehen und welche Probleme frühere Audits gezeigt haben. So erhält ein Bereich mit wiederkehrenden Fehlern oder erheblichen Auswirkungen mehr Aufmerksamkeit.
Für ein Informationssicherheitsmanagementsystem kann beispielsweise die Einführung eines Cloud-Dienstes Anlass sein, die Vergabe von Zugriffsrechten genauer zu betrachten. Auch ein Wechsel des IT-Dienstleisters oder ein Sicherheitsvorfall kann einen neuen Auditschwerpunkt begründen.
Klären Sie für jedes einzelne Audit das Ziel, den Umfang und die Auditkriterien. Zum Umfang gehören etwa die betrachteten Prozesse, Teams und Systeme. Die Kriterien bestimmen, woran Sie deren Umsetzung messen, beispielsweise an Normanforderungen oder an verbindlichen internen Vorgaben.
Ein konkretes Audit könnte untersuchen, ob beim Ausscheiden von Beschäftigten sämtliche relevanten Zugänge innerhalb der unternehmensintern festgelegten Frist gesperrt werden. Damit entsteht eine überprüfbare Fragestellung, an der sich Interviews und Stichproben ausrichten lassen.
Unabhängigkeit und offene Gespräche ermöglichen
Auditoren benötigen fachliches Verständnis und die Fähigkeit, Informationen sachlich zu bewerten. Organisieren Sie interne Audits möglichst so, dass niemand die eigene Arbeit beurteilt. Bereichsübergreifende Auditteams oder externe Unterstützung können helfen, einen unabhängigen Blick sicherzustellen.
Erläutern Sie den beteiligten Mitarbeitenden vorab, welche Abläufe betrachtet werden und wie das Audit abläuft. Offene Fragen erleichtern das Gespräch: „Wie erfahren Sie von einem bevorstehenden Austritt?“ oder „Was geschieht, wenn die zuständige Person abwesend ist?“ So werden auch Übergaben und Ausnahmen sichtbar, die eine Prozessbeschreibung möglicherweise nur unvollständig abbildet.
Bleiben Sie bei den beobachteten Abläufen und den belegbaren Tatsachen. Eine respektvolle Gesprächsführung erleichtert es den Beteiligten, Schwierigkeiten anzusprechen und Zusammenhänge zu erklären.
Die gelebte Praxis anhand von Nachweisen prüfen
Auditnachweise müssen zu den festgelegten Kriterien passen und überprüfbar sein. Dazu zählen beispielsweise Aufzeichnungen, nachvollziehbare Tatsachenaussagen und weitere geeignete Informationen. Vergleichen Sie die beschriebenen Abläufe mit konkreten Vorgängen.
Im Beispiel des Mitarbeiteraustritts könnten Sie ausgewählte Fälle vom Hinweis der Personalabteilung über das IT-Ticket bis zur dokumentierten Kontosperrung verfolgen. Beziehen Sie je nach Risiko unterschiedliche Konstellationen ein, etwa einen kurzfristigen Austritt oder den Zugang zu einer externen Anwendung. So prüfen Sie, ob die Übergabe zwischen Personalabteilung, Fachbereich und IT tatsächlich funktioniert.
Dokumentieren Sie, welche Fälle betrachtet wurden und welche Grenzen die Stichprobe hat. Einzelne unauffällige Vorgänge erlauben keine pauschale Aussage über sämtliche Austritte.
Die Ausgabe 2026 erweitert unter anderem die Leitlinien zu Remote-Audits und virtuellen Standorten. Wählen Sie die Methode passend zum Prüfgegenstand: Tickets und digitale Aufzeichnungen lassen sich häufig per Bildschirmfreigabe nachvollziehen. Für die Bewertung einer physischen Zutrittskontrolle kann eine Prüfung vor Ort geeigneter sein. Planen Sie bei digitalen Nachweisen auch den vertraulichen Zugriff und die sichere Übermittlung ein.
Feststellungen verständlich und nachvollziehbar formulieren
Eine Nichtkonformität liegt vor, wenn eine Anforderung nicht erfüllt ist. Halten Sie deshalb zusammen fest, welche Anforderung gilt, welche Nachweise Sie geprüft haben und worin die Abweichung besteht. Die Beschreibung muss für die Verantwortlichen nachvollziehbar sein.
