Internes Audit vorbereiten: Praktische Checkliste für Schweizer KMU

vor 4 Tagen
6 Min. Lesezeit

Ein internes Audit zeigt nicht, ob Mitarbeitende perfekt arbeiten. Es zeigt, ob Prozesse auch dann funktionieren, wenn es im Alltag schnell gehen muss.

Eine Reklamation wird nicht einheitlich dokumentiert. Eine Vorlage ist zwar vorhanden, wird aber nicht verwendet. Oder eine Korrekturmassnahme wurde umgesetzt, ohne dass jemand später geprüft hat, ob sie das Problem wirklich löst.

Genau hier liegt der Wert eines internen Audits.

Richtig vorbereitet, ist ein ISO Audit keine unangenehme Kontrolle und keine reine Vorbereitung auf das Zertifizierungsaudit. Es hilft dir, Risiken früh zu erkennen, Abläufe zu verbessern und das Managementsystem im Unternehmen wirksam zu halten.

Gerade für kleine und mittlere Unternehmen muss ein internes Audit nicht kompliziert sein. Entscheidend sind ein klarer Fokus, gute Fragen und eine saubere Nachverfolgung.

Was ein internes Audit leisten soll

Ein internes Audit ist eine systematische Überprüfung von Prozessen, Bereichen oder Anforderungen. Es klärt, ob das Managementsystem:

die eigenen Vorgaben erfüllt,
die Anforderungen der relevanten ISO-Norm berücksichtigt,
gesetzliche, behördliche oder kundenspezifische Anforderungen einhält,
und im Arbeitsalltag tatsächlich funktioniert.

Welche Fragen im internen Audit relevant sind, hängt immer von der angewendeten Norm oder dem auditierten Prozess ab.

Bei einem ISO 9001 internen Audit können zum Beispiel folgende Fragen im Mittelpunkt stehen:

Werden Kundenanforderungen vollständig erfasst und umgesetzt?
Sind Verantwortlichkeiten und Entscheidungsbefugnisse klar?
Werden Reklamationen nachvollziehbar bearbeitet?
Arbeiten Mitarbeitende mit aktuellen Dokumenten und Vorlagen?
Werden Risiken und Chancen berücksichtigt?
Sind Prüfungen, Freigaben und Nachweise vollständig?
Funktionieren Korrekturmassnahmen nachhaltig?

Bei einem ISO 14001 internen Audit können zum Beispiel folgende Fragen im Mittelpunkt stehen:

Wird regelmässig geprüft, ob diese Verpflichtungen eingehalten werden?
Sind Zuständigkeiten für umweltrelevante Themen, Störungen und Meldungen klar geregelt?
Werden Abfälle korrekt getrennt, gelagert, entsorgt und nachvollziehbar dokumentiert?
Werden Energie, Wasser, Rohstoffe oder andere relevante Ressourcen überwacht und bei Bedarf verbessert?
Sind Mitarbeitende für die umweltrelevanten Risiken ihrer Tätigkeit sensibilisiert?
Führen wir bei Abweichungen oder Umweltvorfällen Ursachenanalysen durch und setzt wirksame Massnahmen um?

Bei einem ISO 27001 internen Audit können zum Beispiel folgende Fragen im Mittelpunkt stehen:

Werden Eintritte, Rollenwechsel und Austritte von Mitarbeitenden bei Berechtigungen zeitnah berücksichtigt?
Sind Passwörter, Mehrfaktor-Authentifizierung und weitere Zugriffsschutzmassnahmen angemessen umgesetzt?
Werden Sicherheitsvorfälle und Verdachtsfälle gemeldet, dokumentiert, untersucht und behandelt?
Werden Mitarbeitende regelmässig für Phishing, Social Engineering, den Umgang mit vertraulichen Daten und weitere Sicherheitsrisiken sensibilisiert?

Bei einem ISO 45001 internen Audit können zum Beispiel folgende Fragen im Mittelpunkt stehen:

Kennen Mitarbeitende die Sicherheitsregeln, Gefährdungen und Schutzmassnahmen für ihre Tätigkeit?
Werden neue Mitarbeitende, temporäre Mitarbeitende und externe Personen ausreichend instruiert?
Werden Unfälle, Beinaheunfälle und unsichere Situationen gemeldet, untersucht und ausgewertet?
Sind Notfallabläufe bekannt, aktuell und praxistauglich, etwa bei Feuer, Unfall, Evakuierung oder medizinischen Notfällen?

Wichtig ist die Haltung: Ein internes Audit ist keine Mitarbeitendenbeurteilung.

Die Frage lautet nicht: «Wer hat einen Fehler gemacht?»

Sondern: «Warum konnte das passieren, und wie können wir den Prozess so verbessern, dass es künftig weniger wahrscheinlich wird?»

Diese Perspektive schafft Vertrauen. Und sie erhöht die Chance, dass Mitarbeitende offen über Unklarheiten, Umwege und Schwachstellen sprechen.

