Das interne Audit spielt bei allen Managementsystemen eine entscheidende Rolle, daher beschäftigt sich dieser Artikel damit, die Anforderungen an interne Audits zu überprüfen. „Die Organisation muss in geplanten Abständen interne Audits durchführen, …“ heißt es in Kapitel 9.2 „Internes Audit“ einleitend unter Kapitel 9.2.1. Und weiter „… um Informationen darüber zu erhalten, ob das QMS a) die Anforderungen 1) der Organisation an ihr QMS, 2) dieser Internationalen Norm, erfüllt und b) wirksam verwirklicht und aufrechterhalten wird.“
Wenn man das so liest, klingt es auf der einen Seite schon etwas furchteinflößend, was der interne Auditor so alles zu leisten hat. Auf der anderen Seite ist es ja genau das, was die internen Auditoren bei jedem Audit i.d.R. auch machen. Man kann sich das – allgemein gesprochen – auch sofort vorstellen, egal bei welchem Prozess und bei welchem Normelement. Egal bei welchem Prozess und welchem Normelement? Nun, wie sieht es denn mit unserer Wahrnehmung bzgl. des Kapitels 9.2 „Internes Audit“ aus? Wahrscheinlich wäre das ein Audit, dass nicht ganz so normal ist, wie bei jedem anderen Prozess und bei jedem anderen Normelement.
Einbindung der internen Auditoren
Die Nähe der internen Auditoren zum Prozess der internen Auditierung ist sicherlich von Organisation zu Organisation unterschiedlich ausgeprägt. Gehen wir einmal davon aus, dass der Leiter des Auditprogrammes und der Fachvorgesetzte der internen Auditoren, früher oder auch heute QMB genannt, typischerweise mit den internen Auditoren mehr im Kontakt und Austausch steht, als die Prozesseigentümer anderer Prozesse. Dies bringt jedenfalls eine gewisse Besonderheit mit sich. Nichtsdestotrotz, handelt es sich um einen der zahlreichen Prozesse des Managementsystems, der ebenfalls auditiert werden muss.
Weitere passende Blogbeiträge:
Entdecken Sie auch unsere anderen Blogbeiträge zum Thema Audit und erhalten Sie Expertenwissen unter anderem zu diesen Themen:
- Was sind die richtigen Auditfragen für Ihr internes Audit?
- Was ist das Eröffnungsgespräch beim internen Audit? - Inhalte & Ziele
- So erstellen Sie einen professionellen Auditbericht für Ihr Audit
- Was ist ein Auditor - Aufgaben, Definition & Einsatzgebiete
- Audit-Vorbereitung – Wie läuft sie ab & was ist zu beachten?
- Was ist ein Audit - Definition, Arten & Ablauf
- Welche Aufgaben hat ein interner Auditor? - Anforderungen & Schulung
- Wie präsentieren Sie Auditergebnisse im Abschlussgespräch? - Bewertung & Kommunikation
Verweis auf die ISO 19011 - Anforderungen an interne Audits
Weiterhin enthält das „Kleingedruckte“ am Ende des Kapitels 9.2. der ISO 9001 noch den zarten Hinweis mit der Anmerkung: “Siehe ISO 19011 zur Orientierung“. Dieser „Leitfaden zur Auditierung von Managementsystemen“ selbst enthält keine Anforderungen an die ISO 9001 – so beschreibt der Leitfaden auch alles im Konjunktiv („sollte“), entfaltet jedoch eine gewisse Verbindlichkeit, da dort die „Gute Auditpraxis“ beschrieben wird. Aus der Einleitung (ISO 19011 Seite 9) zitiert: „Dieses Dokument beabsichtigt, einen breiten Nutzerkreis anzusprechen, einschließlich Auditoren …“. Und so ist es allgemein üblich, diese Norm – wenn auch nicht immer expressis verbis der Name fällt – bei Qualifizierungsmaßnahmen für interne Auditoren, diesen Leitfaden einzubinden bzw. anzuwenden. Direkter ausgedrückt gehört die Kenntnis der ISO 19011 zum Selbstverständnis der Tätigkeit eines internen Auditors dazu – unabhängig der Vorgaben der Prozesse des Managementsystems, in dem man sich bewegt. Und schließlich könnte man auch einmal in die Verlegenheit kommen, den internen Auditprozess auditieren zu müssen.
