Findings verstehen: Hauptabweichung, Nebenabweichung, Beobachtung

Im Auditbericht stehen Feststellungen, und für viele klingt schon das Wort „Abweichung“ bedrohlich. Dabei sind Findings der eigentliche Ertrag eines Audits: Sie zeigen genau, wo Sie ansetzen müssen. Entscheidend ist, die Stufen zu verstehen, eine Einstufung prüfen zu können und richtig zu reagieren.

Was ein Finding ist, laut Norm

Der Begriff kommt aus ISO 19011:2026, dem Leitfaden für Audits von Managementsystemen. Eine Auditfeststellung ist dort das Ergebnis, das entsteht, wenn der Auditor die gesammelten Nachweise gegen die Auditkriterien bewertet (3.11). Kriterien sind die Norm, Ihre eigenen Vorgaben, ein Vertrag oder ein Gesetz.

Daraus folgt etwas, das im Alltag fast immer untergeht: Ein Finding kann auch Konformität zeigen. Die Norm sagt das ausdrücklich in einer Anmerkung. Eine zweite Anmerkung nennt Risiken, Verbesserungspotenziale und gute Praxis als mögliche Ergebnisse. Stehen in Ihrem Bericht nur Abweichungen, fehlt die Hälfte der Auskunft.

Stammen die Kriterien aus Gesetzen oder Behördenvorgaben, spricht die Norm von Compliance und Non-Compliance. Für ein Audit nach ISO/IEC 42001 oder ISO/IEC 27001 bleibt es bei Konformität und Abweichung.

Die Stufen einer Feststellung

Haupt- und Nebenabweichung sind in ISO/IEC 17021-1 definiert, der Norm für Stellen, die Managementsysteme auditieren und zertifizieren. Das Verbesserungspotenzial erwähnt die Norm als Möglichkeit. Alle weiteren Stufen sind Sprachgebrauch der jeweiligen Stelle.

• Hauptabweichung (Major): Eine Anforderung ist nicht erfüllt, und das beeinträchtigt die Fähigkeit des Managementsystems, seine beabsichtigten Ergebnisse zu erreichen (3.12). Typisch laut Anmerkung: Es ist erheblich zu bezweifeln, dass ein Prozess wirksam gesteuert wird.
• Nebenabweichung (Minor): Eine Anforderung ist nicht erfüllt, die Fähigkeit des Systems bleibt aber erhalten (3.13). Meist ein Einzelfall oder eine begrenzte Lücke.
• Beobachtung oder Hinweis: kein Begriff der 17021-1. Ich habe nachgezählt. Das englische Wort „observation“ steht viermal in der Norm, kein einziges Mal als Stufe einer Feststellung. Was eine Beobachtung ist, legt Ihre Zertifizierungsstelle fest. Fragen Sie nach.
• Verbesserungspotenzial (Opportunity for Improvement): Die Norm erlaubt, solche Hinweise festzuhalten, solange das Zertifizierungsprogramm es nicht verbietet (9.4.5.2). Eine echte Abweichung darf aber nie als Verbesserungspotenzial verbucht werden.

Die wichtigste Regel steht in der Anmerkung zu 3.12: Mehrere Nebenabweichungen zur selben Anforderung können zusammen ein systematisches Versagen zeigen und sind dann eine Hauptabweichung. Drei fehlende Schulungsnachweise sind drei Einzelfälle. Drei fehlende Schulungsnachweise, und niemand weiß, wer sie führen soll, sind ein Prozess, den es nicht gibt.

Beispiele: Haupt- oder Nebenabweichung?

Die Einstufung hängt immer vom Einzelfall ab: vom Umfang, vom Risiko und davon, ob ein Muster dahintersteht. So würde ich die folgenden Beispielfälle zu ISO/IEC 42001 und ISO/IEC 27001 einstufen.

Die Zeilen stehen paarweise, und das ist Absicht. Derselbe Mangel kann zur Hauptabweichung werden, sobald er kein Ausrutscher mehr ist. Genau hier lohnt im Abschlussgespräch die Frage, ob der Auditor ein Muster gesehen hat oder einen Einzelfall.