Auditprogramm: Nicht alles gleich tief prüfen

Wer ein internes Audit vorbereitet, muss nicht jeden Prozess in derselben Tiefe prüfen. Ein gutes Auditprogramm setzt Prioritäten.

Besonders relevant sind Bereiche, in denen sich etwas verändert hat oder in denen Risiken sichtbar wurden. Dazu gehören beispielsweise:

Ergebnisse früherer Audits
Reklamationen und Kundenfeedback
Prozess-, Organisations- oder Systemänderungen
neue Mitarbeitende, Standorte oder Lieferanten
Risiken und Chancen
neue gesetzliche, normative oder kundenseitige Anforderungen
kritische Prozesse mit hoher Auswirkung auf Qualität, Sicherheit oder Informationssicherheit

Gab es wiederholt Lieferverzögerungen? Dann lohnt sich ein Audit der Auftragsabwicklung, Planung und Beschaffung. Wurde ein neues digitales Tool eingeführt? Dann können Zugriffsrechte, Schulungen oder Informationssicherheit im Fokus stehen.

Für ISO-Managementsysteme gilt: Das Auditprogramm soll geplante Auditintervalle, Methoden, Verantwortlichkeiten, Anforderungen an die Planung und Berichterstattung berücksichtigen. Dabei sollten die Bedeutung der Prozesse, Veränderungen im Unternehmen und Ergebnisse früherer Audits einbezogen werden.

Ein schlanker Auditplan genügt oft. Er sollte festhalten:

Auditbereich: Welcher Prozess oder Bereich wird geprüft?
Auditziel: Was soll das Audit klären?
Auditkriterien: Welche Normanforderungen, internen Vorgaben oder gesetzlichen Anforderungen gelten?
Auditumfang: Welche Themen, Standorte oder Zeiträume sind eingeschlossen?
Termin und Beteiligte: Wer nimmt teil, wie viel Zeit ist vorgesehen?
Auditorin oder Auditor: Wer führt das Audit durch?

Unabhängigkeit sicherstellen, auch im kleinen Team

Interne Auditorinnen und Auditoren, meist der Managementverantwortliche sollten möglichst unabhängig vom auditierten Bereich sein. Wer einen Prozess selbst verantwortet oder täglich ausführt, kann ihn nicht vollständig objektiv auditieren.

ISO-Normen verlangen nicht zwingend eine externe Person. Sie verlangen aber Objektivität und Unparteilichkeit im Auditprozess.

Entscheidend ist: Niemand sollte seine eigene Arbeit auditieren.

Beteiligte frühzeitig informieren

Ein internes Audit funktioniert besser, wenn Mitarbeitende wissen, was sie erwartet. Eine Einladung am Vortag sorgt meist nur für Unsicherheit und hektisches Suchen nach Unterlagen.

Informiere die Beteiligten rechtzeitig über:

Ziel und Umfang des internen Audits
Datum, Dauer und Ablauf
auditierte Prozesse oder Themen
benötigte Nachweise
beteiligte Personen
Ansprechperson für Rückfragen

Damit machst du klar: Das interne Audit ist keine Überraschungskontrolle. Es ist ein gemeinsamer Blick darauf, ob die vereinbarten Abläufe im Alltag praktikabel sind.

Gerade in kleinen Teams ist eine gute Planung wichtig. Mitarbeitende haben oft mehrere Rollen und können nicht spontan für ein längeres internes Audit aus dem Tagesgeschäft herausgelöst werden.

Nachweise vorbereiten: Weniger sammeln, besser verstehen

Ein internes Audit braucht Nachweise. Das bedeutet jedoch nicht, möglichst viele Ordner auszudrucken oder Dateien bereitzustellen.

Relevant sind die Informationen, die zeigen, wie ein Prozess tatsächlich funktioniert. Je nach Thema können das sein:

Prozessbeschreibungen oder Ablaufdiagramme
aktuelle Formulare, Checklisten und Vorlagen
Auftragsunterlagen oder Projektakten
Prüfprotokolle und Freigaben
Schulungs- und Kompetenznachweise
Reklamationen und deren Bearbeitung
Lieferantenbewertungen
Risikobeurteilungen
Kennzahlen und Prozessauswertungen
Protokolle der Managementbewertung
Nachweise zu Korrekturen und Korrekturmassnahmen

Achte besonders auf die Aktualität. Ein gut abgelegtes Dokument hilft wenig, wenn Mitarbeitende im Alltag mit einer alten Vorlage arbeiten oder gar nicht wissen, wo die gültige Version liegt.

Gute Auditfragen bringen bessere Antworten

Ein internes Audit lebt von offenen Fragen. Geschlossene Fragen wie «Haben Sie eine Arbeitsanweisung?» führen oft nur zu einem Ja oder Nein.