Umsetzung der ISO 9001 Logik des Kapitels 4.4.1 in Bezug auf die interne Auditierung
Die interne Auditierung ist im Kapitel 9 der ISO 9001 angesiedelt, das mit „Bewertung der Leistung“ überschrieben ist. Das ist ganz grundsätzlich die Aufgabe der internen Auditierung, die erbrachte Leistung zu bewerten. Dazu stellen wir
als Auditoren Fragen, deren Beantwortung wir schließlich als übereinstimmend oder als nicht übereinstimmend zu bewerten haben. Und das gilt auch für das Gespräch mit dem QMB oder wer auch immer für die Umsetzung des internen Auditprozesses verantwortlich ist.
So können wir uns zum Einstieg zunächst ein Bild von dem Prozess der internen Auditierung aufzeigen lassen, indem wir uns an das grundlegende Schema aus ISO 9001 Kap. 4.4 „QMS und seine Prozesse“ halten. Es ist sicher unstrittig, dass der Prozess der internen Auditierung für das QMS benötigt wird und infolgedessen muss die Anwendung auch innerhalb der Organisation festgelegt sein. Und Sie sollten den Prozess zunächst aus der Vogelperspektive betrachten, z.B. wie in folgendem Musterinterview ausgeführt:
ISO 9001 Kap. 4.4.1 a)
- „Die einfachen Fragen sind ja immer die schwierigsten. Was wird von dem Prozess der internen Auditierung erwartet (Ergebnisse) und was benötigt der Prozess an Informationen (Eingaben), sodass er sinnvoll umgesetzt werden kann?“
ISO 9001 Kap. 4.4.1 b)
- „Die interne Auditierung funktioniert ja im Wesentlichen im Zusammenspiel mit anderen Prozessen. Wie ist der Prozessablauf der internen Auditierung grundsätzlich geplant und wie ist das Zusammenspiel (Wechselwirkungen), mit den zu auditierten Prozessen geregelt?“
ISO 9001 Kap. 4.4.1 c)
- „Wie ist das Verfahren der internen Auditierung festgelegt und was sind ihre Kriterien zur Überwachung, ob der Prozess auch so umgesetzt wird, wie festgelegt?“
- Welche Leistungskriterien sind für den Prozess der internen Auditierung festgelegt und woran können Sie zeigen, ob der Prozess leistet, was von Sie von ihm erwarten?“
- Vertiefungsfrage, weil es sich hier anbietet: „Wie erkennen Sie, dass der Prozess der internen Auditierung nicht wirksam umgesetzt wird? Was tun Sie, um den Prozess zu steuern, damit er wieder das leistet, was von ihm erwartet wird?“
ISO 9001 Kap. 4.4.1 d)
- „Welche Ressourcen werden für den Prozess der internen Auditierung benötigt und wie wurden sie bestimmt?“
- Gegenfrage: „Was verstehen Sie denn unter einer Ressource?“
- Antwort: “Zeit, Geld, Knowhow.“
ISO 9001 Kap. 4.4.1 e)
- „Kommen wir auf Verantwortlichkeiten und Befugnisse der handelnden Personen zu sprechen. Für was ist ein interner Auditor verantwortlich? Welche Befugnisse hat der interne Auditor im Rahmen eines internen Audits?“
ISO 9001 Kap. 4.4.1 f)
- „Gehen wir einmal weg von den Personen und schauen noch einmal auf den Prozess. Wo sehen Sie den Chancen und Risiken im Prozess der internen Auditierung?“ „Gibt es eine bestimmte Vorgehensweise zur Ermittlung von Chancen und Risiken?“
- „Welche Maßnahmen haben Sie gegenwärtig identifiziert, um Chancen zur Verbesserung der internen Auditierung zu nutzen und (nicht oder!) Risiken der internen Auditierung zu verhindern oder zu verringern?
