Das Wichtigste auf einen Blick
- Vorgaben, Aufzeichnungen, Beobachtungen und Gespräche liefern unterschiedliche Einblicke in denselben Sachverhalt.
- Stichproben werden passend zu Auditfragen, Risiken und Regeln ausgewählt; sie beweisen nicht pauschal jeden Vorgang im Betrieb.
- Schließen Sie echte Dokumentationslücken nachvollziehbar, ohne eine nicht vorhandene Vergangenheit zu erfinden oder rückzudatieren.
Inhaltsverzeichnis
- Welche Informationen eignen sich als Auditnachweise?
- Ein Auftrag verbindet mehrere Nachweisarten
- Warum reichen Stichproben aus?
- Wie gehen Auditoren mit vertraulichen Daten um?
- Was passiert, wenn Nachweise fehlen oder widersprüchlich sind?
- Wie bereiten Sie Nachweise praktisch vor?
- Fiktiver Auftrag aus vier Nachweisperspektiven
- Quellen und weiterführende Informationen
- Ihre nächsten Schritte
- Häufige Fragen
Welche Informationen eignen sich als Auditnachweise?
Geeignete Auditnachweise sind überprüfbare Informationen zur konkreten Auditfrage. Vorgaben, Aufzeichnungen, Beobachtungen und Gespräche können sich ergänzen. Aussagekraft und ausreichender Umfang werden am jeweiligen Sachverhalt beurteilt. Im IfQA-Zertifizierungsverfahren wird die tatsächliche Umsetzung geprüft; eine erstellte Datei allein belegt noch nicht den geregelten Ablauf.
Ein Auftrag verbindet mehrere Nachweisarten
Fiktives Beispiel: Ein Unternehmen hat festgelegt, wie Aufträge geprüft und freigegeben werden. Im ERP zeigt sich der ausgewählte Auftrag einschließlich Freigabe. Die zuständige Person erklärt den Ablauf und kann bei Bedarf zeigen, wie mit einer Änderung umgegangen wird. Diese Einblicke beziehen sich auf denselben Vorgang und beantworten unterschiedliche Fragen.
Eine nachträglich passend geschriebene Freigabe würde die damalige Durchführung nicht belegen. Fehlende heutige Regelungen können dagegen jetzt ehrlich erarbeitet werden. Entscheidend ist, den tatsächlichen Zeitpunkt und die vorhandene Umsetzung korrekt darzustellen. Die Zertifizierungsstelle beurteilt die Eignung und Aussagekraft der Nachweise.
Die Auswahl geeigneter Vorgänge gehört zur Auditvorbereitung. Ergeben sich belegte Nichterfüllungen, folgt die Bearbeitung von Abweichungen.
Warum reichen Stichproben aus?
Eine vollständige Prüfung aller Vorgänge, Protokolle und Gespräche wäre in einem vertretbaren Zeitrahmen nicht durchführbar und auch nicht notwendig. Stichproben sind in der Auditpraxis methodisch anerkannt: Der Auditor wählt repräsentative Fälle aus verschiedenen Bereichen, Zeiträumen und Prozessen, um ein belastbares Gesamtbild zu gewinnen. Die Auswahl orientiert sich an Auditzielen, Risiken und einer geeigneten Stichprobenmethodik; sie kann gezielte und zufällige Elemente enthalten. Bei der gezielten Auswahl fragt der Auditor etwa: Wo sind Abweichungen wahrscheinlicher, wo sind die Auswirkungen größer?
Stichproben haben eine Grenze: Sie schließen nicht aus, dass einzelne nicht geprüfte Vorgänge fehlerhaft sind. Auditoren formulieren ihre Schlussfolgerungen daher immer bezogen auf die geprüfte Stichprobe. Ein positives Auditergebnis bedeutet, dass die Stichprobe keine wesentlichen Abweichungen gezeigt hat, nicht dass das System fehlerfrei ist. Diese Unterscheidung ist wichtig für das richtige Verständnis eines Zertifikats.
Wie gehen Auditoren mit vertraulichen Daten um?
Auditoren benötigen Einblick in reale Abläufe, aber keine vollständige Offenlegung sensibler Informationen. Personenbezogene Daten, Geschäftsgeheimnisse oder sicherheitskritische Systemdetails können in der Regel geschwärzt, anonymisiert oder in aggregierter Form vorgelegt werden, sofern der Nachweis der Systemwirksamkeit erhalten bleibt. Entscheidend ist, dass der Auditor die Konformität beurteilen kann, nicht dass er jeden Datensatz im Klartext sieht.
Für Organisationen, die nach ISO 27001 zertifiziert werden, ist dieser Punkt besonders relevant: Der Schutz von Informationen ist Kernziel der Norm. Ein Auditor, der selbst keine Vertraulichkeit wahrt, würde dem Zertifizierungszweck widersprechen. Klären Sie im Vorfeld mit der Zertifizierungsstelle, welche Unterlagen in welcher Form eingesehen werden, damit Sie die Vorbereitung gezielt steuern können.
Was passiert, wenn Nachweise fehlen oder widersprüchlich sind?