Ein fiktives Beispiel: Die interne Vorgabe verlangt, Benutzerkonten spätestens am Austrittstag zu sperren. In zwei von acht geprüften Austrittsfällen waren die Konten noch drei Tage später aktiv. Die Feststellung benennt damit das Kriterium, den Umfang der Stichprobe und die belegte Abweichung. Die genannte Frist ist eine interne Vorgabe dieses Beispiels, keine allgemeine Frist aus der ISO 19011.
Trennen Sie solche Nichtkonformitäten klar von Verbesserungsvorschlägen. Eine persönliche Vorliebe für ein anderes Ticketsystem begründet keine Abweichung. Dokumentieren Sie außerdem bewährte Lösungen, die für andere Bereiche hilfreich sein können.
Maßnahmen bis zur Wirksamkeit verfolgen
Der Auditbericht schafft die Grundlage für die weitere Bearbeitung. Bei einer Nichtkonformität gehören die Behebung des konkreten Problems, die Untersuchung der Ursache und geeignete Korrekturmaßnahmen zusammen. Anschließend ist zu prüfen, ob die Maßnahmen wirken.
Im Praxisbeispiel wäre die Sperrung der verbliebenen Konten die unmittelbare Korrektur. Die Ursachenanalyse könnte ergeben, dass kurzfristige Austritte außerhalb des üblichen Personalprozesses gemeldet werden und deshalb kein IT-Ticket entsteht. Eine geeignete Korrekturmaßnahme könnte dann ein verbindlicher Meldeweg mit Vertretungsregelung sein.
Legen Sie für die Bearbeitung fest:
- Wer übernimmt die Verantwortung für die Maßnahme?
- Bis wann soll sie umgesetzt werden?
- Welche Nachweise belegen die Umsetzung?
- Wann und anhand welcher Kriterien wird die Wirksamkeit überprüft?
Für das Beispiel bietet sich an, nach einem angemessenen Zeitraum neue Austrittsfälle zu prüfen, einschließlich kurzfristiger Meldungen. Erst damit lässt sich beurteilen, ob der veränderte Ablauf zuverlässig greift. Ein überarbeitetes Formular allein belegt diesen Erfolg noch nicht.
Die Prozessverantwortlichen entwickeln und realisieren die Lösung. Die Aufgabe des Audits besteht darin, die Feststellung belastbar zu begründen und die vereinbarte Nachverfolgung zu unterstützen. So bleiben Verantwortung für den Prozess und unabhängige Bewertung klar zugeordnet.
Den Nutzen interner Audits sichtbar machen
Bewerten Sie Ihr Auditprogramm auch danach, was sich durch die Ergebnisse verändert. Hilfreiche Anhaltspunkte sind wiederkehrende Nichtkonformitäten, überfällige Maßnahmen und die Ergebnisse von Wirksamkeitsprüfungen. Eine geringe Zahl von Feststellungen allein ist kein ausreichender Erfolgsmaßstab: Sie kann auf gut funktionierende Prozesse hindeuten, aber auch auf zu oberflächliche Prüfungen.
Stellen Sie der Leitung die wesentlichen Ergebnisse so vor, dass sie Entscheidungen treffen kann. Wo fehlen Ressourcen? Welche Ursache betrifft mehrere Bereiche? Welche bewährte Lösung lässt sich übertragen? Damit wird das interne Audit zu einer konkreten Grundlage für die Weiterentwicklung des Managementsystems.
Auditkompetenz mit PSW TRAINING aufbauen
Wirksame Audits brauchen methodisches Wissen und Übung in der Gesprächsführung. In unserer dreitägigen Schulung zur Auditierung nach ISO 19011 lernen Sie, Audits vorzubereiten und durchzuführen, Feststellungen zu bewerten und aussagekräftige Auditberichte zu erstellen. Auch Kommunikationstechniken und die Nachbearbeitung gehören zu den Inhalten.
Nutzen Sie diese Kompetenz, um bei Ihrem nächsten internen Audit gezielt den Abläufen nachzugehen, deren Verbesserung Ihrem Unternehmen den größten Nutzen bringt.