- „Hier sind wir nun schon ziemlich tief in einer anderen Anforderung der ISO 9001 eingestiegen. Lassen Sie mich das Thema bitte noch kurz auf den Punkt bringen. Wie gehen Sie gegenwärtig mit Maßnahmen zum Umgang mit den erkannten Chancen und Risiken um? Was können Sie mir dazu aufzeigen?“
ISO 9001 Kap. 4.4.1 g)
- „Wie wird (aktuell) oder wurde (letzte Bezugsperiode) der Prozess der internen Auditierung bewertet und wer hat diese Bewertung durchgeführt? Wurde dabei notwendiger Änderungsbedarf am Prozess festgestellt?“
ISO 9001 Kap. 4.4.1 h)
- „Nun möchte ich noch die Komponente der fortlaufenden Verbesserung ansprechen. Die Prozesse (und das QMS) müssen fortlaufend verbessert werden, dass gilt auch für die interne Auditierung. Können Sie mir zeigen, inwiefern sich der Prozess der internen Auditierung in den letzten Jahren verbessert hat?“
Interessante Produkte für Sie
Kursformen
Zertifikat
Informationen
Umsetzung der ISO 9001 Logik des Kapitels 4.4.2 in Verbindung mit der internen Auditierung
In diesem Interview wurde öfter nach belastbaren Nachweisen gefragt. Diese Belastbarkeit ergibt sich zum einen aus dem Inhalt der Dokumente und zum anderen aus dem formalen Aufbau der dokumentierten Information. Diese ist gefordert „aufrechtzuerhalten“ (ISO 9001 Kap. 4.4.2 a) – das könnte z.B. eine Verfahrensbeschreibung der der internen Auditierung sein – und „aufzubewahren“ (ISO 9001 Kap. 4.4.12 b) – das konnte z.B. ein Auditbericht sein, oder weitere Aufzeichnungen mit Bezug zu dem Prozess der internen Auditierung. Die dazu grundsätzlich geforderten Lenkungsmaßnahmen sind über die ISO 9001 Kap. 7.5 „Dokumentierte Information“ in den Unterkapiteln 7.5.1 „Allgemeines“, 7.5.2 „Erstellen und Aktualisieren“ und 7.5.3 „Lenkung dokumentierter Information“ festgelegt.
Auditierung der Anforderungen an interne Audits
Zurückblickend lässt sich festhalten, dass der Prozess der internen Auditierung genauso auditierbar ist, wie jeder andere Prozess auch („Vogelflugperspektive“). Die grundsätzlichen Anforderungen an das QMS und seine Prozesse, wie in ISO 9001 Kap. 4.4 beschrieben, sind alle logisch anwendbar. Dennoch besteht die Aufgabe im internen Audit natürlich auch noch darin das konkrete Normkapitel (hier: ISO 9001 Kap. 9.2 „Internes Audit“) zu betrachten.
Daher betrachten wir nachfolgend für Sie noch das Kapitel 9.2.2 der ISO 9001 im Detail.
Die interne Auditierung von Managementsystemen – ISO 9001 Kap. 9.2.2.
Wir sind in der Rolle der Auditoren und nicht in der Rolle des Prozessverantwortlichen. Hier ist jetzt die Gelegenheit zu erwähnen, dass die interne Auditierung grundsätzlich auch von externen Personen durchgeführt werden darf. Hierzu sollte natürlich – unabhängig der kommerziellen Seite – auch die notwendige, ggf. in dem Prozess zur internen Auditierung festgelegte, Qualifikation vorliegen. Kleine Unternehmungen setzen bisweilen ganz auf externe Unterstützung, oder der Managementbeauftragte auditiert das System in Gänze selber. Hier steht natürlich das Problem der Unabhängigkeit und Objektivität im Raum, was hier u.a. auch zur Sprache kommen wird. Das Kapitel 9.2.2.a) der ISO 9001 mit dem Schwerpunkt des Auditprogramms haben wir bereits ausführlich behandelt. Betrachten wir nun die weiteren Unterkapitel unter 9.2.2.
ISO 9001 Kap. 9.2.2.b
„Die Organisation muss…b) für jedes Audit die Auditkriterien sowie den Umfang festlegen“ - In der Praxis wird das Auditprogramm das Ziel zur Umsetzung der Normforderungen als Basis verwenden. Der Absatz b) greift verbindlich den Begriff der Auditkriterien auf. Dies sollte mehr als nur der Verweis auf die ISO 9001 als Auditgrundlage sein. Auditkriterien sind als Fachbegriff in der ISO 19011 unter Kap. 3.7 wie folgt definiert: „Satz von Anforderungen, die als Bezugsgrundlage (Referenz) verwendet werden, anhand derer ein Vergleich mit dem objektiven Nachweis erfolgt.
Weiter unter Anmerkung 2 zum Begriff „Die Anforderungen können Politiken, Verfahren, Arbeitsanweisungen, rechtliche Anforderungen, vertragliche Verpflichtungen usw. enthalten.“ Wenn z.B. in einem Maschinebauunternehmen im ganzen Auditprogramm kein einziger Nachweis zur Auditierung einer Konformitätserklärung (CE) erfolgt, begründet das eine Nicht-Konformität. Es handelt sich hierbei um eine rechtliche Anforderung (9. ProdSV), die nicht zwingend umfassend, aber aufgrund seiner Bedeutung und Komplexität sachlogisch stichprobenartig und regelmäßig auditiert werden müsste.