Besser sind Fragen, die den tatsächlichen Ablauf sichtbar machen:

«Wie gehst du vor, wenn eine Kundenanfrage eingeht?»
«Wo findest du die aktuelle Vorlage für diesen Prozess?»
«Was passiert, wenn ein Auftrag von der ursprünglichen Planung abweicht?»
«Wie stellst du sicher, dass die vereinbarte Prüfung durchgeführt wurde?»
«Wer darf bei einer Abweichung entscheiden oder eskalieren?»
«Wie erfährst du, wenn sich eine Vorgabe ändert?»
«Woran erkennst du, dass eine Massnahme wirksam war?»

Achte nicht nur auf Dokumente. Beobachte auch, welche Hilfsmittel Mitarbeitende tatsächlich nutzen und ob die Vorgaben im Alltag verständlich und umsetzbar sind.

Ein Prozess kann auf dem Papier hervorragend aussehen und trotzdem in der Praxis unnötige Rückfragen, Umwege oder Fehler verursachen.

Feststellungen sachlich dokumentieren

Eine klare Einordnung hilft, die richtigen Folgeschritte abzuleiten. Auch Verbesserungsmöglichkeiten sollten festgehalten werden, beispielsweise wenn ein Prozess einfacher, sicherer oder effizienter gestaltet werden könnte.

Formuliere Feststellungen sachlich, konkret und ohne Schuldzuweisungen. Beschreibe dabei möglichst die beobachtete Tatsache und stelle den Bezug zu den geltenden Anforderungen her.

Ungünstig formuliert: «Mitarbeitende haben die Prüfprotokolle unvollständig ausgefüllt.»

Besser formuliert: «Bei drei geprüften Aufträgen waren die Prüfprotokolle nicht vollständig ausgefüllt. Die interne Vorgabe verlangt eine vollständige Dokumentation der Prüfung.»

Die zweite Formulierung beschreibt die beobachtete Tatsache und nennt die relevante Anforderung. Das schafft eine belastbare Grundlage für die weitere Bearbeitung.

Korrektur, Ursache und Korrekturmassnahme unterscheiden

Nach einem internen Audit wird häufig nur das sichtbare Problem behoben. Für nachhaltige Verbesserungen reicht das nicht immer.

Ein einfaches Beispiel:

Feststellung: Drei Prüfprotokolle sind unvollständig.

Sofortkorrektur: Die fehlenden Angaben werden, soweit möglich und nachvollziehbar, ergänzt.

Ursachenanalyse: Die Vorlage ist unübersichtlich, Mitarbeitende wurden nicht ausreichend eingearbeitet oder der Kontrollschritt ist im Prozess nicht klar geregelt.

Korrekturmassnahme: Die Vorlage wird vereinfacht, die betroffenen Mitarbeitenden werden geschult und eine verantwortliche Person prüft während einer definierten Zeit stichprobenweise die Vollständigkeit.

Wirksamkeitsprüfung: Nach zwei Monaten werden neue Prüfprotokolle geprüft. Sind sie vollständig? Gibt es weniger Rückfragen? Wird die Vorlage akzeptiert und verwendet?

Ein interner Auditbericht allein verbessert keinen Prozess. Die Wirkung entsteht erst durch passende Massnahmen und deren Überprüfung.

Auditcheckliste: 10 Punkte für die Vorbereitung

Auditziel und Auditumfang definieren.
Relevante Normanforderungen, interne Vorgaben und weitere Anforderungen bestimmen.
Risiken, Reklamationen, Veränderungen und frühere Auditresultate berücksichtigen.
Eine unabhängige Person (meist der Managementverantwortliche) festlegen.
Auditdatum, Ablauf und Beteiligte frühzeitig kommunizieren.
Auditplan mit Themen, Kriterien und Zeitbedarf erstellen.
Relevante Dokumente, Daten und Nachweise identifizieren.
Offene Auditfragen vorbereiten.
Feststellungen sachlich dokumentieren und klar einordnen.
Massnahmen, Verantwortlichkeiten, Fristen und Wirksamkeitsprüfung festlegen.

Fazit

Ein internes Audit ist ein Werkzeug für bessere Prozesse

Ein internes Audit muss weder kompliziert noch belastend sein. Wenn du es gut vorbereitest und partnerschaftlich durchführst, schafft es Klarheit über die tatsächliche Wirksamkeit deines Managementsystems.

Für KMU liegt der grösste Nutzen selten in einer perfekten Auditdokumentation. Er liegt in den Gesprächen, den Beobachtungen und den Verbesserungen, die daraus entstehen.

Ein gutes internes Audit hilft dir, Probleme früher zu erkennen, Prozesse robuster zu machen und Mitarbeitende sinnvoll einzubeziehen. Genau darum geht es in ISO-Managementsystemen: nicht um Bürokratie, sondern um verlässliche Abläufe, die im Alltag funktionieren.

Frage zum Mitnehmen: Wann habt ihr zuletzt geprüft, ob eure Prozesse tatsächlich so funktionieren, wie sie beschrieben sind?