Die Einstufung richtet sich nach den anwendbaren Kriterien und danach, wie die Feststellung die Fähigkeit des Managementsystems beeinträchtigt, seine beabsichtigten Ergebnisse zu erreichen. Auch ein einzelner schwerwiegender Fall kann eine Hauptabweichung sein; mehrere ähnliche Feststellungen können auf ein systemisches Problem hinweisen. Die Zertifizierungsstelle bewertet und begründet die Einstufung.
Feststellungen sind kein Urteil über das Unternehmen, sondern ein Hinweis auf Lücken zwischen Anforderung und Nachweis. Organisationen erhalten die Gelegenheit, Korrekturen umzusetzen und zu belegen, bevor die Zertifizierungsentscheidung fällt. Entscheidend ist dabei nicht die Perfektion des Systems, sondern die nachvollziehbare und belegte Reaktion auf erkannte Schwachstellen. Laut Zertifizierungsablauf von IfQA werden Abweichungen im Auditbericht konkret benannt, und die Zertifizierungsentscheidung folgt erst nach Nachweis der Korrekturen.
Wie bereiten Sie Nachweise praktisch vor?
Eine strukturierte Vorbereitung reduziert den Aufwand im Audit erheblich. Legen Sie Dokumente und Aufzeichnungen so ab, dass sie nach Prozess und Zeitraum auffindbar sind. Stellen Sie sicher, dass Mitarbeitende, die im Interview befragt werden könnten, die für ihren Bereich geltenden Regelungen kennen und erklären können. Prüfen Sie vor dem Audit selbst, ob Aufzeichnungen vollständig und aktuell sind, insbesondere für interne Audits und Managementbewertungen.
Bereiten Sie vorhandene Nachweise für das Audit auf und schließen Sie tatsächliche Dokumentationslücken nachvollziehbar. Erfinden oder rückdatieren Sie keine Vorgänge, um eine Umsetzung vorzutäuschen. Ein heute erstelltes Dokument kann den heutigen Stand darstellen, beweist aber nicht automatisch einen Ablauf aus der Vergangenheit.
- Dokumente nach Prozess und Gültigkeitsdatum geordnet bereithalten
- Aufzeichnungen aus dem abgestimmten, zur Systemreife und Auditphase passenden Zeitraum auffindbar bereithalten
- Ansprechpersonen für jeden geprüften Bereich benennen und informieren
- Nachweise interner Audits und der Managementbewertung nachvollziehbar auffindbar halten; sie müssen keine separaten Dateien sein
- Vertrauliche Inhalte vorab auf Schwärzungsbedarf prüfen und mit der Zertifizierungsstelle abstimmen
Fiktiver Auftrag aus vier Nachweisperspektiven
| Perspektive | Information zum selben Auftrag | Was sie zeigt / Grenze |
|---|---|---|
| Vorgabe | Gültige Regel für Prüfung und Freigabe | Beschreibt den vorgesehenen Ablauf, belegt nicht allein die Ausführung |
| Aufzeichnung | ERP-Auftrag mit zugeordneter Freigabe | Zeigt einen dokumentierten Vorgang, dessen Aussagekraft zu prüfen ist |
| Beobachtung | Geeignete Einsicht in die Durchführung | Ergänzt den Eindruck zur tatsächlichen Arbeitsweise |
| Gespräch | Zuständige Person erklärt Verantwortung und Handhabung | Hilft beim Verständnis; Widersprüche müssen geklärt werden |
Seitlich wischen für alle Spalten
Quellen und weiterführende Informationen
- IfQA: Ablauf des Zertifizierungsverfahrens
- Global ACI: Regeln für akkreditierte Konformitätsbewertung
Ihre nächsten Schritte
- Wählen Sie einen realen Vorgang und ordnen Sie relevante Vorgaben sowie vorhandene Aufzeichnungen zu.
- Prüfen Sie, wer den Ablauf und die Verantwortung fachlich erklären kann.
- Klären Sie geeignete Einblicke und den Umgang mit vertraulichen Informationen.
- Bearbeiten Sie Widersprüche oder Lücken ehrlich und nachvollziehbar.
Häufige Fragen
Nein. Auditoren prüfen Stichproben und sind an Vertraulichkeit gebunden. Sensible Inhalte können geschwärzt oder anonymisiert vorgelegt werden, sofern der Nachweis der Systemwirksamkeit erhalten bleibt. Was konkret eingesehen wird, sollte vor dem Audit abgestimmt werden.
Die Anzahl hängt vom Geltungsbereich, der Unternehmensgröße und dem Risikoniveau ab. Es gibt keine feste Mindestzahl. Der Auditor wählt so viele Stichproben, dass er eine begründete Aussage zur Wirksamkeit des Systems treffen kann, ohne eine Vollprüfung durchzuführen.
Eine einzelne abweichende Aussage führt nicht automatisch zu einer Feststellung. Der Auditor gleicht sie mit anderen Nachweisarten ab. Ergibt sich ein systematisches Muster, etwa dass Regelungen mehrfach unbekannt sind, wird dies als Feststellung dokumentiert.
Geschrieben von
Noah Wetjen
Geschäftsführer, IfQA
Noah Wetjen ist Geschäftsführer der IfQA Institut für Qualität und Audit GmbH. In den IfQA-Ratgebern erläutert er Grundlagen und Abläufe von Managementsystem-Zertifizierungen.