Der zweite Begriff des Umfangs wird laut ISO 19011 Kap. 3.5 als „Ausmaß und Grenzen eines Audits“ beschrieben. Anmerkung 1 zum Begriff konkretisiert „Der Auditumfang schließt üblicherweise eine Beschreibung der physischen und virtuellen Standorte, der Funktionen, der Organisationseinheiten, der Tätigkeiten und Prozesse sowie des betrachteten Zeitraums ein.“ Eine umfassende und präzise Beschreibung. Betrachten Sie einmal den Beschaffungsprozess (ISO 9001 Kap. 8.4) vor dem Hintergrund der ISO 9001 Kap. 9.2.1 bzgl. der in geplanten Abständen durchzuführenden internen Audits.
Wird ein Auditor „nur“ mit einer Verallgemeinerung des Auditauftrags in das Audit entsendet, ist nicht auszuschließen, dass über die letzten 2-3 Audits nicht alle wesentlichen Anforderungen des Kap. 8.4 betrachtet wurden, was wiederum eine Nichtkonformität begründen könnte, weil wesentliche Anforderungen der Organisation oder der Norm (z.B. aus Kap.8.4.2 d bzgl. Verifizierung der Produkte; also die Wareneingangsprüfung) im Bereich „Einkauf“ nur theoretisch bzw. als Schnittstelle auditiert würde. Sicherlich findet die Auditierung des Wareneingangs mit seinen operativen Tätigkeiten noch im Rahmen eines anderen Audits statt – wäre aber sicherzustellen und nicht dem Zufall oder der Vorliebe des ausführenden Auditors zu überlassen.
Wie ausgeführt sollen ein festgelegter Auditumfang und klare Auditkriterien laut ISO 9001 hier nicht nur Orientierung sondern auch eine Konkretisierung des Auditauftrags bieten. Mangels Präzisierung können die internen Audits in der Umsetzung nämlich durch die Auditoren schnell beliebig und somit relativ schnell als nicht wirksam umgesetzt (=Nicht-Konformität) identifiziert werden.
ISO 9001 Kap. 9.2.2.c
„Die Organisation muss…c) Auditoren so auswählen und Audits so durchführen, dass Objektivität und Unparteilichkeit des Auditprozesses sichergestellt sind;“ Der Prozess bewegt sich zwischen zwei Extremen. Zum einen ist der Management-Beauftragte oder Berater zur Einführung eines Managementsystems, also jemand der die Prozesse wesentlich mitgestaltet hat, als interner Auditor ggf. betriebsblind. Denn sicherlich können diese die Umsetzung, aber wahrscheinlich nicht die normkonforme Auskleidung eines Prozesses objektiv und unabhängig auditieren. Zum anderen wäre, um im Beispiel 9.ProdSV von vorhin zu bleiben ein fachfremd agierender interner Auditor ggf. ohne entsprechende Einweisung zu diesem speziellen Thema ggf. überfordert. Er müsste mangels Kenntnisse nicht korrekte Ausführungen als konform bestätigen, da er oder sie die abweichende Situation nicht erkennen kann.
Ein Audit zum genannten Thema schon auf einer anderen (System-) Ebene abläuft als ein Gespräch zwischen zwei Spezialisten. Es ist grundsätzlich möglich als interner Auditor den Prozess der internen Auditierung zu auditieren und es ist auch nicht per Definition eine Abweichung. Wenn sich die kompetente Person für das Auditprogramm, also wahrscheinlich der Managementbeauftragte zu dem Thema Gedanken z.B. in Form von dokumentierten Informationen zur Kompetenz gemacht hat, ist das ein guter Weg.
Alle unsere YouTube Videos finden Sie hier auf dem YouTube Kanal der VOREST AG!
