Das n\u00e4chste interne Audit steht an. Unterlagen werden aktualisiert, Termine abgestimmt und Checklisten vorbereitet. Doch welchen Nutzen hat der Aufwand f\u00fcr den Arbeitsalltag? Ein gut durchgef\u00fchrtes Audit zeigt, ob vereinbarte Abl\u00e4ufe funktionieren, wo Risiken entstehen und welche Verbesserungen sich lohnen. Die ISO 19011 bietet daf\u00fcr einen methodischen Rahmen. Entscheidend ist, wie Sie ihn in Ihrem Unternehmen anwenden.<\/p>\n
Die ISO 19011 enth\u00e4lt Leitlinien zur Auditierung von Managementsystemen. Sie behandelt Auditprinzipien, die Steuerung von Auditprogrammen, die Durchf\u00fchrung einzelner Audits und die Kompetenz von Auditoren. Die aktuelle internationale Ausgabe ist die ISO 19011:2026; die deutsche Fassung liegt als DIN EN ISO 19011:2026-09 vor.<\/p>\n
Die Verpflichtung zu internen Audits ergibt sich aus der jeweils angewendeten Managementsystemnorm, beispielsweise der ISO 9001. Die ISO 19011 unterst\u00fctzt die methodische Umsetzung. Sie ist selbst keine Grundlage f\u00fcr die Zertifizierung eines Managementsystems.<\/p>\n
F\u00fcr Ihre Auditpraxis bedeutet das: Legen Sie fest, welche Anforderungen Sie pr\u00fcfen und welche Erkenntnisse Sie gewinnen m\u00f6chten. Eine ausgef\u00fcllte Checkliste allein sagt noch wenig dar\u00fcber aus, ob ein Prozess im Alltag wirksam ist.<\/p>\n
Ein Auditprogramm steuert die Audits \u00fcber einen festgelegten Zeitraum. Es sollte ber\u00fccksichtigen, welche Prozesse besonders wichtig sind, wo Ver\u00e4nderungen anstehen und welche Probleme fr\u00fchere Audits gezeigt haben. So erh\u00e4lt ein Bereich mit wiederkehrenden Fehlern oder erheblichen Auswirkungen mehr Aufmerksamkeit.<\/p>\n
F\u00fcr ein Informationssicherheitsmanagementsystem kann beispielsweise die Einf\u00fchrung eines Cloud-Dienstes Anlass sein, die Vergabe von Zugriffsrechten genauer zu betrachten. Auch ein Wechsel des IT-Dienstleisters oder ein Sicherheitsvorfall kann einen neuen Auditschwerpunkt begr\u00fcnden.<\/p>\n
Kl\u00e4ren Sie f\u00fcr jedes einzelne Audit das Ziel, den Umfang und die Auditkriterien. Zum Umfang geh\u00f6ren etwa die betrachteten Prozesse, Teams und Systeme. Die Kriterien bestimmen, woran Sie deren Umsetzung messen, beispielsweise an Normanforderungen oder an verbindlichen internen Vorgaben.<\/p>\n
Ein konkretes Audit k\u00f6nnte untersuchen, ob beim Ausscheiden von Besch\u00e4ftigten s\u00e4mtliche relevanten Zug\u00e4nge innerhalb der unternehmensintern festgelegten Frist gesperrt werden. Damit entsteht eine \u00fcberpr\u00fcfbare Fragestellung, an der sich Interviews und Stichproben ausrichten lassen.<\/p>\n
Auditoren ben\u00f6tigen fachliches Verst\u00e4ndnis und die F\u00e4higkeit, Informationen sachlich zu bewerten. Organisieren Sie interne Audits m\u00f6glichst so, dass niemand die eigene Arbeit beurteilt. Bereichs\u00fcbergreifende Auditteams oder externe Unterst\u00fctzung k\u00f6nnen helfen, einen unabh\u00e4ngigen Blick sicherzustellen.<\/p>\n
Erl\u00e4utern Sie den beteiligten Mitarbeitenden vorab, welche Abl\u00e4ufe betrachtet werden und wie das Audit abl\u00e4uft. Offene Fragen erleichtern das Gespr\u00e4ch: \u201eWie erfahren Sie von einem bevorstehenden Austritt?\u201c oder \u201eWas geschieht, wenn die zust\u00e4ndige Person abwesend ist?\u201c So werden auch \u00dcbergaben und Ausnahmen sichtbar, die eine Prozessbeschreibung m\u00f6glicherweise nur unvollst\u00e4ndig abbildet.<\/p>\n
Bleiben Sie bei den beobachteten Abl\u00e4ufen und den belegbaren Tatsachen. Eine respektvolle Gespr\u00e4chsf\u00fchrung erleichtert es den Beteiligten, Schwierigkeiten anzusprechen und Zusammenh\u00e4nge zu erkl\u00e4ren.<\/p>\n
Auditnachweise m\u00fcssen zu den festgelegten Kriterien passen und \u00fcberpr\u00fcfbar sein. Dazu z\u00e4hlen beispielsweise Aufzeichnungen, nachvollziehbare Tatsachenaussagen und weitere geeignete Informationen. Vergleichen Sie die beschriebenen Abl\u00e4ufe mit konkreten Vorg\u00e4ngen.<\/p>\n
