Überblick
Ein Audit ist ein systematischer, unabhängiger und dokumentierter Prozess. Es sammelt Auditnachweise, bewertet sie objektiv gegenüber festgelegten Auditkriterien und dokumentiert belastbare Feststellungen.
Audits können intern, durch Kunden oder durch unabhängige Zertifizierungsstellen durchgeführt werden. Prüfgegenstand, Kriterien, Scope, Kompetenz und Unabhängigkeit bestimmen die Aussagekraft. Ein Audit bewertet nicht pauschal die gesamte Sicherheit eines Unternehmens, sondern die Erfüllung definierter Kriterien innerhalb eines abgegrenzten Scopes.
Audit-Arten
| Audit-Art | Auftraggeber / Durchführung | Zweck |
|---|---|---|
| Internes Audit | Organisation prüft das eigene Managementsystem | Wirksamkeit, Konformität und Verbesserung |
| Second-Party-Audit | Kunde oder beauftragte Stelle prüft Lieferanten | Vertragliche oder lieferkettenbezogene Anforderungen |
| Third-Party-Audit | Unabhängige Zertifizierungs- oder Prüfgesellschaft | Zertifizierung oder unabhängige Bestätigung |
| Systemaudit | Managementsystem und Prozesse | Konformität und Wirksamkeit des Systems |
| Prozessaudit | Abgegrenzter Prozess | Prozessfähigkeit, Kontrollen und Ergebnisse |
Auditprinzipien
Integrität
Professionelles, ehrliches und verantwortliches Verhalten.
Objektivität
Feststellungen beruhen auf überprüfbaren Nachweisen.
Unabhängigkeit
Interessenkonflikte werden vermieden oder transparent behandelt.
Vertraulichkeit
Sensible Informationen werden angemessen geschützt.
Typischer Auditablauf
| Phase | Inhalt |
|---|---|
| Planung | Ziele, Kriterien, Scope, Team, Termine und Stichproben. |
| Vorbereitung | Dokumentenprüfung, Auditplan und Gesprächspartner. |
| Durchführung | Interviews, Beobachtungen, Stichproben und Nachweisprüfung. |
| Feststellungen | Konformitäten, Abweichungen, Beobachtungen und Verbesserungshinweise. |
| Bericht | Nachvollziehbare Ergebnisse, Grenzen und Schlussfolgerungen. |
| Nachverfolgung | Korrekturmaßnahmen, Ursachenanalyse und Wirksamkeitsprüfung. |
Nachweise und Stichproben
Auditoren bewerten überprüfbare Informationen. Typische Nachweise sind Richtlinien, Prozessbeschreibungen, Protokolle, Systemauszüge, Tickets, Schulungsnachweise, Verträge, Interviews und Beobachtungen.
Audits arbeiten regelmäßig mit Stichproben. Eine positive Stichprobe beweist nicht, dass jeder Einzelfall korrekt ist. Der Auditbericht muss deshalb Scope, Stichproben und Einschränkungen transparent machen.
Audit und Assessment
Assessments sind häufig stärker entwicklungs- und orientierungsbezogen. Audits folgen definierten Kriterien und erzeugen formale Feststellungen. Beide Verfahren können dieselben Nachweise nutzen, verfolgen jedoch unterschiedliche Entscheidungsziele.
| Frage | Assessment | Audit |
|---|---|---|
| Wo stehen wir? | Primär | Sekundär |
| Erfüllen wir festgelegte Kriterien? | Je nach Methodik | Primär |
| Welche Maßnahmen sind sinnvoll? | Primär | Aus Feststellungen ableitbar |
| Ist eine Zertifizierung möglich? | Nein | Im Zertifizierungsverfahren möglich |
Typische Missverständnisse
Beweist ein Audit, dass keine Risiken bestehen?
Nein. Audits prüfen definierte Kriterien innerhalb eines Scopes und auf Basis von Stichproben.
Muss ein internes Audit von einer externen Person durchgeführt werden?
Nein. Die Organisation muss jedoch Objektivität und angemessene Unabhängigkeit sicherstellen.
Ist jede Abweichung gleich kritisch?
Nein. Klassifizierung und Bedeutung hängen von Kriterien, Systemwirkung und Auditverfahren ab.
Darf ein Auditor gleichzeitig die geprüfte Lösung entwerfen?
Das kann die Unabhängigkeit beeinträchtigen. Rollen und Interessenkonflikte müssen geprüft und dokumentiert werden.