Internes Audit & Managementbewertung, die unterschätzte Pflicht
Jedes Managementsystem verlangt internes Audit und Managementbewertung. Was beide leisten und warum die Zertifizierungsstelle sie zuerst prüft.
Kurz gesagt
Internes Audit und Managementbewertung sind verpflichtender Bestandteil jeder modernen Managementsystemnorm. Beim internen Audit prüft die Organisation sich selbst nach einem eigenen Auditprogramm, in der Managementbewertung schaut die oberste Leitung auf das gesamte System und trifft Entscheidungen. Im Zertifizierungsaudit gehören sie zu den ersten verlangten Nachweisen, denn wer sich nicht selbst prüft, kann kein lebendes Managementsystem haben.
Read in English: English version
Zwei Anforderungen tauchen in jeder modernen Managementsystemnorm auf und werden im Mittelstand am häufigsten unterschätzt: das interne Audit und die Managementbewertung. Sie sind keine lästige Pflicht, sondern der eingebaute Motor der Verbesserung.
Das interne Audit
Beim internen Audit prüft die Organisation sich selbst, planmäßig, nach einem eigenen Auditprogramm. Wichtig ist die Unabhängigkeit: Niemand sollte die eigene Arbeit auditieren. In kleinen Betrieben löst man das über kollegiale Audits, externe interne Auditoren oder klare Rollentrennung.
- Ein Auditprogramm legt fest, was wann mit welcher Tiefe auditiert wird.
- Die Feststellungen fließen in Korrekturmaßnahmen und in die Managementbewertung.
- Ziel ist nicht die Pflichterfüllung, sondern das ehrliche Bild vor dem externen Audit.
Die Managementbewertung
In der Managementbewertung schaut die oberste Leitung in geplanten Abständen auf das gesamte System: Funktioniert es, erreicht es seine Ziele, wo muss nachgesteuert werden? Sie ist der Moment, in dem Führung Verantwortung sichtbar übernimmt.
Typische Eingaben sind Auditergebnisse, Kennzahlen, Risiken und Chancen, Rückmeldungen interessierter Parteien, Änderungen und der Status offener Maßnahmen. Typische Ergebnisse sind Entscheidungen zu Verbesserungen, Ressourcen und Zielen.
Internes Audit liefert die Fakten, die Managementbewertung trifft die Entscheidungen. Zusammen halten sie den PDCA-Kreislauf am Laufen.
Warum die Zertifizierungsstelle hier zuerst hinschaut
Im Zertifizierungsaudit gehören internes Audit und Managementbewertung zu den ersten Nachweisen, die verlangt werden, oft schon in Stage 1. Der Grund ist einfach: Wer sich nicht selbst prüft und bewertet, kann kein lebendes Managementsystem haben. Fehlen sie, scheitert das Audit, bevor es richtig begonnen hat.
Die häufigsten Fehler
- Internes Audit kurz vor dem externen Audit „pro forma“ durchführen.
- Die Managementbewertung als Protokoll-Übung ohne echte Entscheidungen behandeln.
- Feststellungen dokumentieren, aber die Maßnahmen nie auf Wirksamkeit prüfen.
Primärquellen
- ISO/IEC 42001:2023, Abschnitte 9.2 Internes Audit und 9.3 Managementbewertung (iso.org)
- ISO/IEC Joint Technical Coordination Group, Exploring MSS: Harmonized Structure der Managementsystemnormen (committee.iso.org)
- ISO/IEC 17021-1:2015, Anforderungen an Stellen, die Managementsysteme auditieren und zertifizieren, Stufe-1- und Stufe-2-Audit (iso.org)
Internes Audit + Managementbewertung sauber aufsetzen
Auditprogramm planen
Festlegen, was wann mit welcher Tiefe auditiert wird, risikoorientiert, nicht alphabetisch.
Unabhängigkeit sichern
Niemand auditiert die eigene Arbeit. Kollegiale Audits oder externe interne Auditoren bei kleinen Teams.
Audit durchführen
Interviews, Dokumentenprüfung, Stichproben. Faktengestützt, objektiv, kein 'Suchen nach Schuldigen'.
Feststellungen klassifizieren
Hauptabweichung, Nebenabweichung, Beobachtung, mit klarem Bezug zur Norm.
Korrekturmaßnahmen festlegen
Ursachenanalyse, nicht Symptom-Pflaster. Mit Verantwortlichem und Termin.
Wirksamkeit prüfen
Nach Umsetzung erneut prüfen, ob die Ursache wirklich beseitigt wurde, sonst war das Audit umsonst.
Managementbewertung
Oberste Leitung sieht Auditergebnisse, KPIs, Risiken, offene Maßnahmen und entscheidet sichtbar über Ressourcen und Ziele.
Häufige Fragen
Muss ich internes Audit und Managementbewertung wirklich machen?+
Ja, beide sind verpflichtender Bestandteil jeder gängigen Managementsystemnorm und werden im externen Audit nachgewiesen.
Darf ich mein eigenes Team auditieren?+
Nur unabhängig: Niemand sollte die eigene Arbeit prüfen. In kleinen Betrieben helfen kollegiale Audits oder externe interne Auditoren.
Autor & fachliche Prüfung: Lars Zimmermann · ISO/IEC 42001 Senior Lead Auditor & Senior Lead Implementer · ISO/IEC 27001 Lead Auditor & Lead Implementer (PECB)
Auditor mit Stallgeruch, Geschäftsführer eines produzierenden Mittelständlers, der KI-Managementsysteme und Informationssicherheit prüft und aufbaut. Autor von „Stallgeruch“. Qualifikation auf Credly verifizieren · Mehr über mich.
Stand: 26. Mai 2026. Inhalt nach bestem Wissen recherchiert und fachlich geprüft; ersetzt keine Rechtsberatung im Einzelfall.
Konkrete Fragen zu Ihrem Fall?
Im kostenlosen 15-Minuten-Erstgespräch ordnen wir Ihren Stand zu ISO 42001, ISO 27001 und dem EU AI Act ein, ehrlich und ohne Verkaufsdruck.