Im Beispiel des Mitarbeiteraustritts k\u00f6nnten Sie ausgew\u00e4hlte F\u00e4lle vom Hinweis der Personalabteilung \u00fcber das IT-Ticket bis zur dokumentierten Kontosperrung verfolgen. Beziehen Sie je nach Risiko unterschiedliche Konstellationen ein, etwa einen kurzfristigen Austritt oder den Zugang zu einer externen Anwendung. So pr\u00fcfen Sie, ob die \u00dcbergabe zwischen Personalabteilung, Fachbereich und IT tats\u00e4chlich funktioniert.<\/p>\n
Dokumentieren Sie, welche F\u00e4lle betrachtet wurden und welche Grenzen die Stichprobe hat. Einzelne unauff\u00e4llige Vorg\u00e4nge erlauben keine pauschale Aussage \u00fcber s\u00e4mtliche Austritte.<\/p>\n
Die Ausgabe 2026 erweitert unter anderem die Leitlinien zu Remote-Audits und virtuellen Standorten. W\u00e4hlen Sie die Methode passend zum Pr\u00fcfgegenstand: Tickets und digitale Aufzeichnungen lassen sich h\u00e4ufig per Bildschirmfreigabe nachvollziehen. F\u00fcr die Bewertung einer physischen Zutrittskontrolle kann eine Pr\u00fcfung vor Ort geeigneter sein. Planen Sie bei digitalen Nachweisen auch den vertraulichen Zugriff und die sichere \u00dcbermittlung ein.<\/p>\n
Eine Nichtkonformit\u00e4t liegt vor, wenn eine Anforderung nicht erf\u00fcllt ist. Halten Sie deshalb zusammen fest, welche Anforderung gilt, welche Nachweise Sie gepr\u00fcft haben und worin die Abweichung besteht. Die Beschreibung muss f\u00fcr die Verantwortlichen nachvollziehbar sein.<\/p>\n
Ein fiktives Beispiel: Die interne Vorgabe verlangt, Benutzerkonten sp\u00e4testens am Austrittstag zu sperren. In zwei von acht gepr\u00fcften Austrittsf\u00e4llen waren die Konten noch drei Tage sp\u00e4ter aktiv. Die Feststellung benennt damit das Kriterium, den Umfang der Stichprobe und die belegte Abweichung. Die genannte Frist ist eine interne Vorgabe dieses Beispiels, keine allgemeine Frist aus der ISO 19011.<\/p>\n
Trennen Sie solche Nichtkonformit\u00e4ten klar von Verbesserungsvorschl\u00e4gen. Eine pers\u00f6nliche Vorliebe f\u00fcr ein anderes Ticketsystem begr\u00fcndet keine Abweichung. Dokumentieren Sie au\u00dferdem bew\u00e4hrte L\u00f6sungen, die f\u00fcr andere Bereiche hilfreich sein k\u00f6nnen.<\/p>\n
Der Auditbericht schafft die Grundlage f\u00fcr die weitere Bearbeitung. Bei einer Nichtkonformit\u00e4t geh\u00f6ren die Behebung des konkreten Problems, die Untersuchung der Ursache und geeignete Korrekturma\u00dfnahmen zusammen. Anschlie\u00dfend ist zu pr\u00fcfen, ob die Ma\u00dfnahmen wirken.<\/p>\n
Im Praxisbeispiel w\u00e4re die Sperrung der verbliebenen Konten die unmittelbare Korrektur. Die Ursachenanalyse k\u00f6nnte ergeben, dass kurzfristige Austritte au\u00dferhalb des \u00fcblichen Personalprozesses gemeldet werden und deshalb kein IT-Ticket entsteht. Eine geeignete Korrekturma\u00dfnahme k\u00f6nnte dann ein verbindlicher Meldeweg mit Vertretungsregelung sein.<\/p>\n
Legen Sie f\u00fcr die Bearbeitung fest:<\/p>\n
F\u00fcr das Beispiel bietet sich an, nach einem angemessenen Zeitraum neue Austrittsf\u00e4lle zu pr\u00fcfen, einschlie\u00dflich kurzfristiger Meldungen. Erst damit l\u00e4sst sich beurteilen, ob der ver\u00e4nderte Ablauf zuverl\u00e4ssig greift. Ein \u00fcberarbeitetes Formular allein belegt diesen Erfolg noch nicht.<\/p>\n
Die Prozessverantwortlichen entwickeln und realisieren die L\u00f6sung. Die Aufgabe des Audits besteht darin, die Feststellung belastbar zu begr\u00fcnden und die vereinbarte Nachverfolgung zu unterst\u00fctzen. So bleiben Verantwortung f\u00fcr den Prozess und unabh\u00e4ngige Bewertung klar zugeordnet.<\/p>\n
Bewerten Sie Ihr Auditprogramm auch danach, was sich durch die Ergebnisse ver\u00e4ndert. Hilfreiche Anhaltspunkte sind wiederkehrende Nichtkonformit\u00e4ten, \u00fcberf\u00e4llige Ma\u00dfnahmen und die Ergebnisse von Wirksamkeitspr\u00fcfungen. Eine geringe Zahl von Feststellungen allein ist kein ausreichender Erfolgsma\u00dfstab: Sie kann auf gut funktionierende Prozesse hindeuten, aber auch auf zu oberfl\u00e4chliche Pr\u00fcfungen.<\/p>\n
Stellen Sie der Leitung die wesentlichen Ergebnisse so vor, dass sie Entscheidungen treffen kann. Wo fehlen Ressourcen? Welche Ursache betrifft mehrere Bereiche? Welche bew\u00e4hrte L\u00f6sung l\u00e4sst sich \u00fcbertragen? Damit wird das interne Audit zu einer konkreten Grundlage f\u00fcr die Weiterentwicklung des Managementsystems.<\/p>\n