So prüfen Sie eine Feststellung, bevor Sie sie annehmen

Eine Abweichung muss gegen eine bestimmte Anforderung festgehalten werden und die objektiven Nachweise nennen, auf denen sie beruht (ISO/IEC 17021-1, 9.4.5.3). Dieselbe Klausel verlangt, dass der Auditor Abweichungen mit Ihnen bespricht, damit die Nachweise stimmen und die Abweichung verstanden ist. Daraus ergeben sich drei Fragen für das Abschlussgespräch:

• Gegen welche Anforderung genau? Eine Klausel, eine Maßnahme aus Anhang A oder Ihre eigene Vorgabe. „Verbesserungswürdig“ ist keine Anforderung.
• Welcher Nachweis? Ein Dokument, eine Aufzeichnung, eine Beobachtung vor Ort oder eine Aussage, die geprüft wurde.
• Warum diese Stufe? Bei einer Hauptabweichung muss der Auditor erklären können, warum sie die Fähigkeit des Systems beeinträchtigt, seine Ergebnisse zu erreichen.

Eine Lösung bekommen Sie dabei nicht. Das Auditteam einer Zertifizierungsstelle darf Verbesserungspotenziale nennen, aber keine konkreten Lösungen empfehlen (9.4.8.1). Das ist kein Unwille. Wer Ihnen die Lösung schreibt, prüft sie im nächsten Jahr selbst, und dann prüft niemand mehr. Aus demselben Grund berate ich kein Unternehmen, das ich auditiere.

Die richtige Reaktion in drei Schritten

• Korrektur (sofort): das konkrete Problem unmittelbar beheben.
• Ursachenanalyse: verstehen, warum es passiert ist, nicht nur das Symptom.
• Korrekturmaßnahme (CAPA): die Ursache abstellen, damit es nicht wiederkehrt, und anschließend die Wirksamkeit prüfen.

Wer nur das Symptom behebt, sieht dieselbe Abweichung beim nächsten Audit wieder. Die Ursachenanalyse ist der eigentliche Hebel.

Für Ihr eigenes Managementsystem verlangen ISO/IEC 42001 und ISO/IEC 27001 genau diese Schritte in Abschnitt 10.2. Das gilt für jede Abweichung, auch für die aus Ihrem internen Audit.

Was bedeutet das für die Zertifizierung?

Hier werden die Stufen hart. Vor der Entscheidung über das Zertifikat muss die Zertifizierungsstelle bei Hauptabweichungen Korrektur und Korrekturmaßnahmen geprüft, akzeptiert und verifiziert haben. Bei Nebenabweichungen reicht es, wenn sie Ihren Plan dafür geprüft und akzeptiert hat (ISO/IEC 17021-1, 9.5.2).

• Erstzertifizierung: Kann die Stelle die Umsetzung bei einer Hauptabweichung nicht innerhalb von sechs Monaten nach dem letzten Tag von Stufe 2 verifizieren, muss vor der Empfehlung eine neue Stufe 2 stattfinden (9.5.3.2).
• Re-Zertifizierung: Für jede Hauptabweichung setzt die Stelle Fristen, und die Maßnahmen müssen vor Ablauf des Zertifikats umgesetzt und verifiziert sein (9.6.3.2.2). Gelingt das nicht, wird die Re-Zertifizierung nicht empfohlen und das Zertifikat nicht verlängert (9.6.3.2.4).
• Nebenabweichungen: Die Umsetzung des akzeptierten Plans schaut sich die Stelle in der Regel beim nächsten Überwachungsaudit an.

Eine saubere, ehrliche Ursachenanalyse zählt dabei mehr als eine schnelle Schein-Lösung. Beim nächsten Besuch sieht der Auditor, ob die Maßnahme gewirkt hat oder nur auf dem Papier steht.

Reife Organisationen begrüßen Findings. Sie sind fachkundige Hinweise auf reale Schwachstellen, gefunden im geschützten Rahmen eines Audits und nicht erst im Schadensfall. Wer das verinnerlicht, macht aus dem Audit ein Werkzeug der Verbesserung statt einer Prüfungsangst.