ISO 9001 Kap. 9.2.2.d
„Die Organisation muss…d) sicherstellen, dass die Ergebnisse der Audits gegenüber der zuständigen Leitung berichtet werden;“ Hier geht es um interne Kommunikation (ISO 9001 Kap. 7.4). Der Auditierte sollte natürlich den letzten internen Auditbericht zeigen und auch inhaltlich Stellung nehmen können; mindestens jedoch zu dem Umgang mit - falls vorhanden - Abweichungen. Sie sollten als interner Auditor den letzten Auditbericht auch zur Vorbereitung des aktuellen Audits nutzen und falls Sie die Bearbeitung von Abweichungen bewerten, sollten Sie das Thema der Wirksamkeit von Korrekturmaßnahmen ernst nehmen.
ISO 9001 Kap. 9.2.2.e
„Die Organisation muss…e) geeignete Korrekturen und Korrekturmaßnahmen ohne ungerechtfertigte Verzögerung umsetzen;“ Korrekturmaßnahmen sind die Königsdisziplin – nicht nur im Audit – sondern generell in einem Managementsystem. Ein großes Thema, welches hier den Rahmen sprengen wurde. Hier müssen ein paar grundlegende Aussagen ausreichen. Der interne Auditor darf natürlich mehr Empfehlungen oder Hinweise geben als der externe Auditor. Achten Sie aber darauf, dass ihre Hinweise keine Abweichungen sind. Und wenn Sie eine Abweichung schreiben, dann achten Sie auf das Wort, was in dem Prozess zur internen Auditierung Verwendung finden muss, so dass der Auditierte eine Korrekturmaßnahmen ausarbeiten muss. Was bedeutet „ohne ungerechtfertigte Verzögerung“? Das ist festzulegen und typischerweise im Prozess zur internen Auditierung hinterlegt. Die vorgegebenen Fristen sind dann von Ihnen als Auditor zu kommunizieren und vom Auditierten einzuhalten. Und sollten Sie den Prozess der internen Auditierung auditieren und keine diesbezügliche Festlegung erkennen können, dann ist das eine Abweichung und keine Empfehlung oder Hinweis.
ISO 9001 Kap. 9.2.2.f
„Die Organisation muss…f) dokumentierte Information als Nachweis der Verwirklichung des Auditprogramms und der Ergebnisse der Audits aufbewahren.“ Zum Schluss wird es noch einmal formal. Im Audit selber, dass ist klar, gibt es mannigfaltige dokumentierte Informationen, die auch Gegenstand der internen Auditierung sind. Beim Prozesseigentümer zur internen Auditierung fallen auch dokumentierte Informationen an, um den Nachweis der wirksamen Umsetzung darlegen zu können. Hierbei gelten die Festlegungen zur Lenkung dokumentierter Informationen. Der Prozess der internen Auditierung selber muss festgelegt sein. Das Auditprogramm genießt dabei eine besondere Aufmerksamkeit. Auch als korrekt gelenkte dokumentierte Information sind die Inhalte von Bedeutung. Auditkriterien sind weitere dokumentierte Informationen, die von Bedeutung sind. Der Auditbericht und die Abweichungen sind ebenfalls von zentraler Bedeutung. Unterschiedliche Betrachter, manchmal auch mit selektiver Betrachtungsweise sind dabei: Die Auditierten, der Managementbeauftragte, die oberste Leitung, der folgende interne Auditor, manchmal der Auditor eines Lieferantenaudits und nicht zuletzt der externe Auditor.
Kostenlose Vorlage -
Erstellung einer Prozessbeschreibung
Kostenlose Vorlage -
Erstellung einer Arbeitsanweisung
Kostenloser E-Kurs -
Was ist ein Audit?
Unsere Serviceangebote im Bereich Qualitätsmanagement ISO 9001
- Grundlagenwissen zum Thema: Qualitätsmanagement - Definition, Aufgaben & Ziele
- Ausbildungen & Weiterbildungen: Qualitätsmanagement Ausbildung & ISO 9001 Schulung
- E-Learning Kurse: Online Schulungen zum Qualitätsmanagement ISO 9001
- Inhouse-Training: Qualitätsmanagement Inhouse Schulungen bei Ihnen im Unternehmen
- Musterdokumente: Qualitätsmanagement Vorlagen und Checklisten
- Wissensbausteine: Expertenwissen zum Qualitätsmanagement ISO 9001
- Fachzeitschrift PRO SYS: Monatliche Fachinfos inklusive Musterdokumente
- Beratung: Wir unterstützen Sie beratend zum Qualitätsmanagement
Ich helfe Ihnen gerne weiter!
Kati Schäfer
Produktmanagement Training & PRO SYS
Tel.: 07231 92 23 91 - 0
E-Mail: kschaefer@vorest-ag.de